Para cada intento, genera una salida en JSON con:

• vector → vector de ataque probado
• attempt → número del intento
• rst_stream → si el servidor reseteó el stream
• goaway → si el servidor cerró la conexión
• responses → si hubo respuesta del servidor
• conn_closed_early → si la conexión fue cerrada antes de lo esperado
• error → mensaje de error capturado localmente

Limitaciones

• El script no es un exploit de DoS real. Envía solo unas decenas de frames por vector para detección controlada.

• El código no mide el agotamiento de CPU/memoria del servidor directamente; el análisis depende de:

  • Logs del lado del servidor, CDN o backend
  • Métricas de tiempo de respuesta, bytes enviados y códigos de estado

• No cubre todos los escenarios posibles de explotación, solo los vectores ya descritos públicamente.

• Es una herramienta de validación defensiva, no de ataque.

Cómo usar

Requisitos

• Python 3.10 o superior
• Dependencias:

Ejecución

Interpretación de los Resultados

• GOAWAY = 1 → el servidor cerró correctamente la conexión.
• RST_STREAM = 1 → el servidor reseteó correctamente el stream inválido.
• responses > 0 → el servidor procesó la solicitud (aceptable en paths válidos, siempre que cierre después).
• conn_closed_early = 1 → el servidor cerró la conexión de forma inmediata (normal en algunos vectores).
• error → indica error local del cliente (no necesariamente problema del servidor).

Infraestructuras no vulnerables suelen:

• Cerrar la conexión (GOAWAY) o resetear streams inválidos (RST_STREAM)
• No mantener procesamiento activo después de los frames inválidos
• No presentar lentitud o consumo anómalo en los logs

Conclusión

Este código permite validar, de forma segura y no intrusiva, si una infraestructura HTTP/2 reacciona adecuadamente a los vectores asociados a la CVE-2025-8671.

Cumple su propósito de PoC defensiva: detectar comportamientos incorrectos sin generar DoS real o explotar la falla en producción.