CVE-2023-44487 HTTP/2 Rapid Reset परीक्षण उपकरण - उन्नत संस्करण

CVE-2023-44487, HTTP/2 Rapid Reset भेद्यता के लिए एक व्यापक Python परीक्षण उपकरण। यह उन्नत संस्करण परीक्षण मापदंडों पर सूक्ष्म नियंत्रण, कई हमले पैटर्न और उन्नत निगरानी क्षमताएं प्रदान करता है।

⚠️ महत्वपूर्ण अस्वीकरण

यह उपकरण केवल शैक्षिक और अधिकृत परीक्षण उद्देश्यों के लिए है!

• केवल उन प्रणालियों के विरुद्ध उपयोग करें जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है
• अनधिकृत उपयोग अवैध हो सकता है और सेवा में व्यवधान उत्पन्न कर सकता है
• यह उपकरण एक Denial of Service हमला करता है जो सर्वर उपलब्धता को प्रभावित कर सकता है
• परीक्षण से पहले हमेशा सुनिश्चित करें कि आपके पास उचित प्राधिकरण है

🔍 CVE-2023-44487 के बारे में

CVE-2023-44487, जिसे "HTTP/2 Rapid Reset" के रूप में भी जाना जाता है, HTTP/2 प्रोटोकॉल में एक गंभीर भेद्यता है जो हमलावरों को अनुमति देती है:

• HTTP/2 स्ट्रीम को तेजी से भेजकर और रद्द करके सेवा से इनकार करना
• न्यूनतम क्लाइंट संसाधनों के साथ अत्यधिक सर्वर संसाधनों का उपभोग करना
• कई पारंपरिक दर सीमित तंत्रों को बायपास करना
• प्रमुख वेब सर्वर और लोड बैलेंसर को प्रभावित करना

CVSS स्कोर: 7.5 (उच्च)

प्रभाव: Denial of Service, संसाधन क्षरण

🚀 उन्नत सुविधाएं

एकाधिक हमले पैटर्न

• ⚡ Rapid Reset: मानक HEADERS + तत्काल RST_STREAM
• 💥 Burst Reset: कॉन्फ़िगर करने योग्य विलंब के साथ बर्स्ट में अनुरोध
• 📈 Gradual Reset: धीरे-धीरे बढ़ती हमले की दर
• 🎲 Random Reset: पूर्वानुमानित फ़िल्टरिंग को बायपास करने के लिए यादृच्छिक समय
• 🌊 Continuation Flood: CONTINUATION फ्रेम बाढ़ हमला
• 🔀 Mixed Pattern: कई पैटर्न का संयोजन

सूक्ष्म कॉन्फ़िगरेशन

• 📡 कनेक्शन नियंत्रण: टाइमआउट, विलंब, समवर्ती सीमाएं
• ⏱️ समय नियंत्रण: जिटर समर्थन के साथ सटीक समय
• 🌐 HTTP/2 प्रोटोकॉल: विंडो आकार, फ्रेम आकार, HPACK सेटिंग्स
• 📋 हेडर अनुकूलन: कस्टम हेडर, यादृच्छिक उत्पादन
• 🔬 उन्नत विकल्प: स्ट्रीम ID यादृच्छिकरण, प्राथमिकता फ्रेम
• 📊 निगरानी: विलंबता ट्रैकिंग, ट्रैफ़िक विश्लेषण, त्रुटि निगरानी

आउटपुट प्रारूप

• 🖥️ कंसोल: प्रगति अपडेट के साथ मानव-पठनीय
• 📋 JSON: मशीन-पठनीय संरचित डेटा
• 📊 CSV: विश्लेषण के लिए स्प्रेडशीट-संगत
• 🗃️ XML: एंटरप्राइज़ उपकरण एकीकरण

सुरक्षा सुविधाएं

• 🛡️ प्राधिकरण नियंत्रण: अनिवार्य पुष्टिकरण संकेत
• 🔒 दर सीमित करना: अंतर्निहित कनेक्शन और अनुरोध सीमाएं
• 🎛️ त्रुटि प्रबंधन: सुचारू विफलता प्रबंधन
• 📝 ऑडिट ट्रेल: व्यापक लॉगिंग क्षमताएं

📋 आवश्यकताएं

• Python 3.7 या उच्चतर
• कोई बाहरी निर्भरता नहीं (केवल Python मानक पुस्तकालय का उपयोग करता है)

📖 स्थापना

1. स्क्रिप्ट को क्लोन या डाउनलोड करें:

git clone https://github.com/madhusudhan-in/CVE_2023_44487-Rapid_Reset.git
cd CVE_2023_44487-Rapid_Reset

2. स्क्रिप्ट को निष्पादन योग्य बनाएं:

chmod +x rapid_reset_test.py

3. Python संस्करण सत्यापित करें:

python3 --version  # 3.7+ होना चाहिए

🔧 उपयोग

बुनियादी उपयोग

python3 rapid_reset_test.py https://target-server.com

उन्नत उपयोग उदाहरण

1. उच्च-थ्रूपुट लोड परीक्षण

python3 rapid_reset_test.py https://target.com \
    --connections 50 \
    --requests 1000 \
    --delay 0 \
    --pattern rapid_reset \
    --track-latency \
    --output json

2. कस्टम हेडर के साथ गुप्त परीक्षण

python3 rapid_reset_test.py https://target.com \
    --pattern burst_reset \
    --burst-size 5 \
    --burst-delay 2.0 \
    --custom-headers "User-Agent: Mozilla/5.0 (legitbot)" "Authorization: Bearer token123" \
    --jitter 0.3

3. प्रोटोकॉल-विशिष्ट परीक्षण

python3 rapid_reset_test.py https://target.com \
    --window-size 32768 \
    --frame-size 32768 \
    --header-table-size 8192 \
    --enable-push \
    --priority-frames \
    --randomize-streams

4. व्यापक निगरानी परीक्षण

python3 rapid_reset_test.py https://target.com \
    --connections 10 \
    --requests 200 \
    --pattern mixed_pattern \
    --track-latency \
    --track-responses \
    --monitor-memory \
    --verbose \
    --debug \
    --log-file attack.log

5. CONTINUATION फ्लड हमला

python3 rapid_reset_test.py https://target.com \
    --pattern continuation_flood \
    --requests 50 \
    --random-headers \
    --header-count 20

पूर्ण कमांड लाइन विकल्प

कनेक्शन सेटिंग्स

विकल्प	विवरण	डिफ़ॉल्ट
-c, --connections N	समवर्ती कनेक्शन की संख्या	1
--connection-timeout SEC	सेकंड में कनेक्शन टाइमआउट	10
--read-timeout SEC	प्रतिक्रियाओं के लिए रीड टाइमआउट	5
--connection-delay SEC	कनेक्शन के बीच विलंब	0.0

अनुरोध सेटिंग्स

विकल्प	विवरण	डिफ़ॉल्ट
-r, --requests N	प्रति कनेक्शन अनुरोध	100
--delay SEC	HEADERS और RST_STREAM के बीच विलंब	0.001
--request-delay SEC	अनुरोधों के बीच विलंब	0.0
--jitter FACTOR	समय यादृच्छिकरण कारक	0.0

हमले के पैटर्न

विकल्प	विवरण	डिफ़ॉल्ट
--pattern TYPE	उपयोग करने के लिए हमले का पैटर्न	rapid_reset
--burst-size N	प्रति बर्स्ट अनुरोध	10
--burst-delay SEC	बर्स्ट के बीच विलंब	0.1

उपलब्ध पैटर्न:

• rapid_reset - मानक rapid reset हमला
• burst_reset - बर्स्ट-आधारित हमले
• gradual_reset - धीरे-धीरे बढ़ती दर
• random_reset - यादृच्छिक समय
• continuation_flood - CONTINUATION फ्रेम बाढ़
• mixed_pattern - पैटर्न का मिश्रण

HTTP/2 प्रोटोकॉल सेटिंग्स

विकल्प	विवरण	डिफ़ॉल्ट
--window-size BYTES	HTTP/2 प्रारंभिक विंडो आकार	65535
--frame-size BYTES	अधिकतम फ्रेम आकार	16384
--header-table-size BYTES	HPACK हेडर तालिका आकार	4096
--enable-push	HTTP/2 सर्वर पुश सक्षम करें	False
--rst-error-code CODE	RST_STREAM त्रुटि कोड	8

हेडर अनुकूलन

विकल्प	विवरण	डिफ़ॉल्ट
--custom-headers HEADER	कस्टम हेडर (नाम: मान)	None
--random-headers	यादृच्छिक हेडर उत्पन्न करें	False
--header-count N	यादृच्छिक हेडर की संख्या	5

उन्नत विकल्प

विकल्प	विवरण	डिफ़ॉल्ट
--randomize-streams	यादृच्छिक स्ट्रीम ID का उपयोग करें	False
--priority-frames	प्राथमिकता जानकारी शामिल करें	False
--continue-on-error	त्रुटियों के बाद जारी रखें	True
--max-errors N	रोकने से पहले अधिकतम त्रुटियां	10

निगरानी विकल्प

विकल्प	विवरण	डिफ़ॉल्ट
--track-latency	अनुरोध विलंबता ट्रैक करें	False
--track-responses	सर्वर प्रतिक्रियाएं ट्रैक करें	False
--monitor-memory	मेमोरी उपयोग की निगरानी करें	False

आउटपुट विकल्प

विकल्प	विवरण	डिफ़ॉल्ट
--output FORMAT	आउटपुट प्रारूप	console
--output-file FILE	आउटपुट फ़ाइल नाम	auto-generated
--verbose, -v	विस्तृत आउटपुट	False
--debug	डीबग लॉगिंग	False
--log-file FILE	फ़ाइल में लॉग करें	None

उपलब्ध आउटपुट प्रारूप:

• console - मानव-पठनीय कंसोल आउटपुट
• json - मशीन-पठनीय JSON
• csv - स्प्रेडशीट-संगत CSV
• xml - संरचित XML प्रारूप

📊 परिणामों को समझना

उन्नत परिणाम प्रारूप

यह उपकरण व्यापक परिणाम प्रदान करता है जिनमें शामिल हैं:

• हमले का कॉन्फ़िगरेशन: पूर्ण परीक्षण पैरामीटर
• कनेक्शन आँकड़े: प्रति-कनेक्शन सफलता/विफलता दरें
• ट्रैफ़िक विश्लेषण: भेजे/प्राप्त बाइट्स, अनुरोध दरें
• विलंबता मेट्रिक्स: अनुरोध समय विश्लेषण (यदि सक्षम हो)
• त्रुटि विश्लेषण: विस्तृत त्रुटि ट्रैकिंग और वर्गीकरण
• जोखिम मूल्यांकन: स्वचालित भेद्यता स्कोरिंग

नमूना JSON आउटपुट संरचना