HTTP3-attacks (CVE-2022-30592)

Basato sul lavoro: E. Chatzoglou, V. Kouliaridis, G. Kambourakis, G. Karopoulos, e S. Gritzalis, "A hands-on gaze on HTTP/3 security through the lens of HTTP/2 and a public dataset", Computers & Security, p. 103051, 2022.

Il repository corrente ha lo scopo di condividere gli script che abbiamo utilizzato per scopi educativi. Questi attacchi facevano parte del nostro studio e sono stati testati contro 6 diversi server abilitati a QUIC (IIS, NGINX, LiteSpeed, Cloudflare, H2O e Caddy) configurati per comunicare con HTTP/3. Lo script http-stream è lo sfruttamento del problema CVE-2022-30592 che ha interessato la libreria lsquic. Questo script può essere sfruttato anche contro il server Litespeed.

Procedura di installazione

Per lo sfruttamento di questi attacchi, è stato utilizzato il client Ubuntu 18.04, con l'aiuto della libreria Python aioquic per HTTP3-loris e HTTP3-stream. Per l'attacco HTTP3-flooding, è stato utilizzato lo strumento curl, con supporto di HTTP/3. Le seguenti istruzioni riguardano l'installazione di aioquic, per gli assalti HTTP3-loris e HTTP3-stream.

1. git clone https://github.com/aiortc/aioquic
2. sudo apt install libssl-dev
3. cd aioquic
4. Se si esegue l'attacco HTTP3-stream, modificare il valore MAX_TABLE_CAPACITY nella libreria aioquic a 16 o inferiore.
5. pip install -e .
6. pip install asgiref dnslib httpbin starlette wsproto
7. python3 setup.py install
8. Aggiungere il file http3-loris.sh alla directory aioquic
9. Avviare l'attacco

Cambiare il parametro URL con quello del bersaglio. Nota che in base alle capacità del server bersaglio, potrebbero essere necessari valori diversi per ciascun parametro negli exploit.

Le seguenti istruzioni riguardano l'installazione di curl, per l'assalto HTTP3-flooding.

1. Aggiungere il Dockerfile a una directory. Il Dockerfile si trova nella directory http-flood del repository.
2. Aggiungere l'exploit alla stessa directory, nel nostro caso il file http3-flood.sh
3. Cambiare il parametro URL nell'exploit con quello del bersaglio
4. docker build -t curl-http3 .
5. docker run -t -d --network host curl-http3
6. docker ps
7. docker cp /hostfile (container_id):/(to_the_place_you_want_the_file_to_be)
8. docker exec -it container-id-curl-http3 bash

Dopo la connessione bash al docker, eseguire ./http3-flood.sh.

====================================================

Licenza MIT

Copyright (c) 2022 Efstratios Chatzoglou

Con la presente viene concessa autorizzazione, gratuitamente, a chiunque ottenga una copia di questo software e dei file di documentazione associati (il "Software"), a trattare il Software senza restrizioni, inclusi senza limitazione i diritti di utilizzare, copiare, modificare, unire, pubblicare, distribuire, concedere in sublicenza e/o vendere copie del Software, e a permettere alle persone a cui il Software è fornito di fare ciò, alle seguenti condizioni:

L'avviso di copyright sopra riportato e questa nota di autorizzazione devono essere inclusi in tutte le copie o parti sostanziali del Software.

IL SOFTWARE VIENE FORNITO "COSÌ COM'È", SENZA GARANZIA DI ALCUN TIPO, ESPRESSA O IMPLICITA, INCLUSE MA NON LIMITATE ALLE GARANZIE DI COMMERCIABILITÀ, IDONEITÀ PER UNO SCOPO PARTICOLARE E NON VIOLAZIONE. IN NESSUN CASO GLI AUTORI O I TITOLARI DEL COPYRIGHT SARANNO RESPONSABILI PER QUALSIASI RECLAMO, DANNO O ALTRA RESPONSABILITÀ, SIA IN UN'AZIONE CONTRATTUALE, ILLECITO O ALTRO, DERIVANTE DA, FUORI O IN CONNESSIONE CON IL SOFTWARE O L'USO O ALTRE OPERAZIONI NEL SOFTWARE.