CVE-2023-44487 (HTTP/2 Rapid Reset)

Ci sono alcuni esempi in questo repository che non sono stati testati completamente per analizzare l'impatto, ma volevo solo mettere in pratica il concetto di questo attacco (starting many streams and immediately sending RST_STREAM frame to avoid reaching MAX_CONCURRENT_STREAMS).

H2SpaceX

Uso H2SpaceX, una libreria HTTP/2 di basso livello che ho creato per sfruttare il Single Packet Attack

Esempi

• Ci sono 2 esempi:
  • Esempio 1
    • Invio di 10000 richieste GET e invio immediato dei frame RESET STREAM dopo ogni richiesta
  • Esempio 2
    • Invio di 100000 richieste POST (con la tecnica del single packet attack) che fa attendere al server l'ultimo byte, e poi invio del frame RESET STREAM dopo ogni richiesta
    • Questo esempio usa anche il threading per aprire più connessioni H2.

Leggi & Fai di più

• Fai di più
  • Puoi leggere di più sull'uso di per inviare frame grezzi.