CVE-2023-45288에 대한 PoC

이것은 Bartek Nowotarski가 발견하고 문서화한 CONTINUATION 플러드 취약점에 대한 개념 증명(PoC) 코드입니다. 기술적 세부 사항은 그의 블로그 게시물 여기에 매우 잘 문서화되어 있습니다. 제 초점은 연구원이 문서화한 Go 버그에 있었지만, 이 코드는 이 문제와 관련된 다른 CVE를 테스트하는 데 도움이 될 것입니다.

이 코드는 다음에서 일부 영감을 얻었습니다:

1. rapid reset 취약점에 대한 PoC 코드 (https://github.com/secengjeff/rapidresetclient에서)
2. Go 팀이 취약점을 패치한 후 추가된 테스트 코드 (golang/net/http2/server_test.go에 위치)

저의 초기 목표는 취약점을 상세히 이해하고, 업무에서 이 문제를 테스트하기 위한 도구를 개발하는 것이었습니다. 이는 http2의 내부 동작을 상세히 이해하는 데에도 매우 도움이 되었습니다. 도움이 된 다른 자료는 다음과 같습니다:

• Daniel Stenberg의 http2 explained 책
• rfc 7540

포함된 서버로 테스트

취약한 버전의 golang.org/x/net (0.20.0)에서 실행되는 포함된 server.go 파일을 실행할 수 있습니다.

$ go run server.go

서버는 클라이언트가 기본적으로 가리키는 포트 8443에서 실행됩니다.

예상 출력

취약한 서버에 대해 실행하면, 클라이언트는 wait 플래그에 지정한 시간(초) 동안 계속해서 CONTINUATION 프레임을 보낼 수 있습니다. 서버는 2초마다 CPU 사용량을 출력하며, 클라이언트가 실행됨에 따라 CPU 사용량이 빠르게 증가하는 것을 볼 수 있습니다. 패치된 버전(0.23.0 이상)에서는 헤더 크기 제한에 도달하면 서버가 연결을 종료합니다.

예제

클라이언트를 실행하여 6개의 동시 연결을 생성하고, https://localhost:8443을 호출하며, 각 연결에 대해 200초 동안 CONTINUATION 프레임을 보냅니다:

$ go run client.go -time-limit 200  -connections 6 -url https://localhost:8443