cve-2023-44487 - http/2 rapid reset attack

от 7pirqte

Что это

PoC для атаки http/2 rapid reset. По сути вы открываете поток с кадром HEADERS, затем сразу отправляете RST_STREAM, чтобы отменить его. Сервер выполняет всю работу по созданию и уничтожению потоков, пока вы просто спамите запросами. Отменённые потоки не учитываются в лимите максимального количества потоков, поэтому вы можете отправлять практически неограниченное количество сбросов.

Это использовалось в некоторых крупных ddos-атаках в 2023 году.

Установка

pip install -r requirements.txt

Использование

# single target
python main.py -u https://target.com

# from file
python main.py -f urls.txt

# 10 connections for 30 secs
python main.py -u https://target.com -c 10 -d 30

Опции

• -u - целевой URL