CVE-2026-49975 HTTP/2 Bomb 复现工具
作者：polar bear
版本：2.1
适用漏洞：CVE-2026-49975（HTTP/2 协议内存炸弹）
📖 漏洞原理
CVE-2026-49975 是 HTTP/2 协议实现中的内存耗尽漏洞，攻击链包含两个关键步骤：
- HPACK 压缩炸弹：在单个 HTTP/2 流中重复发送相同头部（如
x-bomb: test），迫使服务器为每次引用分配完整的内存结构，实现 4000:1 以上的内存放大。
- 窗口停滞：将初始流控窗口设为 0，阻止服务器发送响应，导致已分配的内存被永久锁定，无法释放。
两者结合，攻击者仅需发送约 16KB 数据即可让服务器消耗超过 1MB 内存，并可在数十秒内耗尽 32GB 内存，最终导致服务崩溃。
🛠️ 工具功能
- ✅ 自动检测 HTTP/2 支持：通过 ALPN 协商（HTTPS）或连接前言（明文）判断目标是否支持
h2/h2c，不支持则不攻击。
- ✅ 一键检测并攻击：自动完成“检测 → 锁定内存 → DoS 压垮”全流程。
- ✅ 强制攻击模式：跳过检测，直接发送攻击载荷（适用于已知目标支持 HTTP/2 的场景）。
- ✅ 多协议代理支持：支持 HTTP、HTTPS、SOCKS4、SOCKS5 代理，可配置地址和端口。
- ✅ 可调节攻击强度：可设置“每个请求重复次数”（默认 5）和“攻击流数量”（0 为无限持续攻击）。
- ✅ 图形化界面：实时日志输出，操作简单直观。
🚀 使用方法（直接运行二进制文件）
1. 运行程序
- 双击
CVE-2026-49975_Exploit_v2.1.exe（Windows）
或
在命令行中执行：CVE-2026-49975_Exploit_v2.1.exe
2. 填写目标信息
- 目标主机：IP 或域名（如
192.168.1.100 或 example.com）
- 端口：通常 HTTPS 为
443，明文 HTTP/2 为 80
- HTTPS：勾选表示目标使用 TLS（即
h2），不勾选则为明文 h2c
3. （可选）配置代理
- 勾选“启用代理”
- 选择代理类型（
http/https/socks4/socks5）
- 填写代理地址和端口
4. 设置攻击参数
- 每个请求重复次数：建议保持默认
5
- 攻击流数量：
0 表示无限持续攻击；正数表示发送指定数量后自动停止（如 1000）
5. 执行攻击
- 推荐：点击 “检测并攻击” → 自动检测 HTTP/2 → 若支持则开始攻击
- 强制攻击：点击 “强制攻击”（跳过检测，适用于已确认目标支持 HTTP/2 的场景）
6. 停止攻击
7. 验证攻击效果
- 目标服务器内存使用率飙升（可用
htop、free -h、docker stats 观察）
- Web 服务最终无响应或崩溃，工具日志中出现
Connection reset by peer 等错误
⚠️ 免责协议
- 本工具仅限授权安全测试使用。未经目标系统所有者书面许可，不得在任何生产或非授权系统上运行。
- 使用本工具造成的一切直接或间接后果（包括但不限于服务中断、数据丢失、法律责任）由使用者自行承担。
- 作者（polar bear）及分发者不承担任何责任。运行本工具即表示您已阅读并同意本协议。
📄 版本历史
- v2.1（2026-06-11）：修复界面卡死问题（线程安全 UI 更新），提升稳定性。
- v2.0（2026-06-11）：增加 HTTP/2 自动检测、多协议代理支持、一键检测并攻击功能。
- v1.0（2026-06-10）：基础图形化界面，支持锁死/DoS 两种模式。
Happy Hacking, but stay legal! 🐻❄️
