PNGboomer — CVE-2026-77622

针对 Sliver C2 的 HTTP(S) 监听器的拒绝服务攻击利用工具。通过暴力破解每个会话的 PNG 编码随机数，并投递一个解压炸弹来耗尽服务器内存。

已发布为 GHSA-663m-7x7m-g4fw。

概述

Sliver 的 HTTP(S) C2 通道将消息封装在 PNG 图像中。每个会话被分配一个范围在 [1, 65537) 内的随机随机数，服务器仅解码那些 ?n= 查询参数与会话随机数匹配的请求中的 PNG 数据。这是一种路由机制，而非身份验证检查——密钥空间仅为 16 位。

服务器使用 Go 的 image.Decode() 解码 PNG，该函数会在内存中分配 宽度 × 高度 × 每像素字节数 的空间。一个声明尺寸为 32767×32767 RGBA 的 PNG 文件在网络上压缩后仅约 3 KB，但解压后在内存中会超过 4 GB。服务器对解码后的尺寸没有任何限制。

该利用工具分三个阶段工作：

1. 校准 — 使用一个中等大小的探测 PNG 发送不匹配的随机数，并测量基线响应时间。
2. 扫描 — 在整个随机数范围内发送探测 PNG。匹配的随机数会触发 PNG 解码，其耗时明显长于被拒绝的请求。候选随机数会通过多次重新探测进行验证。
3. 击杀 — 使用已发现的随机数发送解压炸弹 PNG。服务器会分配数 GB 内存，要么被 OOM killer 杀死，要么将主机拖入交换分区直至无响应。

受影响版本

在 GHSA-663m-7x7m-g4fw 中引用的修复版本之前的 Sliver C2 版本。任何运行 HTTP 或 HTTPS 监听器的 Sliver 服务器均受影响。

构建

go build -o pngboomer