TomcatKiller - CVE-2025-31650

🚨 Apache Tomcat HTTP/2 DoS 漏洞 (CVE-2025-31650) 的概念验证 (PoC)

该脚本通过发送畸形的 priority 标头（通过 HTTP/2）来触发 Apache Tomcat 的内存耗尽条件。

🎯 受影响版本

• Apache Tomcat 9.0.76 – 9.0.102
• Apache Tomcat 10.1.10 – 10.1.39
• Apache Tomcat 11.0.0-M2 – 11.0.5

⚙️ 功能特性

• ✔️ HTTP/2 支持验证
• ✔️ Server 标头检查（检测 Tomcat）
• ✔️ --check-only 模式（非入侵式）
• ✔️ 基于异步的可扩展利用，可调节强度

🚀 使用方法

✅ 仅检查（安全检测）

python3 tomcatkiller.py --target https://example.com:8443 --check-only

💥 利用（DoS）

python3 tomcatkiller.py --target https://example.com:8443 --exploit --tasks 50 --requests 5000

🧩 参数

⚠️ 免责声明

此 PoC 仅用于教育和授权的安全测试。
请勿在未经明确许可的系统上使用它。

🙏 致谢

• 原始概念：@absholi7ly
• 更新的 CLI 版本：@tunahantekeoglu