HTTP/2 与 HTTP/3 DDoS：新协议带来的新攻击面

引言

互联网协议的演进旨在提升性能、安全性和用户体验。HTTP/2 和 HTTP/3 作为超文本传输协议的最新版本，引入了多项创新特性，显著改善了网页加载速度和整体效率。然而，正如所有新技术一样，这些进步也伴随着新的安全挑战，特别是针对分布式拒绝服务（DDoS）攻击。DDoS 攻击旨在通过淹没目标服务器的资源，使其对合法用户不可用。本文将深入探讨 HTTP/2 和 HTTP/3 协议如何为 DDoS 攻击者提供新的攻击面，以及这些攻击的原理和潜在影响。

HTTP/2 带来的新攻击面

HTTP/2 协议在 2015 年发布，旨在解决 HTTP/1.1 的一些固有缺陷。其核心改进包括多路复用（Multiplexing）、头部压缩（HPACK）和服务器推送（Server Push）。这些特性在提高效率的同时，也带来了独特的DDoS攻击风险。

1. 多路复用与"快速重置"（Rapid Reset）攻击

HTTP/2 最显著的特性之一是多路复用，它允许在单个 TCP 连接上同时发送多个请求和响应。与 HTTP/1.1 中每个请求都需要建立独立连接不同，多路复用大大减少了连接开销，提升了性能。然而，这一特性也成为"快速重置"（Rapid Reset）DDoS 攻击的利用点。

"快速重置"攻击利用了 HTTP/2 的流取消（stream cancellation）功能。攻击者在建立一个 HTTP/2 连接后，会发送大量的请求，并立即取消这些请求。通过自动化这种"请求-取消"模式，攻击者可以在单个连接上产生海量的请求，而不会耗尽服务器的并发流限制。由于服务器在处理取消请求时仍会消耗资源，这种攻击方式能够以极低的攻击成本对目标服务器造成巨大的资源消耗，从而导致服务拒绝。2023 年，Cloudflare、Google 和 Amazon AWS 都披露了这种新型的零日漏洞，并遭遇了破纪录的 DDoS 攻击，其中最高峰值达到每秒 3.98 亿次请求123。

此外，Imperva 和特拉维夫大学的研究人员在 2025 年发现了一种名为"MadeYouReset"的 HTTP/2 漏洞，其攻击方式与"快速重置"类似。攻击者通过发送畸形帧或流量控制错误，诱导服务器重置流，但服务器在重置流后仍会继续处理后端请求，从而导致服务器处理无限数量的并发 HTTP/2 请求，最终引发 DDoS 攻击45。

2. HPACK 头部压缩与"HPACK Bomb"攻击

HTTP/2 引入了 HPACK 头部压缩算法，旨在减少请求和响应头部的大小，从而节省带宽。HPACK 通过使用静态表、动态表和霍夫曼编码来实现高效压缩。然而，HPACK 的实现方式也可能被滥用，导致一种被称为"HPACK Bomb"的拒绝服务攻击。

"HPACK Bomb"攻击类似于"解压炸弹"（zip bomb），利用了 HPACK 头部压缩的动态表机制。攻击者可以精心构造一个小的请求头部，其中包含一个或多个会极大地扩展动态表的字段。当服务器尝试解压缩这些头部时，由于动态表需要分配大量的内存来存储解压后的数据，服务器的内存资源会被迅速耗尽，最终导致服务崩溃或性能下降415。例如，一个 16KB 的数据可能解压成 64MB 的数据，从而在短时间内消耗大量服务器内存。2

HTTP/3 与 QUIC 带来的新攻击面

HTTP/3 是 HTTP 协议的最新版本，它放弃了底层传输协议 TCP，转而使用基于 UDP 的 QUIC（Quick UDP Internet Connections）协议。QUIC 旨在提供更快的连接建立、多路复用、改进的拥塞控制和原生的加密功能。这些创新虽然带来了性能上的巨大飞跃，但也引入了与 UDP 相关的 DDoS 攻击风险。

1. QUIC 协议与 UDP 洪泛攻击

由于 QUIC 基于 UDP 运行，它更容易受到传统的 UDP 洪泛攻击。UDP 是一种无连接协议，不提供会话建立或流量控制机制，这使得攻击者可以更容易地伪造源 IP 地址并发送大量 UDP 数据包来淹没目标服务器。

QUIC 协议的特性使得它特别容易受到反射和放大攻击。在 QUIC 反射攻击中，攻击者可以伪造受害者的 IP 地址，向多个服务器发送 QUIC "hello"消息。由于 QUIC 在初始握手时需要包含 TLS 证书，服务器的首次回复会比攻击者的初始消息大得多。当这些放大后的回复流量涌向受害者时，就可能导致服务器过载45。

2. 0-RTT 与重放攻击和资源耗尽

QUIC 引入了 0-RTT（Zero Round-Trip Time）连接建立机制，允许客户端在首次连接后，在后续连接中立即发送应用数据，而无需等待完整的握手过程。这大大减少了连接延迟，提升了用户体验。然而，0-RTT 也带来了潜在的重放攻击和资源耗尽风险。

在 0-RTT 模式下，客户端发送的初始数据可能被攻击者截获并重放。如果这些数据包含非幂等操作（即重复执行会产生不同结果的操作），攻击者就可以通过重放这些数据来触发服务器上的重复操作，从而导致资源耗尽或数据不一致。虽然 QUIC 协议包含 replay protection 机制，但这些保护措施并非完美无缺，仍然需要额外的考虑来降低重放风险。2

此外，QUIC 握手过程中的计算和内存需求也使得服务器更容易受到资源耗尽攻击。攻击者可以利用昂贵的握手操作来淹没服务器，例如通过创建大量独特的源连接 ID（SCID）和并发连接状态，导致服务器过载和状态溢出3。

协议滥用与应用层攻击

无论是 HTTP/2 还是 HTTP/3，协议的复杂性都为攻击者提供了滥用协议特性的机会，从而发动更高级别的应用层 DDoS 攻击。

1. HTTP/2 的流依赖与优先级滥用

HTTP/2 允许客户端为流设置优先级和依赖关系，以优化资源加载顺序。然而，攻击者可以滥用这些功能，通过操纵流的优先级和依赖关系，迫使服务器以低效的方式处理请求，从而消耗大量 CPU 和内存资源，最终导致拒绝服务5。例如，攻击者可以请求大量数据，然后通过操纵窗口大小和流优先级，迫使服务器以 1 字节块的形式排队数据，从而耗尽服务器资源5。

2. QUIC 的连接迁移与状态耗尽

QUIC 引入了连接迁移功能，允许客户端在网络变化时（例如从 Wi-Fi 切换到蜂窝网络）无缝地保持连接。这一功能通过使用连接 ID 来实现，即使 IP 地址和端口发生变化，连接也能保持。然而，攻击者可能会滥用此功能，通过频繁地触发连接迁移，迫使服务器维护大量的连接状态，从而导致状态耗尽攻击。

缓解策略

面对 HTTP/2 和 HTTP/3 带来的新 DDoS 攻击面，需要采取多层次的防御策略：

  • 流量清洗和过滤： 部署专业的 DDoS 防护服务（如 Cloudflare、Akamai），利用其大规模的流量清洗能力，识别并过滤恶意流量。
  • 协议栈强化： 及时更新服务器和网络设备的软件版本，修补已知的协议漏洞。例如，针对 HPACK Bomb 攻击，需要限制动态表的最大大小以及单个头部块的最大解压大小2。
  • 行为分析和异常检测： 采用先进的行为分析技术，通过机器学习等方法识别异常的请求模式，例如"快速重置"攻击中大量的请求-取消操作。
  • 资源限制： 对每个连接或每个客户端的并发流数量、请求速率和内存使用设置严格的限制，防止单个恶意连接耗尽服务器资源。
  • 0-RTT 重放保护： 对于 0-RTT 连接，确保应用程序只执行幂等操作，或者实施有效的重放检测和缓解机制。例如，QUIC 协议中的 Retry 消息机制可以通过向客户端发送一个令牌来验证其 IP 地址，从而有效缓解握手洪泛攻击3。
  • 加密流量可见性： 投资能够深入检查加密 QUIC 流量的工具，以便在不影响性能的情况下检测恶意活动。

结论

HTTP/2 和 HTTP/3 的出现无疑推动了互联网的发展，带来了更快的速度和更高的效率。然而，这些新协议的复杂性和新特性也为 DDoS 攻击者打开了新的大门。从 HTTP/2 的"快速重置"和"HPACK Bomb"到 HTTP/3 和 QUIC 的 UDP 洪泛、0-RTT 重放和资源耗尽攻击，防御者需要不断适应和创新防御策略。理解这些新协议带来的新攻击面，并采取全面的技术和运营措施，是确保互联网服务稳定性和安全性的关键。随着互联网协议的持续演进，安全社区与开发者之间的紧密合作将是应对未来DDoS挑战的基石。

评论

发表评论

此博客中的热门博文

gemini转发国内的部署教程

图片
 最近看到了这个项目 tech-shrimp/gemini-balance-lite: Gemini API 代理, 把Gemini API免费中转到国内。还可以聚合多个Gemini API Key，随机选取API Key的使用实现负载均衡，使得Gemini API免费成倍增加。 今天来演示一下搭建过程 1.点击deploy 2.输入项目名后点击creat 此时就会开始部署，等待一会 3.中转部署完成后，此时分配的域名并不能访问，所以要添加自定义域名 点击下方的黑色按钮，按照下方图片操作 点击Add domain 输入自己域名，没有自己注册一个 dpdns 再去把域名绑定到cloudflare 再输入域名后，会提示输入两个记录 输入域名服务商的dns解析即可 输入完成后点击refresh，域名前打上一个勾说明配置成功 在浏览器输入域名能正确输出结果proxy running就可以了 4.api获取 进入 aistudio 点击get api 创建api密钥复制即可 5.客户端使用 下载 cherry studio 点击左下角设置-模型服务-添加 随便输入一个名字 提供商openai或gemini二选一 api输入刚才复制的api 地址输入刚才的域名 添加一个模型，例如： gemini-2.5-pro gemini-2.0-flash-exp 然后点击测试，成功就说明可以使用，没成功把上述操作重新看一遍 之后cherry studio的设置就要自己摸索 完✌
Read more »

公共 Wi-Fi 安全吗？你需要知道的风险

  在咖啡馆、机场、酒店甚至公交车上，公共 Wi-Fi 热点随处可见。它们提供了一种便捷的方式来连接互联网，无需消耗移动数据流量。然而，这种便利背后潜藏着诸多安全风险。了解这些风险并采取适当的预防措施至关重要，以保护您的个人信息和设备安全。 什么是公共 Wi-Fi？ 公共 Wi-Fi 是指在公共场所提供的无线网络连接，通常是开放的，无需密码或只需简单密码即可连接。这些网络通常由企业、政府或第三方服务提供商提供，旨在方便公众访问互联网。 公共 Wi-Fi 的便利性 公共 Wi-Fi 的主要优点是其便利性。它允许用户在没有移动数据或固定网络连接的情况下访问互联网。这对于旅行者、学生、以及那些需要随时随地保持联系的人来说尤其有用。此外，公共 Wi-Fi 通常是免费的，这使其成为一个经济实惠的选择。 公共 Wi-Fi 的风险 虽然公共 Wi-Fi 提供了诸多便利，但也存在一些严重的风险： 不安全的网络连接：  许多公共 Wi-Fi 网络未加密，这意味着您在网络上发送和接收的数据可以被拦截和读取。攻击者可以使用各种工具来监视网络流量，捕获密码、信用卡信息和其他敏感数据。 中间人攻击：  中间人攻击是指攻击者拦截您与网站或服务之间的通信，并冒充其中一方。这使得攻击者可以窃取您的登录凭据、个人信息或操纵您看到的信息。 恶意热点：  攻击者可以设置虚假的 Wi-Fi 热点，模仿合法的网络名称（例如，咖啡馆的 Wi-Fi）。当您连接到这些恶意热点时，您的所有流量都会通过攻击者的服务器，他们可以窃取您的数据或向您的设备注入恶意软件。 恶意软件传播：  公共 Wi-Fi 网络可能成为恶意软件传播的途径。攻击者可以利用未打补丁的操作系统或应用程序漏洞，通过网络传播病毒、蠕虫和其他恶意软件。 嗅探攻击：  攻击者可以使用嗅探工具来捕获网络上的数据包。这些数据包可能包含用户名、密码、电子邮件和其他敏感信息。即使网站使用 HTTPS 加密，攻击者仍然可以捕获加密的流量并尝试破解密码。 会话劫持：  攻击者可以劫持您的会话，冒充您访问网站或服务。这通常通过窃取您的会话 cookie 来实现，这些 cookie 存储了您的登录信息和会话状态。 如何保护自己 尽管存在上述风险，您仍然可以在使用公共 Wi-Fi 时采取一些措施来保护自己...
Read more »

移动 IP 技术：如何在不同网络间无缝切换？

  引言 在当今移动互联网时代，我们习惯了随时随地保持网络连接。无论是乘坐高铁从一个城市到另一个城市，还是在家中、办公室、咖啡店之间切换，我们的手机和智能设备似乎都能保持网络畅通。这种无缝的网络体验背后，离不开一项关键技术——移动IP技术。移动IP技术让设备在不同网络间移动时能够保持连接的连续性，就像我们搬家时不会失去家庭地址一样，我们的设备在移动过程中也能保持"网络地址"的稳定性 8 。 传统IP技术的局限性 传统的IP协议设计之初主要针对固定网络环境。在传统的互联网架构中，每个设备都有一个固定的IP地址，这个地址标识了设备在网络中的位置。当设备需要与其他设备通信时，通信双方都需要知道对方的IP地址 8 。这种设计在固定网络中运行良好，但在移动场景下却面临诸多挑战。 当移动设备从一个网络切换到另一个网络时，由于IP地址的变化，原有的通信连接会被中断。例如，当你的手机从一个基站切换到另一个基站时，运营商需要为你分配新的IP地址，这就像换了个"网络服务站" 3 。这种IP地址的变化会导致正在进行的通话、下载或其他网络应用中断，严重影响用户体验。 移动IP技术的基本原理 移动IP技术正是为了解决上述问题而设计的。其核心思想是为移动设备分配两个IP地址： 家乡地址（Home Address） 和 转交地址（Care-of Address） 6 。 家乡地址 是移动设备永久不变的IP地址，就像公民的身份证号码一样，即使在设备移动过程中也不会改变。 转交地址 是移动设备当前所在网络的临时IP地址，当设备移动到新的网络时会发生变化。 移动IP技术通过 家乡代理（Home Agent） 和 外地代理（Foreign Agent） 两个关键组件来实现无缝切换 6 。家乡代理位于移动设备的家乡网络中，负责维护移动设备的位置信息；外地代理则位于移动设备当前访问的外地网络中，负责将发往移动家乡地址的数据包转发到其当前位置。 移动IP的关键技术组件 1. 家乡代理（Home Agent） 家乡代理是移动IP技术中的核心组件之一。它位于移动设备的家乡网络中，主要职责包括： 维护移动设备的位置信息，记录其当前的转交地址 截发发往移动设备家乡地址的数据包 将数据包通过隧道技术转发到移动设备的当前位置 处理移动设备的位置更新请求 2. 外地代理（Forei...
Read more »