HTTP/2 快速重置（HTTP/2 Rapid Reset）漏洞与防护

描述
HTTP/2 快速重置漏洞（CVE-2023-44487）是一种基于 HTTP/2 协议特性的 DDoS 攻击技术，于 2023 年公开。攻击者利用 HTTP/2 的请求复用和流重置（RST_STREAM）机制，在单个连接内快速发起并立即取消大量请求，导致服务器消耗资源处理无效请求，但无法及时释放资源，最终引发服务拒绝。这种攻击无需依赖僵尸网络，仅需少量机器即可达到极高攻击流量（如每秒数亿请求）。

解题过程

1. 理解 HTTP/2 核心机制

   • 多路复用（Multiplexing）：HTTP/2 允许在单个 TCP 连接上并行发送多个请求（称为“流”），每个流有唯一 ID，避免 HTTP/1.1 的队头阻塞问题。
   • 流重置（RST_STREAM）：客户端可通过发送 RST_STREAM 帧随时取消某个流，服务器收到后应停止处理该请求并释放资源。
   • 漏洞根源：攻击者滥用上述机制，快速创建流后立即发送 RST_STREAM，使服务器陷入“创建-取消”循环，资源释放速度跟不上请求涌入速度，导致内存或 CPU 过载。

2. 攻击场景还原

   • 攻击者建立少量 HTTP/2 连接（例如 10 个）。
   • 在每个连接上，以极高速率（如微秒级）连续发送请求帧（HEADERS）并立即跟随 RST_STREAM 帧。
   • 服务器需为每个流分配内存（存储头部、状态等），但重置请求使服务器来不及清理资源，造成资源池耗尽。
   • 示例：单机每秒可生成 1000 万次请求-重置操作，10 台机器即可实现 1 亿 RPS（Requests Per Second）的攻击规模。

3. 防护方案设计

   • 速率限制（Rate Limiting）：
     • 在负载均衡器或应用层限制单个 IP 或连接的请求速率（如每秒最多 1000 个流）。
     • 缺点：攻击者可能伪造 IP 或分散流量，需结合其他措施。
   • 流状态跟踪（Stream State Tracking）：
     • 服务器维护流的生命周期状态机，对频繁重置的连接标记为异常，自动封禁。
     • 例如：若连接在 1 秒内重置流数量超过阈值（如 100 次），则强制关闭连接。
   • 延迟处理策略（Delayed Processing）：
     • 收到请求后不立即分配资源，先检查流是否被重置。可引入微小延迟（如 10 毫秒）再处理，过滤多数快速重置请求。
   • 协议层修复：
     • 服务端实现（如 Nginx、Apache）需更新补丁，例如：
       • 限制单个连接的最大并发流数（默认 100）。
       • 为每个连接设置流创建速率上限（如每秒最多 500 个流）。
   • 边缘防护（Edge Protection）：
     • 使用云服务商（如 Cloudflare、AWS Shield）的 DDoS 缓解服务，其网络已部署针对 HTTP/2 快速重置的自动检测和过滤规则。

4. 实战配置示例（Nginx）

   http {
       # 限制单个连接的并发流数
       http2_max_concurrent_streams 100;
       # 设置流超时时间，避免残留流占用资源
       http2_stream_timeout 30s;
       # 限制每个连接的流创建速率（需 Nginx 1.21.6+）
       limit_req_zone $connection_zone zone=stream_rate:10m rate=500r/s;
   
       server {
           location / {
               # 应用流速率限制
               limit_req zone=stream_rate burst=1000;
           }
       }
   }
   

5. 扩展思考

   • HTTP/3 风险：HTTP/3 基于 QUIC 协议，同样支持多路复用和流重置，需提前设计防护机制。
   • 深度防御：结合应用层监控（如 Prometheus 指标报警）和网络层流量分析，实现多层级防护。