HTTP / 2 協(xié)議存高危漏洞，可能引發(fā)拒絕服務攻擊
4月8日，網(wǎng)絡安全專家Bartek Nowotarski指出，近期發(fā)現(xiàn)了HTTP/2協(xié)議中的一處高風險漏洞，惡意用戶可能利用該問題發(fā)動DoS攻擊。他在1月25日向卡內基梅隆大學計算機應急小組（簡稱CERT）提交了詳細報告，此漏洞名為“HTTP/2 CONTINUATION Flood”。
該漏洞圍繞著HTTP/2的配置缺陷展開，重點在于未能合理控制或者消除請求數(shù)據(jù)流中的CONTINUATION幀內容。這是一種延續(xù)報頭塊片段序列的技術，使得報頭塊能夠拆分到不同的幀中。當服務器接收到END_HEADERS標識符，表示不再有請求數(shù)據(jù)，之前分拆的報頭塊便被認為處理完畢。
若是HTTP/2的設計沒有限制定義單個數(shù)據(jù)流能發(fā)出的CONTINUATION幀數(shù)上限，那么存在遭到攻擊的可能性。攻擊者可以通過向尚未設好END_HEADERS標識的服務器發(fā)送HTTP請求，然后不停地發(fā)送CONTINUATION幀流，從而占據(jù)服務器的內存空間，直至引發(fā)崩潰，順利發(fā)起DoS攻擊。
HTTP/2又稱HTTP2.0，作為全球統(tǒng)一的超文本傳輸協(xié)議，主要應用于互聯(lián)網(wǎng)的網(wǎng)頁瀏覽中。它借鑒了SPDY協(xié)議的部分優(yōu)點，通過對HTTP頭部數(shù)據(jù)的壓縮以縮短傳輸時間、實施多通道復用技術以及推廣服務端推送功能，以降低網(wǎng)絡延遲，加速客戶端頁面載入速度。
聲明：本文內容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權轉載。文章觀點僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學習之用，如有內容侵權或者其他違規(guī)問題，請聯(lián)系本站處理。
舉報投訴
-
服務器
+關注
關注
14文章
10389瀏覽量
91790 -
網(wǎng)絡安全
+關注
關注
11文章
3523瀏覽量
63598 -
HTTP
+關注
關注
0文章
538瀏覽量
35587
發(fā)布評論請先 登錄
相關推薦
熱點推薦
NETSCOUT揭示DDoS攻擊在復雜程度、基礎設施容量和威脅主體能力方面的質變
NETSCOUT??SYSTEMS, INC. (NASDAQ: NTCT)今日發(fā)布《2025年下半年分布式拒絕服務(DDoS)威脅情報報告》。報告揭示，攻擊者的精密協(xié)作、高韌性僵尸網(wǎng)絡和被入侵的物
curl中的TFTP實現(xiàn)：整數(shù)下溢導致堆內存越界讀取漏洞
漏洞概述
在 curl 的 TFTP 協(xié)議實現(xiàn)中發(fā)現(xiàn)了一個漏洞，該漏洞可能導致 curl 或使用 libcurl 的應用程序在特定條件下，向
發(fā)表于 02-19 13:55
HTTP通信網(wǎng)關是什么？有什么功能？
HTTP通信網(wǎng)關是連接不同網(wǎng)絡或協(xié)議的關鍵設備/服務器，在HTTP通信中扮演著協(xié)議轉換、安全加固、性能優(yōu)化等核心角色，其本質是 實現(xiàn)不同
分析嵌入式軟件代碼的漏洞-代碼注入
。
雖然這是一個代碼注入安全漏洞，但由于它唯一可能造成的傷害就是可以被用來獲取棧中的數(shù)據(jù)，所以它還是可以被原諒的。
可如果位于那里的是敏感數(shù)據(jù)（如密碼或證書密鑰），情況就會變得很糟；而且由于攻擊者還可
發(fā)表于 12-22 12:53
行業(yè)觀察 | 微軟2025年末高危漏洞更新，57項關鍵修復與安全策略指南
，1項漏洞（CVE-2025-62221）已被確認遭主動攻擊，另有數(shù)項漏洞被評估為極有可能被利用。企業(yè)面臨的Windows桌面與服務器安全管
攻擊逃逸測試：深度驗證網(wǎng)絡安全設備的真實防護能力
1 基礎網(wǎng)絡協(xié)議逃逸參數(shù)設置
應用層協(xié)議：HTTP, HTML, SMTP, FTP, POP3, IMAP4, EMAIL等，覆蓋主應用服務
圖2
發(fā)表于 11-17 16:17
Modbus協(xié)議轉HTTP協(xié)議，實現(xiàn)JSON格式對接MES等系統(tǒng)平臺
不用聯(lián)外網(wǎng)不用寫程序，通過智能網(wǎng)關IGT-DSER簡單配置參數(shù)，即可實現(xiàn)HTTP協(xié)議對接各種系統(tǒng)平臺，支持POST/GET/PUT等多種方法，可同時作為HTTP協(xié)議的客戶端和
發(fā)表于 10-27 10:33
行業(yè)觀察 | Windows 10于本月終止服務支持，微軟發(fā)布10月高危漏洞更新
微軟于2025年10月的“補丁星期二”發(fā)布了175個漏洞的修復更新，覆蓋Windows、Office、Azure、ExchangeServer、VisualStudio等核心產品。本次更新包含2個
行業(yè)觀察 | 微軟發(fā)布高危漏洞更新，涉及 Windows、Office、SQL Server 等多款產品
微軟于2025年9月的“補丁星期二”發(fā)布了81個漏洞的修復更新，覆蓋Windows、MicrosoftOffice、SQLServer等核心產品。本次更新修復了2個已被公開披露的零日漏洞，并有9個
行業(yè)觀察 | Azure、RDP、NTLM 均現(xiàn)高危漏洞，微軟發(fā)布2025年8月安全更新
-CVE-2025-53779：WindowsKerberos漏洞，允許攻擊者將權限提升至域管理員。?13個嚴重漏洞：-9個遠程代碼執(zhí)行漏洞-3個信息泄露
新思科技如何使用MACsec協(xié)議更好地保護以太網(wǎng)接口
不法分子經(jīng)常通過中間人攻擊、竊聽、拒絕服務、權限升級等以太網(wǎng)絡中的漏洞來竊取數(shù)據(jù)，而數(shù)據(jù)正是我們這個時代最有價值的資產之一。隨著技術進步，世界變得更加互聯(lián)，每臺設備都愈發(fā)智能，但與此同時，數(shù)據(jù)在網(wǎng)
行業(yè)觀察 | VMware ESXi 服務器暴露高危漏洞，中國1700余臺面臨勒索軟件威脅
網(wǎng)絡安全研究人員發(fā)出緊急警告，VMwareESXi虛擬化平臺曝出一個嚴重漏洞CVE-2025-41236（CVSS評分9.3）。該漏洞存在于ESXi的HTTP管理接口中，影響ESXi7.x及部分
協(xié)議分析儀能監(jiān)測哪些異常行為？
“1000°C”），觸發(fā)安全聯(lián)鎖。
檢測方法：對比歷史數(shù)據(jù)分布，識別異常值或非預期報文。
拒絕服務攻擊（DoS）
實例：
S7Comm：發(fā)送大量非法“Job”請求（如功能碼0x01未攜帶有效數(shù)據(jù)），耗盡
發(fā)表于 07-22 14:20
TCP攻擊是什么？有什么防護方式？
出DDoS高防產品、CC防御產品，但是對于TCP攻擊的防護不是特別的理想。那么， TCP攻擊是什么？有什么防護方式？ TCP攻擊是什么？ TCP攻擊是指利用TCP
官方實錘，微軟遠程桌面爆高危漏洞，企業(yè)數(shù)據(jù)安全告急！
近日，微軟發(fā)布安全通告，其Windows遠程桌面網(wǎng)關（RD）服務存在兩大高危漏洞：CVE-2025-26677CVE-2025-26677是遠程桌面網(wǎng)關服務DoS
評論