HTTP/2 快速重置 DDOS 漏洞几乎影响所有网站

导读：服务器软件公司竞相修补一个严重的 DDOS 漏洞，该漏洞可能影响几乎所有网站

一种新型 DDOS 的详细信息需要相对最少的资源来发起前所未有的规模攻击，这使得它对网站构成明显的危险，因为服务器软件公司竞相发布补丁来防御它。

HTTP/2 快速重置漏洞
该漏洞利用了HTTP/2和 HTTP/3 网络协议，允许多个数据流传入和传出服务器和浏览器。这意味着浏览器可以从服务器请求多个资源并将它们全部返回，而不必等待每个资源一次下载一个。Cloudflare、Amazon Web Services (AWS) 和 Google 公开宣布的漏洞被称为 HTTP/2 Rapid Reset。绝大多数现代 Web 服务器都使用 HTTP/2 网络协议。由于目前没有软件补丁可以修复 HTTP/2 安全漏洞，这意味着几乎每台服务器都容易受到攻击。一种新的且无法缓解的漏洞称为零日漏洞。好消息是服务器软件公司正在开发补丁来弥补 HTTP/2 的弱点。

HTTP/2 快速重置漏洞的工作原理
HTTP/2 网络协议有一个服务器设置，允许在任何给定时间发出一定数量的请求。超过该数量的请求将被拒绝。HTTP/2 协议的另一个功能允许取消请求，从而将该数据流从预设的请求限制中删除。这是一件好事，因为它可以让服务器腾出时间来处理另一个数据流。

然而，攻击者发现，有可能向服务器发送数百万（是的，数百万）个请求和取消，并使服务器不堪重负。HTTP/2 快速重置有多糟糕？
HTTP /2 快速重置漏洞利用非常糟糕，因为服务器目前无法防御它。Cloudflare 指出，它阻止了比历史上最大的 DDOS 攻击大 300% 的 DDOS 攻击。他们阻止的最大请求每秒超过 2.01 亿个请求 (RPS)。

Google 报告了一次 DDOS 攻击，RPS 超过 3.98 亿。但这还不是这个漏洞利用的全部严重程度。使这种利用变得更糟糕的是，发起攻击只需要相对少量的资源。这种规模的 DDOS 攻击通常需要数十万到数百万台受感染的计算机（称为僵尸网络）才能发起如此规模的攻击。
HTTP/2 快速重置漏洞仅需要 20,000 台受感染的计算机即可发起攻击，其规模是有史以来最大的 DDOS 攻击的三倍。这意味着黑客获得发起毁灭性 DDOS 攻击的能力的门槛要低得多。

如何防止 HTTP/2 快速重置？
服务器软件发行商目前正在努力发布补丁以弥补 HTTP/2 漏洞。Cloudflare 客户目前受到保护，无需担心。Cloudflare建议，在最坏的情况下，如果服务器受到攻击且无法防御，服务器管理员可以将HTTP网络协议降级为HTTP/1.1。
降级网络协议将阻止黑客继续攻击，但服务器性能可能会降低（这至少比离线要好）。
原文链接：https://www.searchenginejournal.com/http-2-rapid-reset-vulnerability/498178/