警惕！关于PRI * HTTP2攻击你需要知道的事(图文)

一、PRI*HTTP2 攻击为何引发关注？

在当今数字化浪潮下，网络协议如同网络世界的 “交通规则”，保障着数据的有序传输。HTTP2 协议作为新一代的超文本传输协议，自 2015 年推出以来，凭借其高效的数据传输、出色的请求处理能力以及快速的响应速度，得到了广泛应用，为优化网络体验立下汗马功劳。据 w3techs.com 的调查显示，当下约有 35.5% 的网站都采用了 HTTP2 协议，像谷歌、推特、脸书等大型网站更是早早完成部署，享受其带来的高效与便捷。
然而，随着 HTTP2 的普及，一种针对它的攻击手段 ——PRIHTTP2 攻击悄然浮现，犹如一颗隐藏在暗处的 “定时炸弹”，引发了业界的高度关注。与传统攻击相比，PRIHTTP2 攻击更为隐蔽、复杂，利用了 HTTP2 协议中的特定机制，能巧妙绕过一些常规的防护策略，直击服务器要害。一旦成功发动，可导致服务器性能骤降，甚至陷入瘫痪，使得网站无法正常访问、业务中断，给企业和用户带来巨大损失。从金融交易到电商购物，从在线办公到社交媒体，几乎所有依赖网络服务的领域都笼罩在其威胁之下，这也促使我们必须深入了解它，找到有效的防范之策。

二、HTTP2 协议的 “庐山真面目”

（一）HTTP2 相较 HTTP1.x 的升级亮点

HTTP2 相较于 HTTP1.x，在性能优化上实现了质的飞跃，给用户带来更流畅、快速的网络体验。就拿大家日常浏览网页来说，在 HTTP1.x 时代，打开一个包含大量图片、脚本和样式表的网页时，浏览器需要与服务器建立多个 TCP 连接，像 Chrome 浏览器通常对同一域名下的连接数限制在 6 - 8 个，这就如同道路上的车道有限，车多了就容易拥堵，导致页面加载缓慢。而且，HTTP1.x 采用文本格式传输数据，请求和响应头中存在大量重复信息，好比每次出行都要重复携带相同的证件，占用了不少 “带宽资源”。
而 HTTP2 的出现改变了这一局面。它引入了多路复用技术，就像把单车道拓宽成了多车道高速公路，同一域名下的所有通信都能在单个连接上完成，一个连接可以承载任意数量的双向数据流，多个请求和响应能够并行传输，无需排队等待，彻底解决了 HTTP1.x 中的队头阻塞问题。以某大型电商网站为例，切换到 HTTP2 后，商品图片、详情介绍、用户评价等资源可以同时加载，页面加载时间大幅缩短，据统计，平均加载速度提升了约 30% - 50%。
在头部压缩方面，HTTP2 使用专门设计的 HPACK 算法，通过建立首部表，只发送差异数据，大大减少了头部信息量。这就好比出行时只需携带新增或变更的证件信息，精简了 “行囊”。对于频繁发起小请求的场景，如手机 APP 不断与服务器交互获取实时数据，头部压缩效果显著，能有效降低网络负担，提升传输效率。
二进制传输也是 HTTP2 的一大亮点。它将数据转换为二进制格式的帧进行传输，相比 HTTP1.x 的文本格式，二进制协议解析起来更高效，如同机器读取 0 和 1 的代码，速度更快、准确性更高，减少了文本解析时可能产生的歧义，让数据传输更加可靠。
还有服务器推送功能，服务器能在客户端请求之前，主动推送可能用到的资源。比如，当浏览器请求网页的 HTML 文件时，服务器可同时推送与之关联的 CSS、JS 文件，无需等待浏览器解析 HTML 后再发起请求，让页面渲染速度大幅提升。据测试，合理运用服务器推送，某些网页的首次内容绘制时间可提前 20% - 30%，用户能更快看到关键内容。

（二）关键特性详析

深入了解 HTTP2 的关键特性，是洞察 PRI*HTTP2 攻击原理的必经之路。
多路复用是 HTTP2 的核心特性之一。在 HTTP2 连接中，存在着多个虚拟的 “流”，每个流都有唯一的整数 ID，如同高速公路上的不同车道，它们可以承载双向消息。浏览器与服务器之间的请求和响应被拆分成一个个独立的帧，这些帧带有流标识，能在同一个 TCP 连接上交叉传输，到达目的地后再依据流标识重新组装。这就使得不同资源的请求和响应可以并行处理，不再受限于 HTTP1.x 中请求的顺序性，极大提高了连接的利用率，避免了因一个请求阻塞而耽误其他请求的情况。
头部压缩基于 HPACK 算法实现。在 HTTP1.x 里，请求和响应头常常携带大量重复、冗余的信息，如常见的 User-Agent、Cookie 等字段，每次请求都完整传输，造成带宽浪费。而 HTTP2 的客户端和服务器端会共同维护 “首部表”，首次出现的头部字段键值对会被记录，后续若有相同数据，只需发送索引号或差异部分，借助静态表和动态表结合的方式，实现高效压缩，节省大量网络开销。
二进制帧是 HTTP2 数据传输的基石。它摒弃了 HTTP1.x 的文本格式，将数据分割成更小的二进制帧，包括用于传输头部信息的 HEADERS 帧和承载实体数据的 DATA 帧等。二进制格式规定严格，字段大小、顺序、标志位等都有明确界定，解析时无歧义，计算机处理起来更加迅速、精准，为协议的高性能奠定了基础。这些帧在 “流” 和连接中穿梭，保障数据有条不紊地传输，实现多路复用、优先级控制等高级功能。

三、PRI*HTTP2 攻击登场，其原理究竟几何？

（一）攻击前奏：协议协商阶段的隐患

HTTP2 协议在正式传输数据前，客户端与服务器需进行协议协商，以确定双方是否支持以及采用何种版本的协议进行通信，这一过程恰似双方在交易前确认 “共同语言”。目前，常见的协商方式有 ALPN（Application Layer Protocol Negotiation，应用层协议协商）和 HTTP Upgrade 机制。
ALPN 依托于 TLS（Transport Layer Security，传输层安全）协议，在 TLS 握手阶段完成。当客户端发起连接请求时，会在 Client Hello 消息中携带一个 “协议列表”，表明自身支持的应用层协议，就像顾客向商家亮出自己的 “支付方式偏好”，其中 HTTP2 对应的标识通常为 “h2”。服务器收到请求后，依据自身支持情况，在 Server Hello 消息中选定一个协议反馈给客户端，完成协商。例如，谷歌浏览器访问支持 HTTP2 的网站时，在 TLS 握手环节，通过 ALPN 快速确定使用 HTTP2 协议，后续数据传输随即按此协议进行。
HTTP Upgrade 机制则是在 HTTP1.1 基础上发展而来的升级策略。客户端若想升级到 HTTP2，会在请求头部添加特定字段，如 “Connection: Upgrade” 和 “Upgrade: h2c”，同时附上经过 Base64 编码的 HTTP2 SETTINGS 帧，告知服务器升级意愿及相关配置参数，类似顾客向商家提出升级服务需求并附上自己的一些要求细节。服务器若支持 HTTP2，会返回 “101 Switching Protocols” 状态码及相应头部，同意升级，双方切换至 HTTP2 通信；若不支持，则按 HTTP1.1 处理请求，如同商家根据自身能力决定是否满足顾客的升级诉求。
然而，这看似严谨的协商过程却暗藏玄机，给攻击者留下了可乘之机。攻击者会伪装成合法客户端，频繁向服务器发起协议协商请求。他们利用一些工具，不断变换请求中的参数，试探服务器支持的协议类型及配置细节。比如，通过修改 “Upgrade” 字段中的协议标识，尝试触发服务器不同的响应，从中寻找服务器协议协商机制的漏洞。一旦发现服务器在处理某些异常协商请求时存在缺陷，如未对请求来源进行有效验证，或者对不合理的协议切换请求处理不当，攻击者就找到了入侵的突破口，为后续更具破坏力的攻击铺垫道路。

（二）攻击利刃：帧与流的恶意操控

在 HTTP2 协议中，数据以帧为基本单位，在逻辑流中传输，这是实现高效数据交互的关键，却也成了攻击的核心靶点。
帧是 HTTP2 传输的最小数据单元，分为 HEADERS 帧、DATA 帧、SETTINGS 帧等多种类型，每种帧各司其职。HEADERS 帧承载请求或响应的头部信息，如同快递包裹上的收件人、寄件人地址等关键标签；DATA 帧负责传输实际的数据内容，是包裹里的物品主体；SETTINGS 帧用于配置连接参数，就像快递员出发前设定的配送规则。这些帧带有流标识符，能在同一 TCP 连接上混合传输，依据流标识在接收端重新组装还原消息，实现多路复用，大大提升传输效率。
流则是由一系列帧组成的双向数据通道，每个流都有唯一的整数 ID，不同的请求和响应对应不同的流，就像道路上并行的车道，各自承载不同车辆（数据）驶向目的地。流具备优先级特性，浏览器可以标记某些流为高优先级，服务器优先处理，确保关键资源（如网页的核心脚本、样式表）快速传输，提升用户体验，如同紧急救援车辆在道路上优先通行。
攻击者正是瞄准了帧与流的这些特性，施展一系列恶意操作。一方面，他们大量发送特制的控制帧，如频繁发送 RST_STREAM 帧。正常情况下，客户端在某些场景下发送 RST_STREAM 帧取消不必要的流，释放资源，但攻击者恶意滥用。他们快速发起大量请求流，紧接着发送 RST_STREAM 帧取消，让服务器在处理这些频繁的流创建与销毁操作上耗费大量 CPU 和内存资源。举例来说，攻击者模拟大量用户同时请求网页资源，瞬间开启数百个流，又迅速取消，服务器不断重复分配、回收流相关的数据结构，很快不堪重负，陷入卡顿甚至瘫痪，影响正常用户的访问。
另一方面，攻击者通过操纵流优先级，制造混乱。他们将一些无关紧要的恶意请求标记为高优先级，抢占服务器资源，导致真正用户的关键请求被延迟处理。比如，在电商大促场景，攻击者发起大量虚假商品查询请求并设为高优先，使服务器优先处理这些无价值请求，而正常用户购买、支付等关键操作对应的流被搁置，页面加载缓慢、支付卡顿，严重干扰业务正常运转，给企业带来直接经济损失。同时，攻击者还可能利用流的并发特性，在不同流中夹带恶意数据，试图绕过服务器的一些安全检测机制，窃取敏感信息，犹如在正常货物运输中混入违禁品，悄无声息地突破防线。

四、真实案例：PRI*HTTP2 攻击的 “实战” 危害

（一）拒绝服务（DoS）攻击：让服务器 “瘫痪”

2024 年 1 月，网络安全研究员 Bartek Nowotarski 发现的 “HTTP/2 CONTINUATION Flood” 漏洞，引发了广泛关注。该漏洞主要源于 HTTP/2 的配置不当，许多服务器未能限制或净化请求数据流中的 CONTINUATION 帧。CONTINUATION 帧本是用于延续报头块片段序列的有效手段，允许在多个帧中分割报头块。正常情况下，当服务器收到一个特定的 END_HEADERS 标志，表明没有其他 CONTINUATION 或其他帧时，先前分割的报头块才被视为已完成。
然而，攻击者瞅准了这一漏洞，向未设置 END_HEADERS 标志的易受攻击服务器发送大量 HTTP 请求，随后持续发送 CONTINUATION 帧流。以某知名电商网站为例，在促销活动期间，流量本就处于高峰，攻击者借机发动攻击。大量恶意的 CONTINUATION 帧如潮水般涌向服务器，服务器不得不持续为这些帧分配内存资源，用来存储不断涌入的报头块信息。随着攻击持续，服务器内存迅速被耗尽，就像一个被杂物填满的仓库，再也没有空间存放正常业务所需的数据。最终，服务器不堪重负，陷入瘫痪，网站页面无法加载，用户购物操作中断，给电商企业带来了巨大的经济损失，不仅是当下的交易受阻，还损害了品牌声誉，导致后续一段时间内用户流失严重。

（二）数据窃取：隐私在 “暗网” 裸奔

在 2023 年，一家为全球用户提供在线金融服务的平台，遭遇了一场精心策划的 PRI*HTTP2 攻击。攻击者利用协议中帧与流的操控特性，突破了看似坚固的防护壁垒。他们首先伪装成正常用户，与服务器建立起 HTTP2 连接。在连接过程中，通过发送大量带有虚假优先级标记的请求流，抢占服务器资源，干扰正常业务流量，使得服务器忙于处理这些虚假请求，无暇顾及异常检测。
紧接着，攻击者在部分恶意请求流中夹带精心构造的数据包，这些数据包伪装成正常的业务数据帧，但实则隐藏着窃取数据的指令。由于服务器在繁忙的业务处理中，放松了对这些夹杂在正常流中的异常帧的审查，攻击者得以成功绕过初步的安全防线。他们逐步渗透进服务器的数据存储区域，获取了用户的账户信息、交易记录、身份认证资料等敏感数据。
这些数据随后被贩卖至暗网，引发了一系列诈骗事件。许多用户收到伪装成平台官方的诈骗邮件，以账户安全验证为由，诱骗用户输入验证码或转账，不少用户因此遭受财产损失。据不完全统计，该金融平台受此次攻击影响，直接经济损失高达数百万美元，后续为修复安全漏洞、挽回用户信任，更是投入了大量的人力、物力和财力。

五、如何筑牢防线，抵御 PRI*HTTP2 攻击？

（一）服务器端的 “铜墙铁壁”

在服务器端，首先要确保配置的严谨性。仔细检查 HTTP2 相关的配置参数，严格限制客户端的连接数、请求速率，避免服务器资源被恶意耗尽。以 Nginx 服务器为例，通过合理设置 “http2_max_concurrent_streams” 等参数，控制单个连接上的并发流数量，防止攻击者利用大量并发流发起攻击。同时，对于协议协商阶段，要强化验证机制，对客户端的请求来源、协议标识等进行严格校验，杜绝非法的协议切换请求。若服务器支持 ALPN 协商，应确保在 TLS 握手时，只响应合法的协议请求，对于异常的 “协议列表”，及时拒绝并记录日志。
及时更新服务器软件及相关组件至关重要。HTTP2 协议仍在不断演进，软件开发者会持续修复发现的漏洞。像 Apache、Nginx 等主流服务器软件，开发团队会定期发布安全更新，修复包括 PRI*HTTP2 攻击相关的潜在风险。管理员需密切关注官方发布的更新信息，第一时间进行升级，确保服务器运行的是最安全的版本。
引入专业的防护工具也是必不可少的环节。Web 应用防火墙（WAF）能在网络层和应用层对 HTTP2 流量进行深度检测，识别并拦截异常的帧与流。一些先进的 WAF 产品，利用机器学习算法，学习正常业务流量的模式，一旦发现流量特征与攻击模式匹配，如大量异常优先级的请求流，立即阻断。入侵检测系统（IDS）和入侵防御系统（IPS）则可以实时监测网络流量，发现可疑的攻击迹象，及时发出警报并采取防御措施，为服务器安全再加一道锁。
流量监测与分析是服务器运维中的长期任务。借助专业的流量监测工具，如 SolarWinds Network Performance Monitor、ManageEngine OpManager 等，实时关注服务器的流量趋势、连接数、请求频率等指标。一旦发现流量异常波动，如某一时段内连接数暴增、特定类型帧的数量远超正常水平，迅速排查原因，判断是否遭受 PRI*HTTP2 攻击，以便及时启动应急响应预案。

（二）客户端的 “自我修养”

对于广大用户而言，保持客户端软件（如浏览器、APP 等）的更新是最基础的防护。软件开发者会在新版本中修复已知的安全漏洞，优化对 HTTP2 协议的处理，避免受到 PRI*HTTP2 攻击的影响。以谷歌 Chrome 浏览器为例，其更新频繁，每次更新都包含对各类网络协议漏洞的修复，用户开启自动更新功能，就能及时获得安全保障。
在日常网络浏览中，用户要养成谨慎的习惯。避免访问来源不明、信誉不佳的网站，这类网站往往缺乏安全维护，更容易遭受攻击，访问它们无疑增加了自身暴露于 PRI*HTTP2 攻击下的风险。对于一些非必要的网站插件、脚本，尽量不要随意安装，防止其携带恶意代码，利用 HTTP2 协议漏洞入侵设备。
当发现网络访问异常时，如网页加载缓慢、频繁卡顿、出现不明弹窗或提示信息，要提高警惕。这可能是遭受 PRI*HTTP2 攻击或其他网络问题的信号，此时应立即停止操作，避免输入敏感信息，如账号密码、银行卡号等，防止数据被窃取。可尝试更换网络环境，刷新页面，若问题依旧存在，及时联系网站管理员或网络服务提供商，反馈问题，寻求帮助。

六、结语

HTTP2 协议为网络世界的高效运行注入了强大动力，推动着互联网迈向新高度。然而，PRI*HTTP2 攻击犹如高悬的 “达摩克利斯之剑”，时刻威胁着网络安全。从服务器到客户端，每一环都不容有失，唯有各方协同合作，构建全方位、多层次的防护体系，才能让 HTTP2 协议持续发挥优势，为用户营造安全、稳定、高效的网络环境。让我们携手共进，在畅享网络便利的同时，守护好这片数字家园。
 

墨者安全 防护盾

墨者安全作为专业级别安全防护专家，在应对 Webshell 风险隐患方面展现出了卓越的能力。其拥有全面的检测机制，能够精准识别 Webshell 的各种类型和变体，无论是复杂的大马，还是隐蔽的内存马，都难逃其敏锐的监测。
墨者安全防护盾具备强大的实时监控功能，对服务器的各项活动进行 7*24 小时不间断的监视。一旦发现任何可疑的 Webshell 活动迹象，立即发出警报，并迅速采取隔离和清除措施，将风险扼杀在萌芽状态。
在防护策略上，墨者安全防护盾采用了多层次的防御体系。不仅能够在网络层面阻挡外部的恶意访问和攻击，还能深入系统内部，对服务器的文件系统、进程等进行深度检查和保护，确保 Webshell 无法植入和运行。
同时，墨者安全防护盾拥有快速的应急响应能力。当 Webshell 攻击事件发生时，专业的安全团队能够迅速介入，进行深入的分析和处理，最大程度减少攻击带来的损失，并帮助用户快速恢复服务器的正常运行。
墨者安全防护盾还注重用户教育和培训，为用户提供关于 Webshell 防范的专业知识和最佳实践，帮助用户提升自身的安全意识和防范能力，共同构建坚实的网络安全防线。