Node.js HTTP/2 CONTINUATION 拒绝服务漏洞（CVE-2024-27983）

Node.js 是开源、跨平台的 JavaScript 运行时环境。CONTINUATION泛洪攻击被发现存在于多个HTTP/2协议实现中。

在受影响版本中，由于Node.js针对HTTP/2协议的实现不当，未正确处理多个CONTINUATION帧的情况，在node::http2::Http2Session::~Http2Session()中存在条件竞争可触发断言。

攻击者可以通过向发送HEADERS帧后连续发送大量CONTINUATION帧，造成服务端内存耗尽拒绝服务。

HTTP/2和HTTP/1.x（如HTTP/1.1）是互联网上用于传输网页和其他数据的两个主要版本的HTTP协议。它们之间存在一些关键区别，主要包括以下几点：

  1. 多路复用（Multiplexing）：HTTP/2支持多路复用，这意味着在单个TCP连接上可以同时处理多个请求和响应。这有助于减少网络延迟，提高页面加载速度。相比之下，HTTP/1.x每个请求和响应需要一个单独的TCP连接，这可能导致连接开销和潜在的性能问题。

  2. 二进制协议：HTTP/2是一个二进制协议，而HTTP/1.x是基于文本的协议。二进制协议更易于解析，可以提高传输效率。

  3. 压缩HTTP头部（Header Compression）：HTTP/2使用HPACK压缩算法来压缩HTTP头部，从而减少传输数据量。这有助于提高传输速度和性能。而HTTP/1.x的头部信息没有压缩，可能导致额外的传输开销。

  4. 服务器推送（Server Push）：HTTP/2支持服务器推送，这意味着服务器可以在客户端请求之前主动发送资源，从而减少往返时间和提高性能。HTTP/1.x不支持服务器推送。

  5. 请求优先级（Request Prioritization）：HTTP/2允许客户端为请求设置优先级，这有助于更有效地利用网络资源。HTTP/1.x没有这个功能。

  6. 流控制（Flow Control）：HTTP/2提供了基于流的控制机制，可以防止发送方向接收方发送过多的数据，从而避免网络拥塞。HTTP/1.x没有类似的流控制机制。

总之，HTTP/2相较于HTTP/1.x在性能、传输效率和功能方面都有显著的改进。许多现代浏览器和服务器已经支持HTTP/2，使得网页加载更快，网络传输更高效。

HTTP/2的标头（Header）和HTTP/1.x的请求头（Request Header）在概念上是类似的，它们都包含了在HTTP请求和响应中传输的元数据。然而，HTTP/2在传输和处理这些头部信息时采用了不同的方法。

在HTTP/1.x中，请求头和响应头是以纯文本形式传输的，每个头部字段由一个名称和一个值组成，名称和值之间用冒号分隔。头部字段之间用回车换行符（CRLF）分隔，最后一个头部字段后再跟一个回车换行符表示头部结束。

在HTTP/2中，头部信息采用了二进制格式进行传输，这使得解析和处理更加高效。此外，HTTP/2还引入了HPACK压缩算法对头部信息进行压缩，以减少传输的数据量。这意味着HTTP/2的头部信息在传输过程中会比HTTP/1.x的请求头更加紧凑和高效。

虽然HTTP/2在传输和处理头部信息方面有所改进，但它仍然支持HTTP/1.x中的大多数头部字段。这意味着，从功能和用途的角度来看，HTTP/2的头部和HTTP/1.x的请求头是相似的。例如，它们都可以包含诸如User-Agent、Accept-Encoding和Cookie等头部字段。

在HTTP/2协议中，HEADERS帧用于传输HTTP请求或响应的头部信息。这包括一系列的头部字段，每个字段都包含一个名称和一个值。这些字段提供了关于请求或响应的元数据，例如目标URL、请求方法、响应状态码、内容类型等。

以下是一些可能包含在HEADERS帧中的头部字段：

  1. :method：HTTP请求方法，如GET、POST等。
  2. :scheme：URL的协议方案，通常是http或https。
  3. :authority：请求的目标服务器的主机名和可能的端口号。
  4. :path：请求的目标URL的路径和查询字符串。
  5. :status：HTTP响应的状态码，如200表示成功，404表示未找到等。
  6. content-type：响应体的媒体类型。
  7. content-length：响应体的长度，以字节为单位。
  8. cookie：包含HTTP cookie的头部字段，用于维护客户端和服务器之间的状态。

除了这些预定义的头部字段外，HEADERS帧还可以包含其他自定义的头部字段。例如，一些Web应用可能会使用自定义的头部字段来传输特定的应用数据或配置信息。

需要注意的是，HTTP/2协议使用HPACK算法对头部信息进行压缩，以减少传输的数据量。这意味着在网络上传输的HEADERS帧实际上包含的是压缩后的头部字段，接收方需要对其进行解压缩以恢复原始的头部信息。

参考：
https://nowotarski.info/http2-continuation-flood-technical-details/

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/798671.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

缓存雪崩以及解决思路

缓存雪崩以及解决思路

缓存雪崩：缓存雪崩是指在同一时段大量的缓存key同时失效或者Redis服务宕机，导致大量请求到达数据库，带来巨大压力。 解决方案： 给不同的Key的TTL添加随机值 利用Redis集群提高服务的可用性 给缓存业务添加降级限流策略 给业务…
阅读更多...
Centos7源码方式安装Elasticsearch 7.10.2单机版

Centos7源码方式安装Elasticsearch 7.10.2单机版

下载 任选一种方式下载 官网7.10.2版本下载地址： https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.10.2-linux-x86_64.tar.gz 网盘下载链接 链接：https://pan.baidu.com/s/1EJvUPGVOkosRO2PUaKibaA?pwdbnqi 提取码&#x…
阅读更多...
C++ //练习 11.21 假定word_count是一个string到size_t的map，word是一个string，解释下面循环的作用：

C++ //练习 11.21 假定word_count是一个string到size_t的map，word是一个string，解释下面循环的作用：

C Primer（第5版） 练习 11.21 练习 11.21 假定word_count是一个string到size_t的map，word是一个string，解释下面循环的作用： while(cin>>word)word_count.insert({word, 0}).first->second;环境：…
阅读更多...
opencv直线拟合+直线与图像交点坐标

opencv直线拟合+直线与图像交点坐标

opencv直线拟合直线与图像交点坐标 背景函数说明fitLineclipLine 代码 背景 在车道线拟合过程中，需要计算拟合直线与图像边界的交点，以确定车道区域。主要使用的函数fitLine和clipLine。 函数说明 fitLine /* 返回的lineParam信息如下： *…
阅读更多...
如何在Linux中安装软件

如何在Linux中安装软件

文章目录 一、Linux应用程序基础1.Linux软件安装包分类2.应用程序和系统命令的关系3.常见的软件包的封装类型 二、安装软件的方式1.RPM包管理工具2.yum安装3.编译 一、Linux应用程序基础 1.Linux软件安装包分类 Linux源码包： 实际上，源码包就是一大堆源…
阅读更多...
目标检测YOLO实战应用案例100讲-基于多特征融合的SSD目标检测

目标检测YOLO实战应用案例100讲-基于多特征融合的SSD目标检测

目录 前言 目标检测的国内外研究现状 传统的目标检测方法 深度学习的目标检测方法
阅读更多...
Vue2 —— 学习（二）

Vue2 —— 学习（二）

目录 一、事件处理 （一）基本语法 （二）点击事件语法 1.事件绑定 2.回调函数 3.参数 event 注意： （三）事件修饰符 1.阻止默认事件 常用 2.阻止事件冒泡 常用 3.事件只触发一次 常用 …
阅读更多...
深入理解GO语言——GC垃圾回收二

深入理解GO语言——GC垃圾回收二

文章目录 前言一、Go V1.5的三色并发标记法总结 前言 书接上回，无论怎么优化，Go V1.3都面临这个一个重要问题，就是mark-and-sweep 算法会暂停整个程序 。 Go是如何面对并这个问题的呢？接下来G V1.5版本 就用 三色并发标记法 来优…
阅读更多...
WPS快速将插入Excle数据插入Word

WPS快速将插入Excle数据插入Word

前置条件： 一张有标题、数据的excle表格word中的表格与excle表格标题对应或包含电脑已经安装WPS软件 第一步、根据word模板设计excle模板，标头对应 第二步、word上面选【引用】--【邮件】，选打开数据源，找到excle文件，…
阅读更多...
论文笔记：Detecting Pretraining Data from Large Language Models

论文笔记：Detecting Pretraining Data from Large Language Models

iclr 2024 reviewer评分 5688 1 intro 论文考虑的问题：给定一段文本和对一个黑盒语言模型的访问权限，在不知道其预训练数据的情况下，能否判断该模型是否在这段文本上进行了预训练 这个问题是成员推断攻击(Membership Inference Attacks&…
阅读更多...
天星数科聚势赋能，精准服务实体企业的产业金融需求

天星数科聚势赋能，精准服务实体企业的产业金融需求

近年来，供应链金融行业受到国家层面的多项政策鼓励，是我国融资结构改革、金融服务实体经济、服务中小企业的重要抓手。2021年3月政府工作报告中首次提及“创新供应链金融服务模式”，这不仅意味着供应链金融已上升为国家战略，更意味…
阅读更多...
npm 命令及其详细解释

npm 命令及其详细解释

npm init 用途&#xff1a;用于初始化一个新的 Node.js 项目&#xff0c;并生成 package.json 文件。详解&#xff1a;该命令会引导您填写项目的基本信息&#xff0c;如项目名称、版本、描述等&#xff0c;并创建 package.json 文件以保存这些信息。 npm install <package&g…
阅读更多...
HarmonyOS实战开发-如何实现分布式帐号相关的功能。

HarmonyOS实战开发-如何实现分布式帐号相关的功能。

介绍 本示例主要展示了分布式帐号相关的功能&#xff0c;使用ohos.account.distributedAccount、ohos.account.osAccount等接口&#xff0c;实现了绑定分布式帐号、解绑分布式帐号、更新分布式帐号信息和管理分布式帐号的功能&#xff1b; 效果预览 使用说明 1.首次进入应用会…
阅读更多...
Java整合ElasticSearch8.13

Java整合ElasticSearch8.13

1、引入Jar包 <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-elasticsearch</artifactId> </dependency> 2、配置ES连接信息 spring:elasticsearch:# 地址uris: http://xxx:9200# 用户…
阅读更多...
软件设计师26--关系代数

软件设计师26--关系代数

软件设计师26--关系代数 考点1&#xff1a;关系模式相关概念例题&#xff1a; 考点1&#xff1a;关系模式相关概念 并∪&#xff1a;结果是两张表所有记录的合并&#xff0c;相同记录只显示一次。 交∩&#xff1a;结果是两张表中相同的记录。 差-&#xff1a;S1-S2&#xff0…
阅读更多...
Python程序设计 字符类型及其操作

Python程序设计 字符类型及其操作

1. 提取身份证号性别 通过身份证的第17位也就是倒数第二位的数字可以辨别该身份证所属人的性别,奇数为男性,偶数为女性。 输入身份证号&#xff0c;第17位若是偶数&#xff0c;输出性别女&#xff0c;否则输出性别男 1.通过input()函数接收用户输入的身份证号&#xff0c;将其…
阅读更多...
使用 Selenium 和 OpenCV 识别验证码（使用 Java）

使用 Selenium 和 OpenCV 识别验证码（使用 Java）

验证码的自动识别对于爬虫来说是一个常见的挑战。在这篇文章中&#xff0c;我们将展示如何使用 Selenium 和 OpenCV&#xff0c;结合 Java&#xff0c;来自动化识别网站上的验证码。 配置 Maven 依赖 首先&#xff0c;我们需要在 Maven 项目中添加 Selenium 和 OpenCV 的依赖。…
阅读更多...
代码随想录 day25

代码随想录 day25

文章目录 回溯216.组合总和 |||思路代码 17.电话号码的字母组合思路代码 回溯 216.组合总和 ||| 216.组合总和 ||| 思路 和组合相同,稍微改变了恢复现场和判断结束的方法 代码 class Solution { private:vector<vector<int>> ans;vector<int> temp;int…
阅读更多...
MySQL EXISTS 语句和IN语句有啥区别

MySQL EXISTS 语句和IN语句有啥区别

在 MySQL 中&#xff0c;EXISTS 和 IN 是用于子查询的两种不同方式&#xff0c;它们有一些区别&#xff1a; 1. **IN 语句**&#xff1a; - IN 子句用于在 WHERE 子句中指定多个值&#xff0c;并检查主查询中的某个列是否在子查询返回的结果集中。 - IN 子句适用于子查询…
阅读更多...
npm发布包至私有仓库

npm发布包至私有仓库

前提&#xff1a;使用verdaccio在服务器搭建好了私有仓库 1、登录至私服 npm adduser --registryhttp://xxx.xxx.x.xx:48732、发布npm包到私有仓库 修改package.json中的相关信息后 #cd 项目目录 npm publish --registryhttp://xxx.xxx.x.xx:4873登录至私服查看 3、在项目中…
阅读更多...
最新文章

Copyright @ 2022~2023