HTTP/2 专属攻击手册

协议级盲区：被混淆的 H2 攻击面

很多安全工程师在审查现代 Web 架构时，习惯性地将 HTTP/2 的请求走私等同于 HTTP/1.1 的 CL.TE 或 TE.CL。然而，这种简化会掩盖 HTTP/2 独有的协议级威胁。当应用升级到 H2 时，底层的帧（Frame）机制、伪头部（Pseudo-headers）以及 HPACK 压缩算法引入了全新的解析差异。如果不区分这些底层差异，安全测试往往会漏掉那些专门针对 H2 多路复用和帧边界设计的高级攻击。

核心能力与执行路径

该技能专为绕过基础走私检测而设计，核心能力聚焦于 HTTP/2 特有的攻击向量：

• h2c 与降级注入：利用明文 h2c 升级过程中的解析差异，以及 H2→H1 降级时的头部注入。
• 伪头部与 HPACK 操纵：通过篡改 :authority、:method 等伪头部，或利用 HPACK 动态表污染触发解析器崩溃与请求走私。
• 单包竞态条件：结合 H2 的多路复用特性，在单个 TCP 包内交错发送多个流，制造解析竞态。
• 关联路由调用：在需要回溯字节级 H2.CL / H2.TE 载荷时，自动关联并调用 request-smuggling 及 race-condition 技能。

适用边界与注意事项

此技能定位为专家级攻击手册，而非基础概念的科普。它假设用户已经理解 TCP/IP 基础和 HTTP/1.1 走私原理。在实际操作中，需注意目标中间件（如 Nginx、Envoy）对 H2 帧边界的处理差异；此外，由于涉及 HPACK 压缩状态，攻击载荷的构造需要精确的字节级控制，避免因客户端或代理的防御性解析导致测试失败。