HTTP/2炸弹DDoS攻击揭秘：Nginx、Apache、IIS为何会被快速打爆

什么是HTTP/2炸弹DDoS攻击

HTTP/2炸弹是一种新型拒绝服务攻击，核心特点是“少量流量，巨大消耗”。攻击者利用HTTP/2的头部压缩和流控制机制，让服务器在很短时间内分配大量内存，最终出现响应变慢、连接堆积，甚至直接崩溃。

这类攻击并不依赖复杂的漏洞代码，而是滥用协议特性。对很多默认开启HTTP/2的Web服务器来说，风险更高，尤其是长期未做限制配置的环境。

它为什么会这么快打垮服务器⚠️

HTTP/2炸弹的思路其实很简单，可以拆成两步：

• 第一步是利用HPACK头部压缩，把较小的请求头不断复用，诱导服务器在内部保存和展开更多数据。
• 第二步是利用流控制机制，让请求一直处于未完成状态，内存被占着却迟迟不能释放。

表面上看，攻击者发出的数据量并不夸张，但服务器端要为这些请求不断分配资源。研究显示，在某些实现中，一个很小的请求片段就可能引发成千上倍的内存放大，这也是它比普通洪泛更危险的地方。

如果想了解协议层面的压缩风险，可以顺便看看HPACK压缩相关内容；而从整体防护角度看，Web服务器安全始终是第一道防线。

哪些服务器更容易受影响

从公开测试结果看，默认HTTP/2配置的主流服务器都可能受到冲击，差别主要在于耗尽资源的速度不同：

• Envoy：大约10秒内耗尽32GB内存。
• Apache httpd：大约18秒内耗尽32GB内存。
• nginx：大约45秒内耗尽32GB内存。
• IIS：大约45秒内耗尽64GB内存。

这意味着，攻击者甚至不需要大规模僵尸网络，单台机器就可能制造明显影响。对于依赖边缘代理、API网关、反向代理的业务来说，HTTP/2链路越长，越需要关注中间层的配置是否足够严格。

现阶段最实用的防护建议

如果服务器还没确认是否已经修补，建议优先做这些动作：

• 尽快升级到已修复版本，尤其是Nginx和Apache相关组件。
• 对暂未修复的平台，先考虑临时禁用HTTP/2。
• 在前端代理或防火墙上限制头部数量与请求频率。
• 启用WAF或反向代理，减少客户端直接打到源站的机会。
• 检查是否存在默认配置、宽松限制、长时间挂起请求等问题。

对Nginx环境来说，已知修复版本加入了新的限制指令；Apache httpd相关问题也已经修补并给出了CVE编号。若业务允许，及时升级仍然是最稳妥的办法。对IIS安全、Envoy安全这类尚无补丁的平台，更建议通过网络层和代理层做隔离。

运维和开发需要重点检查什么

• 是否默认开启HTTP/2。
• 是否允许异常多的请求头。
• 是否存在过长的流生命周期。
• 是否有反向代理、CDN或防火墙做了前置缓冲。
• 是否已经限制单连接资源占用上限。

很多时候，真正决定是否容易被打穿的，不只是软件版本，还有部署方式。比如位于CDN后面的站点，通常不会把易受攻击的HTTP/2端点直接暴露给外部，这能明显降低风险。

一句话总结

HTTP/2炸弹DDoS攻击的危险之处，在于它借助协议机制放大资源消耗，而不是单纯拼流量。对站长、运维和开发团队来说，最重要的不是“等攻击来了再处理”，而是尽快升级、收紧配置、限制头部和流控制行为，把攻击成本抬高。

如果当前业务仍在使用默认HTTP/2配置，建议马上排查。越早做限制，越不容易在真实攻击中被动挨打。