2023 年 10 月 10 日，Cloudflare、Google 與 AWS 三家幾乎同時披露了一起早已在暗處肆虐數週的攻擊手法——HTTP/2 Rapid Reset（CVE-2023-44487）。它沒有借助殭屍網絡的「人海戰術」，而是直接利用 HTTP/2 協議本身的設計，在應用層（L7）打出峰值 3.98 億次請求/秒（RPS）的洪水。本文從協議、數據、防禦三個層面，帶你徹底搞懂這起被公認為「重塑 L7 DDoS 戰場」的事件。

一、它是怎麼做到「用小兵力打大仗」的

HTTP/2 的核心改進之一是多路復用（Multiplexing）：一條 TCP 連接上可以並行開啟大量「流（stream）」。Rapid Reset 攻擊濫用的，正是流的生命週期管理——具體說是 RST_STREAM 幀。

攻擊者的套路極其簡單：在每個 stream 上發送一個請求（HEADERS 幀），立刻發送 RST_STREAM 把這個 stream 取消，然後馬上開下一個。如此「請求—取消—請求—取消」高速循環。伺服器端即便請求被取消，也已經為這個 stream 分配了記憶體、做了 HPACK 解壓、路由查找與初始化——這些成本在請求被取消後才要回收。

這是一場計算不對稱（computational asymmetry）的戰爭：攻擊者每輪只付出約 20–30 字節（9 字節 HEADERS + 13 字節 RST_STREAM），伺服器卻要為每輪付出數千字節級別的 CPU 與記憶體工作。攻擊用極小的帶寬，就讓伺服器的 CPU 先撐不住。

Cloudflare 的數據很說明問題：一支僅 20,000 個節點的殭屍網絡，每個節點每秒循環約 1 萬次，就能產生 2 億 RPS。對比之下，傳統 IoT 殭屍網絡動輒數十萬、上百萬台設備，卻往往只能打出幾 M RPS。Rapid Reset 讓「每個節點的攻擊力」提升了數千倍。

二、真實規模：三巨頭的實測數據

  • Google：峰值 3.98 億 RPS，是此前互聯網史上最大攻擊的 7 倍以上。
  • Cloudflare：峰值 2.01 億 RPS，是 2023 年 2 月紀錄（7,100 萬 RPS）的 3 倍。
  • AWS：兩天內觀測到十餘起，最大峰值 1.55 億 RPS。

值得注意的是，這些攻擊利用的是幾乎所有 HTTP/2 實現都存在的設計缺陷：Nginx、Apache HTTP Server、Apache Tomcat、Microsoft IIS、HAProxy、Envoy、gRPC、Node.js、Go net/http、.NET Kestrel 全部在修補之列。2023 年 10 月 10 日的協同披露，被稱為「互聯網史上最大規模的同步修補事件之一」，CISA 隨即發出 AA23-283A 告警。

三、為什麼傳統防護在這裡集體失效

  1. 日誌看不見攻擊：RST_STREAM 在伺服器產生 response 之前就取消了請求，因此 access log 往往不記錄這些「未完成」的請求。你看到的日誌是乾淨的，伺服器卻已經被壓垮。
  2. 基於「完成請求」的限速不觸發：傳統 rate limiting 計的是「成功完成的請求」，而 Rapid Reset 的請求根本來不及完成就被取消，所以限流規則形同虛設。
  3. 帶寬型緩解無效：這不是容量型攻擊，瓶頸在 CPU 而非頻寬。靠「買大管道」完全擋不住。

四、2024 的「長尾」：補了邊緣，漏了內部

很多人以為打完補丁就結事了。但 2024 年上半年，金融與金融科技企業仍持續成為 Rapid Reset 的目標，單個銀行或支付機構峰值達 5,000 萬–1 億 RPS，導致 API 閘道故障、交易超時、手機銀行停擺。根因是：企業在邊緣反向代理打了補丁，但內部負載平衡器、老舊中間件仍跑著未修復的 HTTP/2 實現——漏洞的「長尾」在補丁發布數月後依然可利用。

五、給工程師的防禦清單

  • 監控幀級指標，而非請求計數：核心信號是 RST_STREAM 與已完成回應的比例。正常情況下，RST_STREAM 佔 stream 關閉數的比例應低於 1%；一旦飆升就是強烈攻擊徵兆。
  • 在邊緣做 stream 限速與並發上限：對單一連接的並發 stream 數、單 IP 的 RST 頻率設限。
  • 升級所有 HTTP/2 組件：Nginx 1.25.3+、Apache 2.4.58+、Node.js 18.18.2+/20.8.1+、Go 1.21.3+、HAProxy 2.8.4+ 等。
  • 對 L7 攻擊，行為分析優於靜態規則：識別「高取消率 + 低完成率」的異常行為基線，而非簡單封 IP。

結語

Rapid Reset 標誌著 L7 DDoS 的一次範式轉移：攻擊者不再依賴「帶寬壓倒」，而是利用協議設計缺陷，用計算不對稱以小博大。對任何在公網上提供 HTTP 服務的組織，這都是一記警鐘——你以為的「正常協議行為」，可能正是別人手中的武器。對防護方而言，能在協議邊緣做幀級識別與自動化緩解的架構，才是真正的答案。