1. 0407 安全周报里最该先动手的三件事
Google 警告安卓两个 0-day 漏洞被在野利用、越南黑客窃取亚洲金融数据、HTTP/2 CONTINUATION Flood 引发 DoS——这三条放在同一周里，其实指向同一个问题：你的资产里有没有能被"低成本打穿"的入口。安卓 0-day 是终端侧，HTTP/2 DoS 是服务端侧，金融数据窃取是账号与凭据侧，三条线合起来就是一份很实在的排查清单。
这篇不打算复述新闻，而是把周报里的三条高危事件拆成可执行动作：安卓补丁级别怎么核对、HTTP/2 服务端限流怎么配、curl 怎么复现 CONTINUATION Flood 的请求形态、日志里该盯哪些告警字段。适合运维、后端、安全响应岗，也适合自己维护小站点的独立开发者。全文命令和配置都能直接复制，跑完你会得到一份属于自己的"周报落地版"检查结果。
先说结论：安卓侧优先看补丁级别和引导加载器相关日志；服务端侧优先确认 HTTP/2 是否开启、有没有对单流 CONTINUATION 帧数量做限制；账号侧优先查异常登录和凭据外泄。下面按这个顺序展开。
2. 安卓 0-day 与 HTTP/2 DoS 的排查前置准备
在动手之前，先把这次要处理的对象对齐。0407 周报里 Google 披露的两个安卓漏洞是 CVE-2024-29745（引导加载器组件信息泄露）和 CVE-2024-29748（固件组件权限提升），Google 明确说"有迹象表明这些漏洞可能正在受到有限的、有针对性的利用"。注意关键词是"有针对性的利用"，意味着它不是广撒网，而是取证类工具在特定场景下使用。对普通用户来说风险等级没那么夸张，但对持有敏感数据、设备可能被物理接触的场景，就必须认真对待。
HTTP/2 这条是 Bartek Nowotarski 报告的 CONTINUATION Flood，CERT/CC 在 2024 年 4 月 3 日发咨询。核心机制是：HTTP/2 的头块会被拆成 HEADERS 帧和 CONTINUATION 帧传输，而很多实现没有限制单个流里 CONTINUATION 帧的数量。攻击者发一堆 CONTINUATION 帧，服务器要么把它们解码后丢弃、要么追加进头列表，最终内存溢出崩溃。它和 HTTP/1 时代的慢速攻击思路类似，但打的是 HTTP/2 的帧层。
第三条是越南关联的 CoralRuider 组织，用 RotBot（Quasar RAT 变种）和 XClient 窃取器，目标覆盖印度、中国、韩国、孟加拉国、巴基斯坦、印尼、越南，偷的是凭据、金融数据、商业和广告账号。这条的落地动作是账号侧排查，不是装个杀软就完事。
工具准备上，你需要：一台能访问目标服务的机器、curl（建议 8.x 以上，支持--http2-prior-knowledge）、服务端如果是 Nginx 就准备改nginx.conf，如果是其他网关就对应看它的 HTTP/2 配置项。安卓侧需要一台能看补丁级别的设备，以及adb用于拉日志。
这里插一句，如果你在排查过程中需要临时调用模型来帮你解析日志、生成配置片段，或者做批量文本分析，可以用 TaoToken 这类聚合入口，把模型调用统一到一个 Key 上，省得在多个平台之间来回切。它的 API 地址是 https://taotoken.net/api，模型对话入口在 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content=，接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content=。下面进入具体配置。
3. 可复制的 HTTP/2 限流配置与安卓补丁核对
3.1 Nginx 侧 HTTP/2 CONTINUATION 限流配置
先确认你的 Nginx 是否开了 HTTP/2。在nginx.conf的server块里找listen 443 ssl http2;，有http2就是开了。开了之后，Nginx 从 1.25.5 起对 CONTINUATION 帧做了处理，但更稳妥的做法是显式限制。
下面这段配置可以直接放进http块或server块，重点是http2_max_concurrent_streams和large_client_header_buffers的配合：
# /etc/nginx/nginx.conf 片段 http { # 限制单个连接上的并发流数量，降低单流 CONTINUATION 堆积风险 http2_max_concurrent_streams 64; # 限制请求头总大小，防止头列表无限增长 large_client_header_buffers 4 16k; # 客户端请求体与头部的超时，避免慢速帧长期占用 client_header_timeout 10s; client_body_timeout 12s; # 限制单 IP 连接数，缓解 DoS 放大 limit_conn_zone $binary_remote_addr zone=perip:10m; limit_conn perip 20; server { listen 443 ssl http2; server_name example.com; # 开启请求速率限制 limit_req_zone $binary_remote_addr zone=reqperip:10m rate=10r/s; limit_req zone=reqperip burst=20 nodelay; # ... 其余 ssl 与 location 配置 } }改完执行nginx -t校验，再nginx -s reload。注意http2_max_concurrent_streams设太小会影响正常页面加载（浏览器会并发拉多个资源），64 是个比较平衡的值，你可以按业务压测调整。
如果你用的是 Caddy，配置更简单，在 Caddyfile 里加：
example.com { # 限制请求体大小 request_body { max_size 1MB } # 连接数限制通过 reverse_proxy 上游或系统层做 reverse_proxy localhost:8080 }Caddy 默认对 HTTP/2 帧有内建保护，但仍建议在系统层用iptables或云厂商 WAF 做连接数限制。
3.2 安卓补丁级别核对
安卓侧核对补丁级别，最直接的是看设置里的"Android 安全更新"日期。路径：设置 → 关于手机 → Android 版本 → 安全更新。如果日期早于 2024-04，就需要检查厂商是否推送了对应补丁。
用adb拉更详细的信息：
# 查看系统补丁级别 adb shell getprop ro.build.version.security_patch # 查看引导加载器相关属性 adb shell getprop | grep -i bootloader # 拉取最近的系统日志，过滤引导加载器与固件相关关键字 adb logcat -d | grep -iE "bootloader|firmware|CVE-2024-2974"如果ro.build.version.security_patch返回的是2024-03-05或更早，而你的设备在受影响列表里，就要等厂商推送或考虑更换设备。Pixel 用户可以直接刷 Google 的 2024-04 工厂镜像。
3.3 账号侧凭据排查
CoralRuider 偷的是凭据和金融数据，落地动作是查异常登录。以常见后台为例，检查登录日志里的异常 IP 和时段：
# 从 Nginx access.log 里筛出登录接口的异常请求 grep "POST /api/login" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20 # 筛出非工作时段（0-6点）的登录 awk '$4 ~ /:(0[0-6]):/ {print}' /var/log/nginx/access.log | grep "login"同时检查是否有凭据出现在已知泄露库里，这个可以用 Have I Been Pwned 的 API 做批量查询，但注意不要把真实密码明文发出去，用 SHA-1 前缀查询。
4. 用 curl 复现 DoS 请求并验证限流生效
配置改完必须验证，否则等于没改。CONTINUATION Flood 的复现思路是：发一个 HEADERS 帧声明头块，然后连续发大量 CONTINUATION 帧但不发 END_HEADERS。curl 本身不直接支持构造这种畸形帧，但可以用--http2-prior-knowledge配合-H发大量头来近似测试服务端的头处理能力：
# 基础连通性测试，确认 HTTP/2 生效 curl -I --http2 https://example.com # 发送大量自定义头，测试服务端头列表处理 for i in $(seq 1 200); do HEADERS="$HEADERS -H \"X-Test-$i: $(head -c 100 /dev/zero | tr '\0' 'a')\"" done eval curl -I --http2 $HEADERS https://example.com更精确的 CONTINUATION 帧复现需要用到h2load或专门的 PoC 工具。h2load是 nghttp2 自带的压测工具，可以模拟大量并发流：
# 安装 nghttp2（Debian/Ubuntu） apt-get install nghttp2-client # 用 h2load 压测，观察服务端内存与响应 h2load -n 10000 -c 100 -m 50 https://example.com参数说明：-n总请求数，-c并发连接数，-m每连接最大并发流数。跑的时候用top或htop盯服务端内存，如果内存持续上涨不回落，说明限流没生效或阈值太松。
验证限流生效的标志：当并发流超过http2_max_concurrent_streams时，服务端应返回REFUSED_STREAM或直接拒绝新流，而不是继续吃内存。你可以用h2load把-m设成 200（超过配置的 64），观察是否出现大量失败请求且内存稳定。
安卓侧验证补丁是否生效，可以对比打补丁前后的ro.build.version.security_patch，以及用adb logcat观察是否还有引导加载器相关的异常日志。
如果你在验证过程中需要模型帮你解读h2load的输出、分析日志里的异常模式，可以用 TaoToken 的模型对话入口 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content=，把日志片段贴进去让它帮你归类。长期做安全响应和自动化脚本的话，Coding Plan 更合适：https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content=。
5. 常见报错排查：401、local proxy failed 与 OAuth 问题
排查过程中最容易卡住的不是漏洞本身，而是工具链的报错。下面按真实遇到的错误对照处理。
401 Unauthorized：如果你在调用模型 API 做日志分析时遇到 401，先检查 Key 是否带对了前缀、是否过期。用 curl 直接测：
curl -X POST https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer YOUR_KEY" \ -H "Content-Type: application/json" \ -d '{"model":"gpt-4o-mini","messages":[{"role":"user","content":"test"}]}'如果返回 401，去 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 重新生成 Key。注意 Base URL 是https://taotoken.net/api，不要多加/v1之外的路径。
local proxy failed：这个报错通常出现在本地开发环境配置了代理但代理没起来。检查你的环境变量HTTP_PROXY/HTTPS_PROXY是否指向了一个没运行的端口。临时清掉：
unset HTTP_PROXY HTTPS_PROXY http_proxy https_proxy然后重试请求。如果你在用 Cline、CC Switch 这类工具，检查它的 MCP 配置里 Base URL 是否写成了https://taotoken.net/api，Key 和 Model ID 三件套是否齐全。缺任何一个都会报连接失败。
reading choices 报错：这个一般出现在解析模型返回时，返回体里没有choices字段。常见原因是请求被网关拦截返回了 HTML 错误页，或者 Model ID 写错了。先用 curl 确认返回体结构，再检查 Model ID 是否在 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 列表里。
OAuth 相关报错：如果你在用 Codex 或 Claude Code 这类需要 OAuth 的工具，报 OAuth 失败时先确认auth.json里的 token 没过期。Codex 的auth.json通常在~/.codex/auth.json，检查里面的access_token和refresh_token。如果用的是 API Key 模式，确认auth.json里配置的是 Base URL + Key + Model ID 三件套，而不是残留的 OAuth 字段。
HTTP/2 配置后 502：改完 Nginx 配置后如果出现 502，先nginx -t看语法，再检查http2_max_concurrent_streams是否设得过小导致正常请求被拒。临时调回默认值验证，再逐步收紧。
安卓 adb 无输出：adb logcat拉不到日志，先确认 USB 调试开了、adb devices能看到设备。如果设备是厂商定制 ROM，部分日志可能被屏蔽，这时只能依赖getprop和设置里的补丁日期。
6. 把周报变成你自己的检查清单
三条事件落地下来，其实是一份可以每周复用的清单：安卓设备查补丁级别和引导加载器日志、服务端查 HTTP/2 限流配置并用 h2load 验证、账号侧查异常登录和凭据泄露。这三件事做完，0407 周报里的大部分风险就覆盖了。
我自己的习惯是把这些检查写成脚本，每周跑一次，输出一份简短报告。脚本里调用模型做日志归类时，统一走 TaoToken 的 API，Key 和 Base URL 配一次就行，省得每个工具单独配。接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content=，控制台在 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content=。
最后提醒一句：HTTP/2 的http2_max_concurrent_streams不要设成 1 或 2 这种极端值，正常浏览器加载一个页面就会开多个流，设太小会让用户侧频繁重试，反而放大请求量。64 到 128 之间按业务压测选，是实测下来比较稳的区间。
