hakaioffsec/navgixأداة Go متعددة الخيوط لاكتشاف ثغرات اجتياز الأسماء المستعارة في nginx باستخدام تقنيات الكشف الاستدلالي والقوة الغاشمة لتحديد الأسماء المستعارة للدليل الضعيفة.
navgix هي أداة مكتوبة بلغة Go متعددة الخيوط تتحقق من ثغرات اجتياز الأسماء المستعارة (alias traversal) في nginx.
حاليًا، يدعم navgix طريقتين للعثور على الدلائل (أو الأسماء المستعارة للمواقع) المعرضة للخطر. وهما كما يلي:
سيقوم navgix بإجراء طلب GET أولي للصفحة، وإذا كان هناك أي دلائل محددة في HTML الصفحة (محددة في سمات src في مكونات HTML)، فسيختبر كل مجلد في المسار لمعرفة وجود الثغرة. وبالتالي، إذا وجد رابطًا إلى /static/img/photos/avatar.png، فسيختبر /static/ و /static/img/ و /static/img/photos/.
سيختبر navgix أيضًا قائمة قصيرة من الدلائل الشائعة التي غالبًا ما تحتوي على هذه الثغرة. وإذا وُجد أي من هذه الدلائل، فسيحاول تأكيد وجود الثغرة.
git clone https://github.com/Hakai-Offsec/navgix; cd navgix;
go build