Requisitos

• Docker com suporte a Compose.
• Suporte a contêineres Linux/386.
• Para o validador completo de RCE com endereço conhecido, use um host Docker Linux x86 nativo onde /proc/<pid>/maps exponha o layout real de endereços de 32 bits do worker nginx. O Docker Desktop em hosts não-x86 pode executar o alvo sob qemu-i386; isso é suficiente para validar a falha OOB, mas não a matemática do RCE com endereço conhecido.
• Python 3 no host para os scripts de exploit.

Início Rápido

Crie e inicie o laboratório nginx 32-bit vulnerável:

Acione a escrita OOB controlada:

Execute o validador de RCE determinístico somente Docker:

Execute o driver de força bruta sem introspecção:

host.docker.internal é usado como host de callback para que o comando embutido no worker nginx possa fazer POST da saída de id de volta ao listener iniciado pelo script de exploit. O arquivo Compose mapeia esse nome para mecanismos Docker Linux.

Passo a Passo da Exploração

1. Construa E Inicie O Laboratório

O alvo Compose compila o nginx 1.30.0 como um binário 32-bit no estilo release e o inicia em 127.0.0.1:19331. Um GET / simples retorna ok, provando que o alvo está acessível antes do início da exploração.

2. Acione A Escrita OOB

O acionador envia um segmento de URI capturado composto por bytes + através do caminho vulnerável rewrite mais set $myvar $1. + é escapado por NGX_ESCAPE_ARGS, então a passagem de cópia escreve três bytes para cada byte de entrada. O script imprime o tamanho esperado do estouro antes de enviar a requisição.

3. Valide O RCE Com Assistência Do Laboratório

O validador de endereço conhecido é intencionalmente assistido. Ele lê o heap do worker ativo e os mapeamentos de libc do contêiner Docker, calcula o endereço do fake cleanup handler, envia a mesma sequência de exploit no nível de wire e aguarda o callback. A saída uid=65534(nobody) é o worker nginx executando id. Esta captura de tela é de uma execução Docker x86 nativa; em configurações Docker Desktop não-x86, o script pode parar com um requisito de host nativo qemu-i386 em vez disso.

4. Execute O Caminho De Força Bruta Somente Remoto

O script de força bruta remoto remove as leituras de endereço exclusivas do laboratório. Ele enumera candidatos a heap-page SAFE e candidatos a libc-page e usa apenas o callback como oráculo de sucesso. Esgotar uma passagem sem callback não refuta a primitiva; geralmente significa que o layout atual do master nginx não é favorável para esse alfabeto de payload, ou a passagem precisa de uma reinicialização/recarga do master para rolar novamente o ASLR.

Como A Sequência De RCE Funciona

O exploit usa três papéis de requisição simultâneos:

1. /spray mantém viva uma alocação do corpo da requisição e coloca um registro fake ngx_pool_cleanup_t mais o comando de callback na memória do heap do worker nginx.
2. /api/<payload> alcança o script de rewrite vulnerável e atrasa o terminador final da requisição até que a requisição vítima esteja no lugar.
3. / cria o pool de requisição adjacente cujo ponteiro cleanup é o alvo da escrita OOB controlada.

Quando o pool de requisição corrompido é destruído, o nginx segue o ponteiro de cleanup sobrescrito. No caminho de RCE do laboratório, o handler de limpeza falso aponta para system() e seu ponteiro de dados aponta para:

O listener do exploit trata esse POST como o único sinal de sucesso do RCE.

Limpeza

Notas De Segurança

Este laboratório é para validação de segurança autorizada e educação. Mantenha-o isolado, não exponha a porta do laboratório a redes não confiáveis e não execute o exploit contra sistemas que você não possui ou para os quais não tem permissão explícita para testar.