Nginxpwner

Nginxpwner — это простой инструмент для поиска распространенных ошибок конфигурации и уязвимостей Nginx.

Установка:

cd /opt
git clone https://github.com/stark0de/nginxpwner
cd nginxpwner
chmod +x install.sh
./install.sh

Установка через Docker

git clone https://github.com/stark0de/nginxpwner
cd nginxpwner
sudo docker build -t nginxpwner:latest .

Запуск образа

sudo docker run -it nginxpwner:latest /bin/bash

Использование:

Вкладка Target в Burp, выберите хост, правой кнопкой мыши, скопируйте все URL-адреса этого хоста, сохраните в файл

cat urllist | unfurl paths | cut -d"/" -f2-3 | sort -u > /tmp/pathlist 

Или получите список путей, которые вы уже обнаружили в приложении, другим способом. Примечание: пути не должны начинаться с /

Наконец:

python3 nginxpwner.py https://example.com /tmp/pathlist

Примечания:

Инструмент проверяет следующее:

• Определяет версию Nginx и находит возможные эксплойты с помощью searchsploit, сообщает, устарела ли версия
• Запускает специальный для Nginx список слов через gobuster
• Проверяет уязвимость к CRLF через распространенную ошибку конфигурации с использованием $uri в перенаправлениях
• Проверяет CRLF для всех предоставленных путей
• Проверяет, доступен ли HTTP-метод PURGE извне
• Проверяет ошибку конфигурации, приводящую к утечке переменных
• Проверяет уязвимости path traversal при отключенном параметре merge_slashes
• Тестирует различия в длине ответов при использовании заголовков hop-by-hop (например, X-Forwarded-Host)
• Использует Kyubi для проверки path traversal через неверно настроенный alias
• Тестирует обход 401/403 с помощью X-Accel-Redirect
• Показывает полезную нагрузку для проверки ошибки конфигурации Raw backend reading response
• Проверяет, использует ли сайт PHP, и предлагает специфичные для Nginx тесты для PHP-сайтов
• Тестирует распространенную уязвимость целочисленного переполнения в модуле range filter Nginx (CVE-2017-7529)

Инструмент использует заголовок Server в ответе для выполнения некоторых тестов. Существуют другие CMS и системы, построенные на Nginx, такие как Centminmod, OpenResty, Pantheon или Tengine, которые не возвращают этот заголовок. В таком случае используйте nginx-pwner-no-server-header.py с теми же параметрами, что и в основном скрипте.

Также для корректного поиска эксплойтов следует время от времени выполнять: searchsploit -u в Kali

Инструмент не проверяет уязвимости отравления/обмана кэша (web cache poisoning/deception) и контрабанду запросов (request smuggling); для этого следует использовать специализированные инструменты. NginxPwner в основном сосредоточен на ошибках конфигурации, которые разработчики могли непреднамеренно внести в nginx.conf.

Благодарность shibli2700 за его отличный инструмент Kyubi https://github.com/shibli2700/Kyubi и всем участникам проекта gobuster. Также спасибо Detectify (которая, собственно, и обнаружила многие из этих ошибок конфигурации в NGINX).