NGINX Rift 检测器用于 CVE-2026-42945

用于受感染 NGINX 服务器的只读 Bash 检测器。它帮助运维人员在 CVE-2026-42945 披露后回答两个问题：

• 此服务器是否仍运行存在漏洞的 NGINX 版本或危险的重写配置？
• 本地日志是否包含崩溃、长 URI 或编码信号，需要在关闭工单前进行审查？

快速开始

Ping7 资源

• 所有 GitHub 工具：https://ping7.cc/github-tools/
• 完整自检指南：https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
• CVE 修复服务：https://ping7.cc/cve-repair/
• 示例修复报告：https://ping7.cc/cve-repair/sample-report/
• 实时 CVE 告警：https://t.me/ping7cve

问题或修复

当检测器崩溃、误报、遗漏安全防御信号或需要文档清理时，请提交 GitHub Issue。请确保示例不包含敏感信息。

当结果为 VULNERABLE 或 SUSPICIOUS 时，或证据包含在线域名、客户流量、私有日志、崩溃时间戳或不应公开发布的配置行时，请使用 Ping7 修复。

需保留的证据

• 检测器输出和版本。
• NGINX 版本和包来源。
• 相关的重写配置行（必要时可脱敏）。
• 访问或错误日志中第一个可疑时间戳。
• 日志是否被轮转、删除或存储于外部主机。

何时使用此仓库

• 您直接操作 NGINX，或通过反向代理、托管控制面板使用它。
• 服务器使用重写密集型配置且补丁窗口未明确记录。
• 您需要一个可粘贴到事件工单中的终端结果。
• 在付费进行清理或入侵审查之前，您需要先进行初步检查。

快速启动

首先检查：

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/nginx-rift-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

不要将远程 shell 内容直接以 root 身份运行。请先下载脚本并审查，然后在您负责的服务器上运行。

检查内容

何时运行

在以下 NGINX 服务器上运行此工具：

• 使用重写密集型配置。
• 在 CVE 披露后未及时修补。
• 暴露公共反向代理、CDN 源站、API 或 WordPress 流量。
• 出现不明原因的 worker 崩溃或异常长请求路径。

输出

脚本报告以下结果之一：

• CLEAN：未发现明显暴露或入侵指标。
• VULNERABLE：版本/配置信号指示存在暴露。
• SUSPICIOUS：日志或运行时指标需要手动审查。

示例输出

NGINX Rift CVE-2026-42945 Detector

Checks:
- NGINX version
- rewrite configuration
- access and error logs
- Linux ASLR
- worker user

Result: SUSPICIOUS (0 critical, 2 warnings)
Next: review rewrite rules and error-log crash entries before closing the ticket.
Guide: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check

退出状态

此版本专为交互式分类设计。它会在终端中打印 CLEAN、VULNERABLE 或 SUSPICIOUS，通常以 0 退出，除非 shell 运行时本身失败。如果您需要 CI 风格的退出码，请自行包装输出状态。

局限性

• 无法证明入侵是否确实发生。
• 仅检查当前用户可访问的本地文件和日志。
• 轮转、删除或存储于外部主机的日志可能隐藏相关窗口。
• 供应商的向后移植可能使包版本看起来比实际已修补版本更旧。

修复路径

1. 将 NGINX 升级到供应商提供的已修复版本。
2. 将不安全的重写捕获模式替换为更安全的命名捕获。
3. 保持 ASLR 启用。
4. 审查暴露窗口期间的访问和错误日志。
5. 重启 NGINX 并确认检测器报告为“干净”。

修复交接

如果结果为 VULNERABLE 或 SUSPICIOUS，请保留输出并发送：

Domain or server:
NGINX version:
CVE: CVE-2026-42945
Detector result: CLEAN / VULNERABLE / SUSPICIOUS
First suspicious timestamp:
Symptoms: worker crash, long URI logs, redirect, config change, or scanner result
Logs still available: yes / no

请勿在首次消息中发送密码。请发送症状、时间戳、截图以及脱敏的日志片段。

需要人工帮助：https://ping7.cc/cve-repair

贡献

如果您有新的防御信号、误报或报告错误的发行版版本，请提交 Issue。请包含 NGINX 版本、操作系统系列、脱敏的配置行以及检测器结果。请勿发布实时客户日志、机密信息或攻击字符串。

防御范围

本项目仅用于防御目的。请仅在您拥有或有权审计的系统上运行。

无载荷。无广泛扫描。无利用步骤。

许可证

MIT