نظرة عامة

React2Shell Toolbox هي أداة اختبار أمني مصممة لثغرة تلوث النموذج الأولي في Next.js React Server Actions (CVE-2025-55182). توفر واجهة رسومية سهلة الاستخدام مع ميزات تشمل التحقق من POC، والتفاعل مع الطرفية الافتراضية، والبحث عن أصول FOFA، وقدرات متقدمة لاختطاف المسارات.

لقطات الشاشة

التحقق من POC

الطرفية الافتراضية

التحقق الجماعي (تكامل FOFA)

الإعدادات

الميزات الأساسية

✅ وحدة التحقق من POC

• كشف الثغرات الأساسي وتنفيذ الأوامر
• عرض الاستجابة الكاملة (الوضع المزدوج مصدر/معاينة)
• استخراج مخرجات الأوامر
• تفاعل الطرفية الافتراضية (دعم Linux/macOS)
• إدارة السجل (الحفظ التلقائي، عرض الأيقونة المفضلة)
• تكامل محرر Monaco

✅ وحدة التحقق الجماعي

• تكامل FOFA API (البحث، الإحصائيات، معلومات المستخدم)
• 7 أبعاد للتجميع الإحصائي (البروتوكول، النطاق، المنفذ، العنوان، نظام التشغيل، الخادم، الموقع)
• تصفية ذكية والدمج متعدد الشروط
• إدارة سجل البحث
• التحكم في معدل الطلبات وإدارة قائمة الانتظار
• عرض معلومات المستخدم (الصورة الرمزية، حالة VIP، رصيد F-coin/F-point)

✅ إدارة الإعدادات

• إعدادات الطلب (المهلة، شهادة SSL)
• إعدادات الوكيل (HTTP/HTTPS/SOCKS5)
• إعدادات FOFA (تكوين API، اختبار الاتصال، تجاوز الوكيل)
• المرآة الصينية (تسريع GitHub)
• التحقق من التحديث التلقائي (اختياري)
• تكوين الميزات المتقدمة (يتطلب ترخيصًا)

التحميل والتثبيت

قم بتنزيل مثبّت نظامك الأساسي من إصدارات GitHub:

• Windows: Windows-react2shell-toolbox-{version}-setup.exe أو Windows-react2shell-toolbox-{version}-portable.exe
• macOS: macOS-react2shell-toolbox-{version}-x64.dmg (Intel) أو macOS-react2shell-toolbox-{version}-arm64.dmg (Apple Silicon)
• Linux: Linux-react2shell-toolbox-{version}-x64.AppImage أو .deb / .tar.gz

البناء من المصدر

المتطلبات

• Node.js >= 18
• npm >= 9

تثبيت التبعيات

npm install

وضع التطوير

npm run dev

بناء التطبيق

# Windows
npm run build:win

# macOS
npm run build:mac

# Linux
npm run build:linux

# All platforms
npm run build:all

دليل الاستخدام

التحقق من POC

1. أدخل عنوان URL الهدف والأمر
2. انقر على "تنفيذ الكشف"
3. اعرض نتائج الكشف ومخرجات الأوامر
4. انتقل إلى "الطرفية الافتراضية" للتفاعل

التحقق الجماعي

1. قم بتكوين FOFA API في الإعدادات (احصل على بيانات الاعتماد)
2. أدخل استعلام بحث FOFA (مثل: app="Apache-Tomcat")
3. قم بتحميل الإحصائيات وحدد شروط التصفية
4. اعرض قائمة الأصول (قريبًا)

حزمة التقنيات

الواجهة الأمامية

• الإطار: Vue 3 (Composition API)
• مكتبة واجهة المستخدم: Vuetify 3 (Material Design)
• الموجّه: Vue Router 4
• إدارة الحالة: Pinia
• محرر الأكواد: Monaco Editor
• الطرفية: xterm.js + xterm-addon-fit

الواجهة الخلفية

• بيئة التشغيل: Electron 39 + Node.js 18+
• أدوات البناء: Electron Vite + Electron Builder
• عميل HTTP: Axios + Node Fetch
• دعم الوكيل: https-proxy-agent + socks-proxy-agent
• عرض Markdown: marked + highlight.js

هيكل المشروع

react2shell-toolbox/
├── src/
│   ├── main/                      # Electron main process
│   │   ├── index.js              # Main process entry
│   │   ├── poc-handler.js        # POC execution handler
│   │   ├── terminal-handler.js   # Virtual terminal handler
│   │   ├── fofa-handler.js       # FOFA API handler
│   │   ├── github-oauth-handler.js # GitHub OAuth handler
│   │   ├── storage-handler.js    # Storage management handler
│   │   └── updater.js            # Auto-update handler
│   ├── preload/                   # Preload scripts
│   │   └── index.js              # IPC communication bridge
│   └── renderer/                  # Renderer process (frontend)
│       ├── src/
│       │   ├── components/       # Vue components
│       │   │   ├── poc/         # POC verification components
│       │   │   ├── batch/       # Batch verification components
│       │   │   └── settings/    # Settings components
│       │   ├── views/           # Page views
│       │   ├── stores/          # Pinia state management
│       │   ├── router/          # Router configuration
│       │   ├── composables/     # Composable functions
│       │   └── App.vue          # Root component
│       └── index.html           # HTML entry
├── resources/                     # Application resources
│   ├── icon.png                 # App icon
│   └── icon.ico                 # Windows icon
├── changelog/                     # Version changelogs
├── electron-builder.yml          # Build configuration
└── package.json                  # Project configuration

الوحدات الأساسية

وحدات العملية الرئيسية

• poc-handler: يتعامل مع طلبات تنفيذ POC مع دعم الوكيل وتجاوز شهادة SSL
• terminal-handler: يدير جلسات الطرفية الافتراضية وتدفقات SSE
• fofa-handler: يغلّف FOFA API للبحث والإحصائيات واستعلامات معلومات المستخدم
• github-oauth-handler: ينفّذ تدفق GitHub OAuth2 والتحقق من Star
• storage-handler: يدير التخزين المحلي (الإعدادات، السجل، ذاكرة التخزين المؤقت للأيقونات المفضلة)
• updater: يتعامل مع فحوصات التحديث التلقائي والتنزيلات

وحدات عملية العرض

• stores: إدارة الحالة العامة باستخدام Pinia (التطبيق، الإعدادات، POC، FOFA، التحديث)
• composables: دوال تركيب قابلة لإعادة الاستخدام (اختطاف POC، إدارة الطرفية، إلخ.)
• components: مكونات Vue معيارية منظمة حسب الوظيفة

اتصال IPC

• يستخدم Electron IPC للتواصل بين العملية الرئيسية وعملية العرض
• يعرّض واجهات برمجة التطبيقات (APIs) بأمان لعملية العرض عبر contextBridge
• يدعم الاتصال ثنائي الاتجاه والاستماع إلى الأحداث

تحذير أمني

⚠️ هذه الأداة مخصصة للبحث الأمني والاختبار المصرح به فقط

• لا تستخدمها على أنظمة غير مصرح بها
• المستخدمون مسؤولون عن أي عواقب
• يُنصح باستخدامها فقط في بيئات اختبار خاضعة للتحكم

تفاصيل الثغرة

تستهدف هذه الأداة ثغرة تلوث النموذج الأولي في Next.js React Server Actions (CVE-2025-55182).

الإصدارات المتأثرة

• Next.js < 15.1.0
• Next.js < 14.2.22
• Next.js < 13.5.8

التخفيف

• قم بترقية Next.js إلى أحدث إصدار
• فعّل التحقق الصارم من المدخلات
• استخدم سياسات CSP لتقييد تنفيذ البرامج النصية

خارطة الطريق

مكتمل ✅

• وحدة التحقق من POC
• تفاعل الطرفية الافتراضية
• إدارة الإعدادات (الطلب، الوكيل، FOFA، المرآة)
• فحص تحديث الإصدار
• تكامل FOFA API
• التجميع الإحصائي والتصفية
• الميزات المتقدمة (اختطاف POC، الاختطاف الجماعي)
• تكامل محرر Monaco
• دعم URL Scheme عبر المنصات

قيد التنفيذ 🚧

• عرض قائمة الأصول الجماعية
• كشف POC الجماعي
• تصدير نتائج الكشف

مخطط له 📋

• دعم متعدد اللغات (الصينية المبسطة/الإنجليزية)
• السمة الداكنة
• نظام الإضافات
• قوالب POC مخصصة
• إنشاء تقارير الكشف

الترخيص

رخصة MIT

المساهمون

شكرًا لجميع المساهمين الذين ساعدوا في هذا المشروع!

كيفية المساهمة

نرحب بجميع أشكال المساهمات، بما في ذلك على سبيل المثال لا الحصر:

• 🐛 تقارير الأخطاء
• 💡 اقتراحات الميزات
• 📝 تحسينات التوثيق
• 🔧 إصلاحات الأكواد أو ميزات جديدة

يرجى مراجعة صفحة القضايا للمشاركة في المناقشات، أو إرسال Pull Request مباشرة.

سجل النجوم

شكر وتقدير

• فريق Next.js
• مجتمع Electron
• مجتمع Vue.js
• فريق FOFA
• جميع المساهمين مفتوحي المصدر

إخلاء مسؤولية: هذه الأداة مخصصة لأغراض البحث الأمني والتعليم فقط. يجب على المستخدمين الامتثال للقوانين واللوائح المحلية ويجب ألا يستخدموها لأغراض غير قانونية.