مختبر Docker وماسح الكشف والتحقق من إثبات المفهوم: React2Shell (CVE-2025-55182)

إخلاء مسؤولية: تم إنشاء هذا المستودع وملحقات إثبات المفهوم (PoC) فيه لأغراض تعليمية وبحثية وعرض أمني دفاعي فقط داخل بيئة مختبر معزولة. يُحظر تمامًا إجراء اختبارات غير مصرح بها ضد الأنظمة الخارجية.

1. حوكمة المشروع ونطاق التصريح

الغرض من المشروع

يوفر هذا المستودع بيئة Docker قابلة لإعادة الإنتاج مكوّنة من حاويتين، مصممة لتحليل واستغلال والتحقق من التخفيفات الخاصة بثغرة إلغاء تسلسل بروتوكول Flight في مكونات خادم React (RSC)، والتي يُشار إليها شائعًا باسم React2Shell / CVE-2025-55182. يعرض المختبر تأثير ما بعد الاستغلال على بناء Next.js غير مصحح، ويُثبت فعالية التخفيفات على بناء مصحح.

الهدف

• الأهداف ضمن النطاق:
  • http://127.0.0.1:3001 (حاوية react2shell-vulnerable)
  • http://127.0.0.1:3002 (حاوية react2shell-patched)
• خارج النطاق: أي نطاق خارجي، أو واجهة شبكة عامة، أو نظام تشغيل للجهاز المضيف، أو بنية تحتية سحابية.

ضوابط أمان المختبر

• عزل الشبكة: تعمل جميع الحاويات داخل شبكة Docker جسرية خاصة مع تعطيل توجيه الإنترنت الصادر (internal: true).
• ربط الحلقة المحلية: يتم ربط المنافذ المكشوفة بشكل صارم بـ 127.0.0.1 (localhost) لمنع الوصول الخارجي عبر الشبكة المحلية.
• أسرار وهمية: تُستخدم بيانات اعتماد محاكاة (DUMMY_SECRET=LAB_VULNERABLE_SECRET_DO_NOT_USE_12345) لاختبار تسريب البيانات لتجنب تعريض بيانات حساسة.

2. إعداد البيئة وتعليمات التشغيل

المتطلبات الأساسية

• Docker Desktop (المحرك 24.0.0+, Compose v2.20.0+)
• Python (3.8+ — المكتبة القياسية فقط للأتمتة الأساسية)
• cURL (مدمج في WSL أو Linux أو PowerShell)

التثبيت

استنسخ المستودع وتحقق من بيئتك المحلية:

git clone https://github.com/PhanHoangKhang/React2Shell.git

بدء تشغيل المختبر

انتقل إلى دليل lab/ وقم بتهيئة حاويتي البناء المزدوجتين:

cd lab
docker-compose up -d --build
cd ..

كشف الثغرات

شغّل ماسح الكشف في كلا المختبرين:

1. فحص المختبر المصحح

python src/react2shell_scanner.py lab/patched

2. فحص المختبر غير المصحح

python src/react2shell_scanner.py lab/vulnerable

إيقاف المختبر

cd lab
docker-compose stop
cd ..

الاستغلال الديناميكي والتحقق (PoC)

لتنفيذ اختبارات التحقق من الاستغلال والتحقق من أدوات تسريب البيانات، يرجى الرجوع إلى دليل إثبات المفهوم المفصل خطوة بخطوة:

👉 عرض دليل إثبات المفهوم والتحقق من الثغرة (poc_reference.md)

3. التبعيات، تنسيق ملف القفل وقواعد الإصدارات

مصفوفة التبعيات

اختيار ملف القفل ومصادر قواعد الإصدارات

• تنسيق ملف القفل المحدد: NPM package-lock.json (تنسيق v3). يعطي الماسح الثابت أولوية لتحليل شجرة التبعيات المُحلَّلة داخل packages["node_modules/next"] للكشف الدقيق.
• مصادر قواعد الإصدارات: تُشتق تعريفات القواعد الخاصة بـ CVE-2025-55182 من النشرات الأمنية الرسمية لـ Next.js، حيث تُصنَّف جميع إصدارات Next.js الأقدم من 15.0.3 (بما في ذلك بنى 15.0.0-rc) على أنها معرضة لثغرة إلغاء التسلسل في بروتوكول Flight الخاص بـ RSC.

مصدر إثبات المفهوم والالتزام المرجعي

• مصدر إثبات المفهوم: مُشتق من الأبحاث العامة حول أدوات إلغاء تسلسل أجزاء Flight في مكونات خادم React (RSC).