React2Shell Hunter

مجموعة أدوات كشف على مستوى مؤسسة AWS لثغرات CVE-2025-55182 و CVE-2025-66478

---

⚠️ إخلاء مسؤولية مهم - يُرجى القراءة قبل الاستخدام

لم يتم اختبار هذه المجموعة في بيئة AWS إنتاجية.

بسبب قيود البنية التحتية، تم تطوير هذا المشروع والتحقق منه فقط من خلال مراجعة الكود، والتحليل الثابت، والتحقق من التوثيق. لم يتم نشره أو اختباره على بيئة AWS حية تحتوي على خدمات GuardDuty أو WAF أو EventBridge أو CloudTrail نشطة.

ماذا يعني هذا بالنسبة لك:

المكوّن	الحالة
منطق الماسح الضوئي بلغة Python	✅ تمت مراجعة الكود والتحقق منه عبر Snyk
صيغة Terraform	✅ تم التحقق منها ولم يتم تطبيقها
سياسات IAM	⚠️ قد تتطلب تعديلًا حسب بيئتك
قواعد EventBridge	⚠️ أنماط النتائج مستندة إلى توثيق AWS
قواعد WAF	⚠️ أنماط Regex غير مختبرة على الحركة المباشرة
استعلامات Athena	⚠️ افتراضات المخطط قد تحتاج إلى تعديل

التوصيات:

1. انشر في حساب غير إنتاجي أولاً - اختبر جميع المكونات في بيئة تجريبية (sandbox)
2. راجع سياسات IAM بعناية - اضبط الصلاحيات لتتوافق مع متطلبات مؤسستك
3. تحقق من خطط Terraform - شغّل terraform plan وراجعها قبل التطبيق
4. اختبر أنماط EventBridge - تحقق من أن سلاسل نوع النتائج تطابق مخرجات GuardDuty لديك
5. راقب سجلات CloudWatch - تحقق من وجود أخطاء بعد النشر

المسؤولية:

يتم توفير هذا البرنامج "كما هو" دون أي ضمان من أي نوع. لا يتحمل المؤلفون أي مسؤولية عن أي ضرر أو حوادث أمنية أو تكاليف AWS المتكبدة نتيجة استخدام هذه المجموعة. استخدمها على مسؤوليتك الخاصة.

إذا قمت بنشر واختبار هذه المجموعة بنجاح، فيُرجى التفكير في المساهمة بنتائجك لتحسينها لصالح المجتمع.

---

مجموعة أدوات أمنية شاملة لكشف محاولات استغلال React2Shell عبر بيئات AWS. توفر هذه المجموعة كشفًا في الوقت الفعلي، وقدرات بحث استباقي عن التهديدات، واستجابة آلية لثغرة RCE الحرجة في React Server Components.

---

جدول المحتويات

1. ماذا تكشف هذه المجموعة
2. المتطلبات الأساسية
3. التثبيت
4. البدء السريع
5. الغوص في البنية المعمارية
6. مرجع المكونات
7. دليل النشر
8. مرجع مؤشرات الاختراق IOC
9. استكشاف الأخطاء وإصلاحها
10. الأسئلة الشائعة

---

ماذا تكشف هذه المجموعة

CVE-2025-55182 (React Server Components)

• درجة CVSS: 10.0 (أقصى خطورة)
• ناقل الهجوم: شبكة، بدون الحاجة إلى مصادقة
• السبب الجذري: تلوث النموذج الأولي (Prototype Pollution) عبر إلغاء تسلسل غير آمن في بروتوكول "Flight" الخاص بـ React
• الاستغلال: معالجة __proto__:then تتيح تنفيذ كود عشوائي عبر process.mainModule.require('child_process').execSync()

CVE-2025-66478 (Next.js)

• التأثير النهائي: أطر Next.js التي تستخدم إصدارات React المعرضة للخطر
• الإصدارات المتأثرة: Next.js 15.0.4 و15.1.8 و15.2.5 و15.3.5 و15.4.7 و15.5.6 و16.0.6 و14.3.0-canary.77+

سلسلة الهجوم التي تكشفها هذه المجموعة```

1. INITIAL ACCESS → WAF detects Next-Action header + prototype pollution payloads
2. EXECUTION → GuardDuty ThreatIntelSet detects C2 IP connections
3. CREDENTIAL THEFT → CloudTrail detects GetCallerIdentity from EC2 roles
4. LATERAL MOVEMENT → EventBridge rules detect SSM SendCommand/StartSession
5. EXFILTRATION → DNS exfiltration to ceye.io/dnslog.cn detected
6. CRYPTOMINING → GuardDuty detects cryptocurrency mining activity

---

## المتطلبات الأساسية

### الأذونات المطلوبة```
# Minimum IAM permissions for the detection script
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudtrail:LookupEvents",
        "logs:StartQuery",
        "logs:GetQueryResults",
        "guardduty:ListDetectors",
        "guardduty:ListFindings",
        "guardduty:GetFindings",
        "guardduty:CreateThreatIntelSet",
        "guardduty:UpdateThreatIntelSet",
        "guardduty:ListThreatIntelSets",
        "guardduty:GetThreatIntelSet",
        "s3:PutObject",
        "s3:GetObject",
        "sts:GetCallerIdentity",
        "sts:AssumeRole"
      ],
      "Resource": "*"
    }
  ]
}

# For Security Hub integration, add:
"securityhub:BatchImportFindings"

# For SNS alerting, add:
"sns:Publish"

# For organization-wide scanning, add:
"organizations:ListAccounts"

متطلبات البرمجيات

البرنامج	الإصدار	الغرض
Python	3.9+	بيئة تشغيل سكربت الاكتشاف
Terraform	1.0+	نشر البنية التحتية
AWS CLI	2.x	مصادقة AWS
boto3	1.34+	AWS SDK للغة Python

---

التثبيت

الخطوة 1: استنساخ المستودع وتثبيت التبعيات```bash

Navigate to project

cd React2Shell_Hunter

Create virtual environment (RECOMMENDED)

python3 -m venv venv source venv/bin/activate # On Windows: venv\Scripts\activate

Install dependencies

pip install -r requirements.txt

### الخطوة 2: تكوين بيانات اعتماد AWS```bash
# Option A: Use AWS CLI profile
aws configure --profile security-scanner

# Option B: Export environment variables
export AWS_ACCESS_KEY_ID="your-access-key"
export AWS_SECRET_ACCESS_KEY="your-secret-key"
export AWS_DEFAULT_REGION="us-east-1"

# Option C: Use IAM role (recommended for EC2/Lambda)
# Attach appropriate IAM role to your compute resource

الخطوة 3: التحقق من التثبيت```bash

Test AWS connectivity

aws sts get-caller-identity

Test Python dependencies

python -c "import boto3, yaml; print('Dependencies OK')"

Test IOC loading

python -c " import yaml with open('config/iocs.yaml') as f: iocs = yaml.safe_load(f) print(f'Loaded {len(iocs["network_iocs"]["malicious_ips"])} malicious IPs') "

---

## بدء سريع

### فحص الحساب الحالي (آخر 24 ساعة)```bash
python src/react2shell_detector.py --hours 24

المخرجات المتوقعة:``` 2025-12-06 10:00:00 - React2ShellDetector - INFO - ============================================================ 2025-12-06 10:00:00 - React2ShellDetector - INFO - React2Shell IOC Detection Script 2025-12-06 10:00:00 - React2ShellDetector - INFO - CVE-2025-55182 & CVE-2025-66478 2025-12-06 10:00:00 - React2ShellDetector - INFO - ============================================================ 2025-12-06 10:00:00 - React2ShellDetector - INFO - Starting single account scan... 2025-12-06 10:00:00 - React2ShellDetector - INFO - Analyzing CloudTrail logs... 2025-12-06 10:00:05 - React2ShellDetector - INFO - Checking GuardDuty findings...

Total findings: 0 CRITICAL: 0 HIGH: 0 MEDIUM: 0

### فحص الإنتاج الكامل```bash
python src/react2shell_detector.py \
    --organization \
    --role-name SecurityAuditRole \
    --security-hub \
    --guardduty-bucket my-threat-intel-bucket-12345 \
    --vpc-log-group /aws/vpc/flowlogs \
    --waf-log-group aws-waf-logs-react2shell \
    --sns-topic arn:aws:sns:us-east-1:123456789012:security-alerts \
    --output json \
    --output-file findings-$(date +%Y%m%d).json \
    --hours 72

---

التعمق في البنية المعمارية

مفهوم أساسي: كيف تعمل ميزة الكشف في GuardDuty

لا يمكنك إنشاء قواعد كشف مخصصة في GuardDuty.

تستخدم GuardDuty نماذج التعلم الآلي ومعلومات التهديدات لتوليد النتائج. للكشف عن React2Shell: