React2Shell Detector

امتداد كروم لكشف ثغرات React2Shell (CVE-2025-55182 & CVE-2025-66478) في تطبيقات الويب.

نظرة عامة

React2Shell Detector هو امتداد متصفح يساعد باحثي الأمن ومطوّري الويب في تحديد ثغرات React2Shell المحتملة في تطبيقات الويب. يرسل الامتداد حمولات كشف آمنة إلى عناوين URL المستهدفة ويحلل الاستجابات لتحديد ما إذا كان التطبيق عرضة للخطر.

هذا المشروع مستوحى من ومبني على سكربت بايثون react2shell-scanner من إعداد Assetnote، وأُعيد تنفيذه كامتداد كروم لتسهيل الفحص من داخل المتصفح.

الميزات

• فحص بنقرة واحدة: افحص التبويب الحالي أو أي عنوان URL بنقرة واحدة
• كشف آمن: يستخدم حمولات غير تخريبية لكشف الثغرات
• نتائج مفصّلة: اعرض ترويسات HTTP وأجسام الاستجابة وتفاصيل الطلب
• الوضع الداكن: مبدّل ثيم مدمج لعرض مريح
• واجهة عصرية: واجهة نظيفة ومتجاوبة مبنية باستخدام React و Tailwind CSS
• التركيز على الخصوصية: يتم كل الفحص محليًا - لا تُرسل أي بيانات إلى خوادم خارجية

لقطات الشاشة

التثبيت

الخيار 1: التثبيت من متجر كروم الإلكتروني (قريبًا)

سيصبح الامتداد متاحًا على متجر كروم الإلكتروني قريبًا.

الخيار 2: التثبيت من المصدر (وضع المطوّر)

المتطلبات الأساسية

• Node.js (v20 أو أحدث)
• pnpm (v10.19.0 أو أحدث)
• متصفح Google Chrome

خطوات البناء

1. استنساخ المستودع

   root@kitploit:~

   git clone https://github.com/xiaopeng-ye/react2shell-detector.git
   cd react2shell-detector
   

2. تثبيت التبعيات

   root@kitploit:~

   pnpm install
   

3. بناء الامتداد

   للتطوير (مع إعادة التحميل السريع):

   root@kitploit:~

   pnpm dev
   

   للإنتاج:

   root@kitploit:~

   pnpm build
   

4. تحميل الامتداد في Chrome

   1. افتح Chrome وانتقل إلى chrome://extensions/
   2. فعّل وضع المطوّر (المبدّل في الزاوية العلوية اليمنى)
   3. انقر على تحميل غير مضغوط
   4. اختر مجلد البناء:
      • لبناء التطوير: build/chrome-mv3-dev
      • لبناء الإنتاج: build/chrome-mv3-prod
   5. يجب أن يظهر الآن امتداد React2Shell Detector في قائمة الامتدادات لديك

5. تثبيت الامتداد (اختياري)

   • انقر على أيقونة البازل في شريط أدوات Chrome
   • ابحث عن "React2Shell Detector" وانقر على أيقونة التثبيت
   • ستظهر أيقونة الامتداد الآن في شريط الأدوات لديك

الاستخدام

1. افتح الامتداد

   • انقر على أيقونة React2Shell Detector في شريط أدوات Chrome
   • أو استخدم اختصار لوحة المفاتيح (إذا تم تكوينه)

2. افحص عنوان URL

   • سيتم تحميل عنوان URL الخاص بالتبويب الحالي تلقائيًا
   • يمكنك تعديل العنوان أو إدخال عنوان مختلف
   • انقر على زر Scan

3. راجع النتائج

   • عرضة للخطر: قد يكون التطبيق عرضة لهجمات React2Shell
   • آمن: لم يتم اكتشاف أي ثغرة
   • خطأ: واجه الفحص خطأً (مشكلة في الشبكة، انتهاء المهلة، إلخ.)

4. عرض التفاصيل

   • انقر على تبويبي Request أو Response لعرض معلومات مفصلة
   • راجع ترويسات HTTP ورموز الحالة وأجسام الاستجابة

التقنيات المستخدمة

• الإطار البرمجي: Plasmo - إطار حديث لبناء امتدادات المتصفح
• واجهة المستخدم: React 18 مع TypeScript
• التنسيق: Tailwind CSS 4
• المكونات: بدائيات Radix UI
• الأيقونات: Lucide React
• الثيم: next-themes لدعم الوضع الداكن

التطوير

هيكل المشروع

react2shell-detector/
├── components/         # React components
│   ├── ui/            # Reusable UI components
│   ├── ScanForm.tsx   # URL input and scan button
│   ├── ScanResult.tsx # Results display
│   └── ...
├── lib/               # Core logic
│   ├── detector.ts    # Vulnerability detection logic
│   ├── payload.ts     # Payload generation
│   ├── types.ts       # TypeScript type definitions
│   └── utils.ts       # Helper functions
├── styles/            # Global styles
├── popup.tsx          # Extension popup entry point
├── background.ts      # Background service worker
└── package.json       # Project configuration

الأوامر المتاحة

# Development mode with hot-reload
pnpm dev

# Production build
pnpm build

# Package for distribution
pnpm package

# Format code
pnpm prettier --write .

نمط الكود

يستخدم هذا المشروع Prettier مع الاصطلاحات التالية:

• لا فاصلة منقوطة
• علامات اقتباس مزدوجة
• مسافة بادئة بمقدار مسافتين
• فرز الاستيرادات (Node.js ← الطرف الثالث ← Plasmo ← المحلي ← النسبي)

قم دائمًا بتنسيق الكود قبل الالتزام (commit):

pnpm prettier --write .

الأمن والأخلاقيات

مهم: صُممت هذه الأداة من أجل:

• البحث الأمني واختبار الاختراق المصرح به
• تقييم الثغرات مع الحصول على التفويض المناسب
• الأغراض التعليمية
• إجراءات الأمن الدفاعي

ليست من أجل:

• الاختبار أو الفحص غير المصرح به للأنظمة التي لا تملكها أو ليس لديك إذن بفحصها
• الأنشطة الضارة أو الاستغلال
• أي أنشطة غير قانونية

احصل دائمًا على التفويض المناسب قبل فحص أي تطبيق ويب.

المساهمة

المساهمات مرحب بها! لا تتردد في تقديم طلب سحب (Pull Request).

1. انسخ (Fork) المستودع
2. أنشئ فرع الميزة الخاص بك (git checkout -b feature/amazing-feature)
3. نفّذ الالتزام بتغييراتك (git commit -m 'Add some amazing feature')
4. ادفع إلى الفرع (git push origin feature/amazing-feature)
5. افتح طلب سحب (Pull Request)

المراجع

• React2Shell Scanner - سكربت بايثون الأصلي من إعداد Assetnote (يستند هذا المشروع إلى عملهم)
• CVE-2025-55182
• CVE-2025-66478

شكر وتقدير

هذا المشروع مبني على البحث والعمل الممتازين من Assetnote. تم اقتباس منطق الكشف الأساسي من سكربت بايثون الخاص بهم react2shell-scanner.

الترخيص

هذا المشروع مرخّص بموجب رخصة MIT - راجع ملف LICENSE للتفاصيل.

إخلاء المسؤولية

هذه الأداة مُقدمة للأغراض التعليمية واختبارات الأمن المصرح بها فقط. لا يتحمل المؤلفون والمساهمون أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة. تأكد دائمًا من حصولك على التفويض المناسب قبل فحص أي تطبيق ويب.

الدعم

إذا واجهت أي مشكلات أو كانت لديك أسئلة:

• افتح issue