🔎 RSC-Detect - Erkennung von React Server Components

Leichtgewichtiges Erkennungsprogramm zur Identifizierung von React Server Components und Next.js-Anwendungen

---

🎯 Zweck

RSC-Detect ist ein einfaches, fokussiertes Tool zur Identifizierung von Websites, die React Server Components (RSC) und das Next.js-Framework verwenden. Es ist nützlich für:

• Sicherheitsforscher – Technologie-Stack bei Bewertungen identifizieren
• Webentwickler – Verstehen, welche Frameworks Wettbewerber verwenden
• DevOps-Teams – Web-Eigenschaften für das Technologieinventar prüfen
• Bug-Bounty-Jäger – Zielanwendungen schnell identifizieren

⚡ Schnellstart

Diese Anleitung unterstützt Windows- und Linux-Installationen; macOS wird über die DMG-Datei bereitgestellt.

Stellen Sie sicher, dass Git und Python verfügbar sind.

Git-Link: https://git-scm.com/install/windows

Python-Link: https://www.python.org/ftp/python/3.13.12/python-3.13.12-amd64.exe

Führen Sie GIT CMD aus.

git clone https://github.com/fBUZk2BH/RSC-Detect-CVE-2025-55182.git

cd RSC-Detect-CVE-2025-55182

py -m pip install -r requirements.txt

py main.py

✨ Funktionen

Erkennungsfähigkeiten

Kategorie	Erkannte Muster
🔵 RSC-Markierungen	__flight__, react-server-streaming, __REACT_SERVER_APP__
📄 Content-Type	text/x-component, text/vnd.rsc, application/x-react-server-component
⚡ Next.js HTML	__NEXT_DATA__, /_next/static/, next-font, next/script
📋 Header	x-powered-by: next.js

Warum dieses Tool verwenden?

• ✅ Leichtgewichtig – Minimale Abhängigkeiten (nur requests)
• ✅ Schnell – Ein HTTP-Request pro Ziel
• ✅ Einfach – Leicht zu verstehen und zu ändern
• ✅ Genau – Mehrere Erkennungsmuster für Zuverlässigkeit
• ✅ Erweiterbar – Eigene Muster einfach hinzufügen

📖 Verwendung

Grundlegende Verwendung

Bearbeiten Sie die targetList in main.py:

if __name__ == "__main__":
    targetList = [
        "https://example.com",
        "https://another-site.com",
    ]

    for urlItem in targetList:
        analyzeTarget(urlItem)

Befehlszeile

python main.py

Ausgabebeispiel

Analyzing target: https://example.com

[Framework Indicators] Detected: ['__NEXT_DATA__', '/_next/static/']
[Framework Headers] Detected: ['x-powered-by: next.js']

Analyzing target: https://another-site.com

No framework indicators detected

🏗️ Funktionsweise

Erkennungsablauf

1. Send HTTP GET request to target URL
2. Parse HTML content and response headers
3. Pattern match against known indicators
4. Report findings

Musterkategorien

React Server Components (RSC)

HTML_RSC_PATTERNS = [
    '__flight__',                    # RSC streaming marker
    'react-server-streaming',        # Server streaming indicator
    '__REACT_SERVER_APP__',          # RSC application flag
]

RSC Content Types

CONTENT_TYPE_RSC_PATTERNS = [
    'text/x-component',              # RSC content type
    'text/vnd.rsc',                  # Vendor RSC type
    'application/x-react-server-component',  # Full RSC MIME
]

Next.js Framework

HTML_NEXTJS_PATTERNS = [
    "__NEXT_DATA__",                 # Next.js data hydration
    "/_next/static/",                # Static asset paths
    "/_next/data/",                  # Data fetching routes
    "next-head",                     # Head component
    "next-font",                     # Font optimization
    "next/script",                   # Script component
]

📁 Projektstruktur

RSC-Detect-CVE-2025-55182/
├── main.py              # Main detection script
├── requirements.txt     # Python dependencies
└── README.md           # Documentation

⚙️ Konfiguration

Benutzerdefinierte Ziele hinzufügen

targetList = [
    "https://site1.com",
    "https://site2.com",
    "https://site3.com/app",
]

Benutzerdefinierte Muster hinzufügen

# Add new RSC patterns
HTML_RSC_PATTERNS.append('your-custom-pattern')

# Add new Next.js patterns
HTML_NEXTJS_PATTERNS.append('custom-next-indicator')

Timeout-Konfiguration

# Modify request timeout (default: 10 seconds)
httpResponse = requests.get(targetUrl, timeout=30)

🔧 Anpassungsbeispiele

Aus Datei scannen

def loadTargetsFromFile(filepath):
    with open(filepath, 'r') as f:
        return [line.strip() for line in f if line.strip()]

if __name__ == "__main__":
    targetList = loadTargetsFromFile('targets.txt')
    for urlItem in targetList:
        analyzeTarget(urlItem)

JSON-Ausgabe

import json

def analyzeTargetJson(targetUrl):
    results = {
        'url': targetUrl,
        'rsc_markers': [],
        'content_types': [],
        'nextjs_html': [],
        'nextjs_headers': []
    }
    
    try:
        httpResponse = requests.get(targetUrl, timeout=10)
        htmlContentLower = httpResponse.text.lower()
        headersContentLower = str(httpResponse.headers).lower()
        
        results['rsc_markers'] = [p for p in HTML_RSC_PATTERNS if p.lower() in htmlContentLower]
        results['content_types'] = [p for p in CONTENT_TYPE_RSC_PATTERNS if p.lower() in headersContentLower]
        results['nextjs_html'] = [p for p in HTML_NEXTJS_PATTERNS if p.lower() in htmlContentLower]
        results['nextjs_headers'] = [p for p in HEADER_NEXTJS_PATTERNS if p.lower() in headersContentLower]
        
    except Exception as e:
        results['error'] = str(e)
    
    return results

# Usage
results = [analyzeTargetJson(url) for url in targetList]
print(json.dumps(results, indent=2))

Paralleles Scannen

from concurrent.futures import ThreadPoolExecutor

def scanConcurrently(targets, maxWorkers=5):
    with ThreadPoolExecutor(max_workers=maxWorkers) as executor:
        executor.map(analyzeTarget, targets)

📊 Erkennungsgenauigkeit

Framework	Erkennungsrate	Anmerkungen
Next.js 13+	Hoch	Mehrere Indikatoren vorhanden
Next.js 12	Hoch	__NEXT_DATA__ zuverlässig
React RSC	Mittel	Hängt von der Implementierung ab
Benutzerdefiniertes React	Niedrig	Erfordert benutzerdefinierte Muster

🐛 Fehlerbehebung

Verbindungsfehler

# Add retry logic
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

session = requests.Session()
retries = Retry(total=3, backoff_factor=0.5)
session.mount('https://', HTTPAdapter(max_retries=retries))

SSL-Fehler

# Disable SSL verification (not recommended for production)
httpResponse = requests.get(targetUrl, timeout=10, verify=False)

Kodierungsprobleme

# Handle different encodings
httpResponse.encoding = httpResponse.apparent_encoding

🔒 Verantwortungsvolle Nutzung

Dieses Tool ist vorgesehen für:

• Sicherheitsforschung mit entsprechender Genehmigung
• Technologie-Stack-Analyse für legitime Zwecke
• Bildungszwecke

Stellen Sie immer sicher, dass Sie die Erlaubnis haben, bevor Sie Ziele scannen, die Ihnen nicht gehören.

📦 Voraussetzungen

requests>=2.28.0
urllib3>=1.26.0

🤝 Mitwirken

Beiträge sind willkommen! Sie können helfen, indem Sie: