Next.js RCE Bewertungs-Toolkit

Ein Python-Toolkit zur Validierung und Untersuchung von CVE-2025-55182, auch bekannt als React2Shell, in autorisierten Umgebungen. Die Schwachstelle betrifft React Server Components und kann Anwendungen, die mit Frameworks wie Next.js erstellt wurden, einer nicht authentifizierten Remote-Codeausführung aussetzen. Das Toolkit kombiniert Zielsammlung, Bulk-Validierung, eine interaktive Tests hell, Host-Enumeration und optionale Nachvalidierungsdienstprogramme.

Schwachstelle

CVE: CVE-2025-55182
Name: React2Shell
Klasse: Nicht authentifizierte Remote-Codeausführung
Betroffene Technologie: React Server Components und abhängige Frameworks, einschließlich betroffener Next.js-Konfigurationen
Toolkit-Validierung: hosts_scanner.py führt während der Massenerkennung nur einen festen echo VULN_TEST-Marker aus

Dieses Repository ist eine Bewertungshilfe und kein Ersatz für die Überprüfung der offiziellen Beratung und die Anwendung von Hersteller-Patches.

Fähigkeiten

Tool	Zweck	Ausgabe oder Wirkung
`shodan_parser.py`	Öffnet authentifizierte Shodan-Suchen aus einer Abfrageliste und sammelt normalisierte HTTP(S)-Ursprünge.	Hängt eindeutige Hosts an `files/targets.txt` an.
`hosts_scanner.py`	Überprüft gleichzeitig eine Zielliste mit einem festen `VULN_TEST`-Befehl.	Schreibt bestätigte Ziele in `files/vulnerable.txt` und erfolglose Ziele in `files/trash.txt`.
`exploit.py`	Validiert ein Ziel erneut und bietet eine interaktive Befehlssitzung.	Gibt die Remote-Befehlsausgabe im Terminal aus.
`universal_scanner.py`	Sammelt System-, Container-, Netzwerk-, Dateisystem-, Prozess-, Credential-Exposure- und Privilegienrisiko-Informationen.	Speichert detaillierte Ergebnisse in `scan_results.json`.
`infrastructure/universal_download.py`	Überträgt eine Remote-Datei über den Befehlskanal in fortsetzbaren Base64-Blöcken.	Erstellt oder setzt eine lokale Datei fort und überprüft ihre Größe.
`infrastructure/mongo_proxy.py`	Nutzt den validierten Host als Netzwerkpfad für MongoDB-Inventarisierung und begrenzte Stichproben.	Listet Datenbanken, Collections, Anzahlen und eine kleine Stichprobe auf.
`infrastructure/mongo_dump.py`	Exportiert eine MongoDB-Datenbank oder alle Nicht-System-Datenbanken mit einem Limit pro Collection.	Erstellt eine JSON-Datei unter `/tmp` auf dem bewerteten Host.
`infrastructure/aws_dump.py`	Inventarisiert AWS-Ressourcen, die einer ECS-Task-Rolle zur Verfügung stehen.	Erstellt eine JSON-Datei unter `/tmp`; kann sensible Werte enthalten.
`infrastructure/install_ssh_key.py`	Fügt einen öffentlichen Schlüssel zur `authorized_keys` des aktuellen Remote-Benutzers hinzu.	Ändert die Remote-SSH-Konfiguration und stellt Persistenz her.
`infrastructure/trace_cleaner.py`	Entfernt Toolkit-Artefakte und versucht, Verläufe, Caches und Protokolle zu löschen.	Ändert Remote-Dateien destruktiv; nur während einer genehmigten Bereinigungsübung verwenden.

Die RCE-abhängigen Tools erwarten ein Linux-ähnliches Ziel mit gängigen Shell-Dienstprogrammen. Einige Infrastrukturhelfer erwarten zusätzlich, dass Node.js und die relevanten npm-Pakete bereits auf dem bewerteten Host verfügbar sind.

Anforderungen

Python 3.10 oder neuer
Netzwerkzugriff auf das autorisierte Ziel
Chromium, installiert über Playwright, für shodan_parser.py
Ein Shodan-Konto für die Zielsammlung

Installation

python -m venv .venv

Aktivieren Sie die Umgebung:

# Linux oder macOS
source .venv/bin/activate

# Windows PowerShell
.\.venv\Scripts\Activate.ps1

Abhängigkeiten installieren:

python -m pip install -r requirements.txt
python -m playwright install chromium

Für die Shodan-Sammlung kopieren Sie .env.example nach .env und setzen Sie LOGIN und PASSWORD. Committen Sie niemals .env.

Typischer Arbeitsablauf

Setzen Sie eine Shodan-Abfrage pro Zeile in files/queries.txt oder platzieren Sie autorisierte Ziele direkt in files/targets.txt.
Optional Ziele mit python shodan_parser.py sammeln.
Führen Sie die Massenprüfung mit dem festen Marker aus:

python hosts_scanner.py --file files/targets.txt --concurrency 50 --timeout 30

Überprüfen Sie files/vulnerable.txt und bestätigen Sie manuell Eigentum und Umfang, bevor Sie ein Befehlsausführungs- oder Infrastrukturdienstprogramm ausführen.

Um die Überspringliste des Scanners zurückzusetzen:

python hosts_scanner.py --file files/targets.txt --clear-trash

Einzelziel-Tools

python exploit.py https://ziel.example
python universal_scanner.py https://ziel.example

Infrastrukturdienstprogramme:

python infrastructure/universal_download.py <ZIEL> <REMOTE_PFAD> [LOKALE_DATEI] [BLOCKGRÖSSE]
python infrastructure/mongo_proxy.py <ZIEL> <MONGODB_URI>
python infrastructure/mongo_dump.py <ZIEL> <MONGODB_URI> <DATENBANK|ALLE> [AUSGABEDATEI] [LIMIT]
python infrastructure/aws_dump.py <ZIEL> [AUSGABEDATEI]
python infrastructure/install_ssh_key.py <ZIEL> [ÖFFENTLICHER_SCHLÜSSEL_PFAD]
python infrastructure/trace_cleaner.py <ZIEL>

Führen Sie jedes Skript ohne Argumente aus, um die vollständige Befehlszeilenhilfe anzuzeigen.

Einschränkungen

Die TLS-Zertifikatsüberprüfung ist in den aktuellen HTTP-Client-Aufrufen deaktiviert.
Die Erkennung hängt von den Antwortformaten ab, die vom betroffenen Next.js-Verhalten verwendet werden.
Remote-Befehle setzen Tools wie bash, base64, dd und timeout voraus.
Cloud- und Datenbankergebnisse sind durch die Berechtigungen der Remote-Identität eingeschränkt.
Das Toolkit bietet keine Abhilfe oder beweist, dass ein Ziel im Umfang liegt.

Beliebteste

react2shell-toolkit