React2Shell-Schwachstellenscanner

Ein sicherer, nicht-invasiver Scanner zur Erkennung von React Server Components (RSC) und Next.js-Schwachstellen mit Remote-Codeausführung (CVE-2025-55182 & CVE-2025-66478).

Übersicht

Dieser Scanner hilft Organisationen zu erkennen, ob ihre Webdienste für die React2Shell-Schwachstelle anfällig sind, die Anwendungen betrifft, die React Server Components und Next.js verwenden. Die Schwachstelle ermöglicht es Angreifern, durch speziell präparierte Multipart-Formulardaten eine Remote-Codeausführung zu erreichen.

Wichtig: Dieser Scanner verwendet ausschließlich sichere Seitenkanal-Erkennungsmethoden und führt keinen Code auf Zielsystemen aus.

Funktionen

• Sichere Erkennungsmethode

  • Seitenkanal-Erkennung mithilfe fehlerhafter Payloads
  • Erkennt verwundbares RSC-Parsing ohne Codeausführung
  • Produktionssicher für Tests an Live-Systemen

• Flexible Scan-Optionen

  • Einzelne URL oder Massenscan aus Datei
  • Paralleler Multithread-Scan
  • Testen benutzerdefinierter Pfade (z. B. /_next, /api)
  • Unterstützung benutzerdefinierter Header

• Ausgabeoptionen

  • Farbige Terminalausgabe
  • JSON-Export für verwundbare Hosts
  • Ausführlicher Modus für detaillierte Analysen
  • Ruhiger Modus für Automatisierung

Installation

Anforderungen

• Python 3.9 oder höher
• pip-Paketmanager

Abhängigkeiten installieren

pip install -r requirements.txt

Oder manuell installieren:

pip install requests tqdm urllib3

Verwendung

Einfacher Scan

Einzelne URL scannen:

python scanner.py -u https://example.com

Mehrere Hosts aus einer Datei scannen:

python scanner.py -l hosts.txt

Erweiterte Optionen

Scan mit benutzerdefinierten Pfaden:

python scanner.py -u https://example.com --path /_next --path /api

Scan mit Pfaden aus einer Datei:

python scanner.py -u https://example.com --path-file paths.txt

Benutzerdefinierte Header:

python scanner.py -u https://example.com -H "Authorization: Bearer token" -H "X-Custom: value"

Multithreaded Scannen:

python scanner.py -l hosts.txt -t 20

Ergebnisse als JSON exportieren:

python scanner.py -l hosts.txt -o results.json

Alle Ergebnisse exportieren (einschließlich nicht verwundbarer):

python scanner.py -l hosts.txt -o results.json --all-results

Ausgabesteuerung

Ausführlicher Modus (Details für alle Hosts anzeigen):

python scanner.py -l hosts.txt -v

Ruhiger Modus (nur verwundbare Hosts anzeigen):

python scanner.py -l hosts.txt -q

Farben deaktivieren:

python scanner.py -l hosts.txt --no-color

Formate der Eingabedateien

Hosts-Datei (hosts.txt)

Ein Host pro Zeile. Zeilen, die mit # beginnen, werden ignoriert.

https://example.com
http://test.example.org
another-site.com
# This is a comment

Pfade-Datei (paths.txt)

Ein Pfad pro Zeile. Pfade werden automatisch mit / präfixiert, falls nicht vorhanden.

/_next
/api
/actions
# Comment lines are ignored

Befehlszeilenoptionen

Option	Beschreibung
-u, --url URL	Einzelne zu scannende URL
-l, --list FILE	Datei mit einer Liste der zu scannenden Hosts
-t, --threads N	Anzahl gleichzeitiger Threads (Standard: 10)
--timeout N	Anfragetimeout in Sekunden (Standard: 10)
-o, --output FILE	Ausgabedatei für Ergebnisse (JSON-Format)
--all-results	Alle Ergebnisse speichern, nicht nur verwundbare Hosts
-k, --insecure	SSL-Zertifikatsprüfung deaktivieren
-H, --header HEADER	Benutzerdefinierter Header (mehrfach verwendbar)
-v, --verbose	Ausführliche Ausgabe (Details für alle Hosts anzeigen)
-q, --quiet	Ruhiger Modus (nur verwundbare Hosts anzeigen)
--no-color	Farbige Ausgabe deaktivieren
--path PATH	Benutzerdefinierter Pfad zum Testen (mehrfach verwendbar)
--path-file FILE	Datei mit einer Liste der zu testenden Pfade

Erkennungslogik

Sichere Seitenkanal-Erkennung

Der Scanner verwendet eine nicht-invasive Erkennungsmethode, die:

• Ein speziell präpariertes, nicht schädliches Multipart-Formulardaten-Payload sendet
• Fehlerantworten beim Parsing verwundbarer RSC (React Server Components) auslöst
• Nach mehreren Schwachstellenindikatoren sucht:

Erkennungsmuster

1. JavaScript-Fehlermeldungen

   • SyntaxError - Weist auf fehlerhaftes JSON-Parsing der Formulardaten hin
   • Unexpected token - Deutet auf eine verwundbare RSC-Deserialisierung hin
   • ReferenceError / TypeError - Offenbart unsicheren Zugriff auf Objekteigenschaften

2. RSC-spezifische Fehlerantworten

   • HTTP-500-Statuscode mit Inhaltstyp text/x-component
   • RSC-Header vorhanden (Vary: RSC, Next-Router-State-Tree)
   • Fehler-Digest im Antworttext (z. B. {"digest":"..."})
   • RSC-Payload-Indikatoren ($@, Fehlerobjekte)

Der Scanner erkennt sowohl ausführliche Fehlermeldungen (ältere Versionen) als auch strukturierte RSC-Fehlerantworten (neuere Versionen) und gewährleistet so eine umfassende Abdeckung verschiedener Next.js-Implementierungen.

Wichtig: Diese Methode führt KEINEN Code auf dem Zielsystem aus. Sie erkennt lediglich anhand der Fehlerantworten, ob das System verwundbar ist.

Beispiel-Workflows

Schnellprüfung für eine einzelne Anwendung

python scanner.py -u https://myapp.com

Umfassender Organisationsscan

# Create hosts file with all your domains
python scanner.py -l organization-hosts.txt -t 20 -o scan-results.json

Scannen mehrerer Pfade

# Create paths.txt with common Next.js endpoints
python scanner.py -l hosts.txt --path-file paths.txt -o results.json

Scannen mit Authentifizierungs-Headern

python scanner.py -u https://myapp.com -H "Cookie: session=abc123" -H "Authorization: Bearer token"

Interpretation der Ergebnisse

Verwundbarer Status

Der Scanner markiert einen Host als VERWUNDBAR, wenn er Folgendes erkennt:

• Syntaxfehler, die auf ein verwundbares RSC-Parsing hinweisen
• „Unexpected token“-Fehler bei der Verarbeitung von Formulardaten
• Referenz- oder Typfehler, die unsicheren Eigenschaftszugriff offenbaren
• HTTP-500-Fehler mit RSC-spezifischen Headern und Inhalten
• Fehler-Digests im RSC-Antwortformat
• Charakteristische Fehlermuster verwundbarer Next.js/RSC-Implementierungen

Was bedeutet „Verwundbar“?

Wenn der Scanner eine Schwachstelle erkennt, bedeutet das:

1. Der Server verarbeitet fehlerhafte RSC-Payloads - Er akzeptiert speziell präparierte Formulardaten und versucht, sie als React Server Components zu parsen
2. Unzureichende Eingabevalidierung - Die Anwendung validiert Multipart-Formulardaten vor der Verarbeitung nicht ordnungsgemäß
3. Potenzial für RCE - In verwundbaren Konfigurationen können Angreifer dies ausnutzen, um Remote-Codeausführung zu erreichen
4. Vektoren für Prototype Pollution - Die Parsing-Schwäche kann für Prototype-Pollution-Angriffe ausgenutzt werden

Risikostufe

• KRITISCH: Server, die RSC-Fehlerantworten zeigen, verarbeiten aktiv schädliche Payloads
• Auswirkung: Remote-Codeausführung, Datendiebstahl, Serverkompromittierung
• Ausnutzbarkeit: Öffentlich bekannte Exploits existieren

Exit-Codes

• 0: Keine Schwachstellen gefunden
• 1: Eine oder mehrere Schwachstellen erkannt

Sicherheitshinweise