🔎 RSC-Detect - React Server Components Detector

Leichtes Erkennungsdienstprogramm zur Identifizierung von React Server Components und Next.js-Anwendungen

---

🎯 Zweck

RSC-Detect ist ein einfaches, fokussiertes Tool zur Identifizierung von Websites, die React Server Components (RSC) und das Next.js-Framework verwenden. Es ist nützlich für:

• Sicherheitsforscher – Identifizierung des Technologie-Stacks während Bewertungen
• Webentwickler – Verstehen, welche Frameworks Wettbewerber verwenden
• DevOps-Teams – Überprüfung von Web-Eigenschaften für das Technologie-Inventar
• Bug-Bounty-Jäger – Schnelles Fingerprinting von Zielanwendungen

⚡ Schnellstart

# Clone
git clone https://github.com/vijay-shirhatti/RSC-Detect-CVE-2025-55182.git
cd rsc-detect

# Install
pip install -r requirements.txt

# Run
python main.py

✨ Funktionen

Erkennungsfähigkeiten

Kategorie	Erkannte Muster
🔵 RSC-Marker	__flight__, react-server-streaming, __REACT_SERVER_APP__
📄 Content-Type	text/x-component, text/vnd.rsc, application/x-react-server-component
⚡ Next.js HTML	__NEXT_DATA__, /_next/static/, next-font, next/script
📋 Header	x-powered-by: next.js

Warum dieses Tool?

• ✅ Leichtgewichtig - Minimale Abhängigkeiten (nur requests)
• ✅ Schnell - Ein HTTP-Request pro Ziel
• ✅ Einfach - Leicht zu verstehen und zu modifizieren
• ✅ Genau – Mehrere Erkennungsmuster für Zuverlässigkeit
• ✅ Erweiterbar – Eigene Muster einfach hinzufügbar

📖 Verwendung

Grundlegende Verwendung

Bearbeiten Sie die targetList in main.py:

if __name__ == "__main__":
    targetList = [
        "https://example.com",
        "https://another-site.com",
    ]

    for urlItem in targetList:
        analyzeTarget(urlItem)

Kommandozeile

python main.py

Beispielausgabe

Analyzing target: https://example.com

[Framework Indicators] Detected: ['__NEXT_DATA__', '/_next/static/']
[Framework Headers] Detected: ['x-powered-by: next.js']

Analyzing target: https://another-site.com

No framework indicators detected

🏗️ Wie es funktioniert

Erkennungsablauf

1. Send HTTP GET request to target URL
2. Parse HTML content and response headers
3. Pattern match against known indicators
4. Report findings

Musterkategorien

React Server Components (RSC)

HTML_RSC_PATTERNS = [
    '__flight__',                    # RSC streaming marker
    'react-server-streaming',        # Server streaming indicator
    '__REACT_SERVER_APP__',          # RSC application flag
]

RSC Content Types

CONTENT_TYPE_RSC_PATTERNS = [
    'text/x-component',              # RSC content type
    'text/vnd.rsc',                  # Vendor RSC type
    'application/x-react-server-component',  # Full RSC MIME
]

Next.js Framework

HTML_NEXTJS_PATTERNS = [
    "__NEXT_DATA__",                 # Next.js data hydration
    "/_next/static/",                # Static asset paths
    "/_next/data/",                  # Data fetching routes
    "next-head",                     # Head component
    "next-font",                     # Font optimization
    "next/script",                   # Script component
]

📁 Projektstruktur

RSC-Detect-CVE-2025-55182/
├── main.py              # Main detection script
├── requirements.txt     # Python dependencies
└── README.md           # Documentation

⚙️ Konfiguration

Hinzufügen benutzerdefinierter Ziele

targetList = [
    "https://site1.com",
    "https://site2.com",
    "https://site3.com/app",
]

Hinzufügen benutzerdefinierter Muster

# Add new RSC patterns
HTML_RSC_PATTERNS.append('your-custom-pattern')

# Add new Next.js patterns
HTML_NEXTJS_PATTERNS.append('custom-next-indicator')

Timeout-Konfiguration

# Modify request timeout (default: 10 seconds)
httpResponse = requests.get(targetUrl, timeout=30)

🔧 Anpassungsbeispiele

Scan von Datei

def loadTargetsFromFile(filepath):
    with open(filepath, 'r') as f:
        return [line.strip() for line in f if line.strip()]

if __name__ == "__main__":
    targetList = loadTargetsFromFile('targets.txt')
    for urlItem in targetList:
        analyzeTarget(urlItem)

JSON-Ausgabe

import json

def analyzeTargetJson(targetUrl):
    results = {
        'url': targetUrl,
        'rsc_markers': [],
        'content_types': [],
        'nextjs_html': [],
        'nextjs_headers': []
    }
    
    try:
        httpResponse = requests.get(targetUrl, timeout=10)
        htmlContentLower = httpResponse.text.lower()
        headersContentLower = str(httpResponse.headers).lower()
        
        results['rsc_markers'] = [p for p in HTML_RSC_PATTERNS if p.lower() in htmlContentLower]
        results['content_types'] = [p for p in CONTENT_TYPE_RSC_PATTERNS if p.lower() in headersContentLower]
        results['nextjs_html'] = [p for p in HTML_NEXTJS_PATTERNS if p.lower() in htmlContentLower]
        results['nextjs_headers'] = [p for p in HEADER_NEXTJS_PATTERNS if p.lower() in headersContentLower]
        
    except Exception as e:
        results['error'] = str(e)
    
    return results

# Usage
results = [analyzeTargetJson(url) for url in targetList]
print(json.dumps(results, indent=2))

Gleichzeitiges Scannen

from concurrent.futures import ThreadPoolExecutor

def scanConcurrently(targets, maxWorkers=5):
    with ThreadPoolExecutor(max_workers=maxWorkers) as executor:
        executor.map(analyzeTarget, targets)

📊 Erkennungsgenauigkeit

Framework	Erkennungsrate	Anmerkungen
Next.js 13+	Hoch	Mehrere Indikatoren vorhanden
Next.js 12	Hoch	__NEXT_DATA__ zuverlässig
React RSC	Mittel	Abhängig von der Implementierung
Custom React	Niedrig	Erfordert benutzerdefinierte Muster

🐛 Fehlerbehebung

Verbindungsfehler

# Add retry logic
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

session = requests.Session()
retries = Retry(total=3, backoff_factor=0.5)
session.mount('https://', HTTPAdapter(max_retries=retries))

SSL-Fehler

# Disable SSL verification (not recommended for production)
httpResponse = requests.get(targetUrl, timeout=10, verify=False)

Kodierungsprobleme

# Handle different encodings
httpResponse.encoding = httpResponse.apparent_encoding

🔒 Verantwortungsvolle Nutzung

Dieses Tool ist vorgesehen für:

• Sicherheitsforschung mit entsprechender Autorisierung
• Technologieanalyse für legitime Zwecke
• Bildungszwecke

Stellen Sie sicher, dass Sie die Erlaubnis haben, bevor Sie Ziele scannen, die Ihnen nicht gehören.

📦 Anforderungen

requests>=2.28.0
urllib3>=1.26.0

🤝 Mitwirken

Beiträge sind willkommen! Sie können helfen, indem Sie:

• Neue Erkennungsmuster hinzufügen
• Die Genauigkeit verbessern
• Ausgabeformate hinzufügen
• Fehler beheben

📄 Lizenz

MIT-Lizenz – Kostenlos für private und kommerzielle Nutzung.

📚 Verwandte Ressourcen