⚛️ React2Shell (CVE-2025-55182)

Fortschrittliches Exploitation-Toolkit für Next.js Server Actions (CVE-2025-55182).

React2Shell ist ein leistungsstarker, interaktiver Shell-Wrapper, der entwickelt wurde, um die React2Shell-Sicherheitslücke auszunutzen. Es geht über einfache RCE hinaus, indem es Befehlsverlauf, Dateiübertragungsfunktionen und automatisierte Privilegien-Eskalationsstrategien bietet.

🚀 Funktionen

• Ausführbare Einzeldatei: Konsolidiert Exploit-Logik und Shell-Interface in einem Skript. Keine externen Abhängigkeiten.
• Interaktive Shell: Vollwertige Pseudo-Terminal-Erfahrung mit Befehlsverlauf.
• Automatische Root-Eskalation: Integrierte Pipe-Injektionsstrategie (base64 | sudo -i), um Shell-Einschränkungen zu umgehen und sofort Root zu erlangen.
• Dateioperationen:
  • .download <remote> [local]: Zuverlässiger binär-sicherer Dateidownload mittels Base64-Kodierung.
  • .save: Befehlsausgabe in lokale Beweissicherungsdateien speichern.
• Base64-Umgehung: Kodiert Payloads automatisch, um grundlegende WAF-Filter und Shell-Quoting-Probleme zu umgehen.

Screenshots

🛠️ Installation

git clone https://github.com/xalgord/React2Shell.git
cd React2Shell
pip install requests

💻 Verwendung

Grundlegende Verwendung

python3 react2shell.py -u https://target-nextjs-site.com/

Erweiterte Verwendung

Ausführen mit verifizierter Erkennung der Root-Persistenzstrategie:

python3 react2shell.py -u https://target.com/

🎮 Befehlsinterface

Once inside the shell:

Beispielsitzung

ubuntu@target:~$ id
uid=1000(ubuntu) gid=1000(ubuntu) groups=1000(ubuntu)...

ubuntu@target:~$ .root
[*] Root mode ENABLED

root@target:~$ id
uid=0(root) gid=0(root) groups=0(root)

⚠️ Haftungsausschluss

NUR ZU BILDUNGSZWECKEN. Dieses Tool ist ausschließlich für Sicherheitsforschung und autorisierte Tests bestimmt. Die Autoren übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Scannen oder exploitieren Sie keine Ziele, für die Sie keine ausdrückliche Erlaubnis zum Testen haben.

Entwickelt für ethische Penetrationstests und Red-Teaming-Operationen.