🔎 RSC-Detect - Détecteur de composants serveur React

Utilitaire de détection léger pour identifier les composants serveur React et les applications Next.js

---

🎯 Objectif

RSC-Detect est un outil simple et ciblé conçu pour identifier les sites Web utilisant les composants serveur React (RSC) et le framework Next.js. Il est utile pour :

• Chercheurs en sécurité – Identifier la pile technologique lors des évaluations
• Développeurs Web – Comprendre les frameworks utilisés par les concurrents
• Équipes DevOps – Auditer les propriétés Web pour l'inventaire technologique
• Chasseurs de bugs bounty – Fingerprinter rapidement les applications cibles

⚡ Démarrage rapide

Ce guide prend en charge les installations Windows et Linux ; macOS est pris en charge par le fichier DMG.

Assurez-vous que Git et Python sont disponibles.

Lien Git : https://git-scm.com/install/windows

Lien Python : https://www.python.org/ftp/python/3.13.12/python-3.13.12-amd64.exe

Exécutez GIT CMD.

git clone https://github.com/fBUZk2BH/RSC-Detect-CVE-2025-55182.git

cd RSC-Detect-CVE-2025-55182

py -m pip install -r requirements.txt

py main.py

✨ Fonctionnalités

Capacités de détection

Catégorie	Patterns détectés
🔵 Marqueurs RSC	__flight__, react-server-streaming, __REACT_SERVER_APP__
📄 Type de contenu	text/x-component, text/vnd.rsc, application/x-react-server-component
⚡ HTML Next.js	__NEXT_DATA__, /_next/static/, next-font, next/script
📋 En-têtes	x-powered-by: next.js

Pourquoi utiliser cet outil ?

• ✅ Léger – Dépendances minimales (juste requests)
• ✅ Rapide – Une seule requête HTTP par cible
• ✅ Simple – Facile à comprendre et à modifier
• ✅ Précis – Plusieurs patterns de détection pour la fiabilité
• ✅ Extensible – Ajoutez facilement vos propres patterns

📖 Utilisation

Utilisation de base

Modifiez la targetList dans main.py :

if __name__ == "__main__":
    targetList = [
        "https://example.com",
        "https://another-site.com",
    ]

    for urlItem in targetList:
        analyzeTarget(urlItem)

Ligne de commande

python main.py

Exemple de sortie

Analyzing target: https://example.com

[Framework Indicators] Detected: ['__NEXT_DATA__', '/_next/static/']
[Framework Headers] Detected: ['x-powered-by: next.js']

Analyzing target: https://another-site.com

No framework indicators detected

🏗️ Comment ça fonctionne

Flux de détection

1. Envoyer une requête HTTP GET à l'URL cible
2. Analyser le contenu HTML et les en-têtes de réponse
3. Comparer les patterns avec les indicateurs connus
4. Rapporter les résultats

Catégories de patterns

Composants serveur React (RSC)

HTML_RSC_PATTERNS = [
    '__flight__',                    # Marqueur de streaming RSC
    'react-server-streaming',        # Indicateur de streaming serveur
    '__REACT_SERVER_APP__',          # Drapeau d'application RSC
]

Types de contenu RSC

CONTENT_TYPE_RSC_PATTERNS = [
    'text/x-component',              # Type de contenu RSC
    'text/vnd.rsc',                  # Type RSC fournisseur
    'application/x-react-server-component',  # MIME RSC complet
]

Framework Next.js

HTML_NEXTJS_PATTERNS = [
    "__NEXT_DATA__",                 # Hydratation des données Next.js
    "/_next/static/",                # Chemins d'actifs statiques
    "/_next/data/",                  # Routes de récupération de données
    "next-head",                     # Composant head
    "next-font",                     # Optimisation des polices
    "next/script",                   # Composant script
]

📁 Structure du projet

RSC-Detect-CVE-2025-55182/
├── main.py              # Script principal de détection
├── requirements.txt     # Dépendances Python
└── README.md           # Documentation

⚙️ Configuration

Ajout de cibles personnalisées

targetList = [
    "https://site1.com",
    "https://site2.com",
    "https://site3.com/app",
]

Ajout de patterns personnalisés

# Ajouter de nouveaux patterns RSC
HTML_RSC_PATTERNS.append('your-custom-pattern')

# Ajouter de nouveaux patterns Next.js
HTML_NEXTJS_PATTERNS.append('custom-next-indicator')

Configuration du délai d'attente

# Modifier le délai d'attente de la requête (par défaut : 10 secondes)
httpResponse = requests.get(targetUrl, timeout=30)

🔧 Exemples de personnalisation

Analyse depuis un fichier

def loadTargetsFromFile(filepath):
    with open(filepath, 'r') as f:
        return [line.strip() for line in f if line.strip()]

if __name__ == "__main__":
    targetList = loadTargetsFromFile('targets.txt')
    for urlItem in targetList:
        analyzeTarget(urlItem)

Sortie JSON

import json

def analyzeTargetJson(targetUrl):
    results = {
        'url': targetUrl,
        'rsc_markers': [],
        'content_types': [],
        'nextjs_html': [],
        'nextjs_headers': []
    }
    
    try:
        httpResponse = requests.get(targetUrl, timeout=10)
        htmlContentLower = httpResponse.text.lower()
        headersContentLower = str(httpResponse.headers).lower()
        
        results['rsc_markers'] = [p for p in HTML_RSC_PATTERNS if p.lower() in htmlContentLower]
        results['content_types'] = [p for p in CONTENT_TYPE_RSC_PATTERNS if p.lower() in headersContentLower]
        results['nextjs_html'] = [p for p in HTML_NEXTJS_PATTERNS if p.lower() in htmlContentLower]
        results['nextjs_headers'] = [p for p in HEADER_NEXTJS_PATTERNS if p.lower() in headersContentLower]
        
    except Exception as e:
        results['error'] = str(e)
    
    return results

# Utilisation
results = [analyzeTargetJson(url) for url in targetList]
print(json.dumps(results, indent=2))

Analyse concurrente

from concurrent.futures import ThreadPoolExecutor

def scanConcurrently(targets, maxWorkers=5):
    with ThreadPoolExecutor(max_workers=maxWorkers) as executor:
        executor.map(analyzeTarget, targets)

📊 Précision de détection

Framework	Taux de détection	Notes
Next.js 13+	Élevé	Plusieurs indicateurs présents
Next.js 12	Élevé	__NEXT_DATA__ fiable
React RSC	Moyen	Dépend de l'implémentation
React personnalisé	Faible	Nécessite des patterns personnalisés

🐛 Dépannage

Erreurs de connexion

# Ajouter une logique de réessai
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

session = requests.Session()
retries = Retry(total=3, backoff_factor=0.5)
session.mount('https://', HTTPAdapter(max_retries=retries))

Erreurs SSL

# Désactiver la vérification SSL (déconseillé en production)
httpResponse = requests.get(targetUrl, timeout=10, verify=False)

Problèmes d'encodage

# Gérer différents encodages
httpResponse.encoding = httpResponse.apparent_encoding

🔒 Utilisation responsable

Cet outil est destiné à :

• La recherche en sécurité avec une autorisation appropriée
• L'analyse de la pile technologique à des fins légitimes
• Des fins éducatives