React2Shell Hunter

CVE-2025-55182 और CVE-2025-66478 हेतु AWS संगठन-व्यापी डिटेक्शन टूलकिट

---

⚠️ महत्वपूर्ण अस्वीकरण - उपयोग से पहले कृपया पढ़ें

यह टूलकिट उत्पादन AWS वातावरण में परीक्षण नहीं किया गया है।

बुनियादी ढांचे की बाधाओं के कारण, इस परियोजना को केवल कोड समीक्षा, स्थैतिक विश्लेषण और दस्तावेज़ सत्यापन के माध्यम से विकसित और मान्य किया गया है। इसे सक्रिय GuardDuty, WAF, EventBridge, या CloudTrail सेवाओं वाले लाइव AWS वातावरण में तैनात या परीक्षण नहीं किया गया है।

इसका आपके लिए क्या अर्थ है:

घटक	स्थिति
Python स्कैनर लॉजिक	✅ कोड समीक्षित, Snyk मान्य
Terraform सिंटैक्स	✅ मान्य, लागू नहीं
IAM नीतियाँ	⚠️ आपके वातावरण के लिए समायोजन की आवश्यकता हो सकती है
EventBridge नियम	⚠️ AWS दस्तावेज़ीकरण पर आधारित फाइंडिंग पैटर्न
WAF नियम	⚠️ लाइव ट्रैफ़िक पर अपरीक्षित रीजेक्स पैटर्न
Athena क्वेरीज़	⚠️ स्कीमा धारणाओं में संशोधन की आवश्यकता हो सकती है

अनुशंसाएँ:

1. पहले गैर-उत्पादन खाते में तैनात करें - सभी घटकों का सैंडबॉक्स वातावरण में परीक्षण करें
2. IAM नीतियों की सावधानीपूर्वक समीक्षा करें - अपने संगठन की आवश्यकताओं से मेल खाने के लिए अनुमतियाँ समायोजित करें
3. Terraform योजनाओं को मान्य करें - लागू करने से पहले terraform plan चलाएँ और समीक्षा करें
4. EventBridge पैटर्न का परीक्षण करें - सत्यापित करें कि फाइंडिंग प्रकार स्ट्रिंग्स आपके GuardDuty आउटपुट से मेल खाती हैं
5. CloudWatch लॉग्स की निगरानी करें - तैनाती के बाद त्रुटियों की जाँच करें

दायित्व:

यह सॉफ़्टवेयर बिना किसी वारंटी के "जैसा है" प्रदान किया जाता है। लेखक इस टूलकिट के उपयोग से होने वाली किसी भी क्षति, सुरक्षा घटना, या AWS लागत के लिए कोई ज़िम्मेदारी नहीं लेते हैं। अपने जोखिम पर उपयोग करें।

यदि आप इस टूलकिट को सफलतापूर्वक तैनात और परीक्षण करते हैं, तो कृपया इसे समुदाय के लिए बेहतर बनाने हेतु अपने निष्कर्षों को वापस योगदान करने पर विचार करें।

---

AWS वातावरणों में React2Shell शोषण प्रयासों का पता लगाने के लिए एक व्यापक सुरक्षा टूलकिट। यह टूलकिट गंभीर React Server Components RCE भेद्यता के लिए वास्तविक समय पहचान, खतरे का शिकार करने की क्षमताएँ और स्वचालित प्रतिक्रिया प्रदान करता है।

---

विषय-सूची

1. यह टूलकिट क्या पता लगाता है
2. पूर्वापेक्षाएँ
3. स्थापना
4. त्वरित प्रारंभ
5. आर्किटेक्चर गहन अध्ययन
6. घटक संदर्भ
7. तैनाती मार्गदर्शिका
8. IOC संदर्भ
9. समस्या निवारण
10. अक्सर पूछे जाने वाले प्रश्न

---

यह टूलकिट क्या पता लगाता है

CVE-2025-55182 (React Server Components)

• CVSS स्कोर: 10.0 (अधिकतम गंभीरता)
• हमला वेक्टर: नेटवर्क, कोई प्रमाणीकरण आवश्यक नहीं
• मूल कारण: React के "Flight" प्रोटोकॉल में असुरक्षित डिसीरियलाइज़ेशन के माध्यम से प्रोटोटाइप प्रदूषण
• शोषण: __proto__:then हेरफेर process.mainModule.require('child_process').execSync() के माध्यम से मनमाने कोड निष्पादन सक्षम करता है

CVE-2025-66478 (Next.js)

• डाउनस्ट्रीम प्रभाव: संवेदनशील React संस्करणों का उपयोग करने वाले Next.js फ्रेमवर्क
• प्रभावित संस्करण: Next.js 15.0.4, 15.1.8, 15.2.5, 15.3.5, 15.4.7, 15.5.6, 16.0.6, और 14.3.0-canary.77+

हमला श्रृंखला जिसका यह टूलकिट पता लगाता है```

1. INITIAL ACCESS → WAF detects Next-Action header + prototype pollution payloads
2. EXECUTION → GuardDuty ThreatIntelSet detects C2 IP connections
3. CREDENTIAL THEFT → CloudTrail detects GetCallerIdentity from EC2 roles
4. LATERAL MOVEMENT → EventBridge rules detect SSM SendCommand/StartSession
5. EXFILTRATION → DNS exfiltration to ceye.io/dnslog.cn detected
6. CRYPTOMINING → GuardDuty detects cryptocurrency mining activity

---

## पूर्वापेक्षाएँ

### आवश्यक अनुमतियाँ```
# Minimum IAM permissions for the detection script
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudtrail:LookupEvents",
        "logs:StartQuery",
        "logs:GetQueryResults",
        "guardduty:ListDetectors",
        "guardduty:ListFindings",
        "guardduty:GetFindings",
        "guardduty:CreateThreatIntelSet",
        "guardduty:UpdateThreatIntelSet",
        "guardduty:ListThreatIntelSets",
        "guardduty:GetThreatIntelSet",
        "s3:PutObject",
        "s3:GetObject",
        "sts:GetCallerIdentity",
        "sts:AssumeRole"
      ],
      "Resource": "*"
    }
  ]
}

# For Security Hub integration, add:
"securityhub:BatchImportFindings"

# For SNS alerting, add:
"sns:Publish"

# For organization-wide scanning, add:
"organizations:ListAccounts"

सॉफ़्टवेयर आवश्यकताएँ

सॉफ़्टवेयर	संस्करण	उद्देश्य
Python	3.9+	डिटेक्शन स्क्रिप्ट रनटाइम
Terraform	1.0+	इंफ्रास्ट्रक्चर तैनाती
AWS CLI	2.x	AWS प्रमाणीकरण
boto3	1.34+	Python के लिए AWS SDK

---

स्थापना

चरण 1: क्लोन करें और निर्भरताएँ स्थापित करें```bash

Navigate to project

cd React2Shell_Hunter

Create virtual environment (RECOMMENDED)

python3 -m venv venv source venv/bin/activate # On Windows: venv\Scripts\activate

Install dependencies

pip install -r requirements.txt

### चरण 2: AWS क्रेडेंशियल्स कॉन्फ़िगर करें```bash
# Option A: Use AWS CLI profile
aws configure --profile security-scanner

# Option B: Export environment variables
export AWS_ACCESS_KEY_ID="your-access-key"
export AWS_SECRET_ACCESS_KEY="your-secret-key"
export AWS_DEFAULT_REGION="us-east-1"

# Option C: Use IAM role (recommended for EC2/Lambda)
# Attach appropriate IAM role to your compute resource

चरण 3: स्थापना सत्यापित करें```bash

Test AWS connectivity

aws sts get-caller-identity

Test Python dependencies

python -c "import boto3, yaml; print('Dependencies OK')"

Test IOC loading

python -c " import yaml with open('config/iocs.yaml') as f: iocs = yaml.safe_load(f) print(f'Loaded {len(iocs["network_iocs"]["malicious_ips"])} malicious IPs') "

---

## त्वरित आरंभ

### वर्तमान खाता स्कैन करें (पिछले 24 घंटे)```bash
python src/react2shell_detector.py --hours 24

अपेक्षित आउटपुट:``` 2025-12-06 10:00:00 - React2ShellDetector - INFO - ============================================================ 2025-12-06 10:00:00 - React2ShellDetector - INFO - React2Shell IOC Detection Script 2025-12-06 10:00:00 - React2ShellDetector - INFO - CVE-2025-55182 & CVE-2025-66478 2025-12-06 10:00:00 - React2ShellDetector - INFO - ============================================================ 2025-12-06 10:00:00 - React2ShellDetector - INFO - Starting single account scan... 2025-12-06 10:00:00 - React2ShellDetector - INFO - Analyzing CloudTrail logs... 2025-12-06 10:00:05 - React2ShellDetector - INFO - Checking GuardDuty findings...

Total findings: 0 CRITICAL: 0 HIGH: 0 MEDIUM: 0

### पूर्ण प्रोडक्शन स्कैन```bash
python src/react2shell_detector.py \
    --organization \
    --role-name SecurityAuditRole \
    --security-hub \
    --guardduty-bucket my-threat-intel-bucket-12345 \
    --vpc-log-group /aws/vpc/flowlogs \
    --waf-log-group aws-waf-logs-react2shell \
    --sns-topic arn:aws:sns:us-east-1:123456789012:security-alerts \
    --output json \
    --output-file findings-$(date +%Y%m%d).json \
    --hours 72

---

आर्किटेक्चर डीप डाइव

महत्वपूर्ण अवधारणा: GuardDuty डिटेक्शन कैसे काम करता है

आप GUARDDUTY में कस्टम डिटेक्शन नियम नहीं बना सकते।

GuardDuty findings उत्पन्न करने के लिए ML मॉडल और थ्रेट इंटेलिजेंस का उपयोग करता है। React2Shell का पता लगाने के लिए: