Panoramica

React2Shell Toolbox è uno strumento di test di sicurezza progettato per la vulnerabilità di prototype pollution (CVE-2025-55182) nelle React Server Actions di Next.js. Fornisce un'interfaccia GUI intuitiva con funzionalità tra cui verifica POC, interazione con terminale virtuale, ricerca asset FOFA e avanzate capacità di hijacking delle route.

Screenshot

Verifica POC

Terminale Virtuale

Verifica Batch (Integrazione FOFA)

Impostazioni

Funzionalità Principali

✅ Modulo di Verifica POC

• Rilevamento base delle vulnerabilità ed esecuzione di comandi
• Visualizzazione completa della risposta (modalità duale sorgente/anteprima)
• Estrazione dell'output dei comandi
• Interazione con terminale virtuale (supporto Linux/macOS)
• Gestione della cronologia (salvataggio automatico, visualizzazione favicon)
• Integrazione con Monaco Editor

✅ Modulo di Verifica Batch

• Integrazione API FOFA (ricerca, statistiche, informazioni utente)
• 7 dimensioni di aggregazione statistica (protocollo, dominio, porta, titolo, OS, server, posizione)
• Filtri intelligenti e combinazione di più condizioni
• Gestione della cronologia di ricerca
• Controllo della velocità delle richieste e gestione della coda
• Visualizzazione informazioni utente (avatar, stato VIP, saldo F-coin/F-point)

✅ Gestione Impostazioni

• Impostazioni richieste (timeout, certificato SSL)
• Impostazioni proxy (HTTP/HTTPS/SOCKS5)
• Impostazioni FOFA (configurazione API, test connessione, bypass proxy)
• Mirror Cina (accelerazione GitHub)
• Controllo aggiornamenti automatico (opzionale)
• Configurazione funzionalità avanzate (richiede autorizzazione)

Download e Installazione

Scarica il programma di installazione per la tua piattaforma da GitHub Releases:

• Windows: Windows-react2shell-toolbox-{versione}-setup.exe o Windows-react2shell-toolbox-{versione}-portable.exe
• macOS: macOS-react2shell-toolbox-{versione}-x64.dmg (Intel) o macOS-react2shell-toolbox-{versione}-arm64.dmg (Apple Silicon)
• Linux: Linux-react2shell-toolbox-{versione}-x64.AppImage o .deb / .tar.gz

Compilazione dai Sorgenti

Requisiti

• Node.js >= 18
• npm >= 9

Installazione Dipendenze

npm install

Modalità Sviluppo

npm run dev

Compilazione Applicazione

# Windows
npm run build:win

# macOS
npm run build:mac

# Linux
npm run build:linux

# Tutte le piattaforme
npm run build:all

Guida all'Uso

Verifica POC

1. Inserisci l'URL target e il comando
2. Clicca "Esegui Rilevamento"
3. Visualizza i risultati del rilevamento e l'output del comando
4. Passa al "Terminale Virtuale" per l'interazione

Verifica Batch

1. Configura l'API FOFA nelle impostazioni (Ottieni credenziali)
2. Inserisci la query di ricerca FOFA (es. app="Apache-Tomcat")
3. Carica le statistiche e seleziona le condizioni di filtro
4. Visualizza l'elenco degli asset (in arrivo)

Stack Tecnologico

Frontend

• Framework: Vue 3 (Composition API)
• Libreria UI: Vuetify 3 (Material Design)
• Router: Vue Router 4
• Gestione Stato: Pinia
• Editor di Codice: Monaco Editor
• Terminale: xterm.js + xterm-addon-fit

Backend

• Runtime: Electron 39 + Node.js 18+
• Strumenti di Build: Electron Vite + Electron Builder
• Client HTTP: Axios + Node Fetch
• Supporto Proxy: https-proxy-agent + socks-proxy-agent
• Rendering Markdown: marked + highlight.js

Struttura del Progetto

react2shell-toolbox/
├── src/
│   ├── main/                      # Main process Electron
│   │   ├── index.js              # Entry point main process
│   │   ├── poc-handler.js        # Gestore esecuzione POC
│   │   ├── terminal-handler.js   # Gestore terminale virtuale
│   │   ├── fofa-handler.js       # Gestore API FOFA
│   │   ├── github-oauth-handler.js # Gestore OAuth GitHub
│   │   ├── storage-handler.js    # Gestore archiviazione
│   │   └── updater.js            # Gestore aggiornamenti automatici
│   ├── preload/                   # Script di preload
│   │   └── index.js              # Ponte comunicazione IPC
│   └── renderer/                  # Processo renderer (frontend)
│       ├── src/
│       │   ├── components/       # Componenti Vue
│       │   │   ├── poc/         # Componenti verifica POC
│       │   │   ├── batch/       # Componenti verifica batch
│       │   │   └── settings/    # Componenti impostazioni
│       │   ├── views/           # Viste pagina
│       │   ├── stores/          # Gestione stato Pinia
│       │   ├── router/          # Configurazione router
│       │   ├── composables/     # Funzioni composable
│       │   └── App.vue          # Componente radice
│       └── index.html           # Entry HTML
├── resources/                     # Risorse applicazione
│   ├── icon.png                 # Icona app
│   └── icon.ico                 # Icona Windows
├── changelog/                     # Changelog versioni
├── electron-builder.yml          # Configurazione build
└── package.json                  # Configurazione progetto

Moduli Principali

Moduli Main Process

• poc-handler: Gestisce le richieste di esecuzione POC con supporto proxy e bypass certificato SSL
• terminal-handler: Gestisce le sessioni del terminale virtuale e i flussi SSE
• fofa-handler: Incapsula l'API FOFA per ricerche, statistiche e query informazioni utente
• github-oauth-handler: Implementa il flusso OAuth2 di GitHub e verifica delle stelle
• storage-handler: Gestisce l'archiviazione locale (impostazioni, cronologia, cache favicon)
• updater: Gestisce il controllo e il download degli aggiornamenti automatici

Moduli Renderer Process

• stores: Gestione dello stato globale con Pinia (app, impostazioni, POC, FOFA, aggiornamenti)
• composables: Funzioni di composizione riutilizzabili (hijacking POC, gestione terminale, ecc.)
• components: Componenti Vue modulari organizzati per funzionalità

Comunicazione IPC

• Utilizza IPC di Electron per la comunicazione tra processo principale e renderer
• Espone API in modo sicuro al renderer tramite contextBridge
• Supporta comunicazione bidirezionale e ascolto di eventi

Avviso di Sicurezza

⚠️ Questo strumento è destinato esclusivamente a ricerche di sicurezza e test autorizzati

• Non utilizzarlo su sistemi non autorizzati
• Gli utenti sono responsabili di qualsiasi conseguenza
• Consigliato per l'uso solo in ambienti di test controllati

Dettagli della Vulnerabilità

Questo strumento ha come target la vulnerabilità di prototype pollution nelle React Server Actions di Next.js (CVE-2025-55182).

Versioni Affette

• Next.js < 15.1.0
• Next.js < 14.2.22
• Next.js < 13.5.8

Mitigazione

• Aggiornare Next.js all'ultima versione
• Abilitare una validazione rigorosa degli input
• Utilizzare policy CSP per limitare l'esecuzione di script

Roadmap

Completato ✅

• Modulo di verifica POC
• Interazione con terminale virtuale
• Gestione impostazioni (richieste, proxy, FOFA, mirror)
• Controllo aggiornamenti versione
• Integrazione API FOFA
• Aggregazione statistica e filtri
• Funzionalità avanzate (hijacking POC, hijacking batch)
• Integrazione Monaco Editor
• Supporto URL Scheme multipiattaforma

In Corso 🚧

• Visualizzazione elenco asset batch
• Rilevamento POC batch
• Esportazione risultati rilevamento

Pianificato 📋

• Supporto multilingua (Cinese semplificato/Inglese)
• Tema scuro
• Sistema plugin
• Template POC personalizzati
• Generazione report di rilevamento

Licenza

Licenza MIT

Contributori

Grazie a tutti coloro che hanno contribuito a questo progetto!

Come Contribuire

Accogliamo con favore qualsiasi tipo di contributo, inclusi ma non limitati a:

• 🐛 Segnalazioni di bug
• 💡 Suggerimenti per funzionalità
• 📝 Miglioramenti alla documentazione
• 🔧 Correzioni di codice o nuove funzionalità

Consulta la pagina Issues per partecipare alle discussioni, oppure invia direttamente una Pull Request.

Cronologia Stelle

Ringraziamenti

• Team di Next.js
• Comunità Electron
• Comunità Vue.js
• Team FOFA
• Tutti i contributori open-source

Disclaimer: Questo strumento è destinato esclusivamente a ricerche di sicurezza e scopi educativi. Gli utenti devono rispettare le leggi e le normative locali e non devono utilizzarlo per scopi illegali.