React2Shell Detector

Un'estensione Chrome per rilevare le vulnerabilità React2Shell (CVE-2025-55182 e CVE-2025-66478) nelle applicazioni web.

Panoramica

React2Shell Detector è un'estensione del browser che aiuta i ricercatori di sicurezza e gli sviluppatori web a identificare potenziali vulnerabilità React2Shell nelle applicazioni web. L'estensione invia payload di rilevamento sicuri agli URL target e analizza le risposte per determinare se l'applicazione è vulnerabile.

Questo progetto è ispirato e basato sullo script Python react2shell-scanner di Assetnote, reimplementato come estensione Chrome per una scansione più semplice direttamente dal browser.

Caratteristiche

• Scansione con un clic: scansiona la scheda corrente o qualsiasi URL con un solo clic
• Rilevamento sicuro: utilizza payload non distruttivi per il rilevamento delle vulnerabilità
• Risultati dettagliati: visualizza header HTTP, corpi delle risposte e dettagli delle richieste
• Modalità scura: tema integrato con attivazione/disattivazione per una visualizzazione confortevole
• Interfaccia moderna: interfaccia pulita e reattiva realizzata con React e Tailwind CSS
• Privacy al primo posto: tutta la scansione avviene localmente - nessun dato viene inviato a server esterni

Screenshot

Installazione

Opzione 1: installa dal Chrome Web Store (in arrivo)

L'estensione sarà presto disponibile sul Chrome Web Store.

Opzione 2: installa dal codice sorgente (modalità sviluppatore)

Prerequisiti

• Node.js (v20 o superiore)
• pnpm (v10.19.0 o superiore)
• Browser Google Chrome

Passaggi di build

1. Clona il repository

   root@kitploit:~

   git clone https://github.com/xiaopeng-ye/react2shell-detector.git
   cd react2shell-detector
   

2. Installa le dipendenze

   root@kitploit:~

   pnpm install
   

3. Compila l'estensione

   Per lo sviluppo (con hot-reload):

   root@kitploit:~

   pnpm dev
   

   Per la produzione:

   root@kitploit:~

   pnpm build
   

4. Carica l'estensione in Chrome

   1. Apri Chrome e vai su chrome://extensions/
   2. Attiva la Modalità sviluppatore (interruttore nell'angolo in alto a destra)
   3. Fai clic su Carica estensione non pacchettizzata
   4. Seleziona la directory di build:
      • Per la build di sviluppo: build/chrome-mv3-dev
      • Per la build di produzione: build/chrome-mv3-prod
   5. L'estensione React2Shell Detector dovrebbe ora apparire nell'elenco delle tue estensioni

5. Fissa l'estensione (facoltativo)

   • Fai clic sull'icona a forma di puzzle nella barra degli strumenti di Chrome
   • Trova "React2Shell Detector" e fai clic sull'icona della puntina
   • L'icona dell'estensione apparirà ora nella tua barra degli strumenti

Utilizzo

1. Apri l'estensione

   • Fai clic sull'icona di React2Shell Detector nella barra degli strumenti di Chrome
   • Oppure usa la scorciatoia da tastiera (se configurata)

2. Scansiona un URL

   • L'URL della scheda corrente verrà caricato automaticamente
   • Puoi modificare l'URL o inserirne uno diverso
   • Fai clic sul pulsante Scansiona

3. Esamina i risultati

   • Vulnerabile: l'applicazione potrebbe essere vulnerabile agli attacchi React2Shell
   • Sicuro: nessuna vulnerabilità rilevata
   • Errore: la scansione ha riscontrato un errore (problema di rete, timeout, ecc.)

4. Visualizza i dettagli

   • Fai clic sulle schede Richiesta o Risposta per vedere informazioni dettagliate
   • Esamina header HTTP, codici di stato e corpi delle risposte

Stack tecnologico

• Framework: Plasmo - framework moderno per estensioni del browser
• UI: React 18 con TypeScript
• Stili: Tailwind CSS 4
• Componenti: primitive Radix UI
• Icone: Lucide React
• Tema: next-themes per il supporto alla modalità scura

Sviluppo

Struttura del progetto

react2shell-detector/
├── components/         # React components
│   ├── ui/            # Reusable UI components
│   ├── ScanForm.tsx   # URL input and scan button
│   ├── ScanResult.tsx # Results display
│   └── ...
├── lib/               # Core logic
│   ├── detector.ts    # Vulnerability detection logic
│   ├── payload.ts     # Payload generation
│   ├── types.ts       # TypeScript type definitions
│   └── utils.ts       # Helper functions
├── styles/            # Global styles
├── popup.tsx          # Extension popup entry point
├── background.ts      # Background service worker
└── package.json       # Project configuration

Comandi disponibili

# Development mode with hot-reload
pnpm dev

# Production build
pnpm build

# Package for distribution
pnpm package

# Format code
pnpm prettier --write .

Stile del codice

Questo progetto utilizza Prettier con le seguenti convenzioni:

• Nessun punto e virgola
• Virgolette doppie
• Indentazione di 2 spazi
• Import ordinati (Node.js → terze parti → Plasmo → locali → relativi)

Formatta sempre il codice prima di committare:

pnpm prettier --write .

Sicurezza ed etica

IMPORTANTE: questo strumento è progettato per:

• Ricerca sulla sicurezza e test di penetrazione autorizzati
• Valutazione delle vulnerabilità con la dovuta autorizzazione
• Scopi educativi
• Misure di sicurezza difensive

NON per:

• Test o scansioni non autorizzati di sistemi che non possiedi o per cui non hai il permesso di testare
• Attività dannose o sfruttamento delle vulnerabilità
• Qualsiasi attività illegale

Ottieni sempre la dovuta autorizzazione prima di scansionare qualsiasi applicazione web.

Contributi

I contributi sono benvenuti! Non esitare a inviare una Pull Request.

1. Forka il repository
2. Crea il tuo branch per la funzionalità (git checkout -b feature/amazing-feature)
3. Committa le tue modifiche (git commit -m 'Add some amazing feature')
4. Esegui il push sul branch (git push origin feature/amazing-feature)
5. Apri una Pull Request

Riferimenti

• React2Shell Scanner - script Python originale di Assetnote (questo progetto si basa sul loro lavoro)
• CVE-2025-55182
• CVE-2025-66478

Riconoscimenti

Questo progetto si basa sull'eccellente ricerca e sul lavoro di Assetnote. La logica di rilevamento principale è adattata dal loro script Python react2shell-scanner.

Licenza

Questo progetto è concesso in licenza secondo i termini della Licenza MIT - consulta il file LICENSE per i dettagli.

Disclaimer

Questo strumento è fornito esclusivamente per scopi educativi e di test di sicurezza autorizzati. Gli autori e i contributori non sono responsabili di qualsiasi uso improprio o danno causato da questo strumento. Assicurati sempre di avere la dovuta autorizzazione prima di scansionare qualsiasi applicazione web.

Supporto

Se incontri problemi o hai domande:

• Apri una issue