概要

React2Shell Toolbox は、Next.js React Server Actions のプロトタイプ汚染脆弱性（CVE-2025-55182）向けに設計されたセキュリティテストツールです。POC 検証、仮想ターミナル操作、FOFA アセット検索、高度なルートハイジャック機能などを備えたユーザーフレンドリーな GUI を提供します。

スクリーンショット

POC 検証

仮想ターミナル

バッチ検証（FOFA 連携）

設定

主な機能

✅ POC 検証モジュール

• 基本的な脆弱性検出とコマンド実行
• 応答の完全表示（ソース／プレビューのデュアルモード）
• コマンド出力の抽出
• 仮想ターミナル操作（Linux/macOS 対応）
• 履歴管理（自動保存、ファビコン表示）
• Monaco Editor 統合

✅ バッチ検証モジュール

• FOFA API 統合（検索、統計、ユーザー情報）
• 7 次元の統計集計（プロトコル、ドメイン、ポート、タイトル、OS、サーバー、ロケーション）
• スマートフィルタリングと複数条件の組み合わせ
• 検索履歴の管理
• リクエストレート制御とキューの管理
• ユーザー情報の表示（アバター、VIP ステータス、F-coin/F-point 残高）

✅ 設定管理

• リクエスト設定（タイムアウト、SSL 証明書）
• プロキシ設定（HTTP/HTTPS/SOCKS5）
• FOFA 設定（API 設定、接続テスト、プロキシバイパス）
• 中国ミラー（GitHub 高速化）
• 自動アップデート確認（任意）
• 高度な機能の設定（認証が必要）

ダウンロードとインストール

GitHub Releases からお使いのプラットフォーム用のインストーラをダウンロードしてください：

• Windows: Windows-react2shell-toolbox-{version}-setup.exe または Windows-react2shell-toolbox-{version}-portable.exe
• macOS: macOS-react2shell-toolbox-{version}-x64.dmg（Intel）または macOS-react2shell-toolbox-{version}-arm64.dmg（Apple Silicon）
• Linux: Linux-react2shell-toolbox-{version}-x64.AppImage または .deb / .tar.gz

ソースからのビルド

要件

• Node.js >= 18
• npm >= 9

依存関係のインストール

npm install

開発モード

npm run dev

アプリケーションのビルド

# Windows
npm run build:win

# macOS
npm run build:mac

# Linux
npm run build:linux

# 全プラットフォーム
npm run build:all

使用方法

POC 検証

1. ターゲット URL とコマンドを入力
2. 「検出を実行」をクリック
3. 検出結果とコマンド出力を確認
4. 「仮想ターミナル」に切り替えて操作

バッチ検証

1. 設定で FOFA API を構成（認証情報を取得）
2. FOFA 検索クエリを入力（例：app="Apache-Tomcat"）
3. 統計を読み込み、フィルタ条件を選択
4. アセットリストを表示（近日公開）

技術スタック

フロントエンド

• フレームワーク: Vue 3 (Composition API)
• UI ライブラリ: Vuetify 3 (Material Design)
• ルーター: Vue Router 4
• 状態管理: Pinia
• コードエディタ: Monaco Editor
• ターミナル: xterm.js + xterm-addon-fit

バックエンド

• ランタイム: Electron 39 + Node.js 18+
• ビルドツール: Electron Vite + Electron Builder
• HTTP クライアント: Axios + Node Fetch
• プロキシ対応: https-proxy-agent + socks-proxy-agent
• Markdown レンダリング: marked + highlight.js

プロジェクト構造

react2shell-toolbox/
├── src/
│   ├── main/                      # Electron メインプロセス
│   │   ├── index.js              # メインプロセスエントリ
│   │   ├── poc-handler.js        # POC 実行ハンドラ
│   │   ├── terminal-handler.js   # 仮想ターミナルハンドラ
│   │   ├── fofa-handler.js       # FOFA API ハンドラ
│   │   ├── github-oauth-handler.js # GitHub OAuth ハンドラ
│   │   ├── storage-handler.js    # ストレージ管理ハンドラ
│   │   └── updater.js            # 自動アップデートハンドラ
│   ├── preload/                   # プリロードスクリプト
│   │   └── index.js              # IPC 通信ブリッジ
│   └── renderer/                  # レンダラープロセス（フロントエンド）
│       ├── src/
│       │   ├── components/       # Vue コンポーネント
│       │   │   ├── poc/         # POC 検証コンポーネント
│       │   │   ├── batch/       # バッチ検証コンポーネント
│       │   │   └── settings/    # 設定コンポーネント
│       │   ├── views/           # ページビュー
│       │   ├── stores/          # Pinia 状態管理
│       │   ├── router/          # ルーター設定
│       │   ├── composables/     # コンポーザブル関数
│       │   └── App.vue          # ルートコンポーネント
│       └── index.html           # HTML エントリ
├── resources/                     # アプリケーションリソース
│   ├── icon.png                 # アプリアイコン
│   └── icon.ico                 # Windows アイコン
├── changelog/                     # バージョン変更履歴
├── electron-builder.yml          # ビルド設定
└── package.json                  # プロジェクト設定

コアモジュール

メインプロセスモジュール

• poc-handler: プロキシと SSL 証明書バイパスに対応した POC 実行リクエストを処理
• terminal-handler: 仮想ターミナルセッションと SSE ストリームを管理
• fofa-handler: 検索、統計、ユーザー情報クエリ用に FOFA API をラップ
• github-oauth-handler: GitHub OAuth2 フローと Star 検証を実装
• storage-handler: ローカルストレージ（設定、履歴、ファビコンキャッシュ）を管理
• updater: 自動アップデートの確認とダウンロードを処理

レンダラープロセスモジュール

• stores: Pinia によるグローバル状態管理（アプリ、設定、POC、FOFA、アップデート）
• composables: 再利用可能なコンポジション関数（POC ハイジャック、ターミナル管理など）
• components: 機能別に整理されたモジュール式 Vue コンポーネント

IPC 通信

• Electron IPC を使用したメインプロセスとレンダラープロセス間の通信
• contextBridge を介してレンダラーに API を安全に公開
• 双方向通信とイベントリスニングに対応

セキュリティ警告

⚠️ このツールはセキュリティ研究および許可を得たテストのみを目的としています

• 権限のないシステムには使用しないでください
• 発生したいかなる結果についてもユーザーが責任を負います
• 管理されたテスト環境でのみ使用することを推奨します

脆弱性の詳細

このツールは、Next.js React Server Actions のプロトタイプ汚染脆弱性（CVE-2025-55182）を対象としています。

影響を受けるバージョン

• Next.js < 15.1.0
• Next.js < 14.2.22
• Next.js < 13.5.8

緩和策

• Next.js を最新バージョンにアップグレード
• 厳格な入力検証を有効化
• CSP ポリシーを使用してスクリプト実行を制限

ロードマップ

完了 ✅

• POC 検証モジュール
• 仮想ターミナル操作
• 設定管理（リクエスト、プロキシ、FOFA、ミラー）
• バージョンアップデート確認
• FOFA API 統合
• 統計集計とフィルタリング
• 高度な機能（POC ハイジャック、バッチハイジャック）
• Monaco Editor 統合
• クロスプラットフォーム URL Scheme 対応

進行中 🚧

• バッチアセットリスト表示
• バッチ POC 検出
• 検出結果のエクスポート

計画中 📋

• 多言語対応（簡体字中国語／英語）
• ダークテーマ
• プラグインシステム
• カスタム POC テンプレート
• 検出レポートの生成

ライセンス

MIT License

コントリビューター

このプロジェクトを支援してくださったすべてのコントリビューターに感謝します！

貢献方法

あらゆる形式の貢献を歓迎します。以下に限りません：

• 🐛 バグ報告
• 💡 機能提案
• 📝 ドキュメントの改善
• 🔧 コード修正または新機能

Issues ページでディスカッションに参加するか、Pull Request を直接送信してください。

Star 履歴

謝辞

• Next.js チーム
• Electron コミュニティ
• Vue.js コミュニティ
• FOFA チーム
• すべてのオープンソースコントリビューター

免責事項: このツールはセキュリティ研究および教育目的のみを対象としています。ユーザーは現地の法律と規制を遵守し、違法な目的で使用してはなりません。