🔎 RSC-Detect - React Server Components 検出ツール

React Server Components と Next.js アプリケーションを特定するための軽量検出ユーティリティ

---

🎯 目的

RSC-Detect は、React Server Components (RSC) と Next.js フレームワークを使用する Web サイトを特定するために設計された、シンプルで焦点を絞ったツールです。以下のような用途に役立ちます:

• セキュリティ研究者 - 評価中にテクノロジースタックを特定する
• Web 開発者 - 競合他社が使用しているフレームワークを把握する
• DevOps チーム - 技術インベントリのために Web プロパティを監査する
• バグバウンティハンター - ターゲットアプリケーションを迅速にフィンガープリントする

⚡ クイックスタート

# Clone
git clone https://github.com/vijay-shirhatti/RSC-Detect-CVE-2025-55182.git
cd rsc-detect

# Install
pip install -r requirements.txt

# Run
python main.py

✨ 特徴

検出機能

カテゴリ	検出パターン
🔵 RSC マーカー	__flight__, react-server-streaming, __REACT_SERVER_APP__
📄 Content-Type	text/x-component, text/vnd.rsc, application/x-react-server-component
⚡ Next.js HTML	__NEXT_DATA__, /_next/static/, next-font, next/script
📋 ヘッダー	x-powered-by: next.js

これを使うメリット

• ✅ 軽量 - 依存関係は最小限（requests のみ）
• ✅ 高速 - ターゲットごとに単一の HTTP リクエストのみ
• ✅ シンプル - 理解と変更が容易
• ✅ 高精度 - 信頼性のための複数の検出パターン
• ✅ 拡張可能 - 独自のパターンを簡単に追加可能

📖 使用方法

基本的な使い方

main.py 内の targetList を編集します:

if __name__ == "__main__":
    targetList = [
        "https://example.com",
        "https://another-site.com",
    ]

    for urlItem in targetList:
        analyzeTarget(urlItem)

コマンドライン

python main.py

出力例

Analyzing target: https://example.com

[Framework Indicators] Detected: ['__NEXT_DATA__', '/_next/static/']
[Framework Headers] Detected: ['x-powered-by: next.js']

Analyzing target: https://another-site.com

No framework indicators detected

🏗️ 動作の仕組み

検出フロー

1. Send HTTP GET request to target URL
2. Parse HTML content and response headers
3. Pattern match against known indicators
4. Report findings

パターンカテゴリ

React Server Components (RSC)

HTML_RSC_PATTERNS = [
    '__flight__',                    # RSC streaming marker
    'react-server-streaming',        # Server streaming indicator
    '__REACT_SERVER_APP__',          # RSC application flag
]

RSC コンテンツタイプ

CONTENT_TYPE_RSC_PATTERNS = [
    'text/x-component',              # RSC content type
    'text/vnd.rsc',                  # Vendor RSC type
    'application/x-react-server-component',  # Full RSC MIME
]

Next.js フレームワーク

HTML_NEXTJS_PATTERNS = [
    "__NEXT_DATA__",                 # Next.js data hydration
    "/_next/static/",                # Static asset paths
    "/_next/data/",                  # Data fetching routes
    "next-head",                     # Head component
    "next-font",                     # Font optimization
    "next/script",                   # Script component
]

📁 プロジェクト構成

RSC-Detect-CVE-2025-55182/
├── main.py              # Main detection script
├── requirements.txt     # Python dependencies
└── README.md           # Documentation

⚙️ 設定

カスタムターゲットの追加

targetList = [
    "https://site1.com",
    "https://site2.com",
    "https://site3.com/app",
]

カスタムパターンの追加

# Add new RSC patterns
HTML_RSC_PATTERNS.append('your-custom-pattern')

# Add new Next.js patterns
HTML_NEXTJS_PATTERNS.append('custom-next-indicator')

タイムアウト設定

# Modify request timeout (default: 10 seconds)
httpResponse = requests.get(targetUrl, timeout=30)

🔧 カスタマイズ例

ファイルからのスキャン

def loadTargetsFromFile(filepath):
    with open(filepath, 'r') as f:
        return [line.strip() for line in f if line.strip()]

if __name__ == "__main__":
    targetList = loadTargetsFromFile('targets.txt')
    for urlItem in targetList:
        analyzeTarget(urlItem)

JSON 出力

import json

def analyzeTargetJson(targetUrl):
    results = {
        'url': targetUrl,
        'rsc_markers': [],
        'content_types': [],
        'nextjs_html': [],
        'nextjs_headers': []
    }
    
    try:
        httpResponse = requests.get(targetUrl, timeout=10)
        htmlContentLower = httpResponse.text.lower()
        headersContentLower = str(httpResponse.headers).lower()
        
        results['rsc_markers'] = [p for p in HTML_RSC_PATTERNS if p.lower() in htmlContentLower]
        results['content_types'] = [p for p in CONTENT_TYPE_RSC_PATTERNS if p.lower() in headersContentLower]
        results['nextjs_html'] = [p for p in HTML_NEXTJS_PATTERNS if p.lower() in htmlContentLower]
        results['nextjs_headers'] = [p for p in HEADER_NEXTJS_PATTERNS if p.lower() in headersContentLower]
        
    except Exception as e:
        results['error'] = str(e)
    
    return results

# Usage
results = [analyzeTargetJson(url) for url in targetList]
print(json.dumps(results, indent=2))

並行スキャン

from concurrent.futures import ThreadPoolExecutor

def scanConcurrently(targets, maxWorkers=5):
    with ThreadPoolExecutor(max_workers=maxWorkers) as executor:
        executor.map(analyzeTarget, targets)

📊 検出精度

フレームワーク	検出率	備考
Next.js 13+	高	複数のインジケータが存在
Next.js 12	高	__NEXT_DATA__ が信頼できる
React RSC	中	実装に依存
Custom React	低	カスタムパターンが必要

🐛 トラブルシューティング

接続エラー

# Add retry logic
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

session = requests.Session()
retries = Retry(total=3, backoff_factor=0.5)
session.mount('https://', HTTPAdapter(max_retries=retries))

SSL エラー

# Disable SSL verification (not recommended for production)
httpResponse = requests.get(targetUrl, timeout=10, verify=False)

エンコーディングの問題

# Handle different encodings
httpResponse.encoding = httpResponse.apparent_encoding

🔒 責任ある利用

このツールは以下の用途を想定しています:

• 適切な許可を得たセキュリティ研究
• 正当な目的のためのテクノロジースタック分析
• 教育目的

所有していないターゲットをスキャンする前に、必ず許可を得てください。

📦 要件

requests>=2.28.0
urllib3>=1.26.0

🤝 コントリビューション

コントリビューション歓迎です！以下の方法で貢献できます:

• 新しい検出パターンの追加
• 精度の向上
• 出力フォーマットの追加
• バグの修正

📄 ライセンス

MIT ライセンス - 個人・商用利用ともに無料です。

📚 関連リソース

• React Server Components RFC
• Next.js ドキュメント
• Vercel App Router

---

シンプル • 高速 • 効果的

⭐ 役に立ったら Star をお願いします！