개요

React2Shell Toolbox는 Next.js React Server Actions 프로토타입 오염 취약점(CVE-2025-55182)을 위해 설계된 보안 테스트 도구입니다. POC 검증, 가상 터미널 상호작용, FOFA 자산 검색, 고급 경로 하이재킹 기능을 포함한 사용자 친화적인 GUI를 제공합니다.

스크린샷

POC 검증

가상 터미널

배치 검증(FOFA 통합)

설정

핵심 기능

✅ POC 검증 모듈

• 기본 취약점 탐지 및 명령 실행
• 전체 응답 보기(소스/미리보기 이중 모드)
• 명령 출력 추출
• 가상 터미널 상호작용(Linux/macOS 지원)
• 기록 관리(자동 저장, 파비콘 표시)
• Monaco Editor 통합

✅ 배치 검증 모듈

• FOFA API 통합(검색, 통계, 사용자 정보)
• 7가지 차원의 통계 집계(프로토콜, 도메인, 포트, 제목, OS, 서버, 위치)
• 스마트 필터링 및 다중 조건 조합
• 검색 기록 관리
• 요청 속도 제어 및 큐 관리
• 사용자 정보 표시(아바타, VIP 상태, F-coin/F-point 잔액)

✅ 설정 관리

• 요청 설정(시간 초과, SSL 인증서)
• 프록시 설정(HTTP/HTTPS/SOCKS5)
• FOFA 설정(API 구성, 연결 테스트, 프록시 우회)
• 중국 미러(GitHub 가속)
• 자동 업데이트 확인(선택 사항)
• 고급 기능 구성(인증 필요)

다운로드 및 설치

자신의 플랫폼에 맞는 설치 프로그램을 GitHub Releases에서 다운로드하세요:

• Windows: Windows-react2shell-toolbox-{version}-setup.exe 또는 Windows-react2shell-toolbox-{version}-portable.exe
• macOS: macOS-react2shell-toolbox-{version}-x64.dmg (Intel) 또는 macOS-react2shell-toolbox-{version}-arm64.dmg (Apple Silicon)
• Linux: Linux-react2shell-toolbox-{version}-x64.AppImage 또는 .deb / .tar.gz

소스에서 빌드

요구 사항

• Node.js >= 18
• npm >= 9

종속성 설치

npm install

개발 모드

npm run dev

애플리케이션 빌드

# Windows
npm run build:win

# macOS
npm run build:mac

# Linux
npm run build:linux

# All platforms
npm run build:all

사용 가이드

POC 검증

1. 대상 URL과 명령어를 입력합니다.
2. "탐지 실행"을 클릭합니다.
3. 탐지 결과와 명령 출력을 확인합니다.
4. 상호작용을 위해 "가상 터미널"로 전환합니다.

배치 검증

1. 설정에서 FOFA API를 구성합니다. (자격 증명 가져오기)
2. FOFA 검색 쿼리를 입력합니다. (예: app="Apache-Tomcat")
3. 통계를 로드하고 필터 조건을 선택합니다.
4. 자산 목록 보기(곧 제공 예정)

기술 스택

프론트엔드

• 프레임워크: Vue 3 (Composition API)
• UI 라이브러리: Vuetify 3 (Material Design)
• 라우터: Vue Router 4
• 상태 관리: Pinia
• 코드 편집기: Monaco Editor
• 터미널: xterm.js + xterm-addon-fit

백엔드

• 런타임: Electron 39 + Node.js 18+
• 빌드 도구: Electron Vite + Electron Builder
• HTTP 클라이언트: Axios + Node Fetch
• 프록시 지원: https-proxy-agent + socks-proxy-agent
• Markdown 렌더링: marked + highlight.js

프로젝트 구조

react2shell-toolbox/
├── src/
│   ├── main/                      # Electron main process
│   │   ├── index.js              # Main process entry
│   │   ├── poc-handler.js        # POC execution handler
│   │   ├── terminal-handler.js   # Virtual terminal handler
│   │   ├── fofa-handler.js       # FOFA API handler
│   │   ├── github-oauth-handler.js # GitHub OAuth handler
│   │   ├── storage-handler.js    # Storage management handler
│   │   └── updater.js            # Auto-update handler
│   ├── preload/                   # Preload scripts
│   │   └── index.js              # IPC communication bridge
│   └── renderer/                  # Renderer process (frontend)
│       ├── src/
│       │   ├── components/       # Vue components
│       │   │   ├── poc/         # POC verification components
│       │   │   ├── batch/       # Batch verification components
│       │   │   └── settings/    # Settings components
│       │   ├── views/           # Page views
│       │   ├── stores/          # Pinia state management
│       │   ├── router/          # Router configuration
│       │   ├── composables/     # Composable functions
│       │   └── App.vue          # Root component
│       └── index.html           # HTML entry
├── resources/                     # Application resources
│   ├── icon.png                 # App icon
│   └── icon.ico                 # Windows icon
├── changelog/                     # Version changelogs
├── electron-builder.yml          # Build configuration
└── package.json                  # Project configuration

핵심 모듈

메인 프로세스 모듈

• poc-handler: 프록시 및 SSL 인증서 우회를 지원하는 POC 실행 요청 처리
• terminal-handler: 가상 터미널 세션 및 SSE 스트림 관리
• fofa-handler: 검색, 통계 및 사용자 정보 쿼리를 위한 FOFA API 래퍼
• github-oauth-handler: GitHub OAuth2 흐름 및 Star 인증 구현
• storage-handler: 로컬 저장소 관리(설정, 기록, 파비콘 캐시)
• updater: 자동 업데이트 확인 및 다운로드 처리

렌더러 프로세스 모듈

• stores: Pinia를 사용한 전역 상태 관리(app, settings, POC, FOFA, update)
• composables: 재사용 가능한 컴포저블 함수(POC 하이재킹, 터미널 관리 등)
• components: 기능별로 구성된 모듈형 Vue 컴포넌트

IPC 통신

• 메인-렌더러 프로세스 통신에 Electron IPC 사용
• contextBridge를 통해 렌더러에 API를 안전하게 노출
• 양방향 통신 및 이벤트 리스닝 지원

보안 경고

⚠️ 이 도구는 보안 연구 및 승인된 테스트 전용입니다

• 승인되지 않은 시스템에서 사용하지 마십시오
• 모든 결과에 대한 책임은 사용자에게 있습니다
• 통제된 테스트 환경에서만 사용할 것을 권장합니다

취약점 세부 정보

이 도구는 Next.js React Server Actions 프로토타입 오염 취약점(CVE-2025-55182)을 대상으로 합니다.

영향받는 버전

• Next.js < 15.1.0
• Next.js < 14.2.22
• Next.js < 13.5.8

완화 조치

• Next.js를 최신 버전으로 업그레이드
• 엄격한 입력 검증 활성화
• CSP 정책을 사용하여 스크립트 실행 제한

로드맵

완료 ✅

• POC 검증 모듈
• 가상 터미널 상호작용
• 설정 관리(요청, 프록시, FOFA, 미러)
• 버전 업데이트 확인
• FOFA API 통합
• 통계 집계 및 필터링
• 고급 기능(POC 하이재킹, 배치 하이재킹)
• Monaco Editor 통합
• 크로스 플랫폼 URL Scheme 지원

진행 중 🚧

• 배치 자산 목록 표시
• 배치 POC 탐지
• 탐지 결과 내보내기

계획 📋

• 다국어 지원(중국어 간체/영어)
• 다크 테마
• 플러그인 시스템
• 사용자 정의 POC 템플릿
• 탐지 보고서 생성

라이선스

MIT 라이선스

기여자

이 프로젝트를 도와주신 모든 기여자분들께 감사드립니다!

기여 방법

다음을 포함하되 이에 국한되지 않는 모든 형태의 기여를 환영합니다:

• 🐛 버그 신고
• 💡 기능 제안
• 📝 문서 개선
• 🔧 코드 수정 또는 새로운 기능

토론에 참여하려면 Issues 페이지를 확인하거나 Pull Request를 직접 제출하세요.

스타 기록

감사의 말

• Next.js 팀
• Electron 커뮤니티
• Vue.js 커뮤니티
• FOFA 팀
• 모든 오픈소스 기여자

면책 조항: 이 도구는 보안 연구 및 교육 목적으로만 제공됩니다. 사용자는 현지 법률 및 규정을 준수해야 하며 불법적인 목적으로 사용해서는 안 됩니다.