Next.js RSC RCE Exploit Tool (CVE-2025-55182)

프로젝트 소개

CVE-2025-55182는 Next.js 서버 컴포넌트(RSC) 처리 체인에 존재하는 고위험 취약점으로, 공격자는 특수한 multipart/form-data 요청과 위조된 RSC 응답 블록을 구성하여 서버 측에서 임의의 JavaScript 코드가 실행되도록 유도할 수 있으며, 최종적으로 process.mainModule.require('child_process')를 통해 원격 코드 실행을 달성합니다.

이 프로젝트는 이 취약점 악용 체인을 그래픽 데스크톱 도구로 패키징하여 보안 연구원이 승인된 테스트 환경에서 검증 비용을 낮추며, 다음과 같은 기능을 통합합니다:

• 산술 프로브 자동 탐지
• 동기/비동기 명령 실행(출력 유/무)
• 임의 JS 코드 실행
• 원격 파일 읽기, 쓰기, 디렉터리 나열
• Node 모듈 동적 로드
• Unicode / UTF-16 / AES 다중 페이로드 난독화로 일반적인 WAF 탐지 우회
• HTTP / HTTPS / SOCKS5 프록시 지원

빠른 시작

1. 저장소 클론

git clone <repo-url> Nextjs_Exploit_Tool
cd Nextjs_Exploit_Tool

2. 프로덕션 패키지 빌드

wails build

빌드 산출물은 build/bin/에 있습니다:

• macOS：NextjsExploitTool.app
• Windows：NextjsExploitTool.exe
• Linux：NextjsExploitTool

3. 크로스 빌드

# Windows（从 macOS/Linux 交叉编译）
GOOS=windows wails build

# Linux（从 macOS 交叉编译，需要 mingw-w64）
GOOS=linux wails build

크로스 컴파일 전에 해당 플랫폼의 C 툴체인을 구성해야 합니다. 자세한 내용은 Wails 문서를 참조하세요.

홈 화면 표시

참고 프로젝트

https://github.com/pyroxenites/Nextjs_RCE_Exploit_Tool

면책 조항

이 프로젝트는 승인된 보안 테스트, 보안 연구 및 교육 데모 용도로만 제공됩니다. 사용자는 해당 지역의 법률과 규정을 준수해야 하며, 대상 시스템 소유자의 명시적 서면 승인을 받았는지 확인해야 합니다.

• 승인되지 않은 실제 대상에 사용해서는 안 됩니다.
• 타인의 시스템을 파괴, 침입 또는 가용성에 영향을 주는 용도로 사용해서는 안 됩니다.
• 저자는 이 도구의 남용으로 인해 발생하는 어떤 결과에 대해서도 책임을 지지 않습니다.

본 도구를 사용하면 위 약관을 읽고 동의한 것으로 간주됩니다. 자신의 행위가 합법적인지 확실하지 않은 경우 사용하지 마십시오.

라이선스

이 프로젝트는 연구 및 승인된 테스트 목적으로만 제공됩니다.