🔎 RSC-Detect - Detector de React Server Components

Utilitário de detecção leve para identificar aplicações React Server Components e Next.js

---

🎯 Propósito

RSC-Detect é uma ferramenta simples e focada, projetada para identificar websites que utilizam React Server Components (RSC) e o framework Next.js. É útil para:

• Pesquisadores de Segurança - Identificar a pilha de tecnologia durante avaliações
• Desenvolvedores Web - Entender quais frameworks os concorrentes usam
• Equipes de DevOps - Auditar propriedades web para inventário de tecnologia
• Caçadores de Bug Bounty - Identificar rapidamente aplicações alvo

⚡ Início Rápido

# Clone
git clone https://github.com/vijay-shirhatti/RSC-Detect-CVE-2025-55182.git
cd rsc-detect

# Instale
pip install -r requirements.txt

# Execute
python main.py

✨ Funcionalidades

Capacidades de Detecção

Categoria	Padrões Detectados
🔵 Marcadores RSC	__flight__, react-server-streaming, __REACT_SERVER_APP__
📄 Tipo de Conteúdo	text/x-component, text/vnd.rsc, application/x-react-server-component
⚡ HTML Next.js	__NEXT_DATA__, /_next/static/, next-font, next/script
📋 Cabeçalhos	x-powered-by: next.js

Por Que Usar Isto?

• ✅ Leve - Dependências mínimas (apenas requests)
• ✅ Rápido - Uma única requisição HTTP por alvo
• ✅ Simples - Fácil de entender e modificar
• ✅ Preciso - Múltiplos padrões de detecção para confiabilidade
• ✅ Extensível - Adicione seus próprios padrões facilmente

📖 Uso

Uso Básico

Edite o targetList no main.py:

if __name__ == "__main__":
    targetList = [
        "https://example.com",
        "https://another-site.com",
    ]

    for urlItem in targetList:
        analyzeTarget(urlItem)

Linha de Comando

python main.py

Exemplo de Saída

Analyzing target: https://example.com

[Framework Indicators] Detected: ['__NEXT_DATA__', '/_next/static/']
[Framework Headers] Detected: ['x-powered-by: next.js']

Analyzing target: https://another-site.com

No framework indicators detected

🏗️ Como Funciona

Fluxo de Detecção

1. Send HTTP GET request to target URL
2. Parse HTML content and response headers
3. Pattern match against known indicators
4. Report findings

Categorias de Padrões

React Server Components (RSC)

HTML_RSC_PATTERNS = [
    '__flight__',                    # RSC streaming marker
    'react-server-streaming',        # Server streaming indicator
    '__REACT_SERVER_APP__',          # RSC application flag
]

Tipos de Conteúdo RSC

CONTENT_TYPE_RSC_PATTERNS = [
    'text/x-component',              # RSC content type
    'text/vnd.rsc',                  # Vendor RSC type
    'application/x-react-server-component',  # Full RSC MIME
]

Framework Next.js

HTML_NEXTJS_PATTERNS = [
    "__NEXT_DATA__",                 # Next.js data hydration
    "/_next/static/",                # Static asset paths
    "/_next/data/",                  # Data fetching routes
    "next-head",                     # Head component
    "next-font",                     # Font optimization
    "next/script",                   # Script component
]

📁 Estrutura do Projeto

RSC-Detect-CVE-2025-55182/
├── main.py              # Main detection script
├── requirements.txt     # Python dependencies
└── README.md           # Documentation

⚙️ Configuração

Adicionando Alvos Personalizados

targetList = [
    "https://site1.com",
    "https://site2.com",
    "https://site3.com/app",
]

Adicionando Padrões Personalizados

# Add new RSC patterns
HTML_RSC_PATTERNS.append('your-custom-pattern')

# Add new Next.js patterns
HTML_NEXTJS_PATTERNS.append('custom-next-indicator')

Configuração de Timeout

# Modify request timeout (default: 10 seconds)
httpResponse = requests.get(targetUrl, timeout=30)

🔧 Exemplos de Personalização

Escaneamento a partir de Arquivo

def loadTargetsFromFile(filepath):
    with open(filepath, 'r') as f:
        return [line.strip() for line in f if line.strip()]

if __name__ == "__main__":
    targetList = loadTargetsFromFile('targets.txt')
    for urlItem in targetList:
        analyzeTarget(urlItem)

Saída JSON

import json

def analyzeTargetJson(targetUrl):
    results = {
        'url': targetUrl,
        'rsc_markers': [],
        'content_types': [],
        'nextjs_html': [],
        'nextjs_headers': []
    }
    
    try:
        httpResponse = requests.get(targetUrl, timeout=10)
        htmlContentLower = httpResponse.text.lower()
        headersContentLower = str(httpResponse.headers).lower()
        
        results['rsc_markers'] = [p for p in HTML_RSC_PATTERNS if p.lower() in htmlContentLower]
        results['content_types'] = [p for p in CONTENT_TYPE_RSC_PATTERNS if p.lower() in headersContentLower]
        results['nextjs_html'] = [p for p in HTML_NEXTJS_PATTERNS if p.lower() in htmlContentLower]
        results['nextjs_headers'] = [p for p in HEADER_NEXTJS_PATTERNS if p.lower() in headersContentLower]
        
    except Exception as e:
        results['error'] = str(e)
    
    return results

# Usage
results = [analyzeTargetJson(url) for url in targetList]
print(json.dumps(results, indent=2))

Escaneamento Concorrente

from concurrent.futures import ThreadPoolExecutor

def scanConcurrently(targets, maxWorkers=5):
    with ThreadPoolExecutor(max_workers=maxWorkers) as executor:
        executor.map(analyzeTarget, targets)

📊 Precisão da Detecção

Framework	Taxa de Detecção	Notas
Next.js 13+	Alta	Múltiplos indicadores presentes
Next.js 12	Alta	__NEXT_DATA__ confiável
React RSC	Média	Depende da implementação
React Personalizado	Baixa	Requer padrões personalizados

🐛 Solução de Problemas

Erros de Conexão

# Add retry logic
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

session = requests.Session()
retries = Retry(total=3, backoff_factor=0.5)
session.mount('https://', HTTPAdapter(max_retries=retries))

Erros SSL

# Disable SSL verification (not recommended for production)
httpResponse = requests.get(targetUrl, timeout=10, verify=False)

Problemas de Codificação

# Handle different encodings
httpResponse.encoding = httpResponse.apparent_encoding

🔒 Uso Responsável

Esta ferramenta é destinada a:

• Pesquisa de segurança com autorização adequada
• Análise de pilha de tecnologia para fins legítimos
• Fins educacionais

Sempre certifique-se de ter permissão antes de escanear alvos que você não possui.

📦 Requisitos

requests>=2.28.0
urllib3>=1.26.0

🤝 Contribuindo

Contribuições são bem-vindas! Você pode ajudar:

• Adicionando novos padrões de detecção
• Melhorando a precisão
• Adicionando formatos de saída
• Corrigindo bugs

📄 Licença

Licença MIT - Gratuita para uso pessoal e comercial.

📚 Recursos Relacionados