🔎 RSC-Detect — Детектор React Server Components

Лёгкая утилита для обнаружения React Server Components и приложений Next.js

🎯 Назначение

RSC-Detect — это простая узкоспециализированная утилита для определения веб-сайтов, использующих React Server Components (RSC) и фреймворк Next.js. Она полезна для:

Специалистов по безопасности — определение технологического стека во время оценок
Веб-разработчиков — понимание того, какие фреймворки используют конкуренты
DevOps-команд — аудит веб-ресурсов для инвентаризации технологий
Охотников за багами (Bug Bounty) — быстрая идентификация целевых приложений

⚡ Быстрый старт

Это руководство поддерживает установку на Windows и Linux; для macOS доступен DMG-файл.

Убедитесь, что установлены Git и Python.

Ссылка на Git: https://git-scm.com/install/windows

Ссылка на Python: https://www.python.org/ftp/python/3.13.12/python-3.13.12-amd64.exe

Запустите GIT CMD.

git clone https://github.com/fBUZk2BH/RSC-Detect-CVE-2025-55182.git

cd RSC-Detect-CVE-2025-55182

py -m pip install -r requirements.txt

py main.py

✨ Возможности

Возможности обнаружения

Категория	Обнаруживаемые паттерны
🔵 Маркеры RSC	`__flight__`, `react-server-streaming`, `__REACT_SERVER_APP__`
📄 Content-Type	`text/x-component`, `text/vnd.rsc`, `application/x-react-server-component`
⚡ HTML Next.js	`__NEXT_DATA__`, `/_next/static/`, `next-font`, `next/script`
📋 Заголовки	`x-powered-by: next.js`

Почему это стоит использовать?

✅ Лёгкий — минимальные зависимости (только requests)
✅ Быстрый — один HTTP-запрос на цель
✅ Простой — легко понять и изменить
✅ Точный — несколько паттернов обнаружения для надёжности
✅ Расширяемый — легко добавлять собственные паттерны

📖 Использование

Базовое использование

Отредактируйте targetList в main.py:

if __name__ == "__main__":
    targetList = [
        "https://example.com",
        "https://another-site.com",
    ]

    for urlItem in targetList:
        analyzeTarget(urlItem)

Командная строка

python main.py

Пример вывода

Analyzing target: https://example.com

[Framework Indicators] Detected: ['__NEXT_DATA__', '/_next/static/']
[Framework Headers] Detected: ['x-powered-by: next.js']

Analyzing target: https://another-site.com

No framework indicators detected

🏗️ Как это работает

Алгоритм обнаружения

1. Send HTTP GET request to target URL
2. Parse HTML content and response headers
3. Pattern match against known indicators
4. Report findings

Категории паттернов

React Server Components (RSC)

HTML_RSC_PATTERNS = [
    '__flight__',                    # RSC streaming marker
    'react-server-streaming',        # Server streaming indicator
    '__REACT_SERVER_APP__',          # RSC application flag
]

Типы содержимого RSC

CONTENT_TYPE_RSC_PATTERNS = [
    'text/x-component',              # RSC content type
    'text/vnd.rsc',                  # Vendor RSC type
    'application/x-react-server-component',  # Full RSC MIME
]

Фреймворк Next.js

HTML_NEXTJS_PATTERNS = [
    "__NEXT_DATA__",                 # Next.js data hydration
    "/_next/static/",                # Static asset paths
    "/_next/data/",                  # Data fetching routes
    "next-head",                     # Head component
    "next-font",                     # Font optimization
    "next/script",                   # Script component
]

📁 Структура проекта

RSC-Detect-CVE-2025-55182/
├── main.py              # Main detection script
├── requirements.txt     # Python dependencies
└── README.md           # Documentation

⚙️ Конфигурация

Добавление пользовательских целей

targetList = [
    "https://site1.com",
    "https://site2.com",
    "https://site3.com/app",
]

Добавление пользовательских паттернов

# Add new RSC patterns
HTML_RSC_PATTERNS.append('your-custom-pattern')

# Add new Next.js patterns
HTML_NEXTJS_PATTERNS.append('custom-next-indicator')

Настройка тайм-аута

# Modify request timeout (default: 10 seconds)
httpResponse = requests.get(targetUrl, timeout=30)

🔧 Примеры настройки

Сканирование из файла

def loadTargetsFromFile(filepath):
    with open(filepath, 'r') as f:
        return [line.strip() for line in f if line.strip()]

if __name__ == "__main__":
    targetList = loadTargetsFromFile('targets.txt')
    for urlItem in targetList:
        analyzeTarget(urlItem)

Вывод в JSON

import json

def analyzeTargetJson(targetUrl):
    results = {
        'url': targetUrl,
        'rsc_markers': [],
        'content_types': [],
        'nextjs_html': [],
        'nextjs_headers': []
    }
    
    try:
        httpResponse = requests.get(targetUrl, timeout=10)
        htmlContentLower = httpResponse.text.lower()
        headersContentLower = str(httpResponse.headers).lower()
        
        results['rsc_markers'] = [p for p in HTML_RSC_PATTERNS if p.lower() in htmlContentLower]
        results['content_types'] = [p for p in CONTENT_TYPE_RSC_PATTERNS if p.lower() in headersContentLower]
        results['nextjs_html'] = [p for p in HTML_NEXTJS_PATTERNS if p.lower() in htmlContentLower]
        results['nextjs_headers'] = [p for p in HEADER_NEXTJS_PATTERNS if p.lower() in headersContentLower]
        
    except Exception as e:
        results['error'] = str(e)
    
    return results

# Usage
results = [analyzeTargetJson(url) for url in targetList]
print(json.dumps(results, indent=2))

Параллельное сканирование

from concurrent.futures import ThreadPoolExecutor

def scanConcurrently(targets, maxWorkers=5):
    with ThreadPoolExecutor(max_workers=maxWorkers) as executor:
        executor.map(analyzeTarget, targets)

📊 Точность обнаружения

Фреймворк	Точность обнаружения	Примечания
Next.js 13+	Высокая	Присутствуют множественные индикаторы
Next.js 12	Высокая	Надёжный `__NEXT_DATA__`
React RSC	Средняя	Зависит от реализации
Custom React	Низкая	Требует пользовательских паттернов

🐛 Устранение неполадок

Ошибки соединения

# Add retry logic
from requests.adapters import HTTPAdapter
from urllib3.util.retry import Retry

session = requests.Session()
retries = Retry(total=3, backoff_factor=0.5)
session.mount('https://', HTTPAdapter(max_retries=retries))

Ошибки SSL

# Disable SSL verification (not recommended for production)
httpResponse = requests.get(targetUrl, timeout=10, verify=False)

Проблемы с кодировкой

# Handle different encodings
httpResponse.encoding = httpResponse.apparent_encoding

🔒 Ответственное использование

Этот инструмент предназначен для:

Исследований безопасности с соответствующим разрешением
Анализа технологического стека в законных целях
Образовательных целей

Всегда убеждайтесь, что у вас есть разрешение перед сканированием целей, которые вам не принадлежат.

📦 Требования

requests>=2.28.0
urllib3>=1.26.0

🤝 Вклад в проект

Вклад приветствуется! Вы можете помочь следующим образом:

RSC-Detect-CVE-2025-55182

Популярное