🔍 Инструмент тестирования безопасности Next.js

Профессиональная утилита для оценки безопасности приложений Next.js

⚠️ Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности и исследовательских целей.

• ✅ Используйте только на системах, которыми вы владеете или имеете явное разрешение на тестирование
• ✅ Для программ bug bounty с соответствующей областью
• ✅ Для исследователей безопасности и пентестеров
• ❌ Никогда не используйте против систем без авторизации
• ❌ Не для каких-либо злонамеренных или незаконных действий

Используя это программное обеспечение, вы соглашаетесь соблюдать все применимые законы и нормативные акты.

📖 Обзор

Эта утилита предоставляет специалистам по безопасности графический интерфейс для тестирования приложений Next.js на уязвимость CVE-2025-55182. Она помогает организациям выявлять потенциальные проблемы безопасности в их реализациях React Server Components (RSC).

Что такое CVE-2025-55182?

CVE-2025-55182 — это проблема безопасности, затрагивающая определенные версии фреймворка Next.js. Этот инструмент помогает командам безопасности:

• Выявлять уязвимые установки Next.js
• Проверять статус исправлений
• Оценивать уровень безопасности
• Документировать результаты для устранения

✨ Возможности

Оценка безопасности

Встроенные защиты

Инструмент включает функции ответственного раскрытия:

// Automatically blocks testing against:
// - Government domains (.gov)
// - Educational institutions (.edu)
// - Specific geographic regions

Технические возможности

• Поддержка протоколов: HTTP/HTTPS с настраиваемой проверкой SSL
• Параметры прокси: поддержка HTTP, HTTPS, SOCKS5 прокси
• Обработка соединений: настраиваемые тайм-ауты и пулы соединений
• Кодировка: кодировка полезной нагрузки в Unicode для тестирования WAF

🚀 Установка

Для ручной установки на Windows и macOS,

следуйте инструкциям ниже. Пользователи macOS также могут воспользоваться удобным DMG файлом.

Предварительные требования

• Go 1.24 или выше
• Зависимости Fyne (для GUI)
• Подключение к интернету

Сборка из исходного кода

# Clone the repository
git clone https://github.com/ssmvl2/Nextjs-RCE-Exploit.git
cd Nextjs-RCE-Exploit

# Install dependencies
go mod download

# Build the application
go build -o nextjs-scanner .

# Run
./nextjs-scanner

Кросс-платформенная сборка

# Windows
GOOS=windows GOARCH=amd64 go build -o nextjs-scanner.exe .

# Linux
GOOS=linux GOARCH=amd64 go build -o nextjs-scanner-linux .

# macOS
GOOS=darwin GOARCH=amd64 go build -o nextjs-scanner-mac .

📖 Использование

Запуск приложения

./nextjs-scanner

Графический интерфейс

Приложение предоставляет интуитивно понятный графический интерфейс:

┌─────────────────────────────────────────────────────────────┐
│  Next.js Security Assessment Tool                          │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  Target URL:  [https://example.com________________]         │
│                                                             │
│  ☐ Enable Proxy    Proxy: [127.0.0.1:8080________]         │
│  ☐ Verify SSL      Timeout: [30 seconds__________]         │
│  ☐ WAF Bypass Mode                                          │
│                                                             │
│  ┌───────────────────────────────────────────────────────┐ │
│  │ Assessment Log:                                       │ │
│  │ [2025-01-15 10:30:15] Starting assessment...         │ │
│  │ [2025-01-15 10:30:16] Connecting to target...        │ │
│  │ [2025-01-15 10:30:17] Analyzing response...          │ │
│  └───────────────────────────────────────────────────────┘ │
│                                                             │
│        [ Start Assessment ]    [ Generate Report ]          │
│                                                             │
└─────────────────────────────────────────────────────────────┘

Параметры конфигурации

🏗️ Архитектура

Структура проекта

Nextjs-Security-Tool/
├── main.go              # Application entry point & GUI
├── go.mod               # Go module definition
├── go.sum               # Dependency checksums
└── README.md            # Documentation

Основные компоненты

type RequestHandler struct {
    httpClient     *http.Client
    requestTimeout time.Duration
    sslVerify      bool
    browserAgent   string
}

type PayloadResponse struct {
    Success bool   `json:"success"`
    Result  string `json:"result"`
    Error   string `json:"error,omitempty"`
}

Зависимости

🔧 Конфигурация

Настройка прокси

// HTTP Proxy
handler.ConfigureProxy(true, "http://127.0.0.1:8080")

// SOCKS5 Proxy
handler.ConfigureProxy(true, "socks5://127.0.0.1:1080")

Пользовательский User Agent

Инструмент использует реалистичный User Agent браузера:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 
(KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36

📋 Ответственное раскрытие

Если вы обнаружите проблемы безопасности с помощью этого инструмента:

1. Не разглашайте публично, пока поставщик не уведомлен
2. Сообщите поставщику с подробной информацией
3. Дайте разумное время для исправлений (обычно 90 дней)
4. Следуйте практике координированного раскрытия

Каналы для сообщения

• Next.js Security: [email protected]
• Программы Bug Bounty на HackerOne

🛡️ Правовое уведомление

Этот инструмент предоставляется только для образовательных и авторизованных целей тестирования безопасности. Пользователи несут ответственность за:

• Получение надлежащего разрешения перед тестированием
• Соблюдение применимых законов и нормативных актов
• Этичное и ответственное использование инструмента
• Любые последствия, возникшие в результате неправильного использования

Авторы не несут ответственности за неправильное использование этого программного обеспечения.

🤝 Вклад

Приветствуются вклады в:

• Исправление ошибок
• Улучшение документации
• Улучшение функций безопасности
• Улучшение пользовательского интерфейса/опыта

Пожалуйста, отправляйте вопросы и pull requests через GitHub.

📄 Лицензия

Этот проект лицензирован по лицензии MIT. Смотрите LICENSE для получения подробной информации.

📚 Ссылки

• CVE-2025-55182 Подробности
• Документация по безопасности Next.js
• Безопасность React Server Components
• Руководство по тестированию OWASP

Создано для специалистов по безопасности
🔒 Тестируйте ответственно 🔒