RSC Sentinel

Расширение Firefox для обнаружения уязвимостей React2Shell (CVE-2025-55182 и CVE-2025-66478) в веб-приложениях.

👁️ Обзор

RSC Sentinel — это расширение Firefox для специалистов по безопасности и преподавателей, которые хотят наблюдать индикаторы React Server Components (RSC) и Next.js App Router во время просмотра веб-страниц. По умолчанию оно сосредоточено на пассивном обнаружении, выделяя потенциальные сигналы, не изменяя поведение сайта. Для авторизованных проверок оно также предлагает дополнительные ручные инструменты для активного зондирования и контролируемого выполнения команд по инициативе пользователя.

🧩 Возможности

• Пассивное обнаружение: автоматически отслеживает высокоуровневые индикаторы RSC и App Router при обычном просмотре страниц.
• Активное зондирование: позволяет пользователю инициировать fingerprint-запрос для сбора дополнительных сигналов в контролируемом режиме.
• Ручное выполнение команд: предоставляет ручной управляемый пользователем процесс выполнения, предназначенный строго для авторизованного тестирования.

🧠 Как работает обнаружение (обзорно)

RSC Sentinel оценивает комбинацию индикаторов времени выполнения, HTTP-заголовков ответов и шаблонов содержимого ответов, которые обычно связаны с поведением RSC и App Router. Результаты представлены в виде сигналов и должны интерпретироваться как индикаторы, а не как окончательное доказательство уязвимости.

🦊 Установка (Firefox)

Установите расширение из исходного кода, используя процедуру временного дополнения Firefox:

1. Откройте Firefox и перейдите на about:debugging.
2. Выберите Этот Firefox в левой боковой панели.
3. Нажмите Загрузить временное дополнение.
4. Выберите файл manifest.json из каталога проекта.

Расширение будет загружено немедленно для текущего сеанса браузера.

▶️ Использование

• Обычно просматривайте страницы; расширение выполняет пассивное обнаружение в фоновом режиме.
• Откройте всплывающее окно расширения на панели инструментов Firefox, чтобы просмотреть обнаруженные сигналы.
• Используйте Запустить fingerprint-зонд, чтобы инициировать ручной зонд при наличии разрешения.
• Просматривайте результаты в интерфейсе всплывающего окна, где пассивные и активные сигналы отображаются наглядно.

🗂️ Структура проекта

Пример структуры исходного кода расширения:

.
├── manifest.json
├── background.js
├── content.js
├── popup.html
├── popup.js
├── images/
│   └── img2.png
│   └── img1.png
└── rules.json

⚠️ Ответственное использование / Предупреждение

Это расширение должно использоваться только в системах, которыми вы владеете, или там, где у вас есть явное разрешение на тестирование. Неправильное использование инструментов безопасности может быть незаконным или неэтичным. Используйте RSC Sentinel ответственно и в соответствии со всеми применимыми законами и политиками.

📜 Лицензия и отказ от ответственности

Этот проект является открытым исходным кодом и предоставляется в образовательных целях и для авторизованных исследований в области безопасности. Автор не несет ответственности за неправильное использование. Всегда проводите тестирование законно, этично и с явного разрешения.