Next.js RCE 评估工具包

一个用于在授权环境中验证和调查 CVE-2025-55182（也称为 React2Shell）的 Python 工具包。该漏洞影响 React 服务端组件，并可能使基于 Next.js 等框架构建的应用程序暴露于未经身份验证的远程代码执行。该工具包集成了目标收集、批量验证、交互式测试 Shell、主机枚举以及可选的后验证工具。

漏洞

• CVE: CVE-2025-55182
• 名称: React2Shell
• 类型: 未经身份验证的远程代码执行
• 受影响技术: React 服务端组件及依赖框架，包括受影响的 Next.js 配置
• 工具包验证: hosts_scanner.py 在批量检测期间仅执行固定的 echo VULN_TEST 标记

此仓库为评估辅助工具，不能替代查阅官方公告及应用厂商补丁。

功能

工具	用途	输出或效果
shodan_parser.py	通过查询列表打开经过身份验证的 Shodan 搜索，收集标准化 HTTP(S) 来源。	将唯一主机追加到 files/targets.txt。
hosts_scanner.py	使用固定的 VULN_TEST 命令并发检查目标列表。	将确认目标写入 files/vulnerable.txt，将未成功目标写入 files/trash.txt。
exploit.py	重新验证单个目标并提供交互式命令会话。	在终端中打印远程命令输出。
universal_scanner.py	收集系统、容器、网络、文件系统、进程、凭据暴露和权限风险信息。	将详细发现结果保存到 scan_results.json。
infrastructure/universal_download.py	通过命令通道以可恢复的 Base64 块形式传输远程文件。	创建或恢复本地文件并验证其大小。
infrastructure/mongo_proxy.py	将已验证主机用作 MongoDB 清单和有限采样的网络路径。	列出数据库、集合、计数及少量样本。
infrastructure/mongo_dump.py	导出一个 MongoDB 数据库或所有非系统数据库（每集合有限制）。	在评估主机上的 /tmp 下创建 JSON 文件。
infrastructure/aws_dump.py	列出 ECS 任务角色可用的 AWS 资源。	在 /tmp 下创建 JSON 文件；可能包含敏感值。
infrastructure/install_ssh_key.py	将公钥添加到当前远程用户的 authorized_keys。	修改远程 SSH 配置并建立持久化。
infrastructure/trace_cleaner.py	移除工具包工件，并尝试清除历史记录、缓存和日志。	破坏性地修改远程文件；仅在经批准的清理演练中使用。

依赖 RCE 的工具需要目标运行 Linux 类系统并具备常用 Shell 工具。部分基础设施助手还要求评估主机上已安装 Node.js 及相关 npm 包。

要求

• Python 3.10 或更高版本
• 对授权目标的网络访问
• 通过 Playwright 安装 Chromium（用于 shodan_parser.py）
• 用于目标收集的 Shodan 账号

安装

python -m venv .venv

激活环境：

# Linux 或 macOS
source .venv/bin/activate

# Windows PowerShell
.\.venv\Scripts\Activate.ps1

安装依赖：

python -m pip install -r requirements.txt
python -m playwright install chromium

如需 Shodan 收集，请将 .env.example 复制为 .env 并设置 LOGIN 和 PASSWORD。切勿提交 .env。

典型工作流程

1. 在 files/queries.txt 中每行放置一个 Shodan 查询，或直接将授权目标放入 files/targets.txt。
2. （可选）使用 python shodan_parser.py 收集目标。
3. 运行固定标记的批量检查：

python hosts_scanner.py --file files/targets.txt --concurrency 50 --timeout 30

4. 查看 files/vulnerable.txt，并在运行任何命令执行或基础设施工具前手动验证所有权和范围。

如需重置扫描器跳过列表：

python hosts_scanner.py --file files/targets.txt --clear-trash

单目标工具

python exploit.py https://target.example
python universal_scanner.py https://target.example

基础设施工具：

python infrastructure/universal_download.py <TARGET> <REMOTE_PATH> [LOCAL_FILE] [CHUNK_SIZE]
python infrastructure/mongo_proxy.py <TARGET> <MONGODB_URI>
python infrastructure/mongo_dump.py <TARGET> <MONGODB_URI> <DATABASE|ALL> [OUTPUT_FILE] [LIMIT]
python infrastructure/aws_dump.py <TARGET> [OUTPUT_FILE]
python infrastructure/install_ssh_key.py <TARGET> [PUBLIC_KEY_PATH]
python infrastructure/trace_cleaner.py <TARGET>

不带参数运行每个脚本可查看其完整的命令行帮助。

局限性

• 当前 HTTP 客户端调用中禁用了 TLS 证书验证。
• 检测依赖于受影响的 Next.js 行为所使用的响应格式。
• 远程命令假定目标上存在诸如 bash、base64、dd 和 timeout 等工具。
• 云和数据库结果受远程身份权限的限制。
• 该工具包不提供修复措施，也不证明目标在范围内。