React2Shell 漏洞扫描器

一款安全、非侵入式的扫描器，用于检测 React Server Components (RSC) 和 Next.js 远程代码执行漏洞 (CVE-2025-55182 与 CVE-2025-66478)。

概述

本扫描器帮助组织识别其 Web 服务是否受 React2Shell 漏洞影响，该漏洞影响使用了 React Server Components 和 Next.js 的应用程序。攻击者可通过特制的 multipart 表单数据实现远程代码执行。

重要提示：本扫描器仅使用安全的侧信道检测方法，不会在目标系统上执行代码。

功能特性

• 安全的检测方法

  • 使用畸形 payload 进行侧信道检测
  • 在不执行代码的情况下检测易受攻击的 RSC 解析
  • 适用于生产环境的安全测试

• 灵活的扫描选项

  • 单个 URL 或从文件批量扫描
  • 多线程并发扫描
  • 自定义路径测试（例如 /_next、/api）
  • 自定义请求头支持

• 输出选项

  • 彩色终端输出
  • 将结果导出为 JSON（仅包含易受攻击主机）
  • 详细模式用于深度分析
  • 静默模式用于自动化

安装

系统要求

• Python 3.9 或更高版本
• pip 包管理器

安装依赖

pip install -r requirements.txt

或手动安装：

pip install requests tqdm urllib3

使用方法

基础扫描

扫描单个 URL：

python scanner.py -u https://example.com

从文件扫描多个主机：

python scanner.py -l hosts.txt

高级选项

使用自定义路径扫描：

python scanner.py -u https://example.com --path /_next --path /api

从文件读取路径进行扫描：

python scanner.py -u https://example.com --path-file paths.txt

自定义请求头：

python scanner.py -u https://example.com -H "Authorization: Bearer token" -H "X-Custom: value"

多线程扫描：

python scanner.py -l hosts.txt -t 20

将结果导出为 JSON：

python scanner.py -l hosts.txt -o results.json

导出所有结果（包括非易受攻击主机）：

python scanner.py -l hosts.txt -o results.json --all-results

输出控制

详细模式（显示所有主机的详细信息）：

python scanner.py -l hosts.txt -v

静默模式（仅显示易受攻击的主机）：

python scanner.py -l hosts.txt -q

禁用颜色：

python scanner.py -l hosts.txt --no-color

输入文件格式

主机文件 (hosts.txt)

每行一个主机。以 # 开头的行被忽略。

https://example.com
http://test.example.org
another-site.com
# This is a comment

路径文件 (paths.txt)

每行一个路径。若路径不以 / 开头，将自动添加前缀。

/_next
/api
/actions
# Comment lines are ignored

命令行选项

选项	描述
-u, --url URL	要扫描的单个 URL
-l, --list FILE	包含要扫描主机列表的文件
-t, --threads N	并发线程数（默认：10）
--timeout N	请求超时时间（秒，默认：10）
-o, --output FILE	结果输出文件（JSON 格式）
--all-results	保存所有结果，不仅限于易受攻击主机
-k, --insecure	禁用 SSL 证书验证
-H, --header HEADER	自定义请求头（可多次使用）
-v, --verbose	详细输出（显示所有主机的详细信息）
-q, --quiet	静默模式（仅显示易受攻击的主机）
--no-color	禁用彩色输出
--path PATH	要测试的自定义路径（可多次使用）
--path-file FILE	包含要测试路径列表的文件

检测逻辑

安全侧信道检测

扫描器采用非侵入式检测方法，它：

• 发送一个特制的、非恶意的 multipart 表单数据 payload
• 在易受攻击的 RSC (React Server Components) 解析中触发错误响应
• 查找多个漏洞指示器：

检测模式

1. JavaScript 错误信息

   • SyntaxError — 表示表单数据的 JSON 解析不正确
   • Unexpected token — 暗示易受攻击的 RSC 反序列化
   • ReferenceError / TypeError — 暴露不安全的对象属性访问

2. RSC 特定错误响应

   • HTTP 500 状态码，内容类型为 text/x-component
   • 存在 RSC 响应头 (Vary: RSC, Next-Router-State-Tree)
   • 响应正文中的错误摘要 (例如 {"digest":"..."})
   • RSC payload 指示器 ($@, 错误对象)

扫描器既能检测到详细的错误消息（旧版本），也能检测到结构化的 RSC 错误响应（新版本），确保对不同的 Next.js 实现实现全面覆盖。

重要提示： 此方法不会在目标系统上执行任何代码。它仅通过观察错误响应来检测系统是否易受攻击。

示例工作流程

对单个应用进行快速检查

python scanner.py -u https://myapp.com

全面组织扫描

# 创建包含所有域名的主机文件
python scanner.py -l organization-hosts.txt -t 20 -o scan-results.json

扫描多个路径

# 创建包含常见 Next.js 端点的 paths.txt 文件
python scanner.py -l hosts.txt --path-file paths.txt -o results.json

使用认证标头扫描

python scanner.py -u https://myapp.com -H "Cookie: session=abc123" -H "Authorization: Bearer token"

解读结果

易受攻击状态

如果检测到以下情况，扫描器将把主机标记为 VULNERABLE：

• 指示易受攻击的 RSC 解析的语法错误
• 表单数据处理中的意外令牌错误
• 暴露不安全属性访问的引用或类型错误
• 带有 RSC 特定标头和内容的 HTTP 500 错误
• RSC 响应格式中的错误摘要
• 来自易受攻击的 Next.js/RSC 实现的特征性错误模式

"易受攻击"意味着什么？

当扫描器检测到漏洞时，意味着：

1. 服务器正在处理畸形的 RSC payload — 它接受并尝试将特制的表单数据解析为 React Server Components
2. 输入验证不当 — 应用程序在处理 multipart 表单数据之前未能正确验证
3. 存在 RCE 风险 — 在易受攻击的配置中，攻击者可以利用此漏洞实现远程代码执行
4. 原型污染向量 — 解析弱点可被利用进行原型污染攻击

风险级别

• 严重 (CRITICAL)：显示 RSC 错误响应的服务器正在主动处理恶意 payload
• 影响：远程代码执行、数据窃取、服务器被攻陷
• 可利用性：存在公开的已知利用方式

退出码

• 0：未发现漏洞
• 1：发现一个或多个漏洞

安全注意事项

1. 授权：仅扫描您拥有或已获得明确许可的系统
2. 安全检测：本扫描器仅使用安全的侧信道检测，绝不执行代码
3. 速率限制：调整线程数 (-t) 以避免对目标造成过大负载
4. SSL 验证：除非测试需要，否则保持 SSL 验证启用
5. 生产环境安全：扫描器设计为可在生产系统上安全使用

缓解措施

如果发现您的应用程序易受攻击：

1. 立即行动：

   • 将 Next.js 更新到最新的修复版本
   • 审查并更新所有 React Server Components
   • 实施表单数据输入验证

2. 长期安全：

   • 启用 WAF 规则以阻止可疑的 multipart payload
   • 监控异常的服务器动作请求
   • 实施安全标头
   • 定期进行安全审计

3. 参考资料：

   • CVE-2025-55182
   • CVE-2025-66478

免责声明

此工具仅用于授权的安全测试。未经授权访问计算机系统是违法的。作者不对该程序的误用或造成的损害负责。