攻击者 → 精心构造的 HTTP POST → RSC 端点 → 反序列化 → RCE

┌─────────────────────────────────────────────────────────────────┐
│                     检测流程                                   │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  1. 框架检测                                                    │
│     ├── HTTP 响应头（X-Powered-By: Next.js）                   │
│     ├── 页面源码（__NEXT_DATA__、react 产物）                  │
│     └── 构建清单                                                │
│                                                                 │
│  2. 版本指纹识别                                                │
│     ├── JS 包中的内嵌版本字符串                                 │
│     ├── 包版本模式                                              │
│     └── 构建清单分析                                            │
│                                                                 │
│  3. RSC 端点发现                                                │
│     ├── 发送 RSC 头部（RSC: 1, Accept: text/x-component）      │
│     ├── 分析响应 Content-Type                                   │
│     └── 检测响应中的 Flight 协议标记                            │
│                                                                 │
│  4. 服务端操作探测                                              │
│     ├── 携带最小 Flight 负载的 POST 请求                        │
│     ├── 检查反序列化处理                                        │
│     └── 识别操作端点                                            │
│                                                                 │
│  5. 漏洞评估                                                    │
│     ├── 将版本与已知受影响范围关联                              │
│     ├── RSC 端点存在性加权                                      │
│     └── 生成置信度评分结果                                      │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

0:["$","div",null,{"children":"Hello"}]
1:["$","$L1",null,{}]
2:{"name":"ServerComponent"}

# 克隆或下载扫描器文件
# 安装依赖
pip install -r requirements.txt

# 验证安装
python3 cve-2025-55182-scanner.py --help

# 单个目标
python3 cve-2025-55182-scanner.py -t https://example.com

# 详细输出
python3 cve-2025-55182-scanner.py -t https://example.com -v

# 创建目标文件（每行一个 URL）
echo "https://app1.example.com" > targets.txt
echo "https://app2.example.com" >> targets.txt

# 扫描所有目标
python3 cve-2025-55182-scanner.py -f targets.txt -o results.json

python3 cve-2025-55182-scanner.py -t https://example.com \
    --timeout 15 \
    --threads 10 \
    --user-agent "SecurityAudit/1.0" \
    -v \
    -o scan_results.json

python3 rsc_analyzer.py https://example.com 2>/dev/null

======================================================================
目标: https://app.example.com
状态: VULNERABLE
框架: Next.js
版本: 19.1.0
RSC 端点: /, /_next/data

证据:
  - X-Powered-By 头部: Next.js
  - 检测到 React 版本: 19.1.0
  - 在 / 处有 RSC Flight 响应 (Content-Type: text/x-component)
  - 在 / 处检测到 Flight 协议标记

建议:
  → 紧急: 需要立即修补！
  → 将 React 升级至 19.0.1、19.1.2 或 19.2.1
  → 将 Next.js 升级至最新修补版本 (15.0.5+, 16.0.7)
  → 启用 WAF 规则以阻止恶意 RSC 负载
  → 监控对 RSC 端点的异常 POST 请求
======================================================================

{
  "target": "https://app.example.com",
  "status": "VULNERABLE",
  "framework": "Next.js",
  "version": "19.1.0",
  "rsc_endpoints": ["/", "/_next/data"],
  "evidence": [
    "X-Powered-By header: Next.js",
    "React version detected: 19.1.0",
    "RSC Flight response at / (Content-Type: text/x-component)"
  ],
  "recommendations": [
    "CRITICAL: Immediate patching required!",
    "Upgrade React to 19.0.1, 19.1.2, or 19.2.1"
  ]
}

# 批量扫描所有公司资产
cat domains.txt | while read domain; do
    python3 cve-2025-55182-scanner.py -t "$domain" -o "results_${domain//\//_}.json"
done

# 汇总结果
jq -s '[.[] | select(.status == "VULNERABLE" or .status == "LIKELY_VULNERABLE")]' results_*.json > critical_findings.json

# GitHub Actions 示例
- name: CVE-2025-55182 Check
  run: |
    python3 cve-2025-55182-scanner.py -t ${{ env.APP_URL }} -o results.json
    if grep -q '"status": "VULNERABLE"' results.json; then
      echo "::error::Critical vulnerability detected!"
      exit 1
    fi