RSC | React2Shell Vulnerability Detector

代码木鱼

概述
- 检测当前页面上的 React Server Components (RSC) 暴露和 Next.js App Router 行为
- 执行主动指纹（添加标头 RSC：1）以安全地观察服务器行为
- 提供可选的漏洞利用探针来展示易受攻击的设置中潜在的 RCE 风险
- 当检测到风险时显示实时警报并更新扩展徽章
- 尝试显示 React 和 Next.js 版本（如果可用）

主要特点
- 被动检测
- 扫描加载的页面以查找 RSC 指示器（例如，Content-Type text/x-component、window.__next_f、react-server-dom-webpack）
- 更新徽章并在发现 RSC 指示器时显示警报
- 列出所有匹配的模式以供快速查看
- 主动指纹（RSC：1）
- 发送带有标头 RSC: 1 的安全 GET 请求
- 检查响应标头（Content-Type、Vary）和主体结构是否有 React Flight Protocol 的迹象
- 触发阳性检测警报并显示详细信息
- RCE 漏洞利用探针（高级）
- 发送精心设计的多部分有效负载以测试易受攻击环境中的命令执行
- 如果执行成功则显示解码输出
- 仅用于受控的道德安全测试
- 框架版本
- React版本：通过React DevTools钩子或window.React.version（如果存在）提取
- Next.js 版本：如果暴露，则从响应标头 X-Nextjs-Version 中读取；回到“未知”

用户界面
- 现代、紧凑的深色主题
- 部分：被动检测、主动指纹、框架版本、RCE 漏洞、制作人员
- 当被动或主动检测表明 RSC 行为时，会出现警报
- 徽章显示“！”红色表示当前选项卡上检测到的风险


用途
- 导航到您控制或具有明确测试权限的目标页面
- 从工具栏打开扩展弹出窗口
- 查看被动检测结果（检测时发出火灾警报）
- 单击“运行指纹”以标头 RSC 进行探测：1（检测到时发出火灾警报）
- 可以选择使用 RCE 漏洞探测：输入安全命令（例如 echovulnerability_test）并单击“执行”
- 查看控制台输出和详细信息列表以评估暴露情况

隐私与安全
- 仅在活动选项卡上运行并对当前页面源发出有限的请求
- 不收集或传输数据到外部服务器
- 除非您主动运行漏洞利用探测器，否则它会被禁用；仅在授权环境中使用

局限性
- 检测依赖于运行时信号和标头；一些生产版本隐藏或删除版本信息
- 当网站未公开时，框架版本可能会显示为“未知”
- 指纹启发法可能会产生误报/误报，具体取决于服务器配置

道德使用
- 用于对您拥有或有权评估的资产进行安全研究、教育和测试
- 未经明确许可，请勿针对第三方网站进行部署
- 作者和维护者不对滥用负责

制作人员
- 由 mejbankadr 建造

RSC | React2Shell Vulnerability Detector 1.0.crx	.crx	1.0		支持
RSC | React2Shell Vulnerability Detector 1.0.zip	.zip	1.0		不支持