Internet-Scale Measurement of React2Shell Exploitation Using an Active Network Telescope
تقدم هذه الورقة أول دراسة قياس على نطاق الإنترنت لثغرة React2Shell (CVE-2025-55182) الحرجة، وذلك باستخدام تلسكوب شبكي نشط لتوصيف حملات المسح السريعة والآلية والموزعة جغرافياً والبنية التحتية للمهاجمين التي لوحظت فور الكشف عنها كمياً.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة صاخبة وعملاقة، حيث لكل مبنى (موقع إلكتروني) باب أمامي. معظم هذه الأبواب مغلقة، لكن بعضها يحتوي على خلل محدد للغاية في آلية القفل.
هذا الورقة هي تقرير من فريق من المحققين الرقميين الذين أنشأوا "منزل فخ" عالي التقنية لمراقبة كيف يحاول المجرمون اقتحام هذه المباني بمجرد علمهم بالخلل.
إليك قصة React2Shell، مشروحة ببساطة:
1. الخلل: قفل مكسور في "الباب السحري"
غالبًا ما تستخدم المواقع الحديثة مجموعة بناء خاصة تسمى React Server Components. فكر في هذا كـ "باب سحري" يسمح لمالك المبنى (الخادم/السيرفر) والزائر (متصفحك) بالتحدث مع بعضهما البعض بشكل فوري.
في 3 ديسمبر 2025، تم اكتشاف خلل حرج في هذا الباب السحري، أُطلق عليه اسم React2Shell (CVE-2025-55182).
- المشكلة: كان الباب يثق أكثر من اللازم. إذا همس زائر بعبارة برمجية مخادعة ومحددة (تتضمن "prototypes" و"constructors" بلغة الكمبيوتر)، فلن يفتح الباب فحسب؛ بل سيسلم الزائر مفاتيح قبو المبنى بأكره، مما يسمح له بفعل ما يشاء.
- الخطر: تم تصنيف هذا الخلل بـ 10/10 على مقياس الخطورة. وهذا يعني أن الهكرز يمكنهم السيطرة على الخوادم فوراً.
2. الفخ: "التلسكوب الشبكي النشط"
عادةً، يكتفي باحثو الأمن بمراقبة حركة المرور وهي تمر بجانبهم (مثل مراقبة السيارات وهي تسير في الشارع). لكن هنا تكمن المشكلة: إذا لم تتوقف السيارة، فلا يمكنك رؤية ما بداخل صندوقها الخلفي.
لذلك، بنى الباحثون شيئًا أكثر ذكاءً يسمى التلسكوب الشبكي النشط (Active Network Telescope).
- التشبيه: تخيل منزلاً مزيفاً عليه لوحة "الرجاء عدم الإزعاج"، لكن جرس الباب يعمل بالفعل. عندما يضغط لص على الجرس، بدلاً من تجاهله، يقول المنزل: "أهلاً! تفضل بالدخول!" ويفتح الباب.
- النتيجة: سمح هذا للباحثين بالسمايد بمرور الهكرز بما يكفي لرؤية ما يحاولون سرقته بالضبط ومن أين يأتون، دون السماح لهم فعلياً بإلحاق الضرر بالمباني الحقيقية.
3. التحقيق: ما الذي رأوه؟
بمجرد الإعلان عن الخلل للجمهور، راقب الباحثون "منزل الفخ" الخاص بهم لمدة شهر. إليكم ما وجدوه:
- الهجوم المباغت: بمجرد صدور الخبر، لم ينتظر الهكرز. في غضون ساعات، بدأت روبوتات مؤتمتة (ماسحات ضوئية) بالطرق على كل الأبواب في المدينة. لقد كان الأمر أشبه بتدافع هائل.
- الماسحات (اللصوص):
- جاءوا من جميع أنحاء العالم، لكن جزءاً كبيراً منهم جاء من هولندا، وبولندا، والولايات المتحدة.
- لم يكونوا يخمنون فحسب؛ بل كانوا يستخدمون نصوصاً برمجية للطرق على أبواب محددة (المنافذ 80، 443، 3000، إلخ) مراراً وتكراراً.
- المخابئ (الخلفية/Backend):
- هنا تكمن المفاجأة: بينما كان اللصوص منتشرين في جميع أنحاء العالم، كانت المخابئ الآمنة التي يحاولون الوصول إليها مركزة للغاية.
- معظم "مراكز القيادة" (الخوادم) كانت مخبأة في عدد قليل من الدول، وبشكل أساسي هولندا وتونس.
- التشبيه: الأمر يشبه وجود آلاف اللصوص يركضون في كل مكان حول العالم، لكنهم جميعاً يتلقون الأوامر من ثلاث كبائن هاتف فقط في مدينتين محددتين.
4. "الكلمات السحرية" (الحمولة/Payload)
قام الباحثون بتحليل الرسائل الفعلية التي أرسلها الهكرز. وجدوا "بصمة" أو "علامة" محددة تثبت أنه هجوم React2Shell.
- كان الهكرز يستخدمون تسلسلاً محدداً من "الكلمات السحرية" (مثل
__proto__وconstructor) لخداع الباب السحري. - أنشأ الباحثون مرشحاً (Filter) لرصد هذه الكلمات الغريبة تحديداً. إذا احتوت رسالة على هذه الكلمات الثلاث معاً، عرفوا فوراً: "آها! هذا هجوم React2Shell!"
5. النتائج الكبرى
- السرعة هي المفتاح: بمجرد أن تصبح الثغرة عامة، يتحرك "الأشرار" بسرعة هائلة. نافذة الأمان ضيقة جداً.
- عدم التماثل: المهاجمون في كل مكان (موزعون)، لكن بنيتهم التحتية صغيرة ومركزية بشكل مفاجئ. إذا استطعت حظر تلك الخوادم المركزية القليلة، يمكنك إيقاف عدد هائل من الهجمات.
- الأتمتة: لم يكن هذا مجرد عدد قليل من الهكرز الأذكياء يجلسون في قبو؛ بل كانت روبوتات مؤتمتة ضخمة تمسح الإنترنت بأكمله، بحثاً عن أي شخص لم يقم بإصلاح قفله بعد.
ملخص
هذه الورقة هي خريطة لعملية سطو رقمية. توضح لنا أنه عندما ينكسر قفل شائع في نظام ما، يمتلئ الإنترنت باللصوص المؤتمتين. ومع ذلك، من خلال مراقبة "منزل الفخ" الخاص بهم، تعلم الباحثون أنه بينما يتواجد اللصوص في كل مكان، فإن مقراتهم صغيرة جداً وسهلة العثور عليها إذا كنت تعرف أين تبحث.
الدرس المستفاد للجميع: أصلحوا أقفالكم فور صدور أي تحذير، لأن الروبوتات قد تكون بالفعل عند أبوابكم.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.