该技能面向 Next.js 应用的漏洞侦察与验证，主要用于渗透测试中识别和利用 Next.js 特有缺陷。
用途与目标：关注可绕过鉴权或可达 SSRF 的 Next.js 特有漏洞，属高/严重价值链路，包括 Server Actions 鉴权绕过、通过静态资源路径绕过 Middleware、/_next/image SSRF、ISR 缓存投毒、RSC 载荷泄露。
主要能力（按阶段）：
- 指纹与版本识别：确认 Next.js、提取 buildId、检查版本与 source map 暴露。
- Server Actions 滥用：通过 Next-Action 头直接调用 action，测试无有效会话时是否执行或改状态。
- Middleware 鉴权绕过：直连受保护路由，或用 /_next/data/、/_next/static/../、编码路径等测试绕过。
- /_next/image SSRF：以 url 参数测试内网与云元数据，须用唯一 Collaborator 子域名做带外确认。
- /_next/data/ IDOR 与数据泄露：枚举预渲染 JSON、尝试他人数据、解析 NEXT_DATA 中的服务端 props。
- ISR 缓存投毒：用唯一标记污染后，从新客户端抓取干净 URL 验证是否命中缓存。
- 调试与堆栈帧端点：仅 next dev 挂载，生产构建 404 属正常，非 404 才是发现。
- 环境变量泄露：检索 NEXT_PUBLIC_* 与意外暴露的变量。
使用方式：在获得授权的前提下，将 $TARGET 替换为目标主机，按阶段执行资料中的 curl 命令（保留原样），并结合带外回连与响应体差分确认。
限制与误报防范：/_next/image 仅抓取 next.config.js 中 images.remotePatterns/domains 允许的 URL，非白名单返回 400 属正常拦截而非被绕过的“封锁”；200 仅表示返回优化图片而非上游响应体，状态码不能证明 SSRF。必须在唯一 Collaborator 子域名收到 DNS/HTTP 回调，或对内外部目标做响应体差分才能确认。CVE-2024-34351 为 Server Actions SSRF（相对重定向信任 Host 头，影响 13.4.0 至 <14.1.1，14.1.1 修复），非 /_next/image 漏洞，且不影响 Vercel 等 Host 路由型平台。__nextjs_launch-editor 与 __nextjs_original-stack-frame 仅在 next dev 下挂载，404 为预期，不得作为确认。source map 暴露属信息泄露而非 RCE。验证标准：Server Action 在无有效会话下执行并返回或改状态、SSRF 收到带外回调、Middleware 绕过在无鉴权 cookie 下受保护路由返回 200、NEXT_DATA 含非公开机密或他人 PII。严重性：Server Action 鉴权绕过致数据篡改 高/严重；Image SSRF 至云元数据 严重；Middleware 绕过至管理面板 高；仅 source map 暴露 低-中。其他细节暂未提供。