चीनी | अंग्रेज़ी

Vite डेव सर्वर भेद्यता स्कैनर

एक स्वचालित स्कैनर जो आंतरिक और बाहरी नेटवर्क दोनों को संभाल सकता है

Vite डेवलपमेंट सर्वर की भेद्यताओं को स्कैन करने के लिए एक स्वचालित उपकरण। यह उपकरण FOFA API का उपयोग करके संभावित लक्ष्यों को एकत्र करता है और स्वचालित रूप से विशिष्ट भेद्यताओं का पता लगाता है।

विशेषताएं

• ऑटो

  • FOFA के माध्यम से स्वचालित लक्ष्य संपत्ति संग्रह
  • मल्टी-थ्रेडेड समवर्ती स्कैनिंग
  • स्वचालित CSV रिपोर्ट निर्माण

• मैनुअल

  • CIDR के माध्यम से मैनुअल लक्ष्य संपत्ति संग्रह
  • मल्टी-थ्रेडेड समवर्ती स्कैनिंग
  • TXT से लक्ष्य आयात करें
  • TXT से पेलोड आयात करें
  • स्वचालित CSV रिपोर्ट निर्माण

स्क्रीनशॉट - ऑटो मोड

स्क्रीनशॉट - मैनुअल मोड

आवश्यकताएँ

• Python 3
• FOFA API खाता

भेद्यता विवरण

CVE-2025-30208

• भेद्यता का नाम: Vite Dev Server अनधिकृत पहुँच
• विवरण: Vite डेवलपमेंट सर्वर में एक अनधिकृत पहुँच भेद्यता है जो हमलावरों को विशिष्ट URL के माध्यम से संवेदनशील जानकारी तक पहुँचने की अनुमति देती है।
• प्रभावित संस्करण: Vite संस्करण >=6.2.0, <=6.2.2, >=6.1.0, <=6.1.1, >=6.0.0, <=6.0.11, >=5.0.0, <=5.4.14, <=4.5.9
• सरल भाषा में: server.fs.deny Vite डेवलपमेंट सर्वर में एक कॉन्फ़िगरेशन विकल्प है जो सर्वर के फ़ाइल सिस्टम तक पहुँच को प्रतिबंधित करता है। यह विकल्प डेवलपर्स को विशिष्ट फ़ाइलों तक पहुँच को अवरुद्ध करने के लिए रेगुलर एक्सप्रेशन की एक सरणी सेट करने की अनुमति देता है। हालाँकि यह एक महत्वपूर्ण सुरक्षा सुविधा है जो सर्वर पर संवेदनशील फ़ाइलों तक अनधिकृत पहुँच को रोकने के लिए डिज़ाइन की गई है, इस तंत्र को URL में ?raw?? या ?import&raw?? जोड़कर बायपास किया जा सकता है। यदि लक्ष्य फ़ाइल मौजूद है, तो उसकी सामग्री को सीधे एक्सेस किया जा सकता है। इसके परिणामस्वरूप निम्नलिखित संभावित सुरक्षा जोखिम होते हैं:
  • सर्वर पर मनमानी फ़ाइलें पढ़ना
  • सिस्टम कॉन्फ़िगरेशन फ़ाइलों तक पहुँचना
  • संवेदनशील एप्लिकेशन जानकारी प्राप्त करना
  • सर्वर निर्देशिका संरचना की जाँच करना

CVE-2025-31125

• भेद्यता का नाम: आयात के माध्यम से Vite Dev Server मनमानी फ़ाइल पढ़ना
• विवरण: Vite डेवलपमेंट सर्वर में एक मनमानी फ़ाइल पढ़ने की भेद्यता है जो हमलावरों को आयात तंत्र के माध्यम से संवेदनशील फ़ाइलों को पढ़ने की अनुमति देती है।
• प्रभावित संस्करण: Vite संस्करण >=6.2.0, <=6.2.2, >=6.1.0, <=6.1.1, >=6.0.0, <=6.0.11, >=5.0.0, <=5.4.14, <=4.5.9
• सरल भाषा में: यह भेद्यता Vite डेवलपमेंट सर्वर के आयात तंत्र में मौजूद है। हमलावर URL में ?import&?inline=1.wasm?init जोड़कर फ़ाइल एक्सेस प्रतिबंधों को बायपास कर सकते हैं। यह सर्वर पर मनमानी फ़ाइलों को पढ़ने की अनुमति देता है, जिनमें शामिल हैं:
  • सिस्टम फ़ाइलें (जैसे, Linux पर /etc/passwd, Windows पर C:/Windows/win.ini)
  • एप्लिकेशन कॉन्फ़िगरेशन फ़ाइलें
  • स्रोत कोड फ़ाइलें
  • डेटाबेस क्रेडेंशियल
  • पर्यावरण चर

कॉन्फ़िगरेशन

प्रोजेक्ट रूट निर्देशिका में .env फ़ाइल बनाएँ जिसमें निम्नलिखित सामग्री हो:

[email protected]
FOFA_KEY=your_fofa_api_key
COUNTRY=AU

सामान्य देश कोड:

• CN: China
• US: United States
• AU: Austrailia
• DE: Germany
• CA: Canada
• FR: France
• GB: United Kingdom
• IN: India
• JP: Japan
• RU: Russia
• ZA: South Africa
• BR: Brazil
• MX: Mexico
• ES: Spain
• ...आदि

उपयोग - FOFA

pip install -r requirements.txt
python main.py

उपयोग - CIDR

# Install dependencies
pip install -r requirements.txt
# Get help
python manual.py -h

usage: manual.py [-h] [-t TARGETS] [-f FILE] [-p PORTS] [-d DICT]

Vite Dev Server Vulnerability Scanner - Manual Mode

options:
  -h, --help            show this help message and exit
  -t TARGETS, --targets TARGETS
                        Target IP addresses, supports single IP, CIDR format (e.g., 192.168.1.0/24) or
                        domain, separate multiple targets with commas
  -f FILE, --file FILE  Load targets from file (one target per line)
  -p PORTS, --ports PORTS
                        Port list, separate with commas (default: 80,443,3000,5173,8080)
  -d DICT, --dict DICT  Custom dictionary file path (format: one path per line, lines starting with #
                        are ignored)
# Scan 192.168.1.0/24 with default ports
python manual.py -t 192.168.1.0/24

कॉन्फ़िगरेशन पैरामीटर

निम्नलिखित पैरामीटर main.py में समायोजित किए जा सकते हैं:

• MAX_PAGE: अधिकतम क्वेरी पृष्ठों की संख्या (डिफ़ॉल्ट: 5)
• RESULTS_PER_PAGE: प्रति पृष्ठ परिणाम (डिफ़ॉल्ट: 100)
• TIMEOUT: अनुरोध टाइमआउट सेकंड में (डिफ़ॉल्ट: 10)
• MAX_THREADS: अधिकतम समवर्ती थ्रेड (डिफ़ॉल्ट: 20)

आउटपुट

स्कैन परिणाम vite_vulnerable_targets.csv में सहेजे जाएँगे, जिनमें निम्नलिखित फ़ील्ड होंगे:

• url: लक्ष्य URL
• vulnerable_url: भेद्यता URL
• status_code: HTTP स्थिति कोड
• domain: डोमेन नाम
• ip: IP पता
• content_preview: भेद्य सामग्री के पहले 200 अक्षर
• vulnerability_type: या तो "CVE-2025-30208" या "CVE-2025-31125"

स्कैन के अंत में, उपकरण हिट दर आँकड़े प्रदर्शित करेगा:

• स्कैन किए गए कुल लक्ष्य
• CVE-2025-30208 हिट्स की संख्या और हिट दर प्रतिशत
• CVE-2025-31125 हिट्स की संख्या और हिट दर प्रतिशत
• पाई गई कुल भेद्यताओं की संख्या

उदाहरण आउटपुट:

[+] Scan complete!
[*] Total targets scanned: 100
[*] CVE-2025-30208 hits: 15 (15.00%)
[*] CVE-2025-31125 hits: 8 (8.00%)
[*] Total vulnerabilities found: 23

अस्वीकरण

यह उपकरण केवल सुरक्षा अनुसंधान और अधिकृत परीक्षण के लिए है। अवैध उद्देश्यों के लिए उपयोग न करें। किसी भी लक्ष्य का परीक्षण करने से पहले उचित प्राधिकरण सुनिश्चित करें।

लाइसेंस

MIT License

संदर्भ

• NIST 30208
• NIST 31125
• Github Security Advisory - GHSA-x574-m823-4x7w
• Github Security Advisory - GHSA-4r4m-qw57-chr8
• Vite Commit - फिक्स: आयात के माध्यम से मनमानी फ़ाइल पढ़ने को रोकें