CVE-2025-31125 エクスプロイト - Vite WASM インポートパストラバーサル 🛡️

このスクリプトは、Vite に存在する脆弱性 CVE-2025-31125 の Proof-of-Concept (PoC) エクスプロイトです。このエクスプロイトは、WASM インポートパストラバーサル問題を利用して、Vite フレームワークを実行している脆弱なサーバーから機密ファイルを取得します。攻撃者は、/etc/passwd、/etc/shadow、/etc/hosts などのサーバーによって公開された機密ファイルにアクセスできます。⚠️

🚨 免責事項

このツールは教育目的のみであり、自分が所有しているか、明示的なテスト許可を得ているシステムでのみ使用すべきです。システムへの不正アクセスは違法であり、法的結果を招く可能性があります。このツールは責任を持って使用してください！ ⚖️

✨ 特徴

• Vite WASM インポートパストラバーサルの脆弱性 (CVE-2025-31125) を悪用します。🚀
• 脆弱なサーバーから埋め込まれた base64 WASM コンテンツを抽出してデコードします。📜
• /etc/passwd、/etc/shadow などを含む複数のファイルパスをサポートします！💻
• 1行に1つのURLが含まれるファイルから複数のURLをテストします。🗂️
• テスト環境ではSSL証明書の検証を無効にできます。🔐
• 脆弱なサーバー上の異なるファイルパスに対するカスタムパストラバーサル。🛠️

🖥️ 必要条件

• Python 3.6 以上 🐍
• requests ライブラリ 📦
• urllib3 ライブラリ 🔒
• toilet (オプション、バナー用) 🎨

Python依存関係をインストール:

pip3 install -r requirements.txt

システムに toilet (バナー用、オプション) をインストールするには:

• Ubuntu/Debian の場合: sudo apt install toilet
• MacOS の場合: brew install toilet

🚀 インストール

1. リポジトリをローカルマシンにクローンします:

git clone https://github.com/0xgh057r3c0n/CVE-2025-31125.git
cd CVE-2025-31125

2. 必要なPython依存関係をインストールします:

pip3 install -r requirements.txt

💻 使用方法

スクリプトを使用するには、-u で単一のターゲットURLを指定するか、-f で複数のターゲットURLを含むファイルを指定します。

利用可能な引数:

• -u, --url: 単一のURLを対象とします。🌐
• -f, --file: ターゲットURLのリストを含むファイルを指定します（1行に1つ）。📄
• --path: エクスプロイトするパスを指定します（例：/etc/passwd、/etc/shadow）。デフォルトは/etc/passwdです。🛠️
• --no-verify: SSL検証を無効にします（自己署名証明書に便利）。🔒

使用例:

デフォルトパス (/etc/passwd) の単一ターゲット

python3 exploit.py -u https://example.com --no-verify

カスタムパス (/etc/shadow) の単一ターゲット

python3 exploit.py -u https://example.com --no-verify --path /etc/shadow

デフォルトパス (/etc/passwd) でファイルから複数ターゲット

python3 exploit.py -f targets.txt --no-verify

カスタムパス (/etc/hosts) でファイルから複数ターゲット

python3 exploit.py -f targets.txt --no-verify --path /etc/hosts

📞 連絡先

🙋‍♂️ 連絡先（コラボレーション、研究、サイバーセキュリティに関する議論のため）:

• 📧 メール: [email protected]
• 🔗 LinkedIn: Gaurav Bhattacharjee
• 🐙 GitHub: 0xgh057r3c0n
• 🌐 ポートフォリオ: https://0xgh057r3c0n.github.io/

📝 ライセンス

このプロジェクトはMITライセンスの下でライセンスされています。🌟

🖼️ ロゴ

⚠️ 重要な注意事項:

• このツールは許可されたターゲットに対してのみ責任を持って使用してください。
• ネットワークやシステムへの不正アクセスは違法です。 🔴
• このツールは教育目的のみです。