工具分享 | 一款若依（Ruoyi-Vue）漏洞检测工具
AakiTT
AakiTT
篝火信安
2026年8月13日 10:00
北京
在小说阅读器读本章
去阅读
简介
一款若依Vue漏洞检测工具，支持自动化扫描若依(Ruoyi-Vue)系列系统的包括Swagger，Druid，文件读取，SQL注入，定时任务，任意密码修改，系统接口越权等多种安全漏洞，同时还可以对接口和敏感信息进行搜集。
博主测试之后，感觉界面简单朴素，扫描结果还不错，历史的安全问题都能检出。
功能列表
1、漏洞检测模块
| 功能 | 说明 |
|---|---|
| Swagger检测 | 自动探测 /swagger-ui/index.html、/v2/api-docs、/v3/api-docs 等接口，识别是否存在Swagger文档泄露 |
| Druid检测 | 检测 Druid 监控页面未授权访问，并支持常见弱口令爆破（admin/123456、druid/druid等） |
| 文件读取 | 检测 /common/download/resource 等接口的路径穿越漏洞，可读取 /etc/passwd、windows/win.ini 等系统文件 |
| SQL注入 | 针对若依系统的 dataScope 参数进行 SQL 注入检测 |
| 定时任务读取 | 检测 /monitor/job 定时任务接口的任意文件读取漏洞 |
| 任意密码修改 | 检测若依系统密码重置接口的漏洞 |
| 系统接口越权测试 | 自动测试 /system/user、/system/role、/system/config 等管理接口是否存在未授权访问 |
| 全面检测 | 一键执行以上所有检测项目 |
2、辅助功能模块
| 功能 | 说明 |
|---|---|
| 获取JS接口 | 多线程爬取目标页面引用的所有 JS 文件，正则提取其中的 API 路径，支持 /prod-api、/dev-api、/monitor 等常见前缀 |
| 接口测试 | 对收集到的接口进行批量测试，支持 GET / POST / POST-JSON 三种请求方式，可自定义请求体 |
| 敏感信息搜集 | 基于已抓取的 JS 内容，检测密码明文、API密钥、JWT令牌、数据库连接字符串、Redis URL、云存储地址、GitHub令牌、内网IP、邮箱、手机号等敏感信息 |
| 自动提取Basedir | 输入完整 URL 时自动识别并填充后端 API 基础路径（如 /prod-api） |
3、核心特性
- 多线程并发：10线程池并行请求，大幅提升扫描效率
- 代理支持：支持 HTTP 代理，便于使用 Burp Suite 等工具进行流量分析
- SSL忽略：内置 SSL 证书信任策略，支持扫描自签名 HTTPS 站点
- Cookie/Authorization：支持自定义认证头，可测试登录后的接口
- 彩色日志：终端风格彩色日志输出，关键漏洞高亮显示
- 实时进度：进度条 + 状态栏实时显示扫描进度
快速使用
1、设置目标URL，如 http://target.com
2、HTTP代理：可选，格式如 http://127.0.0.1:8080
3、自动提取Basedir：勾选后自动识别后端API路径前缀
4、选择单个模块检测或\"全面检测\"一键执行扫描
免责声明
本工具旨在提供安全评估和漏洞扫描等相关服务，但使用本工具时请注意以下事项：
- 本工具仅供技术学习与交流使用，严禁用于任何非法用途。请遵守《中华人民共和国网络安全法》等相关法律法规，因违规使用产生的一切后果，由使用者自行承担，与作者无关。
- 本工具尽力提供准确、及时的信息和评估，但无法保证其完全无误。使用者应自行判断和验证本工具提供的信息，并对使用本工具所产生的结果进行独立评估。
请在使用本工具之前仔细阅读并理解上述免责声明。使用本工具即表示您同意遵守上述条款，并自行承担相应责任。
下载地址
进入公众号回复关键字【20260813】获取项目链接
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论