文章总结： 本文介绍开源若依Vue专项漏洞扫描工具ruoyi-vue-scanner，支持Swagger泄露、Druid未授权、路径穿越文件读取、SQL注入及接口越权等漏洞检测，可爬取JS提取API与敏感信息，支持多线程与代理。文章提供安装使用说明与免责声明，并推广内部VIP知识星球，建议仅用于授权安全测试。 综合评分： 75 文章分类： 安全工具,漏洞分析,渗透测试,WEB安全
若依 Vue 综合漏洞扫描工具，覆盖 Druid 未授权、支持 Swagger 泄露、文件读取、SQL 注入与接口越权一键检测
AakiTT AakiTT
渗透安全HackTwo
2026年9月12日 00:02 广东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
0x01 工具介绍
ruoyi-vue-scanner 是一款开源若依 (RuoYi-Vue) 专项漏洞扫描工具，专为若依系列后台系统打造。支持 Swagger 文档泄露、Druid 未授权 + 弱口令爆破、路径穿越文件读取、dataScope 参数 SQL 注入、接口越权等漏洞检测。可爬取前端 JS 自动提取 API 接口，扫描 JWT、密钥等敏感信息。支持多线程、HTTP 代理、自定义 Cookie，彩色高亮输出漏洞，一键执行全套安全检测，仅用于授权安全研究。
注意：现在只对常读和星标的公众号才展示大图推送，建议大家把渗透安全HackTwo“设为星标⭐️“否则可能就看不到了啦！
下载地址在末尾 #渗透安全HackTwo
0x02 功能介绍
✨核心特点
漏洞检测模块
| 功能 | 说明 |
| — | — |
| Swagger检测 | 自动探测 /swagger-ui/index.html、/v2/api-docs、/v3/api-docs 等接口，识别是否存在Swagger文档泄露 |
| Druid检测 | 检测 Druid 监控页面未授权访问，并支持常见弱口令爆破（admin/123456、druid/druid等） |
| 文件读取 | 检测 /common/download/resource 等接口的路径穿越漏洞，可读取 /etc/passwd、windows/win.ini 等系统文件 |
| SQL注入 | 针对若依系统的 dataScope 参数进行 SQL 注入检测 |
| 定时任务读取 | 检测 /monitor/job 定时任务接口的任意文件读取漏洞 |
| 任意密码修改 | 检测若依系统密码重置接口的漏洞 |
| 系统接口越权测试 | 自动测试 /system/user、/system/role、/system/config 等管理接口是否存在未授权访问 |
| 全面检测 | 一键执行以上所有检测项目 |
辅助功能模块
| 功能 | 说明 |
| — | — |
| 获取JS接口 | 多线程爬取目标页面引用的所有 JS 文件，正则提取其中的 API 路径，支持 /prod-api、/dev-api、/monitor 等常见前缀 |
| 接口测试 | 对收集到的接口进行批量测试，支持 GET / POST / POST-JSON 三种请求方式，可自定义请求体 |
| 敏感信息搜集 | 基于已抓取的 JS 内容，检测密码明文、API密钥、JWT令牌、数据库连接字符串、Redis URL、云存储地址、GitHub令牌、内网IP、邮箱、手机号等敏感信息 |
| 自动提取Basedir | 输入完整 URL 时自动识别并填充后端 API 基础路径（如 /prod-api） |
核心特性
- 多线程并发：10线程池并行请求，大幅提升扫描效率
- 代理支持：支持 HTTP 代理，便于使用 Burp Suite 等工具进行流量分析
- SSL忽略：内置 SSL 证书信任策略，支持扫描自签名 HTTPS 站点
- Cookie/Authorization：支持自定义认证头，可测试登录后的接口
- 彩色日志：终端风格彩色日志输出，关键漏洞高亮显示
- 实时进度：进度条 + 状态栏实时显示扫描进度
0x03 更新介绍
Java重构，改善误报问题
#
0x04 使用介绍
📦安装与使用指南
免责声明：首次启动需阅读并同意免责声明
目标URL：输入若依系统地址，如 http://target.com
Cookie/Authorization：如有登录要求，填入对应认证信息
HTTP代理：可选，格式如 http://127.0.0.1:8080
自动提取Basedir：勾选后自动识别后端API路径前缀
执行扫描：选择单个模块检测或"全面检测"一键扫描
0x05 内部VIP星球介绍-V1.5（福利）
如果你想学习更多渗透测试技术/应急溯源/免杀工具/挖洞SRC赚取漏洞赏金/红队打点等欢迎加入我们内部星球可获得内部工具字典和享受内部资源和内部交流群，每天更新1day/0day漏洞刷分上分(2026POC更新至12922+)，包含全网一些付费扫描工具及内部原创的Burp自动化漏洞探测插件/漏扫工具等，AI代审工具，最新挖洞技巧、SKILL等。shadon/Hunter/0zone/Zoomeye/Quake/Fofa高级会员/AI账号/CTFShow等各种账号会员共享。详情点击下方链接了解，觉得价格高的师傅后台回复” 星球 “有优惠券名额有限先到先得❗️啥都有❗️全网资源最新最丰富❗️**（🤙截止目前已有3000+多位师傅选择加入❗️早加入早享受）
最新漏洞情报分享：https://t.zsxq.com/DSAvv
👉点击了解加入–>>内部VIP知识星球福利介绍V1.5版本-1day/0day漏洞库及内部资源更新
结尾
免责声明
获取方法
公众号回复20260912获取下载、回复 加群 获取交流群
最后必看-免责声明
文章中的案例或工具仅面向合法授权的企业安全建设行为，如您需要测试内容的可用性，请自行搭建靶机环境，勿用于非法行为。如用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击和漏洞利用。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。如您在使用本工具或阅读文章的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。本工具或文章或来源于网络，若有侵权请联系作者删除，请在24小时内删除，请勿用于商业行为，自行查验是否具有后门，切勿相信软件内的广告！
往期推荐
1.内部VIP知识星球福利介绍V1.5（AI自动化）
2.CS4.8-CobaltStrike4.8汉化+插件版
3.全新升级BurpSuite2026.4专业(稳定版)
4.最新xray1.9.11高级版下载Windows/Linux
5.最新HCL AppScan Standard
渗透安全HackTwo
微信号：关注公众号获取
后台回复星球加入：知识星球
扫码关注 了解更多
上一篇文章：Nacos配置文件攻防总结|揭秘Nacos被低估的攻击面
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：渗透安全HackTwo AakiTT AakiTT《若依 Vue 综合漏洞扫描工具，覆盖 Druid 未授权、支持 Swagger 泄露、文件读取、SQL 注入与接口越权一键检测》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论