香港服务器安全警报：Vite漏洞导致云密钥泄露风险

有些香港服务器，买回来时就没打算长期使用。

可能是给客户演示一个新项目，也可能是开发团队临时搭建的测试环境。为了让国内同事访问方便，直接在香港云服务器上运行 Vite，启动时加一个 --host，再开放 5173 端口，几分钟就能把演示页面跑起来。

项目演示结束后，机器却一直没有关闭。

这类服务器看起来没什么业务价值，攻击者却未必这么认为。因为开发环境里可能存放着数据库密码、云平台 Access Key，甚至整套基础设施的配置文件。

2026 年 9 月 11 日，F5 Labs 发布的一份安全报告，揭示了针对这类开发环境的大规模自动化扫描活动。

F5 的蜜罐传感器在 2026 年 8 月记录到 807 次按会话归并的相关攻击，以及约 3.2 万条原始事件。扫描主要针对暴露在公网上的 Vite 开发服务器，利用包括 CVE-2026-39364 在内的文件读取漏洞，尝试获取云服务凭据和基础设施配置。

值得注意的是，攻击者寻找的并不只是网站源代码，而是能够进一步访问云资源的敏感信息。

一、Vite漏洞是怎么让开发服务器泄露文件的？

Vite 是常用的前端开发工具，Vue、React 等项目都可能使用它。开发人员通常通过 Vite 启动本地服务，实时预览和调试页面。

问题在于，开发服务器并不是为直接暴露在公网上而设计的。

CVE-2026-39364 是 Vite 的一个文件访问控制绕过漏洞。特定版本的 Vite 在处理带有特殊查询参数的文件请求时，可能绕过 server.fs.deny 设置，返回原本禁止访问的文件内容。

根据 Vite 官方安全公告，漏洞影响范围如下：

例如，攻击者可能利用 ?raw、?importraw 等查询参数，让存在漏洞的服务器返回受保护文件的内容。

不过，并不是所有安装了上述版本 Vite 的服务器都会受到相同影响。根据官方公告，利用该漏洞还需要满足几个条件：开发服务器已对网络开放，目标文件位于 server.fs.allow 允许访问的目录中，同时又被 server.fs.deny 规则禁止访问。

如果这些条件同时成立，攻击者就可能在无需身份认证的情况下读取敏感文件。

这也是为什么一台原本只用于内部调试的香港服务器，一旦错误地开放到公网，就可能带来超出预期的安全风险。

二、攻击者扫描的不是网站，而是服务器里的云密钥

F5 的报告显示，这批自动化扫描并非随机寻找文件，而是使用预设字典，集中尝试获取可能包含敏感凭据的配置文件。

其中几类文件尤其值得注意。

1. .env环境变量文件

.env、.env.production、.env.local 等文件经常用于保存项目运行所需的配置。

开发团队有时会把数据库连接信息、第三方 API Key、对象存储密钥等放在这些文件中。如果使用了真实的生产环境凭据，开发服务器上的一次文件泄露，就可能影响正式业务。

2. AWS和Azure云平台凭据

AWS 凭据文件、Azure 访问令牌等，也是此次扫描的重点。

攻击者一旦获得有效凭据，就可能在相应权限范围内调用云平台 API，读取对象存储数据、访问数据库，甚至创建新的云资源。

实际危害取决于密钥是否仍然有效，以及对应身份拥有多少权限。并非每一把泄露的 Access Key 都能直接登录云控制台，但拥有过高权限的密钥仍可能造成严重后果。

3. Terraform状态文件

Terraform 的 terraform.tfstate 文件同样出现在攻击者的扫描字典中。

这类文件记录着基础设施的实际状态，可能包含云资源标识、数据库连接信息以及其他敏感属性。如果没有妥善管理，泄露后不仅可能暴露基础设施结构，还可能导致部分凭据外泄。

F5 的监测还发现，扫描者尝试读取系统环境信息，并使用路径编码和遍历变体测试不同的文件访问方式。

对于服务器管理员来说，这说明一个问题：即使演示网站本身没有重要数据，开发环境中残留的配置文件也可能具有很高的攻击价值。

三、为什么香港服务器上的临时开发环境需要特别注意？

香港服务器经常被用于跨境业务、网站测试和项目演示。

对于需要同时面向中国内地和海外用户的团队来说，香港节点通常具有部署方便、跨境访问便利等特点。部分项目也会选择香港轻量云服务器，作为临时测试或预览环境。

风险并不来自香港这一地理位置，而是临时环境往往缺少与正式业务相同的安全管理。

例如，开发人员为了让客户查看页面，可能直接执行：

npm run dev -- --host 0.0.0.0

这条命令会让 Vite 监听所有网络接口。若服务器具有公网 IP，且云平台安全组或系统防火墙允许外部访问对应端口，开发服务就可能直接暴露在互联网上。

Vite 官方文档明确指出，开发服务器默认使用 localhost，默认端口为 5173；设置 --host 或 server.host 可以改变监听地址。此外，如果默认端口被占用，Vite 还可能自动尝试下一个可用端口。

因此，排查时不能只检查 5173，还应确认实际监听端口，以及 Docker 端口映射、反向代理和云平台安全组配置。

另一种常见情况是，项目已经结束，但临时服务器没有及时回收。几个月后，负责部署的开发人员可能已经转向其他项目，服务器却仍然运行着旧版本的开发工具。

这样的机器如果还保存着有效云密钥，就存在持续暴露的风险。

四、F5监测到的扫描流量来自哪里？

F5 报告中的相关扫描流量主要来自美国、比利时和荷兰，也涉及新加坡、台湾和日本等地区。

其中，美国来源的事件数量最多，达到 17,297 条。报告还发现，部分扫描源使用 Google Cloud 的 IP 地址段，尤其集中在 34.x 和 35.x 地址范围。

这些数据反映的是 F5 蜜罐观察到的流量来源，并不能据此判断攻击者的真实所在地，也不能证明香港服务器是此次攻击的主要目标。

但它说明，攻击者可以借助云计算基础设施持续进行自动化扫描。单纯依靠国家或 ASN 封禁，并不能替代开发环境的访问控制。

对于公开暴露的测试服务器来说，更重要的是减少不必要的开放端口，并限制谁能够访问开发服务。

五、香港服务器如何排查Vite漏洞和5173端口？

如果你的香港服务器正在运行 Vite，或者曾经部署过临时演示项目，可以从以下几个方面进行检查。

1. 检查Vite版本并及时升级

先在项目目录执行：

npm ls vite

确认当前实际安装的 Vite 版本。

如果使用的是受 CVE-2026-39364 影响的版本，应升级到对应分支的修复版本或经过验证的更新版本，并重新部署服务。

需要注意，升级 Vite 只能修复相应的软件漏洞，不能撤销此前可能已经泄露的凭据。

2. 检查服务器对外开放的端口

除了 Vite 默认使用的 5173 端口，还应检查常见的开发服务端口，以及 Redis、MongoDB 等数据库服务是否存在不必要的公网暴露。

可以先在服务器上查看监听情况：

ss -lntp

再从经过授权的外部设备检查自己管理的公网 IP，例如：

nmap -sT -p 3000,5173,5174,8080,9000,6379,27017 YOUR_SERVER_IP

服务器本地监听与公网可达是两回事。云平台安全组、系统防火墙、容器映射和反向代理都可能影响最终结果，因此需要结合外部检测确认。

3. 不要让开发服务器直接面向公网

如果只是让同事临时查看页面，优先考虑 VPN、SSH 隧道或带身份认证的内部访问入口。

如果必须对外展示项目，可以先构建静态资源，再通过 Nginx 等 Web 服务器部署演示页面，避免直接开放 Vite 开发服务。

对于确实需要远程访问的开发环境，应通过安全组和防火墙限制来源 IP，并定期清理不再使用的访问规则。

4. 排查异常访问日志

如果服务器曾经开放过 Vite 开发端口，可以检查反向代理、WAF 和应用访问日志，重点关注异常的 /@fs/ 文件访问请求，以及针对环境变量文件、云凭据文件的访问尝试。

不过，日志中没有发现相关请求，并不能证明服务器从未被访问。日志可能未启用、保存时间不足，或者请求没有经过记录日志的代理层。

六、服务器曾经暴露过，是否需要轮换密钥？

如果确认服务器运行过受影响版本，并且在满足漏洞利用条件的情况下对公网开放，应将潜在的敏感文件泄露纳入事件排查。

首先确认这台机器上实际存放过哪些凭据，包括数据库密码、云平台 Access Key、对象存储密钥和第三方 API Token。

然后检查云平台审计日志、数据库访问日志和相关服务记录，寻找异常 API 调用、陌生来源地址及未经授权的资源操作。

对于可能已经泄露的有效凭据，应尽快吊销或轮换，并确认相关服务已经切换到新凭据。

在条件允许的情况下，尽量使用短期凭据、实例角色或工作负载身份，避免将长期有效的高权限密钥直接写入项目目录。

IP 来源限制可以作为附加防护措施，但不能代替最小权限、凭据轮换和访问审计。

七、开发和生产环境分开，能降低多少风险？

对于需要长期保留测试环境的团队，建议将开发、演示与生产环境分开管理。

例如，正式网站部署在生产用香港服务器 ，临时项目则使用独立的香港轻量云服务器 。这样可以根据不同用途设置访问规则、资源配额和维护周期。

但需要强调，使用两台服务器并不等于实现了完整的安全隔离。

如果演示机和生产机共用同一套高权限云密钥，或者测试环境可以直接访问生产数据库，那么即使两台机器完全独立，攻击者仍可能利用泄露的凭据影响生产业务。

更稳妥的做法是为不同环境分别配置身份权限、网络访问规则和凭据，并在项目结束后及时回收不再需要的测试资源。

最后：别让临时服务器成为长期风险

F5 的这次监测提醒我们，攻击者并不一定会专门盯上某一家企业。只要开发服务暴露在公网，自动化扫描就可能发现它，并尝试读取其中的敏感文件。

对于香港服务器用户而言，最值得排查的，往往不是每天都有人维护的正式业务，而是那些几个月前临时开通、如今已经很少有人登录的测试机器。

如果服务器已经不再使用，及时关闭并回收资源；如果还需要保留，就检查实际开放端口、更新存在漏洞的软件，并确认开发环境没有保存不必要的生产凭据。


参考资料

F5 Labs：Cloud Takeover — Mass Scanning for Exposed Vite Endpoints（2026年9月11日） 

GitHub Security Advisory：CVE-2026-39364 

Vite 官方文档：Server Options