CVE-2025-53770 SharePoint भेद्यता स्कैनर

100% उन सभी ट्वीट्स को एक साथ जोड़कर बनाया गया है जो पेलोड और विभिन्न हमलों के साथ इधर-उधर घूम रहे हैं, इसलिए यह शून्य वारंटी आदि के साथ आता है। स्कैनर कमजोर इंस्टेंस की पहचान करने के लिए डिज़ाइन किया गया है और इसमें शोषण के ज्ञात वास्तविक-दुनिया उपयोगों के साथ एक कॉन्फ़िग है, यह मुख्य रूप से रक्षात्मक उपयोग के लिए डिज़ाइन किया गया है ताकि कमजोर इंस्टेंस की पहचान की जा सके और आप चीजों को पैच कर सकें।

यह स्कैनर SharePoint परिनियोजन की स्वचालित जाँच निम्न प्रकार से करता है:

• SharePoint ToolPane एंडपॉइंट्स पर exploit पेलोड के साथ तैयार किए गए POST अनुरोध भेजकर
• मशीन कुंजी निष्कर्षण प्रयासों और सफल शोषण का पता लगाकर
• द्वितीयक पेलोड परिनियोजन (spinstall0.aspx) की पहचान करके
• देखे गए हमले पैटर्न के आधार पर भेद्यता संकेतकों के लिए प्रतिक्रियाओं का विश्लेषण करके
• आत्मविश्वास स्तरों और तत्काल कार्रवाई अलर्ट के साथ विस्तृत रिपोर्टिंग प्रदान करके
• दक्षता के लिए समवर्ती स्कैनिंग का समर्थन करके

प्रमुख पहचान क्षमताएँ

CRITICAL: मशीन कुंजी निष्कर्षण का पता लगाना

• सफल मशीन कुंजी निष्कर्षण प्रतिक्रियाओं का पता लगाता है
• ValidationKey, DecryptionKey और CompatibilityMode एक्सपोज़र की पहचान करता है
• पाइप-सीमांकित मशीन कुंजी पैटर्न को पहचानता है (ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode)
• समझौता किए गए सिस्टम के लिए तत्काल कार्रवाई अलर्ट ट्रिगर करता है

द्वितीयक पेलोड पहचान

• spinstall0.aspx परिनियोजन प्रयासों की पहचान करता है
• C# ASP.NET पेलोड कोड पैटर्न का पता लगाता है
• System.Web.Configuration.MachineKeySection उपयोग को पहचानता है
• संस्करण-विशिष्ट पथ पहचान (SP2013: WEBSER~1\15\ बनाम SP2016+: WEBSER~1\16\)

इंस्टॉलेशन

1. रिपॉजिटरी क्लोन करें:

git clone https://github.com/ZephrFish/CVE-2025-53770-Scanner
cd CVE-2025-53770-Scanner

2. निर्भरताएँ इंस्टॉल करें:

pip install -r requirements.txt

उपयोग

मूल उपयोग

लक्ष्य होस्ट के साथ एक टेक्स्ट फ़ाइल बनाएं (प्रति पंक्ति एक):

sharepoint1.example.com
sharepoint2.example.net
internal-sp.company.local

स्कैनर चलाएं:

python3 scanner.py -i hosts.txt

python3 scanner.py -i hosts.txt -o results.json -l scan.log -t 20 -v

कमांड लाइन विकल्प

विकल्प	विवरण	डिफ़ॉल्ट
-i, --input	होस्ट सूची फ़ाइल का पथ (आवश्यक)	-
-o, --output	परिणामों के लिए आउटपुट फ़ाइल (.json, .csv, .txt)	None
-l, --logfile	विस्तृत लॉगिंग के लिए लॉग फ़ाइल पथ	None
-t, --threads	समवर्ती थ्रेड्स की संख्या	10
-v, --verbose	विस्तृत आउटपुट और लॉगिंग सक्षम करें	False

आउटपुट प्रारूप

JSON आउटपुट (-o results.json)

[
  {
    "host": "sharepoint.example.com",
    "url": "https://sharepoint.example.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx",
    "scan_time": "2025-07-21T10:30:00.123456",
    "vulnerable": true,
    "status_code": 200,
    "response_size": 15432,
    "error": null,
    "response_time": 1.23
  }
]

CSV आउटपुट (-o results.csv)

स्प्रेडशीट विश्लेषण के लिए उपयुक्त सारणीबद्ध डेटा प्रदान करता है, जिसमें सभी स्कैन मेट्रिक्स के लिए कॉलम होते हैं।

टेक्स्ट आउटपुट (-o results.txt)

मानव-पठनीय प्रारूप जिसमें भेद्यता स्थिति और स्कैन विवरण होते हैं।

भेद्यता विवरण

CVE-2025-53770 SharePoint के ExcelDataSet घटक में एक deserialization भेद्यता को लक्षित करता है जिसका वास्तविक दुनिया में सक्रिय रूप से शोषण किया गया है। स्कैनर निम्न का पता लगाता है:

पहचाने गए हमले के पैटर्न

1. प्रारंभिक शोषण: सीरियलाइज़्ड पेलोड के साथ /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx पर POST अनुरोध
2. मशीन कुंजी निष्कर्षण: सफल शोषण पाइप-सीमांकित मशीन कॉन्फ़िगरेशन लौटाता है:

   ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode
   Example: [128-256 hex chars]|HMACSHA256|[48-96 hex chars]|AES|Framework45
   

3. द्वितीयक पेलोड: स्थायी पहुंच और कुंजी निष्कर्षण के लिए spinstall0.aspx की परिनियोजना
4. संस्करण लक्ष्यीकरण: SharePoint संस्करणों के लिए अलग-अलग पथ (15/ बनाम 16/ लेआउट)

सक्रिय शोषण से पुष्टि किए गए IOC

• User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
• Referer: /_layouts/SignOut.aspx
• Content-Length: आमतौर पर 7699-8000+ बाइट्स
• पेलोड आकार: बड़े base64-एन्कोडेड CompressedDataTable पैरामीटर
• प्रतिक्रिया संकेतक: मशीन कुंजी स्ट्रिंग्स, spinstall0.aspx परिनियोजन
• हमला बुनियादी ढांचा: 65.38.121.198, 162.243.204.189, 165.22.18.129

पहचान तर्क

स्कैनर प्रतिक्रियाओं का विश्लेषण निम्न के लिए करता है:

1. मशीन कुंजी निष्कर्षण पैटर्न (CRITICAL आत्मविश्वास)
2. द्वितीयक पेलोड संकेतक (HIGH आत्मविश्वास)
3. ExcelDataSet/Scorecard घटक प्रोसेसिंग (MEDIUM आत्मविश्वास)
4. ToolPane त्रुटि पैटर्न और असामान्य प्रतिक्रिया विशेषताएँ (LOW आत्मविश्वास)

सुरक्षा संबंधी विचार

• यह टूल केवल अधिकृत सुरक्षा परीक्षण के लिए डिज़ाइन किया गया है
• किसी भी सिस्टम को स्कैन करने से पहले उचित प्राधिकरण सुनिश्चित करें
• स्कैनर डिफ़ॉल्ट रूप से HTTPS उपयोग करता है लेकिन स्व-हस्ताक्षरित प्रमाणपत्र स्वीकार करता है
• लॉग में संवेदनशील जानकारी हो सकती है - उचित रूप से सुरक्षित करें
• उच्च थ्रेड गणना का उपयोग करते समय नेटवर्क प्रभाव पर विचार करें

उदाहरण स्कैन सत्र

$ python3 scanner.py -i corporate-sharepoint.txt -o vuln-results.json -l scan.log -v

Starting scan of 150 hosts with 10 threads...
Target CVE: CVE-2025-53770 (SharePoint ExcelDataSet deserialization)
Logging to: scan.log
Results will be saved to: vuln-results.json

[+] VULNERABLE [CRITICAL]: sp-prod-01.acme.local
[-] Not vulnerable: sp-dev-02.acme.local  
[!] ERROR: offline-sp.acme.local - Connection timeout
[+] VULNERABLE [HIGH]: sp-legacy.acme.local
Progress: 50/150 (33.3%)
Progress: 100/150 (66.7%)
Progress: 150/150 (100.0%)

============================================================
SCAN COMPLETE
============================================================
Total hosts scanned: 150
Vulnerable hosts: 3
Success rate: 97.3%

VULNERABLE HOSTS (CVE-2025-53770):

  CRITICAL - MACHINE KEY EXTRACTED (1 hosts):
    • sp-prod-01.acme.local (Response time: 0.85s, Version: 2016+)
      WARNING: IMMEDIATE ACTION REQUIRED: Machine keys compromised

  HIGH CONFIDENCE (1 hosts):
    • sp-legacy.acme.local (Response time: 1.23s, Version: 2013-2016)

  LOW CONFIDENCE (1 hosts):
    • sp-archive.acme.local (Response time: 2.10s, Version: Unknown)

Detailed results saved to: vuln-results.json

समस्या निवारण

सामान्य समस्याएँ

1. कनेक्शन टाइमआउट: टाइमआउट बढ़ाएं या थ्रेड गणना कम करें
2. SSL त्रुटियाँ: स्कैनर डिफ़ॉल्ट रूप से SSL चेतावनियों को अक्षम करता है
3. अनुमति त्रुटियाँ: आउटपुट/लॉग फ़ाइलों के लिए लेखन पहुंच सुनिश्चित करें
4. मेमोरी उपयोग: बड़ी होस्ट सूचियों के साथ निगरानी करें

लॉग विश्लेषण

विस्तृत समस्या निवारण के लिए verbose लॉगिंग (-v) और लॉग फ़ाइलें (-l) सक्षम करें:

tail -f scan.log

शोषण विश्लेषण

देखे गए हमले के पेलोड

स्कैनर सक्रिय हमलों में देखे गए पुष्टि किए गए शोषण पैटर्न के लिए पहचान शामिल करता है:

प्राथमिक पेलोड संरचना

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx HTTP/1.1
Host: target.domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Content-Length: 7699
Content-Type: application/x-www-form-urlencoded
Referer: /_layouts/SignOut.aspx
Connection: close

MSOTlPn_Uri=http%3A%2F%2F{{host}}%2F_controltemplates%2F15%2FAclEditor.ascx
&MSOTlPn_DWP=[ExcelDataSet payload with CompressedDataTable containing serialized exploit]