Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
sharepoint-toolshell-cve-2025-53770 — Exploit per CVE-2025-53770, una vulnerabilità critica di RCE in SharePoint tramite bypass dell'autenticazione e deserializzazione non sicura, che consente il deployment di web shell e il furto della chiave macchina per la compromissione persistente del server. | Kitploit
Strumenti/GitHubGitHub/bharath-cyber-root/sharepoint-toolshell-cve-2025-53770
Analisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebPenetration TestingAutenticazioneRed Teaming
GitHubbharath-cyber-root/sharepoint-toolshell-cve-2025-53770

sharepoint-toolshell-cve-2025-53770

Exploit per CVE-2025-53770, una vulnerabilità critica di RCE in SharePoint tramite bypass dell'autenticazione e deserializzazione non sicura, che consente il deployment di web shell e il furto della chiave macchina per la compromissione persistente del server.

Vedi Repository
11 anno faNon ancora revisionato

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

Exploit RCE di SharePoint "ToolShell" (CVE-2025-53770)

Panoramica

CVE-2025-53770 è una vulnerabilità critica di esecuzione remota di codice (RCE) che colpisce Microsoft SharePoint Server 2016, 2019 e Subscription Edition (solo on-premises, non SharePoint Online). Gli attaccanti possono aggirare l'autenticazione e ottenere il controllo totale del server sfruttando un difetto logico e una deserializzazione non sicura. Questa catena di exploit—nota pubblicamente come "ToolShell"—è stata osservata in attacchi attivi.

Dettagli tecnici

Versioni interessate

  • SharePoint Enterprise Server 2016
  • SharePoint Server 2019
  • SharePoint Server Subscription Edition
  • Non applicabile a SharePoint Online (Microsoft 365)

Gravità

  • Punteggio CVSS: 9.8 (Critico)

Catena di exploit: passo dopo passo

1. Bypass dell'autenticazione

  • L'attaccante invia una richiesta HTTP POST appositamente predisposta alla pagina di gestione nascosta:
    /_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • La richiesta contiene un'intestazione Referer falsificata:
    root@kitploit:~
    Referer: /_layouts/SignOut.aspx
  • A causa di un difetto logico, SharePoint tratta questa richiesta come proveniente da una sessione legittima e autenticata, concedendo l'accesso.

2. Esecuzione remota di codice tramite deserializzazione

  • Utilizzando l'accesso all'endpoint privilegiato, l'attaccante invia un payload che sfrutta un bug di deserializzazione non sicura, consentendo l'esecuzione di codice arbitrario.
  • Tipicamente, l'attaccante carica una web shell ASPX dannosa (ad es. spinstall0.aspx) nella directory di sistema di SharePoint.

3. Distribuzione della web shell e furto delle chiavi

  • La web shell viene eseguita, consentendo all'attaccante di leggere i file di configurazione sensibili di SharePoint.
  • L'attaccante estrae le chiavi macchina del server:
    • ValidationKey
    • DecryptionKey
  • Queste chiavi crittografiche proteggono i token di autenticazione degli utenti e lo stato della sessione (ViewState).

4. Compromissione totale del server e persistenza

  • Con le chiavi, l'attaccante può creare payload firmati e validi che SharePoint considererà attendibili ed eseguirà.
  • Ciò consente una RCE persistente e permette di aggirare la maggior parte dei controlli di sicurezza, anche dopo l'applicazione iniziale delle patch—a meno che le chiavi rubate non vengano ruotate.

Impatto

  • Compromissione totale del server SharePoint on-premises:
    • Esecuzione arbitraria di comandi
    • Accesso/modifica dei file
    • Esfiltrazione dei dati
    • Movimento laterale all'interno della rete interna
  • Persistenza: gli attaccanti mantengono l'accesso utilizzando le chiavi macchina rubate finché queste non vengono modificate manualmente.

Esempio di flusso di attacco (Diagramma)

root@kitploit:~
sequenceDiagram
    participant Attacker
    participant SharePoint Server

    Attacker->>SharePoint Server: POST /ToolPane.aspx (with fake Referer)
    SharePoint Server-->>Attacker: Grants admin access (auth bypass)
    Attacker->>SharePoint Server: Uploads malicious web shell
    Attacker->>SharePoint Server: Executes web shell to read config
    SharePoint Server-->>Attacker: Returns ValidationKey and DecryptionKey
    Attacker->>SharePoint Server: Sends forged, signed payloads (persistent RCE)

Rimedio

  • Applicare le patch Microsoft:
    Avviso ufficiale e aggiornamenti (Microsoft MSRC)
  • Rotazione immediata delle chiavi macchina dopo la compromissione
  • Verificare sul server la presenza di file ASPX non autorizzati e di attività insolite

Riferimenti

  • CISA KEV Catalog - CVE-2025-53770
  • Avviso Microsoft MSRC
  • Analisi tecnica: exploit "ToolShell"

Questo documento ha esclusivamente finalità di ricerca e difesa. Non tentare di sfruttare la vulnerabilità su sistemi che non possiedi o per cui non disponi di un'autorizzazione esplicita al test.

Scarica lo strumento