Scanner di Vulnerabilità SharePoint CVE-2025-53770

100% assemblato con tutti i tweet che circolano con payload e diversi attacchi, quindi viene fornito senza garanzia ecc. Lo scanner è progettato per identificare istanze vulnerabili e ha una configurazione con usi noti di sfruttamento in circolazione; è principalmente progettato per uso difensivo per identificare istanze vulnerabili e consentire di applicare patch.

Questo scanner esegue controlli automatizzati delle distribuzioni SharePoint:

Inviando richieste POST appositamente create agli endpoint ToolPane di SharePoint con payload di exploit
Rilevando tentativi di estrazione della chiave macchina e sfruttamento riuscito
Identificando il deployment di payload secondario (spinstall0.aspx)
Analizzando le risposte per indicatori di vulnerabilità basati su pattern di attacco osservati
Fornendo report dettagliati con livelli di confidenza e avvisi di azione immediata
Supportando la scansione concorrente per efficienza

Capacità di Rilevamento Chiave

CRITICO: Rilevamento Estrazione Chiave Macchina

Rileva risposte di estrazione chiave macchina riuscite
Identifica l'esposizione di ValidationKey, DecryptionKey e CompatibilityMode
Riconosce pattern di chiave macchina delimitati da pipe (ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode)
Attiva avvisi di azione immediata per sistemi compromessi

Rilevamento Payload Secondario

Identifica tentativi di deployment di spinstall0.aspx
Rileva pattern di codice payload C# ASP.NET
Riconosce l'uso di System.Web.Configuration.MachineKeySection
Rilevamento percorso specifico per versione (SP2013: WEBSER~1\15\ vs SP2016+: WEBSER~1\16\)

Installazione

Clona il repository:

git clone https://github.com/ZephrFish/CVE-2025-53770-Scanner
cd CVE-2025-53770-Scanner

Installa le dipendenze:

pip install -r requirements.txt

Utilizzo

Utilizzo Base

Crea un file di testo con gli host target (uno per riga):

sharepoint1.example.com
sharepoint2.example.net
internal-sp.company.local

Esegui lo scanner:

python3 scanner.py -i hosts.txt

python3 scanner.py -i hosts.txt -o results.json -l scan.log -t 20 -v

Opzioni da Riga di Comando

Opzione	Descrizione	Predefinito
`-i, --input`	Percorso del file con lista host (obbligatorio)	-
`-o, --output`	File di output per i risultati (.json, .csv, .txt)	Nessuno
`-l, --logfile`	Percorso del file di log per logging dettagliato	Nessuno
`-t, --threads`	Numero di thread concorrenti	10
`-v, --verbose`	Abilita output verbose e logging	Falso

Formati di Output

Output JSON (`-o results.json`)

[
  {
    "host": "sharepoint.example.com",
    "url": "https://sharepoint.example.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx",
    "scan_time": "2025-07-21T10:30:00.123456",
    "vulnerable": true,
    "status_code": 200,
    "response_size": 15432,
    "error": null,
    "response_time": 1.23
  }
]

Output CSV (`-o results.csv`)

Fornisce dati tabellari adatti per analisi in fogli di calcolo con colonne per tutte le metriche di scansione.

Output Testo (`-o results.txt`)

Formato leggibile con stato della vulnerabilità e dettagli della scansione.

Dettagli della Vulnerabilità

CVE-2025-53770 mira a una vulnerabilità di deserializzazione nel componente ExcelDataSet di SharePoint che è stata attivamente sfruttata in circolazione. Lo scanner rileva:

Pattern di Attacco Identificati

Sfruttamento Iniziale: Richiesta POST a /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx con payload serializzati

Estrazione Chiave Macchina: Lo sfruttamento riuscito restituisce la configurazione della macchina delimitata da pipe:

ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode
Esempio: [128-256 caratteri esadecimali]|HMACSHA256|[48-96 caratteri esadecimali]|AES|Framework45

Payload Secondario: Deployment di spinstall0.aspx per accesso persistente ed estrazione chiave
Targeting per Versione: Percorsi diversi per versioni di SharePoint (layouts 15/ vs 16/)

IOC Confermati da Sfruttamento Attivo

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer: /_layouts/SignOut.aspx
Content-Length: Tipicamente 7699-8000+ byte
Dimensione Payload: Grandi parametri CompressedDataTable codificati in base64
Indicatori di Risposta: Stringhe chiave macchina, deployment spinstall0.aspx
Infrastruttura di Attacco: 65.38.121.198, 162.243.204.189, 165.22.18.129

Logica di Rilevamento

Lo scanner analizza le risposte per:

Pattern di estrazione chiave macchina (confidenza CRITICA)
Indicatori di payload secondario (confidenza ALTA)
Elaborazione componente ExcelDataSet/Scorecard (confidenza MEDIA)
Pattern di errore ToolPane e caratteristiche di risposta anomale (confidenza BASSA)

Considerazioni sulla Sicurezza

Questo strumento è progettato solo per test di sicurezza autorizzati
Assicurati di avere l'autorizzazione prima di scansionare qualsiasi sistema
Lo scanner usa HTTPS per impostazione predefinita ma accetta certificati autofirmati
I log possono contenere informazioni sensibili - proteggili adeguatamente
Considera l'impatto sulla rete quando si utilizzano thread elevati

Esempio di Sessione di Scansione

$ python3 scanner.py -i corporate-sharepoint.txt -o vuln-results.json -l scan.log -v

Starting scan of 150 hosts with 10 threads...
Target CVE: CVE-2025-53770 (SharePoint ExcelDataSet deserialization)
Logging to: scan.log
Results will be saved to: vuln-results.json

[+] VULNERABLE [CRITICAL]: sp-prod-01.acme.local
[-] Not vulnerable: sp-dev-02.acme.local  
[!] ERROR: offline-sp.acme.local - Connection timeout
[+] VULNERABLE [HIGH]: sp-legacy.acme.local
Progress: 50/150 (33.3%)
Progress: 100/150 (66.7%)
Progress: 150/150 (100.0%)

============================================================
SCAN COMPLETE
============================================================
Total hosts scanned: 150
Vulnerable hosts: 3
Success rate: 97.3%

VULNERABLE HOSTS (CVE-2025-53770):

  CRITICAL - MACHINE KEY EXTRACTED (1 hosts):
    • sp-prod-01.acme.local (Response time: 0.85s, Version: 2016+)
      WARNING: IMMEDIATE ACTION REQUIRED: Machine keys compromised

  HIGH CONFIDENCE (1 hosts):
    • sp-legacy.acme.local (Response time: 1.23s, Version: 2013-2016)

  LOW CONFIDENCE (1 hosts):
    • sp-archive.acme.local (Response time: 2.10s, Version: Unknown)

Detailed results saved to: vuln-results.json

Risoluzione dei Problemi

Problemi Comuni

Timeout di Connessione: Aumenta il timeout o riduci il numero di thread
Errori SSL: Lo scanner disabilita gli avvisi SSL per impostazione predefinita
Errori di Permesso: Assicurati di avere accesso in scrittura per i file di output/log
Utilizzo Memoria: Monitora con liste host grandi

Analisi dei Log

Abilita logging verbose (-v) e file di log (-l) per una risoluzione dei problemi dettagliata:

tail -f scan.log

Analisi dello Sfruttamento

Payload di Attacco Osservati

Lo scanner incorpora il rilevamento per pattern di sfruttamento confermati osservati in attacchi attivi:

Struttura del Payload Primario

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx HTTP/1.1
Host: target.domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Content-Length: 7699
Content-Type: application/x-www-form-urlencoded
Referer: /_layouts/SignOut.aspx
Connection: close

MSOTlPn_Uri=http%3A%2F%2F{{host}}%2F_controltemplates%2F15%2FAclEditor.ascx
&MSOTlPn_DWP=[ExcelDataSet payload with CompressedDataTable containing serialized exploit]

CVE-2025-53770-Scanner

Più Popolari