Divine Absolute - Ferramenta de Exploração CVE-2025-53770

Visão Geral

Divine Absolute é uma sofisticada ferramenta de exploração Python orientada por assistente, direcionada à CVE-2025-53770, uma vulnerabilidade crítica (CVSS 9.8) de execução remota de código (RCE) não autenticada em servidores SharePoint on-premises da Microsoft (2016, 2019, Subscription Edition). Esta vulnerabilidade, divulgada como zero-day em 19 de julho de 2025, decorre da desserialização de dados não confiáveis em /_layouts/15/ToolPane.aspx. A ferramenta é projetada apenas para testes de penetração éticos e pesquisa de segurança autorizada, oferecendo precisão, furtividade e adaptabilidade incomparáveis para reconhecimento, exploração e verificação.

Repositório: https://github.com/exfil0/CVE-2025-53770

⚠️ Aviso Legal: Esta ferramenta é para uso lícito e autorizado apenas em ambientes controlados, com permissão explícita. O uso não autorizado contra sistemas que você não possui ou não tem permissão para testar é ilegal e pode resultar em graves consequências legais. O autor não assume qualquer responsabilidade por uso indevido.

Funcionalidades

• Modos:
  • Reconhecimento: Detecta presença do SharePoint, versão e acessibilidade de ToolPane.aspx com pontuação avançada e regex (ex.: 16.0.0.\d+-\w+?).
  • Exploração: Envia payloads via ToolPane.aspx com bypasses robustos.
  • Completo: Combina reconhecimento e exploração, com opção de exploração agressiva.
• Geração de Payloads:
  • Integra ysoserial.net para payloads de desserialização .NET (ex.: ObjectDataProvider, LosFormatter).
  • pythonnet opcional para payloads de fallback HTTP/DNS pingback (ex.: WebRequest.Create, Dns.GetHostEntry).
  • Suporta compressão GZIP com codificação/decodificação explícita e validação base64.
  • Injeta bypasses AMSI (reflexão básica, ofuscada ou snippets personalizados) em comandos PowerShell, incluindo payloads codificados em base64 (-enc).
• Bypasses:
  • Evasão de URI: Sufixos aleatórios ou fixos (ex.: /xp.aspx, baseado em UUID).
  • Spoofing de Referer: Nenhum, domínios externos (ex.: www.google.com), URLs personalizados ou caminhos internos do SharePoint (ex.: /_layouts/15/sharepoint.aspx).
• Furtividade:
  • Limitação adaptativa de taxa com limite mínimo de RPS (0,01) e controle de rajada.
  • Concorrência thread-safe com ritmo protegido por lock e jitter (0-0,1s).
• Verificação:
  • Confirmação robusta de RCE com OR compilado de regex, repetições em caso de RequestException e códigos de status/caminhos personalizáveis.
• Reconhecimento:
  • Detecção aprimorada do SharePoint via cabeçalhos (ex.: MicrosoftSharePointTeamServices), caminhos (ex.: /versions.aspx) e regex.
• Saída:
  • Resultados JSON com registro forense para análise.
• Usabilidade:
  • Assistente interativo para configuração fácil.
  • Suporte a Mono/Wine para ysoserial.net em sistemas não Windows.
  • Suporte a proxy (HTTP/SOCKS5) e timeouts personalizáveis.

Contexto da CVE-2025-53770

• Vulnerabilidade: RCE não autenticada via desserialização em /_layouts/15/ToolPane.aspx.
• Atingidos: SharePoint Server 2016, 2019, Subscription Edition (EOL 2010/2013 também vulneráveis).
• Não Atingidos: SharePoint Online (M365).
• Explorado: Desde 18 de julho de 2025, em campanhas como "ToolShell" por atores patrocinados por estados (ex.: Linen Typhoon).
• Correções: Patches da Microsoft (ex.: KB5002768, KB5002754) lançados em 19 de julho de 2025, mitigam totalmente. Listagem CISA KEV exige correção federal até 21 de julho de 2025.
• Mitigações: Aplicar patch, rotacionar chaves pós-patch, habilitar AMSI/Defender (Modo Completo), monitorar POSTs em /ToolPane.aspx, usar regras WAF (ex.: Cloudflare).

Instalação

Pré-requisitos

• Python 3.8+
• Dependências:

  pip install requests termcolor
  

• Opcional (para fallback de serialização .NET):

  pip install pythonnet
  

• ysoserial.net:
  • Baixar de ysoserial.net releases.
  • Colocar ysoserial.exe em um caminho conhecido (ex.: ./ysoserial.exe).
• Mono/Wine (sistemas não Windows):

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS (via Homebrew)
  brew install mono
  

• Laboratório Docker (recomendado para testes):

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

Configuração

1. Clonar o repositório:

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. Instalar dependências Python:

   pip install -r requirements.txt
   

3. Garantir que ysoserial.exe esteja acessível ou fornecer seu caminho durante a execução.
4. (Opcional) Verificar Mono/Wine para sistemas não Windows.

Uso

Executar o assistente interativo:

python divine_absolute.py

Fluxo de Trabalho

1. Seleção de Modo:
   • Reconhecimento: Escaneia a presença e versão do SharePoint.
   • Exploração: Envia payload para ToolPane.aspx.
   • Completo: Reconhecimento + exploração (modo agressivo opcional).
2. Entrada de Alvo:
   • URL única (ex.: https://sharepoint.example.com).
   • Arquivo com URLs (uma por linha).
3. Configuração de Payload:
   • ysoserial.net: Especificar caminho, gadget (ex.: ObjectDataProvider) e comando (ex.: cmd /c whoami).
   • Arquivo: Carregar payload base64 GZIP de arquivo.
   • String: Inserir payload base64 GZIP diretamente.
   • Pingback: Gerar pingback HTTP/DNS (ex.: http://attacker.com/callback ou sub.attacker.com).
   • Bypass AMSI: Escolher NONE, BASIC_REFLECTION, CONCAT_OBFUSCATED ou snippet personalizado.
4. Opções de Bypass:
   • URI: NONE, FIXED (ex.: /xp.aspx), RANDOM (baseado em UUID).
   • Referer: DEFAULT_SP, NO_REFERER, RANDOM_EXTERNAL, CUSTOM_URL.
5. Configurações de Rede:
   • Proxy (ex.: http://127.0.0.1:8080).
   • Threads, timeout, jitter e limite de taxa (RPS).
6. Verificação de RCE:
   • Especificar caminho (ex.: /sitepages/result.txt), regex (ex.: Xanthorox.*), códigos de status (ex.: 200,403), tentativas, atraso e timeout.

Exemplos de Comandos

• Reconhecimento:

  python divine_absolute.py
  # Selecionar: Modo=Reconhecimento, Alvo=https://sharepoint.example.com
  

• Exploração com ysoserial.net:

  python divine_absolute.py
  # Selecionar: Modo=Exploração, Alvo=https://sharepoint.example.com, Payload=YSOSERIAL,
  #             caminho ysoserial.exe=./ysoserial.exe, Gadget=ObjectDataProvider,
  #             Comando="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• Modo Completo com Verificação:

  python divine_absolute.py
  # Selecionar: Modo=Completo, Alvo=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #             Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• Pingback DNS:

  python divine_absolute.py
  # Selecionar: Modo=Exploração, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

Saída

Os resultados são salvos em xanthorox_results.json com os campos:

• target: URL testada.
• sharepoint_detected: Booleano.
• toolpane_accessible: Booleano.
• exploited: Booleano (payload enviado).
• verified_rce: Booleano/None (RCE confirmado).
• error: Quaisquer erros encontrados.

Exemplo:

[
  {
    "target": "https://sharepoint.example.com",
    "sharepoint_detected": true,
    "toolpane_accessible": true,
    "exploited": true,
    "verified_rce": true,
    "error": null
  }
]

Melhorias Abordadas