Scanner CVE-2025-53770 por DanSec

Uma ferramenta de reconhecimento simples e eficaz para identificar potencial exposição à vulnerabilidade crítica do SharePoint CVE-2025-53770.

[!Warning]

Esta ferramenta destina-se exclusivamente a fins de teste autorizados.
O autor (DanSec) não se responsabiliza por uso indevido ou danos causados por varreduras ou uso não autorizados. Certifique-se de que tem permissão explícita para escanear qualquer domínio ou serviço antes de usar esta ferramenta.

Sobre o CVE-2025-53770

CVE-2025-53770 ("ToolShell") é uma vulnerabilidade crítica que afeta o SharePoint Server local nas versões 2016, 2019 e Subscription Edition.

Ela permite execução remota de código (RCE) não autenticada por meio de:

• Bypass de autenticação por spoofing de cabeçalho (CVE-2025-53771)
• Upload de um web shell ASPX malicioso (spinstall0.aspx)
• Extração de segredos criptográficos do web.config
• Desserialização insegura explorando o ViewState para executar código remotamente

Esta vulnerabilidade tem sido ativamente explorada, motivando alertas urgentes de autoridades em todo o mundo.

Para informações detalhadas:

• Microsoft Security Advisory
• Trend Micro Analysis
• Rapid7 Analysis

O Que Este Scanner Faz?

• Realiza enumeração de subdomínios (usando Sublist3r e crt.sh) para identificar possíveis hosts do SharePoint.
• Verifica com segurança cada subdomínio descoberto em busca de sinais de vulnerabilidade à CVE-2025-53770.
• Gera resultados em um arquivo CSV estruturado para fácil revisão.

Este scanner NÃO explora a vulnerabilidade. Ele apenas identifica possíveis pontos de exposição.

Instalação

Clone o repositório e instale as dependências:

git clone https://github.com/Sec-Dan/CVE-2025-53770-Scanner.git
cd CVE-2025-53770-scanner
pip install -r requirements.txt

Uso

python spScanner.py <target_domain> [options]

Exemplo:

python spScanner.py example.com --threads 5 --retries 2

Flags Disponíveis

Interpretando os Resultados

• VULNERÁVEL (Vermelho): Respostas HTTP 200 OK, potencialmente vulnerável
• LIMPO (Verde): Outras respostas HTTP, provavelmente não exposto
• ERROS (Amarelo): Erros de conexão ou de rede

O arquivo CSV resultante conterá o status detalhado de cada subdomínio escaneado.

Uso Responsável

• Sempre obtenha autorização explícita antes de escanear.
• Informe as partes interessadas antes de iniciar varreduras, especialmente em ambientes sensíveis.
• Use apenas em sistemas que você possui, gerencia ou para os quais tem consentimento explícito para testar.

Problemas e Contribuições

Encontrou um bug ou tem uma solicitação de recurso? Abra uma issue ou pull request!

Fique seguro e boas varreduras!
— DanSec