CVE-2025-53770 Scanner de Vulnerabilidades do SharePoint

100% montado às pressas com todos os tweets que circulam com payloads e diferentes ataques, portanto, vem sem qualquer garantia, etc. O scanner foi projetado para identificar instâncias vulneráveis e possui uma configuração com usos de exploração conhecidos em ambientes reais; é projetado principalmente para uso defensivo, para identificar instâncias vulneráveis e permitir que você aplique as correções.

Este scanner realiza verificações automatizadas em implantações do SharePoint:

Enviando requisições POST elaboradas para endpoints do ToolPane do SharePoint com payloads de exploração
Detectando tentativas de extração de machine key e exploração bem-sucedida
Identificando a implantação de payload secundário (spinstall0.aspx)
Analisando respostas em busca de indicadores de vulnerabilidade com base em padrões de ataque observados
Fornecendo relatórios detalhados com níveis de confiança e alertas de ação imediata
Suportando varredura concorrente para eficiência

Principais Capacidades de Detecção

CRÍTICO: Detecção de Extração de Machine Key

Detecta respostas bem-sucedidas de extração de machine key
Identifica exposição de ValidationKey, DecryptionKey e CompatibilityMode
Reconhece padrões de machine key delimitados por pipe (ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode)
Aciona alertas de ação imediata para sistemas comprometidos

Detecção de Payload Secundário

Identifica tentativas de implantação do spinstall0.aspx
Detecta padrões de código de payload em C# ASP.NET
Reconhece o uso de System.Web.Configuration.MachineKeySection
Detecção de caminho específica por versão (SP2013: WEBSER~1\15\ vs SP2016+: WEBSER~1\16\)

Instalação

Clone o repositório:

git clone https://github.com/ZephrFish/CVE-2025-53770-Scanner
cd CVE-2025-53770-Scanner

Instale as dependências:

pip install -r requirements.txt

Uso

Uso Básico

Crie um arquivo de texto com os hosts alvo (um por linha):

sharepoint1.example.com
sharepoint2.example.net
internal-sp.company.local

Execute o scanner:

python3 scanner.py -i hosts.txt

python3 scanner.py -i hosts.txt -o results.json -l scan.log -t 20 -v

Opções de Linha de Comando

Opção	Descrição	Padrão
`-i, --input`	Caminho para o arquivo de lista de hosts (obrigatório)	-
`-o, --output`	Arquivo de saída para os resultados (.json, .csv, .txt)	Nenhum
`-l, --logfile`	Caminho do arquivo de log para registro detalhado	Nenhum
`-t, --threads`	Número de threads concorrentes	10
`-v, --verbose`	Habilita saída e registro detalhados	Falso

Formatos de Saída

Saída JSON (`-o results.json`)

[
  {
    "host": "sharepoint.example.com",
    "url": "https://sharepoint.example.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx",
    "scan_time": "2025-07-21T10:30:00.123456",
    "vulnerable": true,
    "status_code": 200,
    "response_size": 15432,
    "error": null,
    "response_time": 1.23
  }
]

Saída CSV (`-o results.csv`)

Fornece dados tabulares adequados para análise em planilhas, com colunas para todas as métricas da varredura.

Saída de Texto (`-o results.txt`)

Formato legível por humanos com status de vulnerabilidade e detalhes da varredura.

Detalhes da Vulnerabilidade

CVE-2025-53770 tem como alvo uma vulnerabilidade de desserialização no componente ExcelDataSet do SharePoint que tem sido ativamente explorada em ambientes reais. O scanner detecta:

Padrões de Ataque Identificados

Exploração Inicial: Requisição POST para /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx com payload serializado

Extração de Machine Key: Exploração bem-sucedida retorna a configuração de machine key delimitada por pipe:

ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode
Example: [128-256 hex chars]|HMACSHA256|[48-96 hex chars]|AES|Framework45

Payload Secundário: Implantação do spinstall0.aspx para acesso persistente e extração de chaves
Segmentação por Versão: Caminhos diferentes para versões do SharePoint (layouts 15/ vs 16/)

IOCs Confirmados de Exploração Ativa

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer: /_layouts/SignOut.aspx
Content-Length: Normalmente 7699-8000+ bytes
Tamanho do Payload: Parâmetros CompressedDataTable grandes codificados em base64
Indicadores de Resposta: Strings de machine key, implantação do spinstall0.aspx
Infraestrutura de Ataque: 65.38.121.198, 162.243.204.189, 165.22.18.129

Lógica de Detecção

O scanner analisa as respostas em busca de:

Padrões de extração de machine key (confiança CRÍTICA)
Indicadores de payload secundário (confiança ALTA)
Processamento de componentes ExcelDataSet/Scorecard (confiança MÉDIA)
Padrões de erro do ToolPane e características anômalas de resposta (confiança BAIXA)

Considerações de Segurança

Esta ferramenta foi projetada apenas para testes de segurança autorizados
Garanta a devida autorização antes de escanear qualquer sistema
O scanner usa HTTPS por padrão, mas aceita certificados autoassinados
Os logs podem conter informações sensíveis — proteja-os adequadamente
Considere o impacto na rede ao usar números elevados de threads

Exemplo de Sessão de Varredura

$ python3 scanner.py -i corporate-sharepoint.txt -o vuln-results.json -l scan.log -v

Starting scan of 150 hosts with 10 threads...
Target CVE: CVE-2025-53770 (SharePoint ExcelDataSet deserialization)
Logging to: scan.log
Results will be saved to: vuln-results.json

[+] VULNERABLE [CRITICAL]: sp-prod-01.acme.local
[-] Not vulnerable: sp-dev-02.acme.local  
[!] ERROR: offline-sp.acme.local - Connection timeout
[+] VULNERABLE [HIGH]: sp-legacy.acme.local
Progress: 50/150 (33.3%)
Progress: 100/150 (66.7%)
Progress: 150/150 (100.0%)

============================================================
SCAN COMPLETE
============================================================
Total hosts scanned: 150
Vulnerable hosts: 3
Success rate: 97.3%

VULNERABLE HOSTS (CVE-2025-53770):

  CRITICAL - MACHINE KEY EXTRACTED (1 hosts):
    • sp-prod-01.acme.local (Response time: 0.85s, Version: 2016+)
      WARNING: IMMEDIATE ACTION REQUIRED: Machine keys compromised

  HIGH CONFIDENCE (1 hosts):
    • sp-legacy.acme.local (Response time: 1.23s, Version: 2013-2016)

  LOW CONFIDENCE (1 hosts):
    • sp-archive.acme.local (Response time: 2.10s, Version: Unknown)

Detailed results saved to: vuln-results.json

Solução de Problemas

Problemas Comuns

Timeouts de Conexão: Aumente o timeout ou reduza o número de threads
Erros de SSL: O scanner desativa os avisos de SSL por padrão
Erros de Permissão: Garanta acesso de gravação para os arquivos de saída/log
Uso de Memória: Monitore ao usar listas grandes de hosts

Análise de Logs

Habilite o registro detalhado (-v) e arquivos de log (-l) para uma solução de problemas detalhada:

tail -f scan.log

Análise de Exploração

Payloads de Ataque Observados

O scanner incorpora detecção para padrões de exploração confirmados observados em ataques ativos:

Estrutura do Payload Primário

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx HTTP/1.1
Host: target.domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Content-Length: 7699
Content-Type: application/x-www-form-urlencoded
Referer: /_layouts/SignOut.aspx
Connection: close

MSOTlPn_Uri=http%3A%2F%2F{{host}}%2F_controltemplates%2F15%2FAclEditor.ascx
&MSOTlPn_DWP=[ExcelDataSet payload with CompressedDataTable containing serialized exploit]

CVE-2025-53770-Scanner

Mais Populares