2. 通过反序列化实现远程代码执行

• 利用对特权端点的访问权限，攻击者提交利用不安全反序列化漏洞的负载，从而执行任意代码。
• 通常，攻击者会将恶意 ASPX Web Shell（例如 spinstall0.aspx）上传到 SharePoint 系统目录。

3. Web Shell 部署与密钥窃取

• Web Shell 被执行，使攻击者能够读取敏感的 SharePoint 配置文件。
• 攻击者提取服务器的机器密钥：
  • ValidationKey
  • DecryptionKey
• 这些加密密钥用于保护用户身份验证令牌和会话状态（ViewState）。

4. 完全接管服务器与持久化

• 借助这些密钥，攻击者可以创建自己有效的、已签名的负载，SharePoint 将信任并执行这些负载。
• 这实现了持久的 RCE，并允许绕过大多数安全控制，即使在最初修补之后也是如此——除非被盗密钥被轮换。

影响

• 完全攻陷本地部署的 SharePoint 服务器：
  • 任意命令执行
  • 文件访问/修改
  • 数据泄露
  • 在整个内部网络中进行横向移动
• 持久化： 攻击者利用窃取的机器密钥保持访问权限，直到这些密钥被手动更改。

示例攻击流程（图表）

修复措施

• 应用 Microsoft 补丁：
  官方公告与更新（Microsoft MSRC）
• 受攻击后立即轮换机器密钥
• 审计服务器中是否存在未授权的 ASPX 文件及异常活动

参考资料

• CISA KEV 目录 - CVE-2025-53770
• Microsoft MSRC 公告
• 技术分析文章："ToolShell" 漏洞利用

本文档仅供研究和防御目的使用。请勿对你不拥有或未经明确授权测试的系统进行攻击尝试。