-SOC342---CVE-2025-53770-SharePoint-ToolShell-Auth-Bypass-and-RCE

一项活动 培养分析技能和报告能力

• 在服务器上根据C#源代码编译一个可执行文件。
• 在SharePoint路径中创建一个Web后门（恶意ASPX文件），当访问时，允许执行或下载外部有效载荷。

cmd.exe /c echo <WebShell> > C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall0.aspx

此命令在SharePoint LAYOUTS文件夹中创建一个名为spinstall0.aspx的文件，并将内容写入其中（此处是表示webshell代码的占位符）。

这是spinstall0.aspx的哈希值： 92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514

让我们在VirusTotal上查看一下。

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -Command "[System.Web.Configuration.MachineKeySection]::GetApplicationConfig()"

此命令允许攻击者访问MachineKeySection的应用程序配置，从而可能暴露敏感加密密钥，如验证密钥和解密密钥。

这些密钥对ASP.NET安全至关重要，保护诸如身份验证cookie和ViewState之类的内容。

暴露或检索这些密钥可让攻击者伪造身份验证令牌、解密受保护数据，或对Web应用程序执行其他攻击。

MITRE ATT&CK

分析师备注：

该警报是由于在SharePoint服务器上观察到异常的PowerShell活动而触发的，后来被确定为针对CVE-2025-53770的利用尝试。攻击者首先使用C#编译器（csc.exe）投放并编译了一个自定义的C#可执行文件（payload.exe），然后在可Web访问的SharePoint目录中创建了一个恶意的ASPX webshell（spinstall0.aspx）。随后，运行了一个PowerShell命令，通过.NET反射从服务器配置中检索敏感的加密机器密钥。这一系列操作表明这是一个多阶段攻击，旨在维持持久控制并可能伪造身份验证令牌。该webshell经VirusTotal验证为恶意，检测比率为39/62。该事件确认为真阳性，建议采取进一步的遏制和修复措施。

CVE-2025-53770 详情

在本地版Microsoft SharePoint Server中，对不可信数据的反序列化允许未授权攻击者通过网络执行代码。Microsoft已知悉CVE-2025-53770存在野外利用。Microsoft正在准备并全面测试一个综合性更新以解决此漏洞。与此同时，请确保已应用此CVE文档中提供的缓解措施，以保护您免受利用。

Microsoft建议的缓解措施： 为缓解潜在攻击，客户应：

1. 使用受支持的本地版SharePoint Server
2. 应用上述链接中的最新安全更新
3. 部署Microsoft Defender for Endpoint保护或等效威胁解决方案
4. 确保开启并正确配置反恶意软件扫描接口（AMSI），并配合适当的防病毒解决方案（如Defender Antivirus）
5. 轮换SharePoint Server ASP.NET机器密钥

IoC

• Spinstall0.aspx – 威胁行为者使用的Web shell
• 行为者还以多种方式修改了文件名——例如spinstall.aspx、spinstall1.aspx、spinstall2.aspx

本报告基于在Let's Defend平台上进行的一次活动。所有发现和材料仅供教育目的。所有权利和所有权归Let's Defend所有。