CVE-2025-53770 扫描器 by DanSec

一款简单有效的侦察工具，用于识别潜在暴露于关键 SharePoint 漏洞 CVE-2025-53770 的系统。

[!Warning]

本工具仅供授权测试使用。
作者（DanSec）不承担因未经授权扫描或使用导致的滥用或损失的任何责任。使用本工具前，请确保你拥有对任何域名或服务进行扫描的明确许可。

关于 CVE-2025-53770

CVE-2025-53770（“ToolShell”） 是一个影响本地 SharePoint Server 2016、2019 和订阅版（Subscription Edition）的关键漏洞。

它通过以下方式实现未经身份验证的远程代码执行（RCE）：

• 通过头信息欺骗绕过身份验证（CVE-2025-53771）
• 上传恶意 ASPX Web Shell（spinstall0.aspx）
• 从 web.config 中提取加密密钥
• 利用 ViewState 进行不安全反序列化以远程执行代码

该漏洞已被积极利用，全球机构已发出紧急警告。

详细信息请参阅：

• Microsoft 安全公告
• Trend Micro 分析
• Rapid7 分析

本扫描器能做什么？

• 执行子域名枚举（使用 Sublist3r 和 crt.sh）以识别潜在的 SharePoint 主机。
• 安全地检查每个发现的子域名是否存在 CVE-2025-53770 漏洞迹象。
• 以结构化的 CSV 文件输出结果，便于审阅。

本扫描器不会利用该漏洞。 它仅识别潜在的暴露点。

安装

克隆仓库并安装依赖：

git clone https://github.com/Sec-Dan/CVE-2025-53770-Scanner.git
cd CVE-2025-53770-scanner
pip install -r requirements.txt

使用方法

python spScanner.py <target_domain> [options]

示例：

python spScanner.py example.com --threads 5 --retries 2

可用参数

结果解读

• VULNERABLE（红色）： HTTP 200 OK 响应，可能存在漏洞
• CLEAN（绿色）： 其他 HTTP 响应，可能未暴露
• ERRORS（黄色）： 连接或网络错误

生成的 CSV 文件将包含每个扫描子域名的详细状态。

负责任的使用

• 始终获得明确授权后再进行扫描。
• 在敏感环境中启动扫描前，通知相关利益方。
• 仅对你自己拥有、管理或已获得明确测试许可的系统使用。

问题与贡献

发现 bug 或有功能请求？欢迎提交 issue 或 pull request！

保持安全，扫描愉快！
— DanSec