LetsDefend--SOC-342-CVE-2025-53770-SharePoint-Exploit-ToolShell

LetsDefend--SOC-342-CVE-2025-53770-SharePoint-Exploit-ToolShell はじめに...

ToolShellFinder

🛠️ ToolShellFinder: CVE-2025-53770 および CVE-2025-53771 の検出 IIS ログをスキャンして ToolShell に関連する悪用の兆候を検出する高性能 PowerShell 7+ スクリプトです。具体的には、Microsoft SharePoint のゼロデイ脆弱性 CVE-2025-53770 および CVE-2025-53771 を対象としています。 このスクリプトは、DFIR チーム、システム管理者、セキュリティ専門家が SharePoint 環境におけるこれらの脆弱性に関連した不審な活動を特定できるように急造されたもので、ネイティブ...

CVE-2025-53770-Checker

CVE-2025-53770-Checker SharePoint オンプレミスサーバーが CVE-2025-53770 に対して脆弱かどうかを確認します SharePoint Server における CVE-2025-53770 脆弱性の非侵入型検出器 開発: Division81 Grupo Oruss の倫理的ハッカーチーム 技術的説明 CVE-2025-53770 は、SharePoint オンプレミスの ViewState マネージャーにおける .NET の重大な逆シリアル化の欠陥であり、認証なしで RCE を可能にします...

CVE-2025-53770-Scanner

CVE-2025-53770 スキャナー DanSec による CVE-2025-53770 の重要な SharePoint 脆弱性への潜在的な露出を特定するための、シンプルで効果的な偵察ツール。 !Warning このツールは、許可されたテスト目的のみに使用されることを意図しています。 作者（DanSec）は、無許可のスキャンや使用によって引き起こされる誤用や損害について一切責任を負いません。このツールを使用する前に、スキャン対象のドメインまたはサービスに対する明示的な許可を得てください。 CVE-2025-53770 について CVE-2025-53770（"ToolShell"）...

ToolShell

Exploit for SharePoint ToolShell. Blog: https://blog.viettelcybersecurity.com/sharepoint-toolshell/ 使用方法: python exploit.py -u -c 例: python exploit.py -u http://10.0.1.12/sites/test -c calc @l0gg...

Microsoft SharePoint Server - Authentication Bypass (ToolShell)

Microsoft Office SharePoint Server contains an improper authentication vulnerability that allows unauthorized attackers to perform spoofing over a network. By crafting a POST request to /layouts/15/ToolPane.aspx with a forged Referer header /layouts/SignOut.aspx, attackers can bypass authenticati...

ToolShell-CVE-2025-53770-SharePoint-Exploit-Lab-LetsDefend

ToolShell-CVE-2025-53770-SharePoint-Exploit-Lab-LetsDefend TL;DR...

SharePoint-ToolShell-CVE-2025-53770-Incident-Analysis

SharePoint ToolShell CVE-2025-53770 インシデント分析 概要 このプロジェクトは、SharePoint サーバーを標的とした ToolShell 脆弱性 CVE-2025-53770 を利用した実際の攻撃試行の調査を文書化したものです。 この攻撃は、リモートコード実行、ウェブシェルの展開、認証情報データの抽出を含む完全な攻撃チェーンを示しています。 初期アクセス 攻撃は、SharePoint サーバーを標的とした CVE-2025-53770 の悪用を示す不審なアラートから始まりました。 悪用リクエスト 認証されていない HTTP POST...

cve-2025-53770-research

cve-2025-53770-research 🚨 Threat intel & incident response research on SharePoint "ToolShell" RCE zero-day CVE-2025-53770. 🕵️‍♂️ Covers root-cause deserialization flaws, attack timelines, risk metrics, and defensive EDR validation playbooks. 🛡️ 🕵️ CVE-2025-53770 — SharePoint "ToolShell" ゼロデイ調査...

LetsDefend-SOC342-CVE-2025-53770-SharePoint-ToolShell-Auth-Bypass-andRCE-EventID-320

🧠 LetsDefend SharePoint Zero-Day Analysis ToolShell - SOC342-CVE-2025-53770 📘 はじめに LetsDefend のサイバーラボで、ToolShell CVE-2025-53770 と呼ばれるSharePointのゼロデイを調査しました。 この演習は、悪意のあるPOSTリクエストが認証を迂回し、PowerShellを実行して MachineKeySection キーを盗み出し、payload.exe をコンパイルし、悪意のあるWebシェル spinstall0.aspx を配置する、現実のゼロデイRCE攻撃...

ToolShell-Honeypot

ToolShell-Honeypot SharePoint 零日漏洞蜜罐 一个基于 Docker 的蜜罐，专注于检测和记录针对 Microsoft SharePoint 零日漏洞的利用尝试。 此蜜罐专为早期检测和威胁情报设计，不用于模拟完整的 SharePoint 环境或后利用活动。 主要特性 高级标签检测 （IOC、Pattern、Heuristic 类别） R7 Metasploit 漏洞利用分析 ，包含完整的有效载荷解压缩 低于 100ms 的响应时间 ，通过异步 Sensor+Analyzer 架构实现 基于 YARA 的原始和解压缩 有效载荷检测 记录所有 HTTP...

sharepoint-toolshell-cve-2025-53770

SharePoint "ToolShell" RCE エクスプロイト CVE-2025-53770 概要 CVE-2025-53770 は、Microsoft SharePoint Server 2016、2019、および Subscription Edition オンプレミスのみ、SharePoint Online は対象外 に影響を与える重大なリモートコード実行 RCE...

-SOC342---CVE-2025-53770-SharePoint-ToolShell-Auth-Bypass-and-RCE

SOC342---CVE-2025-53770-SharePoint-ToolShell-Auth-Bypass-and-RCE これは、Let’s Defend プラットフォームで実施された調査であり、最近の SharePoint の CVE に基づいています。見てみましょう。 1. ルール名を調べます。ルール名は通常、検出対象の攻撃に特化して作成されます。ルール名を調べることで、直面している攻撃を理解できます。 SOC342 ルールは、脆弱な ToolPane.aspx ページを標的とした未認証の POST リクエストを検出しました。その特徴は次のとおりです。...

Toolshell_CVE-2025-53770

ToolShell → CVE‑2025‑53770 Exploit PoC このパッケージは以下を可能にします： 1. SharePoint への webshell アップロード 2. ValidationKey の抽出 3. 署名付き ViewState の生成 4. リバース/バインドシェルによる RCE 🔧 セットアップ root@kitploit: git clone cd toolshell-exploit pip3 install -r requirements.txt 🤖 実行方法 webshell をアップロードします SharePoint...

suricata-rule-CVE-2025-53770

suricata-rule-CVE-2025-53770 CVE-2025-53770 の検出ルール root@kitploit: alert http $EXTERNALNET any - $HOMENET any msg: "ET EXPLOIT SharePoint RCE ToolShell CVE-2025-53770"; http.method; content: "POST"; flow: established, toserver; http.uri;...

Microsoft SharePoint Server - Remote Code Execution (ToolShell)

Deserialization of untrusted data in on-premises Microsoft SharePoint Server allows an unauthorized attacker to execute code over a network. This vulnerability is part of the ToolShell exploit chain and when combined with CVE-2025-53771 authentication bypass, enables unauthenticated remote code...

Exploit for Deserialization of Untrusted Data in Microsoft

cve-2025-53770-research 🚨 Threat intel & incident response...

The Zero-Day Scramble is Avoidable: A Guide to Attack Surface Reduction

You can't control when the next critical vulnerability drops. You can control how much of your environment is exposed when it does. The problem is that most teams have more internet-facing exposure than they realise. Intruder's Head of Security digs into why this happens and how teams can manage ...

About Remote Code Execution – Microsoft SharePoint “ToolShell” (CVE-2025-49704) vulnerability

About Remote Code Execution - Microsoft SharePoint "ToolShell" CVE-2025-49704 vulnerability. This vulnerability is from the Microsoft's July Patch Tuesday. SharePoint is a web application developed by Microsoft for corporate intranet portals, document management, and collaborative work...

IR Trends Q3 2025: ToolShell attacks dominate, highlighting criticality of segmentation and rapid response

Threat actors predominately exploited public-facing applications for initial access this quarter, with this tactic appearing in over 60 percent of Cisco Talos Incident Response Talos IR engagements - a notable increase from less than 10 percent last quarter. This spike is largely attributable to ...