hunt-sharepoint

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

O SharePoint Server (on-prem) é uma das superfícies de ataque corporativo mais ricas em 2025-2026 para caça a bugs (bug bounty) / equipes vermelhas (red-team). Três forças convergem:

1. Caminhos de código sem patches no fim da vida útil (End-of-life). O SharePoint Server 2013 atingiu o fim do suporte estendido (EoL) em 11/04/2023 (build final 15.0.5545.1000 / KB5002381). Qualquer CVE do SharePoint publicado após essa data está permanentemente sem patches em farms SP2013. O SP2016 atinge o EoL em 14/07/2026; o SP2019 atinge o EoL em 14/07/2026 (próximos 2 meses a partir de maio de 2026); apenas o SP Subscription Edition está atualmente em suporte ativo.
2. CVE-2025-53770 / 53771 "ToolShell" — Cadeia de patches de emergência fora de banda de julho de 2025 para SPE / SP2019 / SP2016. O caminho de código vulnerável (/_layouts/15/ToolPane.aspx?DisplayMode=Edit anônimo + __REQUESTDIGEST anônimo + ViewState não criptografado) está presente no SP2013 também e nunca receberá correção.
3. Páginas de login com marca personalizada esquecem o login SOAP legado. /_vti_bin/Authentication.asmx com a operação SOAP Login é o equivalente no SharePoint ao bypass do XMLRPC do WordPress — aceita credenciais nativas de Formulário anonimamente, sem limite de taxa na maioria das farms, mesmo quando a interface de usuário personalizada tem bloqueio.

Alvos de SharePoint de maior valor:

• Farms SP2013 ainda na internet pública — todos os CVEs desde abril de 2023 estão sem patches. Achados de severidade crítica.
• Portais de revendedores / parceiros / fornecedores construídos em SharePoint por integradores corporativos (grupo VW alemão, um integrador de sistemas corporativo, etc.) — dados de negócios de alto impacto, frequentemente aninhados em árvores corporativas do AD.
• Farms SharePoint com zonas de autenticação de Formulário anônimas — Authentication.asmx se torna anonimamente brute-forceável.
• SharePoint dentro de florestas pai do AD corporativo — vazamento do NTLM Tipo 2 (veja hunt-ntlm-info) divulga a associação à floresta pai.
• Instalações SharePoint integradas com Telerik — sinks de desserialização adicionais sobre os próprios do SP.

Tipos de ativos que pagam mais: SP Server alcançável pela internet (qualquer versão) > SP Online com ganchos de soluções personalizadas > SP interno somente após comprometimento da VPN.

Sinais da Superfície de Ataque

Impressões digitais de cabeçalho de resposta (qualquer um é suficiente — geralmente múltiplos ocorrem juntos):

SPRequestGuid: <GUID>                           (always — anonymous and authenticated)
X-MS-InvokeApp: 1; RequireReadOnly              (SharePoint web request)
X-SharePointHealthScore: 0                      (SharePoint specific)
SPIisLatency: <ms>                              (SharePoint internal timing)
SPRequestDuration: <ms>                         (SharePoint request duration)
MicrosoftSharePointTeamServices: 15.0.0.0      (often stripped by ELB — but if present, exact version)
X-Forms_Based_Auth_Required: <login URL>        (Forms-auth zone indicator)
X-Forms_Based_Auth_Return_Url: <return URL>     (Forms-auth zone indicator)
X-MSDAVEXT_Error: 917656; Access denied...      (WebDAV extension active)
DAV: 1, 2                                       (WebDAV verbs supported)
Set-Cookie: ASP.NET_SessionId=...               (always — IIS session)
Set-Cookie: FedAuth=...; rtFa=...               (claims-mode auth)
Set-Cookie: WSS_FullScreenMode=...              (SharePoint UI mode)

Impressões digitais de URL / caminho:

/_layouts/15/                  (raiz de layouts do SP2013+ — SP2010 usava /_layouts/ sem o 15)
/_layouts/14/                  (SP2010 legado — quase EoL desde 13/10/2020)
/_layouts/16/                  (alguns SP2019 / SPE)
/_vti_bin/                     (FrontPage-RPC + serviços SOAP)
/_vti_pvt/                     (configuração do FrontPage-RPC — geralmente 403)
/_vti_inf.html                 (quase sempre anônimo; contém banner FPVersion)

…