Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
Raccolta Dati da SharePoint: Data from Information Repositories – Sharepoint (T1213.002)
SharePoint è uno dei repository documentali più diffusi nelle reti enterprise e, proprio per questo, rappresenta una miniera d'oro per chi è già dentro il perimetro. La tecnica T1213.002 descrive lo sfruttamento di istanze SharePoint per raccogliere informazioni di valore — diagrammi di rete, credenziali di ambienti di test, documentazione di architettura, procedure operative, frammenti di codice sorgente e link a risorse interne. Si colloca nella tattica TA0009 – Collection, la fase in cui l'avversario ha già ottenuto accesso e si muove lateralmente per raccogliere dati utili ai propri obiettivi, che si tratti di esfiltrazione o di escalation ulteriore.
I numeri parlano chiaro: 6 gruppi APT documentati, 1 tool dedicato, 1 campagna e 3 mitigazioni censite. Non è una tecnica sofisticata — non richiede exploit zero-day né malware custom — ma è devastante per il rapporto costo-beneficio: basta un account compromesso con permessi di lettura su una site collection sensibile per accedere a documenti che accelerano drasticamente ogni fase successiva dell'intrusione. La difesa si gioca tutta sulla visibilità: sapere chi accede, a cosa, con quale frequenza e se quel comportamento è coerente con il ruolo dell'utente.
In un engagement red team, l'accesso a SharePoint è spesso il momento in cui l'operazione cambia marcia. Una volta ottenute credenziali valide — magari tramite phishing o password spraying — il passo successivo è enumerare le site collection e capire cosa contengono. L'approccio più efficace combina i moduli PowerShell del framework PnP PowerShell (open source) con query mirate.
Il primo passo è connettersi all'istanza target. Con PnP PowerShell il comando è diretto:
Connect-PnPOnline -Url
Una volta autenticati, l'enumerazione delle liste e librerie disponibili si ottiene con:
Get-PnPList | Select-Object Title, ItemCount, BaseTemplate
Questo restituisce tutte le librerie documentali con il numero di elementi, permettendo di identificare rapidamente i repository più corposi. Per scaricare in blocco i contenuti di una libreria specifica, si può iterare sugli item:
Get-PnPListItem -List "Documents" -PageSize 500 | ForEach-Object { Get-PnPFile -Url $_.FieldValues.FileRef -Path C:\loot -AsFile }
In contesti dove PnP non è disponibile, il modulo SharePoint Online Management Shell (gratuito, distribuito da Microsoft) offre funzionalità analoghe, sebbene più orientate all'amministrazione. Per simulare lo scenario di Ke3chang, che ha usato il tool spwebmember per enumerare membri e struttura dei siti SharePoint, è possibile interrogare l'API REST di SharePoint direttamente via PowerShell:
Invoke-RestMethod -Uri "
Questa chiamata restituisce l'elenco completo degli utenti del sito, con ruoli e permessi. Per un'enumerazione più aggressiva delle site collection accessibili, lo strumento SharePoint Search espone query potenti: una ricerca tipo contentclass:STS_Site attraverso l'endpoint _api/search/query rivela tutte le site collection indicizzate a cui l'utente ha accesso.
Un aspetto spesso sottovalutato è la ricerca di credenziali nei documenti. Combinando il download massivo con tool come truffleHog (open source) o grep su pattern specifici (password, connectionstring, API key), si replica il comportamento di LAPSUS$, che cercava credenziali ad alto privilegio nelle piattaforme collaborative. In laboratorio, documentate sempre il volume di dati accessibili e i permessi effettivi dell'account compromesso: questi dati sono oro nel report finale per dimostrare l'impatto reale.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo