用途：面向红队与漏洞赏金场景，系统化探测本地部署 SharePoint 农场的攻击面，包括匿名端点枚举、版本泄露、旧版 SOAP 登录接口与 ToolShell 类漏洞前置条件。
主要能力：
- 指纹识别。通过响应头（SPRequestGuid、X-MS-InvokeApp、MicrosoftSharePointTeamServices、X-Forms_Based_Auth_Required 等）、路径（/_layouts/15/、/_vti_bin/、/_api/ 等）与页面正文（GENERATOR 元标签、__REQUESTDIGEST、LibraryVersion）判定 SharePoint 版本与认证模式。
- 版本泄露。使用 curl -sk "https://target.example/_vti_inf.html" 获取 FPVersion；或 POST /_api/contextinfo 读取 LibraryVersion 完整构建号，并映射到 CVE 矩阵（如 SP2013 最终版 15.0.5545.1000 已 EoL）。
- 匿名端点矩阵探测。逐一访问 _layouts/15/start.aspx、ToolPane.aspx、Picker.aspx、scriptresx.ashx、_vti_bin/Authentication.asmx、_api/$metadata 等路径，标记可匿名访问项。
- 旧版 SOAP 登录绕过探测。通过 Authentication.asmx 的 Mode 操作确认是否 Forms 认证，再检测是否存在无速率限制、无账户锁定的凭证校验面。
- ToolShell 前置条件链验证（CVE-2025-53770 类）。依次验证：匿名 GET ToolPane.aspx?DisplayMode=Edit 是否返回 __REQUESTDIGEST 与 __VIEWSTATEENCRYPTED；匿名 POST /_api/contextinfo 是否签发 FormDigest；携带该 digest 的匿名 POST 是否返回 200。技能明确要求不得实际投递恶意 ViewState 载荷，前置链成立即可作为报告证据。
- NTLM Type-2 信息泄露探测，配合 hunt-ntlm-info 获取 AD 拓扑。
- SafeControl 枚举，通过 Picker.aspx 的错误差异判断类型是否存在。
- 自定义品牌模块目录枚举，从登录 URL 提取客户名并探测子目录。
适用场景：互联网可达的 SharePoint 农场、合作伙伴/供应商门户、含匿名 Forms 认证区域的农场、位于企业 AD 父林内的 SharePoint、集成 Telerik 的安装。
限制：素材未提供该技能的安装方式、依赖工具、平台支持与授权要求；内容面向已授权测试。download.aspx 明确不是出站 SSRF，不应据此推断文件存在或 SSRF。machineKey 未知不构成不可利用的门槛。