OurSharePoint - CVE-2025-53770 (PoC)

Dies ist ein einfaches C#-Tool, das einen GZip-komprimierten, Base64-kodierten .NET DataSet-Payload unter Verwendung eines LosFormatter-kodierten inneren Payloads erstellt. Es wurde entwickelt, um die in öffentlicher Forschung beschriebene SharePoint-Deserialisierungs-RCE-Kette nachzuvollziehen.

---

Was es tut

Du gibst ihm einen Base64-kodierten Payload (z. B. von ysoserial.net), und es:

• Verpackt ihn in einem gültigen .NET DataSet mit einem benutzerdefinierten XML-Schema und Diffgram
• Serialisiert das Ergebnis mit BinaryFormatter
• Komprimiert das serialisierte Blob mit GZip
• Kodiert das Ergebnis Base64 und schreibt es in eine .b64-Datei

---

Referenzen

• https://research.eye.security/sharepoint-under-siege/
• https://github.com/rapid7/metasploit-framework/pull/20409/commits

---

Verwendung

Erzeuge zuerst deinen Payload mit ysoserial.net:

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > nested_gadget.b64

Führe dann das Tool aus:

OurSharePointBuilder.exe --in=nested_gadget.b64 --out=exploit --a=<random> --b=<random> --c=<random>

Dies erzeugt:

• exploit.bin – ein rohes serialisiertes DataSet
• exploit.b64 – endgültiger GZip-komprimierter und Base64-kodierter Payload, bereit zur Verwendung

Wenn du --a, --b oder --c nicht angibst, generiert das Tool zufällige Kleinbuchstaben-Namen.

Hinweise

Dieses Tool validiert oder überprüft den von dir bereitgestellten Payload nicht.

Wenn du lokal testest und manuell deserialisierst, könnte es zur Ausführung kommen (z. B. einen Taschenrechner öffnen).