OurSharePoint - CVE-2025-53770 (PoC)

Questo è un semplice strumento C# che costruisce un payload .NET DataSet compresso con GZip e codificato in Base64, utilizzando un payload interno codificato con LosFormatter. È progettato per aiutare a riprodurre la catena RCE di deserializzazione di SharePoint descritta nella ricerca pubblica.

---

Cosa fa

Gli fornisci un payload codificato in Base64 (come uno da ysoserial.net), ed esso:

• Lo avvolge in un DataSet .NET valido con uno schema XML personalizzato + diffgram
• Serializza il risultato usando BinaryFormatter
• Comprime il blob serializzato con GZip
• Codifica in Base64 il risultato e lo scrive in un file .b64

---

Riferimenti

• https://research.eye.security/sharepoint-under-siege/
• https://github.com/rapid7/metasploit-framework/pull/20409/commits

---

Utilizzo

Per prima cosa, genera il tuo payload usando ysoserial.net:

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > nested_gadget.b64

Quindi esegui questo strumento:

OurSharePointBuilder.exe --in=nested_gadget.b64 --out=exploit --a=<random> --b=<random> --c=<random>

Questo genererà:

• exploit.bin - un DataSet serializzato grezzo
• exploit.b64 - payload finale compresso con GZip e codificato in Base64, pronto per noi

Inoltre, se non specifichi --a, --b o --c, lo strumento genera nomi casuali in minuscolo.

Note

Questo strumento non valida né ispeziona il payload che gli fornisci.

Se stai testando in locale e deserializzi manualmente, potrebbe eseguire (ad es., avviare calc).