Sitecore 关键反序列化 (RCE) CVE-2025-53690 PoC 和 Nuclei 模板

简短摘要
此仓库托管了针对 CVE-2025-53690 (Sitecore) 的检测模板及辅助材料。内含的 Nuclei 模板可帮助扫描配置方式可能易受我文章中所述问题影响的 Sitecore 实例（实验室复现分析与 PoC）。本仓库旨在帮助防御者、事件响应人员和审计人员快速识别其资产中可能受影响的系统。

⚠️ 仅限负责任使用。 请勿扫描或测试你不拥有或未获得明确书面授权的系统。未经授权的扫描可能违法并造成损害。请阅读下方的“负责任披露与法律”部分。

---

快速开始 — 使用 Nuclei 扫描

1. 在此处安装 Nuclei： https://github.com/projectdiscovery/nuclei?tab=readme-ov-file#installation
2. 克隆仓库：

git clone https://github.com/ErikLearningSec/CVE-2025-53690-POC.git && cd CVE-2025-53690-POC

3. 扫描单个主机：

   nuclei -t CVE-2025-53690.yaml -target https://example.com -o results.txt
   

4. 扫描多个目标（从文件读取）：

   nuclei -t CVE-2025-53690.yaml -list targets.txt -o results.txt
   

---

检测原理（高层概述）

该模板检查 /sitecore/default.aspx 端点上是否存在 VIEWSTATE 反序列化（该端点通常存在于 Sitecore 安装中）。通过使用一个 VIEWSTATE 载荷，在响应中添加一个任意头部 X-Pentest-Deser。如果响应包含该头部，则视为命中。这只是一个启发式检测器——阳性结果仅是一个指标，需要在受控环境中进行人工验证和安全的后续测试。

注意：该模板特意不包含利用载荷或自动利用逻辑。它仅用于安全发现。

---

验证与后续操作（推荐工作流程）

1. 确认所有权/权限。 确保你对该域名或 IP 范围拥有授权。
2. 在可能的情况下，首先在预发布环境运行 nuclei 模板。
3. 人工验证：如果有匹配，请阅读下方的详细分析博客，手动检查并确认漏洞。

---

负责任披露与法律

• 请勿将模板用于攻击性活动。
• 仅在你拥有或获得书面授权的系统上使用。
• 如果你发现不属于你的已确认易受攻击的生产系统，请联系所有者/管理员，或遵循供应商的披露流程。
• 对于滥用此仓库所造成的任何后果，我不承担任何责任。

---

阅读完整分析

如需查看背景、利用上下文和推荐缓解措施，请阅读完整的技术文章：

• 越南语：https://sec.vnpt.vn/2025/11/Sitecore-CVE-2025-53690-Detailed-Analysis-andamp-Weaponized-POC-Why-you-shouldnt-blindly-trust-the-documentation
• 英语：https://eriklearningsec.com/p/cve-2025-53690/

---

贡献

如果你发现误报或想改进检测模板，请开启 issue 或提交 pull request。请将更改集中于检测调优和减少误报——不要添加利用代码。