WSUS-CVE-2025-59287-RCE

CVE-2025-59287 是一个**严重（CVSS 9.8）**远程代码执行漏洞，影响所有 Microsoft Windows Server Update Services（简称 WSUS），并且已被在野利用。该漏洞利用 GetCookie() 端点中的不安全反序列化，允许未经身份验证的攻击者以完全 SYSTEM 权限执行任意代码。

使用方法

这个反弹 shell POC 使用起来非常简单！它接受目标 URL、攻击者 IP 和端口参数，然后构造、加密并发送恶意负载。要拦截反弹 shell，请使用类似 netcat 的监听器，例如 nc -lvnp 4444。

1. 编译，可以使用 https://github.com/mono/mono
2. 启动监听器；例如通过 netcat：nc -lvnp 4444
3. 运行可执行文件
4. 按照提示输入：Target、LIP、LPORT
5. 成功拿下。

漏洞利用流程

1. 负载生成：生成一条 PowerShell 反弹 shell 命令。
2. 序列化：使用 ysoserial.net 通过 TypeConfuseDelegate gadget 对负载进行序列化。
3. 加密：使用 AES-128-CBC 对序列化后的负载进行加密，采用固定密钥和随机生成的盐。
4. 编码：将加密后的字节进行 Base64 编码。
5. 构造 SOAP 请求：将编码后的负载嵌入到 AuthorizationCookie 字段中的 SOAP 信封内。
6. 传输：将 SOAP 请求发送到目标的 WSUS GetCookie 端点。
7. 结果（希望如此）：如果一切顺利，服务器会解密并反序列化负载，从而实现远程代码执行，为我们提供一个 SYSTEM 反弹 shell！

免责声明

在测试此类漏洞利用之前，务必确保你已获得书面授权。请负责任且合法地使用！