CVE-2026-42167 主漏洞利用工具

一款专业的安全研究工具，用于利用 ProFTPD mod_sql 模块中的 CVE-2026-42167 漏洞。该工具通过基于时间的侧信道攻击，执行未认证的 SQL 注入，从服务器中窃取敏感文件。

"注意：该工具的效率取决于 PostgreSQL 用户的权限以及网络稳定性。"

🛡️ 漏洞概述

CVE-2026-42167 是 ProFTPD is_escaped_text() 函数中的一个严重逻辑缺陷。当 mod_sql 配置为记录 USER 命令时，攻击者可以通过提供以单引号（'）开头和结尾的输入来绕过 SQL 转义。该工具利用此绕过机制执行 PostgreSQL 特定命令。

✨ 功能特性

• 未认证访问： 如果启用了 USER 日志记录，则无需任何凭据。
• 智能文件扫描： 自动测试常见文件扩展名（.txt、.log、.cfg 等），以防止误报。
• 自动化数据窃取： 检测文件长度，并通过基于 ASCII 的定时攻击逐字符提取内容。
• PostgreSQL 优化： 使用 pg_sleep() 和 pg_read_file() 实现可靠利用。