Как избежать критической уязвимости в MU Online

[milik]

Просканировал один сервер хспайдером,показало ошибку "реальній путь к веб-серверу с помощью запроса"
?op=character&character=/etc/passwd%00
захожу там такие ошибки

Спойлер

Warning: mssql_query() [function.mssql-query]: message: Unclosed quotation mark before the character string '/etc/passwd'. (severity 15) in C:AppServwwwmodulescharacter.php on line 15

Warning: mssql_query() [function.mssql-query]: message: Line 1: Incorrect syntax near '/etc/passwd'. (severity 15) in C:AppServwwwmodulescharacter.php on line 15

Warning: mssql_query() [function.mssql-query]: Query failed in C:AppServwwwmodulescharacter.php on line 15

Warning: mssql_fetch_row(): supplied argument is not a valid MS SQL-result resource in C:AppServwwwmodulescharacter.php on line 16

Warning: mssql_num_rows(): supplied argument is not a valid MS SQL-result resource in C:AppServwwwmodulescharacter.php on line 17

[свернуть]

подскажите что можно сделать с єтим? всмісле ломануть как возможно ? и возможно ли вообще ломануть через єто ?


Edit:
еще нашлась уязвимость
?op=profile&profile=/etc/passwd%00

Спойлер

Warning: mssql_query() [function.mssql-query]: message: Unclosed quotation mark before the character string '/etc/passwd'. (severity 15) in C:AppServwwwmodulesprofile.php on line 6

Warning: mssql_query() [function.mssql-query]: message: Line 1: Incorrect syntax near '/etc/passwd'. (severity 15) in C:AppServwwwmodulesprofile.php on line 6

Warning: mssql_query() [function.mssql-query]: Query failed in C:AppServwwwmodulesprofile.php on line 6

Warning: mssql_fetch_row(): supplied argument is not a valid MS SQL-result resource in C:AppServwwwmodulesprofile.php on line 7

Warning: mssql_num_rows(): supplied argument is not a valid MS SQL-result resource in C:AppServwwwmodulesprofile.php on line 8

[свернуть]

P.S и еще одну нашел только через гуилд
?op=guild&guild=/etc/passwd%00

[DarkSim]

Критическая, если ты в комплекте нашёл SQL инъекцию...
А так ты просто открыл пути сервера  

[Furion]

Что за серевак то ? Давай вместе поколдуем

[KamatoZ]

Та даже этот) https://www.mu.pvpshock.lv имеет такую же уязвимость, но я не силен во взломе сайтов, потому никера не получилось(