ProFTPD 服务程序 mod_sql查询用户名SQL注入漏洞

受影响系统：
ProFTPD Project ProFTPD 1.3.2
ProFTPD Project ProFTPD 1.3.1

不受影响系统：
ProFTPD Project ProFTPD 1.3.2 rc3

描述：
ProFTPD是一款开放源代码FTP服务程序。

ProFTPD的SQL认证模块没有正确地处理百分号字符（%）。在mod_sql查询中，可使用百分号表示变量。当mod_sql模块查找到百分号时，就会试图用变量替换，这就改变了基本查询的用户名。例如，对于用户名tj%string.com，由于会使用FTP响应状态替换百分号，但不存在状态值，因此会使用默认的“-”字符串，这个用户名最终变为tj-tring.com。

厂商补丁：

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://www.proftpd.org/