使用明碼傳輸方式，且有相當(dāng)多的安全危機(jī)歷史。因此一般使用功能較少的vsftpd這個(gè)軟件。
21.1.1 FTP功能簡(jiǎn)介
有以下功能
- 文檔傳輸與管理
- 不同等級(jí)的用戶身份：user，guest，anonymous
- 命令記錄與登錄文件記錄
- 限制用戶活動(dòng)的目錄：（change root,簡(jiǎn)稱(chēng) chroot）
- 即將登錄用戶的家目錄變成根目錄
21.1.2 FTP的運(yùn)作流程與使用用的端口號(hào)
FTP的傳輸使用的是TCP封包協(xié)議。
FTP服務(wù)器使用了兩個(gè)聯(lián)機(jī)，分別是：
- 命令信道
- 數(shù)據(jù)流通道（ftp-data）
兩個(gè)聯(lián)機(jī)通道的關(guān)系是怎么樣的？以FTP預(yù)設(shè)的主動(dòng)式（active）聯(lián)機(jī)來(lái)做說(shuō)明：
主動(dòng)指的是FTP服務(wù)器主動(dòng)聯(lián)機(jī)客戶端，作為數(shù)據(jù)通道；
- 建立命令通道的聯(lián)機(jī)
- 客戶端會(huì)隨機(jī)取一個(gè)大于 1024 以上的端口 (port AA) 來(lái)與 FTP服務(wù)器端的 port 21 達(dá)成聯(lián)機(jī)， 這個(gè)過(guò)程當(dāng)然TCP三次握手了！
- 達(dá)成聯(lián)機(jī)后客戶端便可以透過(guò)這個(gè)聯(lián)機(jī)來(lái)對(duì) FTP 服務(wù)器下達(dá)指令， 包括查詢文件名、下載、上傳等指令
- 通知 FTP 服務(wù)器端，使用 active 且告知連接的端口號(hào)
- 客戶端在需要數(shù)據(jù)的情況下，會(huì)告知服務(wù)器端要用什么方式來(lái)聯(lián)機(jī)，如果是主動(dòng)式 (active) 聯(lián)機(jī)時(shí)， 客戶端會(huì)先隨機(jī)啟用一個(gè)端口號(hào) (圖21.1-1 當(dāng)中的 port BB) ，且透過(guò)命令通道告知 FTP 服務(wù)器這兩個(gè)信息，并等待 FTP 服務(wù)器的聯(lián)機(jī)；
- FTP 服務(wù)器『主動(dòng)』向客戶端聯(lián)機(jī)
- FTP 服務(wù)器由命令通道了解客戶端的需求后，會(huì)主動(dòng)的由 20 這個(gè)端口號(hào)向客戶端的 port BB 聯(lián)機(jī)， 這個(gè)聯(lián)機(jī)當(dāng)然也會(huì)經(jīng)過(guò)TCP三次握手！此時(shí) FTP 的客戶端與服務(wù)器端共會(huì)建立兩條聯(lián)機(jī)，分別用在命令的下達(dá)與數(shù)據(jù)的傳遞。 而預(yù)設(shè) FTP服務(wù)器端使用的主動(dòng)聯(lián)機(jī)端口號(hào)就是 port 20 ！
如此一來(lái)則成功的建立起『命令』與『數(shù)據(jù)傳輸』兩個(gè)信道！不過(guò)，要注意的是，數(shù)據(jù)傳輸信道是在有數(shù)據(jù)傳輸?shù)男袨闀r(shí)才會(huì)建立的通道喔！并不是一開(kāi)始連接到FTP 服務(wù)器就立刻建立的通道
由上可見(jiàn)，主動(dòng)式聯(lián)機(jī)使用到的端口號(hào)：
- 命令通道的 ftp (默認(rèn)為 port 21)
- 數(shù)據(jù)傳輸?shù)?ftp-data (默認(rèn)為 port 20)
在主動(dòng)聯(lián)機(jī)的 FTP 服務(wù)器與客戶端之間具有防火墻的聯(lián)機(jī)問(wèn)題
一般來(lái)說(shuō)，很多的局域網(wǎng)絡(luò)都會(huì)使用防火墻(iptables) 的 NAT 功能，那么在 NAT 后端的 FTP 用戶如何連接到 FTP 服務(wù)器呢？
服務(wù)器主動(dòng)連到 NAT 等待轉(zhuǎn)遞至客戶端的聯(lián)機(jī)問(wèn)題：
由于透過(guò) NAT 的轉(zhuǎn)換后， FTP 服務(wù)器只能得知 NAT 的 IP 而不是客戶端的IP ， 因此 FTP 服務(wù)器會(huì)以 port 20 主動(dòng)的向 NAT 的 port BB 發(fā)送主動(dòng)聯(lián)機(jī)的要求。 但你的 NAT 并沒(méi)有啟動(dòng) port BB 來(lái)監(jiān)聽(tīng) FTP 服務(wù)器的聯(lián)機(jī)啊！
解決辦法：
- 使用iptables所提供的FTP偵測(cè)模塊
- ip_conntrack_ftp 及 ip_nat_ftp 等模塊主動(dòng)的分析『目標(biāo)是 port 21 的聯(lián)機(jī)』信息，得到port BB 的資料，
- 此時(shí)若接受到 FTP 服務(wù)器的主動(dòng)聯(lián)機(jī)，就能夠?qū)⒃摲獍鼘?dǎo)向正確的后端主機(jī)了。
- 客戶端選擇被動(dòng)式（Passive）聯(lián)機(jī)模式
- 主動(dòng)式，是指 服務(wù)器主動(dòng)聯(lián)機(jī)客戶端。那被動(dòng)式，就是客戶端聯(lián)機(jī)服務(wù)器。這里都是指的數(shù)據(jù)傳輸聯(lián)機(jī)。
21.1.3 客戶端選擇被動(dòng)式聯(lián)機(jī)模式
- 用戶與服務(wù)器建立命令信道
- 客戶端發(fā)出 PASV 的聯(lián)機(jī)要求
- 發(fā)出聯(lián)機(jī)要求，病等待服務(wù)器的回應(yīng)
- FTP 服務(wù)器啟動(dòng)數(shù)據(jù)端口口，并通知客戶端聯(lián)機(jī)
- 這個(gè)端口號(hào)碼不是主動(dòng)式的port 20 ，而是隨機(jī)的。
- 告知客戶端這個(gè) port PASV；
- 客戶端隨機(jī)取用大于 1024 的端口號(hào)進(jìn)行連接
21.1.4 FTP的安全性問(wèn)題與替代方案
ssh,提供較為安全的sftp-server。在上面?zhèn)鬏數(shù)臄?shù)據(jù)是經(jīng)過(guò)加密的。
21.1.5 開(kāi)放什么身份的使用者登入
- 開(kāi)放實(shí)體用戶的情況 (Real user)
- 系統(tǒng)默認(rèn)并沒(méi)有針對(duì)實(shí)體用戶來(lái)進(jìn)行『限制』的，所以他可以針對(duì)整個(gè)文件系統(tǒng)進(jìn)行任何他所具有權(quán)限的工作。
- 限制用戶能力： chroot 與 /sbin/nologin 等
- 訪客身份（Guest）
- 訪客身份的限制
- 上傳下載檔案數(shù)目與磁盤(pán)容量限制，聯(lián)機(jī)時(shí)間，可用指令。
- 如chmod等就不要允許使用
- 匿名登錄使用者（anonymous）
- 幾乎不要給指令
- 限制文件傳輸?shù)臄?shù)量，盡量不給上傳數(shù)據(jù)的權(quán)限
- 限制匿名者同時(shí)登錄的最大聯(lián)機(jī)數(shù)量。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
