FTP協(xié)議的安全性問題

FTP協(xié)議的安全性問題

及解決辦法一、概述FTP協(xié)議是網(wǎng)絡(luò)中常用的協(xié)議之一，用于用戶間的文件傳輸。由于FTP協(xié)議在設(shè)計時是建立在一個相互信任的平臺上，但在網(wǎng)絡(luò)安全威脅越來越嚴(yán)重的今天，F(xiàn)TP協(xié)議的安全性問題也越來越嚴(yán)重。文章重點分析了FTP協(xié)議只使用用戶名和密碼進(jìn)行登陸、用明文傳輸用戶名和密碼以及任意用戶都可登陸FTP服務(wù)器的特點造成的安全性問題，并且提出了相應(yīng)的改進(jìn)措施。二、FTP的基本工作原理FTP即文件傳輸協(xié)議。文件傳輸協(xié)議使得主機(jī)間可以共享文件。FTP使用TCP生成一個虛擬連接用于控制信息，然后再生成一個單獨的TCP連接用于數(shù)據(jù)傳輸?？刂七B接使用類似TELNET協(xié)議在主機(jī)間交換命令和消息。文件傳輸協(xié)議是TCP/IP網(wǎng)絡(luò)上兩臺計算機(jī)傳送文件的協(xié)議，F(xiàn)TP是在TCP/IP網(wǎng)絡(luò)和INTERNET上最早使用的協(xié)議之一，它屬于網(wǎng)絡(luò)協(xié)議組的應(yīng)用層。FTP客戶機(jī)可以給服務(wù)器發(fā)出命令來下載文件，上傳文件，創(chuàng)建或改變服務(wù)器上的目錄。文件傳送協(xié)議FTP只提供文件傳送的一些基本的服務(wù)，它使用TCP可靠的運(yùn)輸服務(wù)。FTP的主要功能是減少或消除在不同操作系統(tǒng)下處理文件的不兼容性。FTP的主要功能是減少或消除在不同操作系統(tǒng)下處理文件的不兼容性。FTP使用客戶服務(wù)器方式。一個FTP服務(wù)器進(jìn)程可同時為多個客戶進(jìn)程提供服務(wù)。FTP的服務(wù)器進(jìn)程由兩大部分組成：一個主進(jìn)程，負(fù)責(zé)接受新的請求；另外有若干個從屬進(jìn)程，負(fù)責(zé)處理單個請求。主進(jìn)程的工作步驟如下：（1）打開熟知端口（端口號為21），使客戶進(jìn)程能夠連接上。（2）等待客戶進(jìn)程發(fā)出連接請求。（3）啟動從屬進(jìn)程來處理客戶進(jìn)程發(fā)來的請求。從屬進(jìn)程對客戶進(jìn)程的請求處理完畢后即終止，但從屬進(jìn)程在運(yùn)行期間根據(jù)需要還可能創(chuàng)建其他一些子進(jìn)程。（4）回到等待狀態(tài)，繼續(xù)接受其他客戶進(jìn)程發(fā)來的請求。主進(jìn)程與從屬進(jìn)程的處理是并發(fā)地進(jìn)行。FTP的工作情況如圖所示。圖中的橢圓表示在系統(tǒng)中運(yùn)行的進(jìn)程。圖中的服務(wù)器端有兩個從屬進(jìn)程：控制進(jìn)程和數(shù)據(jù)傳送進(jìn)程。為簡單起見，服務(wù)器端的主進(jìn)程沒有畫上。在客戶端除了控制進(jìn)程和數(shù)據(jù)傳送進(jìn)程外，還有一個用戶界面進(jìn)程用來和用戶接口。

當(dāng)客戶進(jìn)程向服務(wù)器進(jìn)程發(fā)出建立連接請求時，要尋找連接服務(wù)器進(jìn)程的熟知端口(21)，同時還要告訴服務(wù)器進(jìn)程自己的另一個端口號碼，用于建立數(shù)據(jù)傳送連接。接著，服務(wù)器進(jìn)程用自己傳送數(shù)據(jù)的熟知端口(20)與客戶進(jìn)程所提供的端口號碼建立數(shù)據(jù)傳送連接。由于FTP使用了兩個不同的端口號，所以數(shù)據(jù)連接與控制連接不會發(fā)生混亂。三、FTP安全性缺陷分析1、明文口令由于TCP/IP協(xié)議族的設(shè)計在相互信任和安全的基礎(chǔ)上的，F(xiàn)TP的設(shè)計也沒有采用加密傳送，F(xiàn)TP客戶與服務(wù)器之前所有的數(shù)據(jù)傳送都是通過明文的方式，當(dāng)然也包括了口令。自從有了交換環(huán)境下的數(shù)據(jù)監(jiān)聽技術(shù)之后，這種明文傳送就變得十分危險，因為別人可能從傳輸過程過捕獲一些敏感的信息，如用戶名和口令等。像HTTPS和SSH都采用加密解決了這一問題。而FTP仍然是明文傳送,而像UINX和LINUX這類系統(tǒng)的ftp賬號通常就是系統(tǒng)帳號。這樣黑客就可以通過捕獲FTP的用戶名和口令來取得系統(tǒng)的帳號，如果該帳號可以遠(yuǎn)程登錄的話,通常采用本地溢出來獲得root權(quán)限。這樣該FTP服務(wù)器就被黑客控制了2、易遭受窮舉攻擊破解FTP口令必須首先獲得對方的用戶名，而獲得對方的用戶名的方法有很多種，例如可以使用社會工程學(xué)來騙取用戶名，或者使用Finger命令來得到用戶名，甚至可以猜測對方的用戶名。在獲得對方的用戶名后，就可以開始對密碼進(jìn)行破解了。不管你通過什么途徑得到了系統(tǒng)的用戶名，破解密碼的過程都是窮舉密碼的過程，而窮舉密碼的過程說通俗了就是使用不同的密碼進(jìn)行登陸，直到試出正確的密碼3、任意用戶均可登陸FTP服務(wù)器由于FTP協(xié)議的特點，互聯(lián)網(wǎng)上的任意用戶均可登陸FTP服務(wù)器，某個非法用戶在獲得FTP服務(wù)器的用戶名和密碼后，如果用戶能夠向FTP服務(wù)器傳送文件，那么非法用戶可以向FTP服務(wù)器發(fā)送大量的沒有的文件，造成FTP服務(wù)器工作的癱瘓。四、相關(guān)問題的改進(jìn)策略（1）利用IP地址過濾技術(shù)對客戶端的IP地址進(jìn)行過濾我們可以事先在FTP服務(wù)器端設(shè)置一個IP地址過濾插件，F(xiàn)TP服務(wù)器端可以在這個過濾中對可以允許和拒絕訪問的IP地址進(jìn)行設(shè)置，來設(shè)置客戶端的訪問權(quán)限。某個客戶端（客戶端的IP地址是46）對FTP服務(wù)器進(jìn)行訪問時，首先要在瀏覽器的地址中輸入FTP服務(wù)器的IP地址，例如，如果客戶端對FTP服務(wù)器進(jìn)行訪問，那么FTP服務(wù)器在要求客戶端輸入用戶名和密碼之前，會對客戶端的IP地址進(jìn)行過濾分析，如果FTP服務(wù)器在自己的IP地址過濾插件中將IP地址46設(shè)置為拒絕訪問，則FTP服務(wù)器會拒絕客戶端對FTP服務(wù)器進(jìn)行訪問，否則允許訪問。（2）利用驗證碼技術(shù)對客戶端的身份進(jìn)行認(rèn)證與傳統(tǒng)的“用戶名+密碼”的二元認(rèn)證方式相比，“用戶名、密碼和驗證碼認(rèn)證”方式除要求用戶輸入用戶名和密碼之外，還要求手工輸入隨機(jī)生成的驗證碼，有助于防止自動化的程序填寫登陸；同時限制錯誤登錄次數(shù)和使用“擴(kuò)展動態(tài)密碼”，密碼錯誤超過限制次數(shù)，即封鎖登陸者IP或ID，以降低惡意程序訪問服務(wù)器的頻率。頁面中的驗證碼為數(shù)字或字符，用圖形顯示，每個驗證碼對應(yīng)的圖形不止一種，以防止非法程序的分析破解。其中驗證碼是由FTP服務(wù)器生成的，之后是以圖片的形式下載至瀏覽器頁面進(jìn)行顯示的?？蛻舳说顷憰r需要輸入一組用戶名、密碼和生成的驗證碼。如果用戶的驗證碼輸入錯誤，則服務(wù)器會提示用戶重新輸入，同時驗證碼更新，這樣可以防止攻擊者的暴力破解。如果客戶端輸入次數(shù)過多，F(xiàn)TP服務(wù)器則認(rèn)為該客戶端不具有訪問權(quán)，頁面會自動關(guān)閉。為防止攻擊者通過數(shù)據(jù)流獲取圖片信息，每次圖片生成時為圖片加入隨機(jī)元素。（3）針對用戶名和密碼的加密客觀端在登陸FTP服務(wù)器端時使用的用戶名和密碼由FTP服務(wù)器所提供。如果某個客戶端在輸入用戶名和密碼時后，采用FTP服務(wù)器提供的公鑰進(jìn)行加密，用戶名和密碼在信道中以密文的形式進(jìn)行傳輸，F(xiàn)TP服務(wù)器端在獲得該客戶端傳送的信息后，用自己的私鑰進(jìn)行解密，如果解密的結(jié)果和服務(wù)器設(shè)置的用戶名和密碼相符合，則FTP服務(wù)器端允許客觀登陸，否則會提示客戶端不能進(jìn)行登陸，并且要求客觀端重新輸入用戶名和密碼。那么，某個攻擊者在信道上獲得合法的客觀端向服務(wù)器發(fā)送的密文信息，但是該攻擊者無法對獲得的密文進(jìn)行解密，所以攻擊者無法獲得正確的用戶名和密碼。具體的工作過