FTP協(xié)議的安全性問題

FTP協(xié)議的安全性問題

及解決辦法一、概述FTP協(xié)議是網(wǎng)絡中常用的協(xié)議之一，用于用戶間的文件傳輸。由于FTP協(xié)議在設計時是建立在一個相互信任的平臺上，但在網(wǎng)絡安全威脅越來越嚴重的今天，F(xiàn)TP協(xié)議的安全性問題也越來越嚴重。文章重點分析了FTP協(xié)議只使用用戶名和密碼進行登陸、用明文傳輸用戶名和密碼以及任意用戶都可登陸FTP服務器的特點造成的安全性問題，并且提出了相應的改進措施。二、FTP的基本工作原理FTP即文件傳輸協(xié)議。文件傳輸協(xié)議使得主機間可以共享文件。FTP使用TCP生成一個虛擬連接用于控制信息，然后再生成一個單獨的TCP連接用于數(shù)據(jù)傳輸。控制連接使用類似TELNET協(xié)議在主機間交換命令和消息。文件傳輸協(xié)議是TCP/IP網(wǎng)絡上兩臺計算機傳送文件的協(xié)議，F(xiàn)TP是在TCP/IP網(wǎng)絡和INTERNET上最早使用的協(xié)議之一，它屬于網(wǎng)絡協(xié)議組的應用層。FTP客戶機可以給服務器發(fā)出命令來下載文件，上傳文件，創(chuàng)建或改變服務器上的目錄。文件傳送協(xié)議FTP只提供文件傳送的一些基本的服務，它使用TCP可靠的運輸服務。FTP的主要功能是減少或消除在不同操作系統(tǒng)下處理文件的不兼容性。FTP的主要功能是減少或消除在不同操作系統(tǒng)下處理文件的不兼容性。FTP使用客戶服務器方式。一個FTP服務器進程可同時為多個客戶進程提供服務。FTP的服務器進程由兩大部分組成：一個主進程，負責接受新的請求；另外有若干個從屬進程，負責處理單個請求。主進程的工作步驟如下：（1）打開熟知端口（端口號為21），使客戶進程能夠連接上。（2）等待客戶進程發(fā)出連接請求。（3）啟動從屬進程來處理客戶進程發(fā)來的請求。從屬進程對客戶進程的請求處理完畢后即終止，但從屬進程在運行期間根據(jù)需要還可能創(chuàng)建其他一些子進程。（4）回到等待狀態(tài)，繼續(xù)接受其他客戶進程發(fā)來的請求。主進程與從屬進程的處理是并發(fā)地進行。FTP的工作情況如圖所示。圖中的橢圓表示在系統(tǒng)中運行的進程。圖中的服務器端有兩個從屬進程：控制進程和數(shù)據(jù)傳送進程。為簡單起見，服務器端的主進程沒有畫上。在客戶端除了控制進程和數(shù)據(jù)傳送進程外，還有一個用戶界面進程用來和用戶接口。

當客戶進程向服務器進程發(fā)出建立連接請求時，要尋找連接服務器進程的熟知端口(21)，同時還要告訴服務器進程自己的另一個端口號碼，用于建立數(shù)據(jù)傳送連接。接著，服務器進程用自己傳送數(shù)據(jù)的熟知端口(20)與客戶進程所提供的端口號碼建立數(shù)據(jù)傳送連接。由于FTP使用了兩個不同的端口號，所以數(shù)據(jù)連接與控制連接不會發(fā)生混亂。三、FTP安全性缺陷分析1、明文口令由于TCP/IP協(xié)議族的設計在相互信任和安全的基礎上的，F(xiàn)TP的設計也沒有采用加密傳送，F(xiàn)TP客戶與服務器之前所有的數(shù)據(jù)傳送都是通過明文的方式，當然也包括了口令。自從有了交換環(huán)境下的數(shù)據(jù)監(jiān)聽技術(shù)之后，這種明文傳送就變得十分危險，因為別人可能從傳輸過程過捕獲一些敏感的信息，如用戶名和口令等。像HTTPS和SSH都采用加密解決了這一問題。而FTP仍然是明文傳送,而像UINX和LINUX這類系統(tǒng)的ftp賬號通常就是系統(tǒng)帳號。這樣黑客就可以通過捕獲FTP的用戶名和口令來取得系統(tǒng)的帳號，如果該帳號可以遠程登錄的話,通常采用本地溢出來獲得root權(quán)限。這樣該FTP服務器就被黑客控制了2、易遭受窮舉攻擊破解FTP口令必須首先獲得對方的用戶名，而獲得對方的用戶名的方法有很多種，例如可以使用社會工程學來騙取用戶名，或者使用Finger命令來得到用戶名，甚至可以猜測對方的用戶名。在獲得對方的用戶名后，就可以開始對密碼進行破解了。不管你通過什么途徑得到了系統(tǒng)的用戶名，破解密碼的過程都是窮舉密碼的過程，而窮舉密碼的過程說通俗了就是使用不同的密碼進行登陸，直到試出正確的密碼3、任意用戶均可登陸FTP服務器由于FTP協(xié)議的特點，互聯(lián)網(wǎng)上的任意用戶均可登陸FTP服務器，某個非法用戶在獲得FTP服務器的用戶名和密碼后，如果用戶能夠向FTP服務器傳送文件，那么非法用戶可以向FTP服務器發(fā)送大量的沒有的文件，造成FTP服務器工作的癱瘓。四、相關(guān)問題的改進策略（1）利用IP地址過濾技術(shù)對客戶端的IP地址進行過濾我們可以事先在FTP服務器端設置一個IP地址過濾插件，F(xiàn)TP服務器端可以在這個過濾中對可以允許和拒絕訪問的IP地址進行設置，來設置客戶端的訪問權(quán)限。某個客戶端（客戶端的IP地址是46）對FTP服務器進行訪問時，首先要在瀏覽器的地址中輸入FTP服務器的IP地址，例如，如果客戶端對FTP服務器進行訪問，那么FTP服務器在要求客戶端輸入用戶名和密碼之前，會對客戶端的IP地址進行過濾分析，如果FTP服務器在自己的IP地址過濾插件中將IP地址46設置為拒絕訪問，則FTP服務器會拒絕客戶端對FTP服務器進行訪問，否則允許訪問。（2）利用驗證碼技術(shù)對客戶端的身份進行認證與傳統(tǒng)的“用戶名+密碼”的二元認證方式相比，“用戶名、密碼和驗證碼認證”方式除要求用戶輸入用戶名和密碼之外，還要求手工輸入隨機生成的驗證碼，有助于防止自動化的程序填寫登陸；同時限制錯誤登錄次數(shù)和使用“擴展動態(tài)密碼”，密碼錯誤超過限制次數(shù)，即封鎖登陸者IP或ID，以降低惡意程序訪問服務器的頻率。頁面中的驗證碼為數(shù)字或字符，用圖形顯示，每個驗證碼對應的圖形不止一種，以防止非法程序的分析破解。其中驗證碼是由FTP服務器生成的，之后是以圖片的形式下載至瀏覽器頁面進行顯示的?？蛻舳说顷憰r需要輸入一組用戶名、密碼和生成的驗證碼。如果用戶的驗證碼輸入錯誤，則服務器會提示用戶重新輸入，同時驗證碼更新，這樣可以防止攻擊者的暴力破解。如果客戶端輸入次數(shù)過多，F(xiàn)TP服務器則認為該客戶端不具有訪問權(quán)，頁面會自動關(guān)閉。為防止攻擊者通過數(shù)據(jù)流獲取圖片信息，每次圖片生成時為圖片加入隨機元素。（3）針對用戶名和密碼的加密客觀端在登陸FTP服務器端時使用的用戶名和密碼由FTP服務器所提供。如果某個客戶端在輸入用戶名和密碼時后，采用FTP服務器提供的公鑰進行加密，用戶名和密碼在信道中以密文的形式進行傳輸，F(xiàn)TP服務器端在獲得該客戶端傳送的信息后，用自己的私鑰進行解密，如果解密的結(jié)果和服務器設置的用戶名和密碼相符合，則FTP服務器端允許客觀登陸，否則會提示客戶端不能進行登陸，并且要求客觀端重新輸入用戶名和密碼。那么，某個攻擊者在信道上獲得合法的客觀端向服務器發(fā)送的密文信息，但是該攻擊者無法對獲得的密文進行解密，所以攻擊者無法獲得正確的用戶名和密碼。具體的工作過