FTP協議的安全性問題

及解決辦法一、概述FTP協議是網絡中常用的協議之一，用于用戶間的文件傳輸。由于FTP協議在設計時是建立在一個相互信任的平臺上，但在網絡安全威脅越來越嚴重的今天，FTP協議的安全性問題也越來越嚴重。文章重點分析了FTP協議只使用用戶名和密碼進行登陸、用明文傳輸用戶名和密碼以及任意用戶都可登陸FTP服務器的特點造成的安全性問題，并且提出了相應的改進措施。二、FTP的基本工作原理FTP即文件傳輸協議。文件傳輸協議使得主機間可以共享文件。FTP使用TCP生成一個虛擬連接用于控制信息，然后再生成一個單獨的TCP連接用于數據傳輸。控制連接使用類似TELNET協議在主機間交換命令和消息。文件傳輸協議是TCP/IP網絡上兩臺計算機傳送文件的協議，FTP是在TCP/IP網絡和INTERNET上最早使用的協議之一，它屬于網絡協議組的應用層。FTP客戶機可以給服務器發出命令來下載文件，上傳文件，創建或改變服務器上的目錄。文件傳送協議FTP只提供文件傳送的一些基本的服務，它使用TCP可靠的運輸服務。FTP的主要功能是減少或消除在不同操作系統下處理文件的不兼容性。FTP的主要功能是減少或消除在不同操作系統下處理文件的不兼容性。FTP使用客戶服務器方式。一個FTP服務器進程可同時為多個客戶進程提供服務。FTP的服務器進程由兩大部分組成：一個主進程，負責接受新的請求；另外有若干個從屬進程，負責處理單個請求。主進程的工作步驟如下：（1）打開熟知端口（端口號為21），使客戶進程能夠連接上。（2）等待客戶進程發出連接請求。（3）啟動從屬進程來處理客戶進程發來的請求。從屬進程對客戶進程的請求處理完畢后即終止，但從屬進程在運行期間根據需要還可能創建其他一些子進程。（4）回到等待狀態，繼續接受其他客戶進程發來的請求。主進程與從屬進程的處理是并發地進行。FTP的工作情況如圖所示。圖中的橢圓表示在系統中運行的進程。圖中的服務器端有兩個從屬進程：控制進程和數據傳送進程。為簡單起見，服務器端的主進程沒有畫上。在客戶端除了控制進程和數據傳送進程外，還有一個用戶界面進程用來和用戶接口。

當客戶進程向服務器進程發出建立連接請求時，要尋找連接服務器進程的熟知端口(21)，同時還要告訴服務器進程自己的另一個端口號碼，用于建立數據傳送連接。接著，服務器進程用自己傳送數據的熟知端口(20)與客戶進程所提供的端口號碼建立數據傳送連接。由于FTP使用了兩個不同的端口號，所以數據連接與控制連接不會發生混亂。三、FTP安全性缺陷分析1、明文口令由于TCP/IP協議族的設計在相互信任和安全的基礎上的，FTP的設計也沒有采用加密傳送，FTP客戶與服務器之前所有的數據傳送都是通過明文的方式，當然也包括了口令。自從有了交換環境下的數據監聽技術之后，這種明文傳送就變得十分危險，因為別人可能從傳輸過程過捕獲一些敏感的信息，如用戶名和口令等。像HTTPS和SSH都采用加密解決了這一問題。而FTP仍然是明文傳送,而像UINX和LINUX這類系統的ftp賬號通常就是系統帳號。這樣黑客就可以通過捕獲FTP的用戶名和口令來取得系統的帳號，如果該帳號可以遠程登錄的話,通常采用本地溢出來獲得root權限。這樣該FTP服務器就被黑客控制了2、易遭受窮舉攻擊破解FTP口令必須首先獲得對方的用戶名，而獲得對方的用戶名的方法有很多種，例如可以使用社會工程學來騙取用戶名，或者使用Finger命令來得到用戶名，甚至可以猜測對方的用戶名。在獲得對方的用戶名后，就可以開始對密碼進行破解了。不管你通過什么途徑得到了系統的用戶名，破解密碼的過程都是窮舉密碼的過程，而窮舉密碼的過程說通俗了就是使用不同的密碼進行登陸，直到試出正確的密碼3、任意用戶均可登陸FTP服務器由于FTP協議的特點，互聯網上的任意用戶均可登陸FTP服務器，某個非法用戶在獲得FTP服務器的用戶名和密碼后，如果用戶能夠向FTP服務器傳送文件，那么非法用戶可以向FTP服務器發送大量的沒有的文件，造成FTP服務器工作的癱瘓。四、相關問題的改進策略（1）利用IP地址過濾技術對客戶端的IP地址進行過濾我們可以事先在FTP服務器端設置一個IP地址過濾插件，FTP服務器端可以在這個過濾中對可以允許和拒絕訪問的IP地址進行設置，來設置客戶端的訪問權限。某個客戶端（客戶端的IP地址是46）對FTP服務器進行訪問時，首先要在瀏覽器的地址中輸入FTP服務器的IP地址，例如，如果客戶端對FTP服務器進行訪問，那么FTP服務器在要求客戶端輸入用戶名和密碼之前，會對客戶端的IP地址進行過濾分析，如果FTP服務器在自己的IP地址過濾插件中將IP地址46設置為拒絕訪問，則FTP服務器會拒絕客戶端對FTP服務器進行訪問，否則允許訪問。（2）利用驗證碼技術對客戶端的身份進行認證與傳統的“用戶名+密碼”的二元認證方式相比，“用戶名、密碼和驗證碼認證”方式除要求用戶輸入用戶名和密碼之外，還要求手工輸入隨機生成的驗證碼，有助于防止自動化的程序填寫登陸；同時限制錯誤登錄次數和使用“擴展動態密碼”，密碼錯誤超過限制次數，即封鎖登陸者IP或ID，以降低惡意程序訪問服務器的頻率。頁面中的驗證碼為數字或字符，用圖形顯示，每個驗證碼對應的圖形不止一種，以防止非法程序的分析破解。其中驗證碼是由FTP服務器生成的，之后是以圖片的形式下載至瀏覽器頁面進行顯示的。客戶端登陸時需要輸入一組用戶名、密碼和生成的驗證碼。如果用戶的驗證碼輸入錯誤，則服務器會提示用戶重新輸入，同時驗證碼更新，這樣可以防止攻擊者的暴力破解。如果客戶端輸入次數過多，FTP服務器則認為該客戶端不具有訪問權，頁面會自動關閉。為防止攻擊者通過數據流獲取圖片信息，每次圖片生成時為圖片加入隨機元素。（3）針對用戶名和密碼的加密客觀端在登陸FTP服務器端時使用的用戶名和密碼由FTP服務器所提供。如果某個客戶端在輸入用戶名和密碼時后，采用FTP服務器提供的公鑰進行加密，用戶名和密碼在信道中以密文的形式進行傳輸，FTP服務器端在獲得該客戶端傳送的信息后，用自己的私鑰進行解密，如果解密的結果和服務器設置的用戶名和密碼相符合，則FTP服務器端允許客觀登陸，否則會提示客戶端不能進行登陸，并且要求客觀端重新輸入用戶名和密碼。那么，某個攻擊者在信道上獲得合法的客觀端向服務器發送的密文信息，但是該攻擊者無法對獲得的密文進行解密，所以攻擊者無法獲得正確的用戶名和密碼。具體的工作過