基于Windows2003+IIS6平臺(tái)的FTP服務(wù)器安全問(wèn)題研究

(隴南師范高等?？茖W(xué)校，甘肅 成縣 742500)

基于Windows2003+IIS6平臺(tái)的FTP服務(wù)器安全問(wèn)題研究

安曉瑞

(隴南師范高等?？茖W(xué)校，甘肅 成縣 742500)

FTP作為信息共享重要手段，被企事業(yè)單位和個(gè)人用戶所應(yīng)用。一臺(tái)穩(wěn)定、安全的FTP服務(wù)器是資源共享的重要保障。試就Windows平臺(tái)上用IIS6構(gòu)建的FTP為例，探討FTP服務(wù)器面臨的安全性問(wèn)題。

Windows2003+IIS6平臺(tái)；FTP服務(wù)器；安全問(wèn)題

隨著信息安全技術(shù)的發(fā)展，信息安全越來(lái)越受到人們的關(guān)注。在企事業(yè)單位采用FTP的方式向用戶提供文件共享服務(wù)。利用windows2003系統(tǒng)自帶的IIS6可以簡(jiǎn)單、快速的構(gòu)建一個(gè)FTP服務(wù)，一個(gè)傻瓜式的操作過(guò)程，對(duì)于用戶來(lái)說(shuō)易學(xué)、易懂、易操作。

一 FTP服務(wù)器安全問(wèn)題研究的目的和意義

RFC959是1985年發(fā)布的，現(xiàn)有FTP都是基于RFC959標(biāo)準(zhǔn)，[1]有統(tǒng)一的架構(gòu)模式和兼容的體系標(biāo)準(zhǔn)，即客戶機(jī)/服務(wù)器系統(tǒng)。RFC959標(biāo)準(zhǔn)中沒(méi)有把FTP安全性方面作為必要組成加以考慮。因此,在數(shù)據(jù)傳輸、文件共享以及FTP服務(wù)器來(lái)自網(wǎng)絡(luò)攻擊等方面都存在危險(xiǎn)。

針對(duì)FTP服務(wù)器的攻擊越來(lái)越多，F(xiàn)TP的重要性和使用的頻繁性，對(duì)FTP服務(wù)器的安全運(yùn)行造成巨大威脅和破壞。在數(shù)據(jù)傳輸過(guò)程中，信息內(nèi)容通過(guò)第三方軟件(Sniffer等嗅探器)被截獲，或者利用服務(wù)器漏洞攻擊服務(wù)器造成資源共享服務(wù)中斷，或者通過(guò)其他一些手段控制服務(wù)器刪除共享文件，或者控制服務(wù)器然后作為跳板攻擊其他服務(wù)，或者利用FTP服務(wù)器來(lái)傳播木馬與病毒器等等，對(duì)于服務(wù)器的共享文件和提供服務(wù)具有極大的威脅，因此架構(gòu)符合當(dāng)前需要安全的FTP服務(wù)器刻不容緩。

二 當(dāng)前FTP服務(wù)器面臨的安全問(wèn)題

1.FTP服務(wù)方面存在的問(wèn)題。

(1)FTP用戶名和密碼易破解。

FTP使用用戶名/口令的認(rèn)證方法。攻擊者通過(guò)網(wǎng)絡(luò)嗅探工具，監(jiān)聽服務(wù)器的運(yùn)行，得到服務(wù)器的數(shù)據(jù)傳輸情況和登錄服務(wù)器的情況。當(dāng)用戶登錄FTP站點(diǎn)輸入用戶名和密碼時(shí)，攻擊者可以通過(guò)網(wǎng)絡(luò)嗅探工具將這些信息反編譯，從而得到服務(wù)器登錄口令，控制服務(wù)器。

(2)傳輸數(shù)據(jù)易破解。

上傳下載文件是FTP提供給用戶的兩個(gè)極其重要的功能，用戶通過(guò)上傳文件能夠?qū)崿F(xiàn)文件更新和共享，通過(guò)下載功能用戶能夠獲取需要的資源。

在數(shù)據(jù)傳輸過(guò)程中，數(shù)據(jù)內(nèi)容被人截獲，或篡改，或被偽造等等。在這些情況下，數(shù)據(jù)被人攻擊使得被接收者無(wú)法識(shí)別，數(shù)據(jù)的安全性將受到極大的威脅，數(shù)據(jù)的通信將變得毫無(wú)意義，這將極大的損壞通信雙方的利益。試想一個(gè)文件的上傳下載遇到破壞或遭受攻擊，導(dǎo)致文件傳輸失敗、或重要數(shù)據(jù)丟失、機(jī)密信息泄露，這對(duì)于服務(wù)方或客戶方都是極大的損失,也是絕對(duì)不允許的。

2.FTP服務(wù)器易受的網(wǎng)絡(luò)攻擊。

(1)對(duì)于限制訪問(wèn)的FTP進(jìn)行攻擊。

目標(biāo)FTP服務(wù)器是配置為拒絕來(lái)自指定IP地址(或IP地址掩碼)連接的主機(jī)。如果入侵者的IP地址正好在限制區(qū)域，因此他不能訪問(wèn)FTP服務(wù)器的目錄。為了克服這種限制，入侵者使用另一臺(tái)機(jī)器來(lái)訪問(wèn)目標(biāo)機(jī)器。

為了實(shí)現(xiàn)這種方法，入侵者向中介FTP目錄寫一個(gè)文件，該文件包含有連接到目標(biāo)機(jī)器并獲得一些文件的命令。當(dāng)該中介連接目標(biāo)主機(jī)時(shí)，使用它自己的地址(而不是入侵者的地址)。因此，目標(biāo)主機(jī)信任該連接請(qǐng)求并返回要求的文件。

(2)基于FTP入侵WEB服務(wù)器。

現(xiàn)在有些單位的網(wǎng)站用FTP服務(wù)來(lái)更新網(wǎng)站的文件，比如進(jìn)行文件的管理或大量數(shù)據(jù)的更新等。利用微軟IIS構(gòu)建的FTP服務(wù)中，F(xiàn)TP服務(wù)自身存在的漏洞，也給WEB服務(wù)器帶來(lái)很大的安全隱患。

(3)Microsoft IIS FTP 服務(wù)器NLST 命令遠(yuǎn)程代碼執(zhí)行漏洞。[2]

微軟IIS 中的FTP 服務(wù)器在處理NLST 命令時(shí)存在于基棧的緩沖區(qū)溢出漏洞，在IIS 5.0中可以執(zhí)行任意代碼，在IIS 5.1或IIS 6.0中可以引起拒絕服務(wù)。

(4)利用暴力破解攻擊FTP服務(wù)器。

網(wǎng)絡(luò)上出現(xiàn)了許多傻瓜式黑客攻擊軟件，任何一種黑客攻擊手段的門檻都將降低。暴力破解軟件，使用起來(lái)沒(méi)有什么技術(shù)含量,其原理就是一個(gè)接一個(gè)的試，直到試驗(yàn)出正確的密碼，也就破解成功了。

暴力破解法的工具制作已經(jīng)非常容易，暴力破解攻擊不僅只是針對(duì)FTP服務(wù)器發(fā)起的攻擊，而且也適用于其他服務(wù)器和網(wǎng)絡(luò)。要完全杜絕FTP暴力破解攻擊就會(huì)很難，因此,要從細(xì)微之處入手，做好FTP服務(wù)器的安全防護(hù)策略與措施，盡量降低被暴力破解的概率。

(5)來(lái)自第三方軟件的攻擊。

FTP搜索機(jī)器。一款搜索匿名FTP站點(diǎn)的工具?？梢运阉魅我釯P地址段，列出每個(gè)匿名FTP站點(diǎn)的根目錄，搜尋到所需要的資料，可以搭配其他的FTP客戶端軟件(如CuteFTP、LeapFTP等)，下載所需要的資料。

FTP弱口令掃描工具 FtpScan。FTPSCAN是一款命令行下的FTP弱口令掃描。對(duì)于指定的IP網(wǎng)段中，可以快速掃描存在FTP弱口令的主機(jī)。

流光。流光是一款很好的ftp、pop3解密工具，界面豪華，功能強(qiáng)大，可以快速掃描目標(biāo)主機(jī)開放的端口、FTP主機(jī)的匿名用戶名和密碼、存在的漏洞。

FTP暴力破解軟件Lithium POP/FTP cracker。這是一款POP/FTP暴力破解軟件，支持用戶名和密碼字典，以及單用戶名匹配全部密碼和單密碼匹配全部用戶名形式的猜解。

3.IIS6.0存在的安全問(wèn)題。

IIS6.0存在很多漏洞，例如: (1) 利用默認(rèn)網(wǎng)站目錄滲透; (2) IIS6 目錄檢查漏洞; (3) 文件名解析存在漏洞; (4)web 服務(wù)擴(kuò)展與提權(quán)滲透等。

(1)危險(xiǎn)的IIS6組件。[3]

IIS6默認(rèn)安裝后會(huì)安裝WS Sript. Shell、Shell. application 這兩個(gè)組件(比如：Wshom. Ocx、Shell32.Dll等)，它們會(huì)被一些ASP 木馬或一些惡意程序利用。可能會(huì)造成安全威脅, 應(yīng)該刪除。IIS6 集成了很多的解釋器，比如擴(kuò)展名為.asa 和.cer等等，而這些對(duì)于FTP服務(wù)沒(méi)有什么作用，反而被別人利用來(lái)運(yùn)行DLL文件，刪除不必要的IIS6擴(kuò)展名映射。

(2)IIS6支持的FTP沒(méi)有SSL協(xié)議。

SSL協(xié)議可以對(duì)文件傳輸和信息進(jìn)行加密，可以保障數(shù)據(jù)的安全性。通過(guò)IIS6建立的FTP，IIS6不支持SSL協(xié)議。對(duì)于其FTP服務(wù)器的帳戶的安全性，還需要通過(guò)SSL加密等形式來(lái)加強(qiáng)安全性的驗(yàn)證，以防止帳號(hào)被他人截獲。

(3)IIS6下FTP服務(wù)器的PASV端口范圍太大。

PASV(被動(dòng))方式的連接過(guò)程是：客戶端向服務(wù)器的FTP端口(默認(rèn)是21)發(fā)送連接請(qǐng)求，服務(wù)器接受連接，建立一條命令鏈路。當(dāng)需要傳送數(shù)據(jù)時(shí)，客戶端向服務(wù)器的空閑端口發(fā)送連接請(qǐng)求，建立一條數(shù)據(jù)鏈路來(lái)傳送數(shù)據(jù)。

IIS6的FTP里的PASV模式下默認(rèn)端口范圍1024 - 65535，連接時(shí)會(huì)從中隨機(jī)選擇到響應(yīng)。這樣的超大范圍就給服務(wù)器安全帶來(lái)的隱患。

(4)默認(rèn)目錄和目錄權(quán)限。

默認(rèn)目錄。IIS6的FTP目錄默認(rèn)是在“C:inetpubftproot”下(假設(shè)操作系統(tǒng)安裝在C盤)，從安全和存儲(chǔ)空間方面進(jìn)行考慮，通常都不會(huì)將默認(rèn)目錄設(shè)置在這里，因此需要更改FTP的默認(rèn)目錄。

匿名用戶的權(quán)限。允許匿名登錄FTP服務(wù)器，如果匿名用戶的權(quán)限太高(比如上傳、修改等權(quán)限)會(huì)對(duì)其安全造成負(fù)面的影響，匿名用戶的權(quán)限控制的越嚴(yán)格，F(xiàn)TP服務(wù)器的安全性越高，但是同時(shí)用戶訪問(wèn)的便利性也會(huì)降低。

多用戶多目錄權(quán)限設(shè)置困難。取消匿名訪問(wèn)，使用隔離用戶模式，為每個(gè)用戶建立專屬目錄、賬戶并設(shè)置復(fù)雜密碼。每個(gè)FTP用戶賬號(hào)都具有一定的訪問(wèn)權(quán)限，如果用戶權(quán)限的設(shè)置不合理，將會(huì)導(dǎo)致FTP服務(wù)器出現(xiàn)安全隱患。每個(gè)用戶只能夠訪問(wèn)自己有權(quán)利查看或上傳的文件夾。如果用戶數(shù)過(guò)多，為每個(gè)員工分開來(lái)設(shè)置權(quán)限，比較麻煩。

4.提供FTP服務(wù)的Windows 2003 系統(tǒng)中存在的不安全。

(1)系統(tǒng)存在的漏洞。

雖然Windows 操作系統(tǒng)類服務(wù)器，操作簡(jiǎn)單，配置方便，但是微軟操作系統(tǒng)的漏洞層出不窮。網(wǎng)上針對(duì)Windows的黑客工具也很多，稍微懂點(diǎn)計(jì)算機(jī)知識(shí)的人都可以操作。常見的漏洞有存放目錄泄露、CGI源碼泄露、目錄遍歷、執(zhí)行任意命令、緩沖區(qū)溢出、拒絕服務(wù)等。

(2) 目錄權(quán)限設(shè)置。

NTFS 系統(tǒng)權(quán)限設(shè)置在使用之前將每個(gè)硬盤根加上Administrators 用戶組為全部權(quán)限，可選加入System 用戶，刪除其它用戶。進(jìn)入系統(tǒng)盤，為不同的目錄設(shè)置不同的權(quán)限，尤其注意系統(tǒng)盤WindowsSystem32中cmd.exe、format.com等應(yīng)用程序的使用權(quán)限，不能該匿名用戶和EVERYONE用戶給任何權(quán)限，以防止被黑客利用。

(3) 其他方面。

為了配置Windows服務(wù)更為安全，需要禁止一些危險(xiǎn)的服務(wù)，比如： Telnet、Remote Registry 等容易受攻擊的服務(wù)。關(guān)閉139、445、3389等危險(xiǎn)端口。通過(guò)修改注冊(cè)表防止Syn 洪水攻擊、DOSDDOS、禁止Ipc 空連接、刪除默認(rèn)共享、禁止建立空連接等。

對(duì)于windows 2003的安全設(shè)置一個(gè)很復(fù)雜的問(wèn)題，只有了解和熟練的運(yùn)用其相關(guān)的安全設(shè)置才可增強(qiáng)系統(tǒng)的安全性和穩(wěn)定性，從而保障系統(tǒng)的安全。

三 FTP服務(wù)器存在安全問(wèn)題的原因

1.數(shù)據(jù)是以明文進(jìn)行傳輸。

默認(rèn)情況下，口令以明文方式傳輸。這就使攻擊者通過(guò)第三方軟件竊聽、破譯口令。FTP會(huì)話也沒(méi)有加密，F(xiàn)TP站點(diǎn)信息也是明文進(jìn)行傳輸?shù)模瑳](méi)有進(jìn)行任何的加密?；谒M(jìn)行的數(shù)據(jù)傳送通常是采用明文形式，這就使得機(jī)要數(shù)據(jù)的傳送毫無(wú)保密可言。

FTP傳輸?shù)氖敲魑?，這也意味著只要利用一個(gè)抓包工具就可以非常輕松地?cái)r截到FTP用戶的登錄名與密碼，具有嚴(yán)重的安全隱患，特別是對(duì)于非常重要的FTP站點(diǎn)來(lái)說(shuō)，登錄用戶名和密碼泄露就意味著整臺(tái)主機(jī)可能會(huì)受影響。

2.IIS6自身原因。

(1)IIS6功能弱。

單從IIS6的FTP服務(wù)器來(lái)說(shuō)，它的功能比較單一，配置簡(jiǎn)單，只有簡(jiǎn)單的賬戶管理，目錄權(quán)限設(shè)置，消息設(shè)置等，不支持SSL協(xié)議。

(2)用戶權(quán)限設(shè)置不同。

IIS6的FTP服務(wù)器和其他FTP服務(wù)器程序一樣，都可以進(jìn)行用戶管理，但是和其他FTP程序不同，IIS的FTP服務(wù)器的訪問(wèn)權(quán)限不是單獨(dú)的，而是集成在文件系統(tǒng)NTFS上的，如果IIS6的FTP的服務(wù)器再做限制，就顯得多余。

(3)不提供擴(kuò)展功能。

IIS6的FTP服務(wù)器和其他FTP服務(wù)器程序的可擴(kuò)展性比較，常見的Gene6FTP SERVER、SERV-U FTP SERVER都提供了接口，允許第三方進(jìn)行開發(fā)，而IIS6不支持開發(fā)功能。

對(duì)于通過(guò)IIS構(gòu)建的FTP服務(wù)器，無(wú)論是匿名帳戶或者是通過(guò)授權(quán)帳戶及密碼來(lái)訪問(wèn)FTP服務(wù)器，由于FTP服務(wù)的帳戶和密碼身份驗(yàn)證的方式均采用明文形式在網(wǎng)絡(luò)上傳播的，任何主機(jī)只要采用數(shù)據(jù)包截取軟件均可截獲FTP服務(wù)器登陸的帳戶及密碼。所以其安全性還需要通過(guò)其他方式來(lái)增強(qiáng)。

windows 2003其龐大的體積和完善的框架，使得IIS6 FTP SERVER任然是windows 2003中不可缺少的一個(gè)重要的FTP服務(wù)器端的程序。由于針對(duì)windows2003 的漏洞層出不窮，從而使得提供IIS6 FTP SERVER就顯的不安全。其實(shí)只要IIS6的FTP服務(wù)器配置好了，對(duì)于善于使用的人來(lái)說(shuō)，相反它應(yīng)該比其他第三方的FTP服務(wù)器程序更好，更安全。

[1]維基百科，自由的百科全書和(http://www.ietf.org/rfc/rfc959.txt).RFC959 FTP傳輸協(xié)議(中文版).

[2]微軟安全公告 MS09-053 Microsoft IIS FTP 服務(wù)器NLST 命令遠(yuǎn)程代碼執(zhí)行漏洞.http://technet.microsoft.com/en-us/security/bulletin/MS09-034.

[3]郝廣鑫,王可君.合理配置IIS,提高FTP服務(wù)器的安全性[J].中國(guó)有線電視，2006(8):807-809.

ClassNo.:TP393.08DocumentMark：A

(責(zé)任編輯：蔡雪嵐)

DiscussionofFTPServerSecurityBasedonWindows2003+IIS6

An Xiaorui

(Longnan Normal College，Cheng County，Gansu 742500，China)

As one of the important means to share the information, FTP has been used by enterprises and individual users. A stable, secure FTP server is a guarantee for the share of resources. This article on the Windows platform built by IIS FTP discusses the security issues faced by the FTP server.

Windows 2003；FTP server；security issues

安曉瑞，助教，隴南師范高等?？茖W(xué)校。研究方向：網(wǎng)絡(luò)安全、網(wǎng)絡(luò)編程和網(wǎng)絡(luò)服務(wù)等理論與實(shí)踐。

1672-6758(2013)01-0053-3

TP393.08

A