通过Ftp站点下载文件是目前最常用的传输文件方法之一，特别是对于企业用户来说，公司建立一个专门的ftp服务器提供给员工，让他们通过这个服务器共享资源是最便利的办法。不过作为网络管理员的你是否真正了解ftp的安全呢？不要以为设置个复杂的管理员帐户密码就可以万事无忧了，也不要以为将系统安装上最新的补丁或者选择最新版serv-u等ftp搭建工具就可以万无一失了。今天就由笔者带领为大家介绍在默认情况下ftp站点传输数据方面的漏洞，当然在文中还会为读者介绍如何弥补这些漏洞。

X-c){s:ojzZM^= [ 本 资 料 来 源 于 贵 州 学 习 网 网络世界Ftp服务器 http://Www.gzU521.com ] X-c){s:ojzZM^=

一、破解ftp用户名和密码

    首先我们要知道默认情况下ftp站点信息是用明文进行传输的，没有进行任何的加密。也就是说当用户登录ftp站点输入用户名和密码时，这些信息是没有加密的。非法用户可以通过sniffer等工具将这些信息还原成本来面目。

实战：通过sniffer将ftp站点的用户名和密码还原成明文

环境描述：

公司网络中ab两台计算机通过交换机相互连接到同一个子网，b是员工计算机，一名员工通过他访问公司的ftp服务器，登录ftp时使用自己的用户名和密码。a是我们安装了sniffer的计算机，通过sniffer我们可以监测出使用b计算机的员工访问ftp服务器的用户名和密码。

实现方法：

第一步：首先在a计算机上安装强大的sniffer工具，并启动该程序。

第二步：在sniffer软件中通过上方的“matrix”按钮启动监测界面。（如图1）

图1

第三步：打开监测界面后我们就可以开始监测网络中的数据包了，通过菜单栏的“capture->start”启动。

第四步：在检测数据包窗口中我们点左下角的objects标签，然后选择station，这样将把当前网络中所有通信都显示在窗口中。（如图2）

图2

第五步：这时候如果b计算机的员工使用电脑登录了ftp服务器，那么我们在sniffer中点菜单的“capture->stop and display”。

第六步：这里假设我们ftp服务器的ip地址为211.154.80.30，那么我们从显示的地址列表中找到关于211.154.80.30这个ip的数据包，然后点下方的“decode”按钮进行数据包再分析。（如图3）

图3

第七步：在“decode”（反编码）界面中我们就可以对关于211.154.80.30的所有数据包进行分析了。我们一个一个的分析数据包，分析到大概第十二个数据包时出现用户名信息，我们可以从界面中看到用户名为softer。（如图4）

图4

第八步：继续往下看，到了第十四个数据包的时候就可以看到密码了，密码以明文的形式显示在sniffer中，密码为pacino。（如图5）

图5

至此我们就通过sniffer工具将员工在ftp服务器上的用户名和密码破解出来，该方法在员工和安装了sniffer的计算机处在同一个子网的情况下有效。

二、加密ftp站点信息的传输

    既然知道了ftp服务器是以明文方式传输数据的，特别是用户名和密码传输的安全性极差，信息很容易被盗，虽然ftp提供了ssl加密的功能，不过默认情况下是没有启用的，如大家常用的serv-u ftp服务器（简称serv-u）。所以说为了保证传输的数据信息不被随意窃取，有必要启用ssl功能，提高服务器数据传输的安全性。我们以serv-u为例进行介绍来弥补这个安全缺陷。

小提示：什么是ssl加密协议？ssl协议(secure socket layer，安全套接层)是由网景（netscape）公司推出的一种安全通信协议，它能够对信用卡和个人信息提供较强的保护。ssl是对计算机之间整个会话进行加密的协议。在ssl中，采用了公开密钥和私有密钥两种加密方法。所以使用ssl协议后我们就可以保证网络中传输的数据不被非法用户窃取到了。

   （1）安装serv-u服务器

    由于安装serv-u的文章比较多，所以本文就不详细介绍了。（如图6）安装完毕后我们要建立一个ftp服务器的域并设置相应的用户名和密码。

   （2）创建ssl证书

    要想使用serv-u的ssl功能，需要ssl证书的支持才行。虽然serv-u在安装之时就已经自动生成了一个ssl证书，但这个默认生成的ssl证书在所有的serv-u服务器中都是一样的，非常不安全，所以我 们需要手工创建一个自己独特的ssl证书。A;E*47CtIFe}2"M[ 此文转贴于我的学习网网络世界Ftp服务器 http://www.Gzu521.com]A;E*47CtIFe}2"M

第一步：在“serv-u管理员”窗口中，展开“本地服务器->设置”选项，然后切换到“ssl证书”标签页。

第二步：创建一个新的ssl证书。首先在“普通名称”栏中输入ftp服务器的ip地址，接着其它栏目的内容，如电子邮件、组织和单位等，根据用户的情况进行填写。（如图7）

图7

第三步：完成ssl证书标签页中所有内容的填写后，点击下方的“应用”按钮即可，这时serv-u就会生成一个新的ssl证书。

   （3）启用ssl功能

    虽然为serv-u服务器创建了新的ssl证书，但默认情况下，serv-u是没有启用ssl功能的，要想利用该ssl证书，首先要启用serv-u的ssl功能才行。

第一步：要启用serv-u服务器中域名为“softer”的ssl功能。在“serv-u管理员”窗口中，依次展开“本地服务器->域->softer”选项。

第二步：在右侧的“域”管理框中找到“安全性”下拉列表选项。这里serv-u提供了3种选项，分别是“仅仅规则ftp，无ssl/tls进程”、“允许ssl/tls和规则进程”、“只允许ssl/tls进程”，默认情况下，serv-u使用的是“仅仅规则ftp，无ssl/tls进程”，因此是没有启用ssl加密功能的。

第三步：在“安全性”下拉选项框种选择“只允许ssl/tls进程”选项，然后点击“应用”按钮，即可启用softer域的ssl功能。 （如图8）

图8

小提示：启用了ssl功能后，serv-u服务器使用的默认端口号就不再是“21”了，而是“990”了，这点在登录ftp的时候一定要留意，否则就会无法成功连接ftp服务器。

（4）使用ssl加密连接ftp

    启用serv-u服务器的ssl功能后，就可以利用此功能安全传输数据了，但ftp客户端程序必须支持ssl功能才行。如果我们直接使用ie浏览器进行登录则会出现图9显示的错误信息，一方面是以为没有修改默认的端口21为990，另外ie浏览器不支持ssl协议传输。

当然支持ssl的ftp客户端程序现在也比较多，笔者以“flash fxp”程序为例，介绍如何成功连接到启用了ssl功能的serv-u服务器。

第一步：运行“flashfxp”程序后，点击“会话->快速连接”选项，弹出“快速连接”对话框，在“服务器或url”栏中输入serv-u服务器的ip地址，在“端口”栏中一定要输入“990”，这是因为serv-u服务器启用ssl功能后，端口号就从“21”变为“990”。

第二步：输入可以正常登录ftp服务器的“用户名”和“密码”。 （如图10）

图10

第三步：切换到“ssl”标签页，选中“绝对ssl”选项，这一步骤是非常关键的，如果不选中“绝对ssl”，就无法成功连接到serv-u服务器。最后点击“连接”按钮。 根据实际传输情况在绝对ssl下方的四个选项进行选择即可。（如图11）

图11

第四步：当用户第一次连接到serv-u服务器时，flash fxp会弹出一个“证书”对话框，（如图12）这时用户只要点击“接受并保存”按钮，将ssl证书下载到本地后，就能成功连接到serv-u服务器，以后和serv-u服务器间的数据传送就会受到ssl功能的保护，不再是以明文形式传送，这样就不用再担心ftp账号被盗，敏感信息被窃取的问题了。在flash fxp的下方我们也会看到一个小锁的标志了，他代表当前传输是加密安全的传输。（如图13）

图12 图13

小提示：如果我们仅仅选择接受则每次登录ftp时都会弹出这个证书对话框。

总结：通过设置使用ssl进行加密传输的ftp站点就可以有效的保护自己服务器上的资源不被别人随意偷窥了，只有通过认证的用户才能下载到自己中意的文件资源。而且传输过程中的所有数据都是进行加密的，网络中的其他用户使用类似sniffer的软件是无法将登录信息还原成明文的，即使能够获得传输数据也是经过加密的，一点价值也没有。