ftp服务器入侵_ftp服务器被流量攻击

FTP的防范与攻击如何实现?

------------------------FTP安全考虑—RFC2577----------------------------------

1．简介

文件传输协议规范（FTP）[PR85]提供了一种允许客户端建立FTP控制连接并在两台

FTP服务器间传输文件的机制。这种“ *** FTP”机制可以用来减少 *** 的流量，客户端命

令一台服务器传输文件给另一台服务器，而不是从之一台服务器传输文件给客户端，然后从

客户端再传输给第二台服务器。当客户端连接到 *** 的速度特别慢时，这是非常有用的。但

同时， *** FTP还带来了一个安全问题——“跳转攻击（bounce attack）”[CERT97:27]。除

了“跳转攻击”，FTP服务器还可以被攻击者通过强力来猜测密码。

本文档并不考虑当FTP和一些强壮的安全协议（比如IP安全）联合使用的情况。虽然

这些安全关注并不在本文档的考虑范围内，但是它们也应该被写成文档。

本文给FTP服务器的实现者和系统管理员提供了一些信息，如下所示。第二章描述了

FTP“跳转攻击”。第三章提供了减少“跳转攻击”的建议。第四章给基于 *** 地址限制访

问的服务器提供了建议。第五章提供了限制客户端强力“猜测密码”的建议。接着，第六章

简单的讨论了改善保密性的机制。第七章给出了阻止猜测用户身份的机制。第八章讨论了端

口盗用。最后，第九章讨论了其它跟软件漏洞有关而跟协议本身无关的FTP安全问题。

2．跳转攻击（Bounce Attack）

RFC959[PR85]中规定的FTP规范提供了一种攻击知名 *** 服务器的一种 *** ，并且使

攻击者很难被跟踪。攻击者发送一个FTP"PORT"命令给目标FTP服务器，其中包含该主机

的 *** 地址和被攻击的服务的端口号。这样，客户端就能命令FTP服务器发一个文件给被

攻击的服务。这个文件可能包括根被攻击的服务有关的命令（如 *** TP,NNTP等）。由于是

命令第三方去连接到一种服务，而不是直接连接，就使得跟踪攻击者变得困难，并且还避开

了基于 *** 地址的访问限制。

例如，客户端上载包含 *** TP命令的报文到FTP服务器。然后，使用正确的PORT命

令，客户端命令服务器打开一个连接给第三方机器的 *** TP端口。最后，客户端命令服务

器传输刚才上载的包含 *** TP命令的报文给第三方机器。这就使得客户端不建立任何直接

的连接而在第三方机器上伪造邮件，并且很难跟踪到这个攻击者。

3．避免跳转攻击

原来的FTP规范[PR85]假定使用TCP进行数据链接，TCP端口号从0到1023时报留给

一些众所周知的服务的，比如邮件， *** 新闻和FTP控制链接。FTP规范对数据链接没有

限制TCP端口号。因此，使用 *** FTP，客户端就可以命令服务器去攻击任何机器上众所

周知的服务。

为了避免跳转攻击，服务器更好不要打开数据链接到小于1024的TCP端口号。如果服

务器收到一个TCP端口号小于1024的PORT命令，那么可以返回消息504（对这种参数命

令不能实现）。但要注意这样遗留下那些不知名服务（端口号大于1023）易受攻击。

一些建议（例如[AOM98]和[Pis94]）提供了允许使用除了TCP以外的其他传输协议来

建立数据连接的机制。当使用这些协议时，同样要注意采用类似的防范措施来保护众所周知

的服务。

另外，我们注意到跳转攻击一般需要攻击者首先上载一个报文到FTP服务器然后再下

载到准备攻击的服务端口上。使用适当的文件保护措施就可以阻止这种情况发生。然而攻击

者也可能通过从远程FTP服务器发送一些能破坏某些服务的数据来攻击它。

禁止使用PORT命令也是避免跳转攻击的一种 *** 。大多数文件传输可以仅通过PASV

命令来实现。但这样做的缺点就是丧失了使用 *** FTP的能力，当然 *** FTP并不是在所

有场合都需要的。

4．受限制的访问

一些FTP服务器希望有基于 *** 地址的访问控制。例如，服务器可能希望限制来自某

些地点的对某些文件的访问（例如为了某些文件不被传送到组织以外）。在这种情况下，服

务器在发送受限制的文件之前应该首先确保远程主机的 *** 地址在本组织的范围内，不管是

控制连接还是数据连接。通过检查这两个连接，服务器就被保护避免了这种情况：控制连接

用一台可信任的主机连接而数据连接不是。同样的，客户也应该在接受监听模式下的开放端

口连接后检察远程主机的IP地址，以确保连接是由所期望的服务器建立的。

注意，基于 *** 地址的受限访问留下了FTP服务器易受“地址盗用(spoof)”攻击。在

spoof攻击中，攻击机器可以冒用在组织内的机器的 *** 地址，从而将文件下载到在组织之

外的未授权的机器上。只要可能，就应该使用安全鉴别机制，比如在[HL97]中列出的安全鉴

别机制。

5．保护密码

为了减少通过FTP服务器进行强力密码猜测攻击的风险，建议服务器限制尝试发送正

确的密码的次数。在几次尝试（3~5次）后，服务器应该结束和该客户的控制连接。在结束

控制连接以前，服务器必须给客户端发送一个返回码421（“服务不可用，关闭控制连接”

[PR85]）。另外，服务器在相应无效的“PASS”命令之前应暂停几秒来消减强力攻击的有效

性。若可能的话，目标操作系统提供的机制可以用来完成上述建议。

攻击者可能通过与服务器建立多个、并行的控制连接破坏上述的机制。为了搏击多个并

行控制连接的使用，服务器可以限制控制连接的更大数目，或探查会话中的可疑行为并在以

后拒绝该站点的连接请求。然而上述两种措施又引入了“服务否决”攻击，攻击者可以故意

的禁止有效用户的访问。

标准FTP[PR85]在明文文本中使用“PASS”命令发送密码。建议FTP客户端和服务器

端使用备用的鉴别机制，这种鉴别机制不会遭受窃听。比如，IETF公共鉴别技术工作组开

发的机制[HL97]。

6．私密性

在FTP标准中[PR85]中，所有在 *** 上被传送的数据和控制信息（包括密码）都未被

加密。为了保障FTP传输数据的私密性，应尽可能使用强壮的加密系统。在[HL97]中定义

了一个这样的机制。

7．保护用户名

当“USER”命令中的用户名被拒绝时，在FTP标准中[PR85]中定义了相应的返回码530。

而当用户名是有效的但却需要密码，FTP将使用返回码331。为了避免恶意的客户利用USER

操作返回的码确定一个用户名是否有效，建议服务器对USER命令始终返回331，然后拒绝

对无效用户名合并用户名和密码。

8．端口盗用

许多操作系统以递增的顺序动态的分配端口号。通过合法的传输，攻击者能够观察当前

由服务器端分配的端口号，并“猜”出下一个即将使用的端口号。攻击者可以与这个端口建

立连接，然后就剥夺了下一个合法用户进行传输的能力。或者，攻击者可以盗取给合法用户

的文件。另外，攻击者还可能在从授权用户发出的数据流中插入伪造的文件。通过使FTP

客户和服务器随机的给数据连接分配端口号，或者要求操作系统随机分配端口号，或者使用

与系统无关的机制都可以减少端口盗用的发生。

9．基于软件的安全问题

本文档的重点是和协议相关的安全问题。另外还有一些成文的FTP安全问题是由于不

完善的FTP实现造成的。虽然这种类型的问题的细节超出本文档的范围，还是有必要指出

以下那些过去曾被误用，今后的实现应该慎重考虑的FTP特性。

? 匿名FTP

匿名FTP服务使客户端用最少的证明连接到FTP服务器分享公共文件。如果这样的用

户能够读系统上所有的文件或者能建立文件，那么问题就产生了。[CERT92:09] [CERT93:06]

? 执行远程命令

FTP扩展命令"SITE EXEC"允许客户端执行服务器上任意的命令。这种特性显然需要非

常小心的实现。已经有几个成文的例子说明攻击者利用FTP“SITE EXEC”命令可以破坏服

务器的安全性。[CERT94:08] [CERT95:16]

? 调试代码

前面的一些跟FTP有关危及安全的问题是由于置入了调试特性的软件造成的。

[CERT88:01]

本文建议有这些功能的FTP服务器的实现者在发布软件之前参阅所有的CERT有关这

些问题的攻击以及类似机制的忠告。

10．结论

使用以上建议可以减少和FTP服务器有关的安全问题的发生，而不用删除其功能。

如何判断自己的服务器是否被流量攻击？

酷酷云为您解答~

1、检查网站后台服务器发现大量无用的数据包；

2、服务器主机上有大量等待的TCP连接；

3、 *** 流量出现异常变化突然暴涨；

4、大量访问源地址是虚假的；

5、当发现Ping超时或丢包严重时，且同一交换机上的服务器也出现了问题，不能进行正常访问；

流量攻击如何防御？

1.扩充服务器带宽

服务器的 *** 带宽直接决定服务器承受攻击能力。所以在选购服务器时，可以加大服务器 *** 带宽。

2.使用硬件防火墙

部分硬件防火墙基于包过滤型防火墙修改为主，只在 *** 层检查数据包，若是DDoS攻击上升到应用层，防御能力就比较弱了。

3.选用高性能设备

除了使用硬件防火墙。服务器、路由器、交换机等 *** 设备的安全性能也需要有所保证。

4.负载均衡

负载均衡建立在现有 *** 结构之上，它提供了一种廉价有效透明的 *** 扩展 *** 设备和服务器的带宽、增加吞吐量、加强 *** 数据处理能力、提高 *** 的灵活性和可用性，对DDoS流量攻击和CC攻击都很见效。

5.筛查系统漏洞

要定期筛查系统漏洞，及早发现系统漏洞，及时安装系统补丁。同时针对重要信息（如系统配置信息）做好备份。

6.限制特定的流量

如遇到流量异常时，应及时检查访问来源，并做适当的限制。以防止异常、恶意的流量来袭。主动保护网站安全。

7.选购高防服务器

高防服务器可以帮助网站拒绝服务攻击，而且高防服务器可以定时扫描现有的 *** 主节点，还可查找可能存在的安全漏洞的服务器类型∞

酷酷云服务器为您诚意解答，服务器租户的选择，酷酷云值得信赖。

服务器被攻击怎么办

1、换高防IP或切换高防服务器，流量攻击进入高防IP将异常流量清洗后，保留正常流量转到我们正常服务器IP。

2、网站业务添加CDN，预算充足的情况下可以考虑添加CDN，但是大流量的攻击可能产生高额CDN费用，需要酌情考虑。

3、定期排查服务器安全漏洞，及时修补服务器漏洞，防止被黑客利用漏洞进行服务器攻击。

4、设置防火墙，防火墙是可以在部分攻击上打到抵御的效果的，禁用一些不用的端口防止非法分子利用其端口进行攻击，同时可以通过防火墙设置把攻击重定向。

5、提升服务器配置，一般的攻击如果不是非常猛烈，可以适当提升服务器带宽，CPU和内存，保证资源不被攻击消耗殆尽。

6、通过反向路由进行ip真实性检测，禁用非真实IP也可以防御攻击。

7、限制SYN/ICMP流量，在路由器上配置SYN/ICMP的更大流量限制SYN/ICMP封包所能占有的更高频宽，大量的异常流量那基本上就是攻击了。

8、过滤所有RFC1918，IP地址RFC1918是内部网的IP地址，过滤攻击时伪造的大量虚假内部IP，也是能减轻攻击DDOS攻击。

服务器被流量攻击啥意思？

就是服务器受到了黑客使用的流量攻击，同一时间段受到了大量的访客访问，很可能使得服务器瘫痪。现在有专门防止流量攻击的服务器，称之为高防服务器，比如hostease提供的高防服务器，可以很有效的防止服务器受到流量攻击。

服务器被大流量攻击怎么应对？

服务器被攻击，那么你只能等攻击过去之后增加你服务器的防御来抵抗来自对方的下次流量攻击，当然如果你服务器不能增加防御的话，可能就需要你换个防御好点的服务器咯，有什么问题可以找我帮你解决

展翼小文为您解答 希望可以帮到您并采纳 谢谢

服务器被ddos攻击？要怎么办

1．确保所有服务器采用最新系统，并打上安全补丁。计算机紧急响应协调中心发现，几乎每个受到DDoS攻击的系统都没有及时打上补丁。

2．确保管理员对所有主机进行检查，而不仅针对关键主机。这是为了确保管理员知道每个主机系统在 运行什么？谁在使用主机？哪些人可以访问主机？不然，即使黑客侵犯了系统，也很难查明。

3．确保从服务器相应的目录或文件数据库中删除未使用的服务如FTP或NFS。Wu-Ftpd等守护程序存在一些已知的漏洞，黑客通过根攻击就能获得访问特权系统的权限，并能访问其他系统甚至是受防火墙保护的系统。

4．确保运行在Unix上的所有服务都有TCP封装程序，限制对主机的访问权限。

5．禁止内部网通过Modem连接至PSTN系统。否则，黑客能通过 *** 线发现未受保护的主机，即刻就能访问极为机密的数据?

6．禁止使用 *** 访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp，以基于PKI的访问程序如SSH取代。SSH不会在网上以明文格式传送口令，而Telnet和Rlogin则正好相反，黑客能搜寻到这些口令，从而立即访问 *** 上的重要服务器。此外，在Unix上应该将.rhost和hosts.equiv文件删除，因为不用猜口令，这些文件就会提供登录访问！

7．限制在防火墙外与 *** 文件共享。这会使黑客有机会截获系统文件，并以特洛伊木马替换它，文件传输功能无异将陷入瘫痪。

8．确保手头有一张最新的 *** 拓扑图。这张图应该详细标明TCP/IP地址、主机、路由器及其他 *** 设备，还应该包括 *** 边界、非军事区（DMZ）及 *** 的内部保密部分。

9．在防火墙上运行端口映射程序或端口扫描程序。大多数事件是由于防火墙配置不当造成的，使DoS/DDoS攻击成功率很高，所以定要认真检查特权端口和非特权端口。

10．检查所有 *** 设备和主机/服务器系统的日志。只要日志出现漏洞或时间出现变更，几乎可以肯定：相关的主机安全受到了危胁。

11．利用DDoS设备提供商的设备。

遗憾的是，目前没有哪个 *** 可以免受DDoS攻击，但如果采取上述几项措施，能起到一定的预防作用