提高网络安全性：匿名FTP安全设定

　　匿名FTP的设定：匿名FTP若有正确地设定与管理，将是一项很有价值的服务。这份文件的第一节提供一般匿名FTP最起始的设定方式。第二节提出当一个网站要在匿名FTP下提供可写入目录区的相关议题与面临的问题。第三节提供CERT以前的FTP 相关Advisories信息。

　　以下的设定方式是由过去许多网站累积的经验与建议组成。我们认为可以让有个别需求的网站拥有不同设定的选择。

　　I.设定匿名FTP

　　A.FTP daemon

　　网站必须确定目前使用的是最新版本的FTP daemon。

　　B.设定匿名FTP的目录

　　匿名ftp的根目录(~ftp)和其子目录的拥有者不能为ftp帐号，或与ftp相同群组的帐号。这是一般常见的设定问题。假如这些目录被ftp或与ftp相同群组的帐号所拥有，又没有做好防止写入的保护，入侵者便可能在其中增加档案(例如：.rhosts檔)或修改其它档案。许多网站允许使用root帐号。让匿名FTP的根目录与子目录的拥有者是root，所属族群(group)为system，并限定存取权(如chmod 0755)，如此只有root有写入的权力，这能帮助你维持FTP服务的安全。

　　以下是一个匿名ftp目录的设定范例：

　　drwxr-xr-x 7 root system 512 Mar 1 15:17 ./

　　drwxr-xr-x 25 root system 512 Jan 4 11:30 ../

　　drwxr-xr-x 2 root system 512 Dec 20 15:43 bin/

　　drwxr-xr-x 2 root system 512 Mar 12 16:23 etc/

　　drwxr-xr-x 10 root system 512 Jun 5 10:54 pub/

　　所有的档案和链接库，特别是那些被FTP daemon使用和那些在 ~ftp/bin 与~ftp/etc 中的档案，应该像上面范例中的目录做相同的保护。这些档案和链接库除了不应该被ftp帐号或与ftp相同群组的帐号所拥有之外，也必须防止写入。

　　C.使用合适的密码与群组档案

　　我们强烈建议网站不要使用系统中 /etc/passwd 做为~ftp/etc 目录中的密码档案或将系统中 /etc/group 做为 ~ftp/etc目录中的群组档案。在~ftp/etc目录中放置这些档案会使得入侵者取得它们。这些档案是可自定的而且不是用来做存取控制。　　

　　我们建议你在 ~ftp/etc/passwd 与 ~ftp/etc/group 使用代替的档案。这些档案必须由root所拥有。DIR命令会使用这代替的档案来显示档案及目录的拥有者和群组名称。网站必须确定 ~/ftp/etc/passwd档中没有包含任何与系统中 /etc/passwd文件中相同的帐号名称。这些档案应该仅仅包含需要显示的FTP阶层架构中档案与目录的拥有者与所属群组名称。此外，确定密码字段是"整理"过的。例如使用「*」来取代密码字段。

　　以下为cert中匿名ftp的密码档案范例：　　

　　ssphwg:*:3144:20:Site Specific Policy Handbook Working Group::

　　cops:*:3271:20:COPS Distribution::

　　cert:*:9920:20:CERT::

　　tools:*:9921:20:CERT Tools::

　　ftp:*:9922:90:Anonymous FTP::

　　nist:*:9923:90:NIST Files::　　

　　以下为cert中匿名ftp的群组档案范例：　　

　　cert:*:20:

　　ftp:*:90:　　

　　II.在你的匿名ftp提供可写入的目录 　　

　　让一个匿名ftp服务允许使用者储存档案是有风险存在的。我们强烈提醒网站不要自动建立一个上传目录，除非已考虑过相关的风险。CERT/CC的事件回报成员接获许多使用上传目录造成非法传输版权软件或交换帐号与密码信息的事件。也接获恶意地将系统档案灌报造成denial of service问题。 　　

　　本节在讨论利用三种方法来解决这个问题。第一种方法是使用一个修正过的FTP daemon。第二个方法是提供对特定目录的写入限制。第三种方法是使用独立的目录。　　

　　A.修正过的FTP daemon 　　

　　假如你的网站计划提供目录用来做档案上传，我们建议使用修正过的FTP daemon对档案上传的目录做存取的控制。这是避免使用不需要的写入区域的最好的方法。以下有一些建议： 　　

　　1.限定上传的档案无法再被存取， 如此可由系统管理者检测后，再放至于适当位置供人下载。　　

　　2.限制每个联机的上传资料大小。　　

　　3.依照现有的磁盘大小限制数据传输的总量。　　

　　4.增加登录记录以提前发现不当的使用。　　

　　若您欲修改FTP daemon， 您应该可以从厂商那里拿到程序代码，或者您可从下列地方取得公开的FTP程序原始码： 　　

　　wuarchive.wustl.edu ~ftp/packages/wuarchive-ftpd

　　ftp.uu.net ~ftp/systems/unix/bsd-sources/libexec/ftpd

　　gatekeeper.dec.com ~ftp/pub/DEC/gwtools/ftpd.tar.Z　　

　　CERT/CC 并没有正式地对所提到的FTP daemon做检测、评估或背书。要使用何种FTP daemon由每个使用者或组织负责决定，而CERT/CC建议每个机关在安装使用这些程序之前，能做一个彻底的评估。　　

　　B.使用保护的目录　　

　　假如你想要在你的FTP站提供上传的服务， 而你又没办法去修改FTP daemon， 我们就可以使用较复杂的目录架构来控制存取。这个方法需要事先规划并且无法百分之百防止FTP可写入区域遭不当使用， 不过许多FTP站仍使用此方法。　　

　　为了保护上层的目录(~ftp/incoming)，我们只给匿名的使用者进入目录的权限(chmod751~ftp/incoming)。这个动作将使得使用者能够更改目录位置(cd)，但不允许使用者检视目录内容。Ex:drwxr-x--x 4 root system 512 Jun 11 13:29 incoming/在~ftp/incoming使用一些目录名只让你允许他们上传的人知道。为了要让别人不易猜到目录名称， 我们可以用设定密码的规则来设定目录名称。请不要使用本文的目录名称范例(避免被有心人士发现您的目录名，并上传档案) 　　

　　drwxr-x-wx 10 root system 512 Jun 11 13:54 jAjwUth2/

　　drwxr-x-wx 10 root system 512 Jun 11 13:54 MhaLL-iF/ 　　

　　很重要的一点是，一旦目录名被有意无意的泄漏出来， 那这个方法就没什么保护作用。只要目录名称被大部分人知道， 就无法保护那些要限定使用的区域。假如目录名被大家所知道， 那你就得选择删除或更改那些目录名。　　

　　C.只使用一颗硬盘 　　

　　假如你想要在你的FTP站提供上传的服务， 而你又没办法去修改FTP daemon，您可以将所有上传的资料集中在同一个挂(mount)在~ftp/incoming上的档案系统。可以的话，将一颗单独的硬盘挂(mount)在~ftp/incoming上。系统管理者应持续检视这个目录(~ftp/incoming)， 如此便可知道开放上传的目录是否有问题。　　

　　III.限制FTP用户目录 　　

　　匿名FTP可以很好地限制用户只能在规定的目录范围内活动，但正式的FTP用户默认不会受到这种限制，这样，他可以自由在根目录、系统目录、其他用户的目录中读取一些允许其他用户读取的文件。　　

　　如何才能把指定的用户象匿名用户一样限制在他们自己的目录中呢？以下我们以red hat和wu-ftp为例做一介绍。 　　

　　1 创建一个组，用groupadd命令，一般可以就用ftp组，或者任何组名。 　　

　　-----相关命令：groupadd ftpuser

　　-----相关文件：/etc/group

　　-----相关帮助：man groupadd 　　

　　2 创建一个用户，如testuser，建立用户可用adduser命令。如果你已在先前建立了 testuser这个用户，可以直接编辑/etc/passwd文件，把这个用户加入到ftpuser这个组中。 　　

　　-----相关命令：adduser testuser -g ftpuser

　　-----相关文件：/etc/passwd

　　-----相关帮助：man adduser 　　

　　3 修改/etc/ftpaccess文件，加入guestgroup的定义：guestgroup ftpuser我是这样改的，加的是最后5行： 　　

　　compress yes all

　　tar yes all

　　chmod no anonymous

　　delete no anonymous

　　overwrite no anonymous

　　rename no anonymous

　　chmod yes guest

　　delete yes guest

　　overwrite yes guest

　　rename yes guest

　　guestgroup ftpuser

　　除了加 guestgroup ftpuser 这行，其他4行也要加上，否则用户登陆后，虽然可以达到用户不能返回上级目录的目的，但是却只能上传，不能覆盖、删除文件!

　　-----相关命令：vi /etc/ftpaccess

　　-----相关文件：/etc/ftpaccess

　　-----相关帮助：man ftpaccess,man chroot 　　

　　4 向这个用户的根目录下拷贝必要的文件，拷贝ftp server自带的目录，把 /home/ftp/下的bin，lib两个目录拷贝到这个用户的根目录下，因为一些命令(主要是ls)需要Lib支持，否则不能列目录和文件。　　

　　-----相关命令：

　　cp -rf /home/ftp/lib /home/testuser;cp -rf /home/ftp/bin /home/testuser 　　

　　5 另外可别忘了关掉用户的telnet权，否则就白做了噢。怎么不让用户telnet呢？很简单：在/etc/shells里加一行/dev/null，然后可以直接编辑/etc/passwd文件，把用户的shell设置为/dev/null就可以了。 　　

　　-----相关命令：vi /etc/passwd

　　这一步可以在步骤2 创建一个用户时就先做好。

　　-----相关命令：adduser testuser -g ftpuser -s /dev/null 　　

　　小经验：只要把/home/ftp下的bin和lib目录cp到/etc/skel目录里，以后新建用户都会自动把bin和lib目录CP到用户目录里，当然你也可以加上public_html目录和cgi-bin目录。 　　

　　经过以上设置，testuser这个用户的所有FTP动作将限制在他的/home/testuser目录中。　　

　　请作者联系本站，及时附注您的姓名。联系邮箱：edu#chinaz.com（把#改为@）。