⑴ FTP服務的優缺點
FTP什麼都簡單，裝一個好的FTP
Server就萬事大吉了；
web的話就得慢慢編了；而且大文件的處理很有問題。
⑵ 網站FTP賬號密碼要是告訴了別人會有風險嗎謝謝告知
當然有風險。因為通過ftp，登陸者可以直接修改你網站上的網頁的文件，可以上傳文件到你的網站空間，可以刪除你空間上的文件。ftp賬號是個許可權很大的賬號！僅次於你的空間管理後台許可權！
⑶ 介紹一下FTP好嗎，還有怎麼用
FTP是世界上最主要且使用最廣泛的Internet服務之一，用戶可以在能上網的地方通過它連到遠程主機上，進行文件傳輸。
在使用電腦中我們經常碰到二個問題。一是文件較大，一張軟盤放不下，只好採用一定的方法把文件分割開來，就是有優盤可以放較大的文件，但有時使用的電腦不認優盤只得作罷。第二個問題是好好的文件，放在盤里，到了另一個地方機器說不能讀出磁碟，使你保存在盤中的花言巧語毫無用處。
使用FTP服務正是解決上述二個問題的好方法，不論你在什麼地方，只要把文件上傳到伺服器里，到了另一個地方，只要能上網，就可以從伺服器上取出來，就好象你在網路上有了一個硬碟一樣。
參考資料：http://www.zyzx.jsol.net/oldver/ftpserver/ftpindex.htm
⑷ 搭建FIP伺服器的安全隱患跟注意事項是什麼
FTP伺服器架設詳細圖解FTP 是File Transfer Protocol（文件傳輸協議）的縮寫，用來在兩台計算機之間互相傳送文件。FTP服務作為Internet最古老的服務之一，無論在過去還是現在都有 著不可替代的作用。在企業中，對於一些大文件的共享，通常採用FTP這種形式來完成，並且由於FTP能消除操作系統之間的差異，對於不同的操作系統之間共享文件的作用就顯得尤為突出。
一、FTP伺服器的工作方式
FTP協議有兩種工作方式：PORT方式和PASV方式，中文意思為主動式和被動式。其中PORT（主動）方式的連接過程是：客戶端向伺服器的FTP埠 （默認是21）發送連接請求，伺服器接受連接，建立一條命令鏈路。當需要傳送數據時，伺服器從20埠向客戶端的空閑埠發送連接請求，建立一條數據鏈路 來傳送數據。而PASV（被動）方式的連接過程是：客戶端向伺服器的FTP埠（默認是21）發送連接請求，伺服器接受連接，建立一條命令鏈路。當需要傳送數據時，客戶端向伺服器的空閑埠發送連接請求，建立一條數據鏈路來傳送數據。
FTP伺服器可以以兩種方式登錄，一種是匿名登錄，另一種是使用授權賬號與密碼登錄。其中，一般匿名登錄只能下載FTP伺服器的文件，且傳輸速度相對要慢 一些，當然，這需要在FTP伺服器上進行設置，對這類用戶，FTP需要加以限制，不宜開啟過高的許可權，在帶寬方面也盡可有的小。而需要授權賬號與密碼登 錄，他需要管理員將賬號與密碼告訴網友，管理員對這些賬號進行設置，比如他們能訪問到哪些資源，下載與上載速度等，同樣管理員需要對此類賬號進行限制，並盡可能的把許可權調低，如沒十分必要，一定不要賦予賬號有管理員的許可權。
二、利用WINDOWS組件IIS來構件FTP
伺服器在架設FTP網站時，對於僅僅作為共享文件這種服務而沒有其他特殊要求的，可通過Windows XP/2000/2003操作系統的IIS組件來完成。下面我們來簡單進行說明：
1. IIS安裝，可按照「開始」——>「設置」——>「控制面板」——>「添加/刪除程序」，打開「添加/刪除程序」對話框，選中「添加 /刪除Windows組件」出現如下圖
圖1
2. 選中「Internet信息服務（IIS）」，查看其詳細信息，如圖2
圖2
3. 選中圖2中的「文件傳輸協議（FTP）伺服器」項後，單擊確定，接下來按照向導至安裝完成。
4. 打開「開始」——>「程序」——>「管理工具」——>「Internet信息服務」，打開IIS控制台。如圖3
圖3
5. 單擊「默認FTP站點」，在右鍵快捷菜單中選中「屬性」，打開「默認FTP站點屬性」對話框，如圖4
圖4
6. 在「FTP站點」選項卡中，需要修改「說明」為容易識別的標識，如阿九的FTP站，IP地址修改為當前主機的某個IP地址（在主機具備多IP地址的情況 下）。如本機修改為私有地址「192.168.112.128」，「TCP埠」為默認的FTP埠「21」。如圖5
圖5
7. 在「安全帳號」中選中「允許匿名連接」，如果對於客戶端登陸時需要進行身份驗證，則可通過「瀏覽」來選中伺服器的Windows用戶。如圖6、圖7
圖6
圖7
8. 在「消息」選項卡中添加FTP伺服器的登陸歡迎信息和退出信息，如圖8
圖8
9. 在「主目錄」選項卡中選擇FTP伺服器向外提供服務的主目錄，此處可選擇「此計算機上的目錄」，通過瀏覽進行選擇，或者選擇「另一計算機上的共享位置」， 這是FTP伺服器向外提供服務的主目錄就在其他主機上，格式為「\\{伺服器}\{共享名}」，在FTP站點目錄下的「讀取」、「寫入」、「日誌訪問」對 FTP站點的許可權進行配置，如在此處，我們出於安全考慮為匿名anonymous用戶通過分配「讀取」而不分配「寫入」如圖9所示
圖9
10. 在「目錄安全性」選項卡中對FTP伺服器的訪問控制許可權進行分配，可通過此處將FTP伺服器的訪問許可權授權給某部分IP用戶或者拒絕來自某些IP用戶的訪 問。注意當選擇了「授權訪問」後，在下表中的IP地址將被拒絕，如選擇「拒絕訪問」，下表中的IP地址用戶將被授權。如圖10
圖10
11. 至此，FTP伺服器架設成功。
三、測試FTP伺服器
1. 打開「開始」——>「程序」——>「附件」——>「 命令提示符」，在游標處輸入「FTP 192.168.112.128」，如圖11
圖11
2. 輸入匿名帳戶anonymous，密碼為自己的郵件地址，如圖12
圖12
3. 這時可通過FTP的命令對FTP伺服器進行操作，如圖13
圖13
4. 通過IE來驗證或者獲取FTP服務，在IE的地址欄中輸入「 ftp://192.168.112.128/」如圖14
圖15
5. 此外還可以通過一些FTP客戶端軟體來訪問，如FLASHFTP、CUTEFTP等。
四、虛擬目錄及多站點的配置
1. 在FTP的配置過程中，我們經常需要對一個主機提供多個FTP站點來進行FTP共享，此時建立多站點的形式來完成，完成時可通過新建站點的形式，根據新建站點向導一步步完成。如圖16
圖16
2. 這時，可通過一個主機上的不同IP地址來架設，或者通過同一個IP地址，不同的埠號來進行識別。如圖17，我們使用埠2121來構建第二個FTP站 點。
圖17
3. 在FTP的配置過程中，我們經常需要對多個不同路徑的目錄進行FTP共享，此時可通過虛擬目錄來完成，如圖16中的新建虛擬目錄。通過新建虛擬目錄向導完成。虛擬目錄是在主目錄下通過某一個文件夾鏈接到其他目錄的形式，在主目錄中實際不存在此文件夾中的內容，該內容在其他目錄下實際存在。如圖18 ，圖19所示
圖18
圖19
4. 這時，注意需要在提供FTP站點服務的主目錄即F:\ 01虛擬模擬下建立一個名為virtual directory的文件夾，否則虛擬目錄無法提供FTP共享服務。如圖20
圖20
圖21
五、IIS構建FTP伺服器安全性探討
對於通過IIS構建的FTP伺服器，無論是匿名帳戶或者是通過授權帳戶及密碼來訪問FTP伺服器，由於FTP服務的帳戶和密碼身份驗證的方式均採用明文形 式在網路上傳播的，任何主機只要採用數據包截取軟體均可截獲FTP伺服器登陸的帳戶及密碼。所以其安全性還需要通過其他方式來增強。
六、小結
對於通過IIS來構建FTP伺服器，需要注意其硬碟的格式，如該盤為NTFS格式，還需要將其目錄設置為共享或者使FTP客戶的帳戶具備此文件夾的訪問許可權，如果是FAT32格式，則可通過上述方法來構建。對於其FTP伺服器的帳戶的安全性，還需要通過SSL加密等形式來加強安全性的驗證，以防止帳號被他 人截獲。
⑸ 如何提高FTP伺服器安全性
一、禁止系統級別用戶來登錄FTP伺服器。
為了提高FTP伺服器的安全，系統管理員最好能夠為員工設置單獨的FTP帳號，而不要把系統級別的用戶給普通用戶來使用，這會帶來很大的安全隱患。在VSFTP伺服器中，可以通過配置文件vsftpd.ftpusers來管理登陸帳戶。不過這個帳戶是一個黑名單，列入這個帳戶的人員將無法利用其帳戶來登錄FTP伺服器。部署好VSFTP伺服器後，我們可以利用vi命令來查看這個配置文件，發現其已經有了許多默認的帳戶。其中，系統的超級用戶root也在其中。可見出於安全的考慮，VSFTP伺服器默認情況下就是禁止root帳戶登陸FTP伺服器的。如果系統管理員想讓root等系統帳戶登陸到FTP伺服器，則知需要在這個配置文件中將root等相關的用戶名刪除即可。不過允許系統帳戶登錄FTP伺服器，會對其安全造成負面的影響，為此我不建議系統管理員這么做。對於這個文件中相關的系統帳戶管理員最好一個都不要改，保留這些帳號的設置。
如果出於其他的原因，需要把另外一些帳戶也禁用掉，則可以把帳戶名字加入到這個文件中即可。如在伺服器上可能同時部署了FTP伺服器與資料庫伺服器。那麼為了安全起見，把資料庫管理員的帳戶列入到這個黑名單，是一個不錯的做法。
二、加強對匿名用戶的控制。
匿名用戶是指那些在FTP伺服器中沒有定義相關的帳戶，而FTP系統管理員為了便於管理，仍然需要他們進行登陸。但是他們畢竟沒有取得伺服器的授權，為了提高伺服器的安全性，必須要對他們的許可權進行限制。在VSFTP伺服器上也有很多參數可以用來控制匿名用戶的許可權。系統管理員需要根據FTP伺服器的安全級別，來做好相關的配置工作。需要說明的是，匿名用戶的許可權控制的越嚴格，FTP伺服器的安全性越高，但是同時用戶訪問的便利性也會降低。故最終系統管理員還是需要在伺服器安全性與便利性上取得一個均衡。
下面是我推薦的幾個針對匿名用戶的配置，大家若不清楚該如何配置的話，可以參考這些配置。這些配置兼顧了伺服器的安全與用戶的使用便利。
一是參數anon_world_readable_only。這個參數主要用來控制匿名用戶是否可以從FTP伺服器上下載可閱讀的文件。如果FTP伺服器部署在企業內部，主要供企業內部員工使用的話，則最好把這個參數設置為YES。然後把一些企業常用表格等等可以公開的文件放置在上面，讓員工在匿名的情況下也可以下載這些文件。這即不會影響到FTP伺服器的安全，而且也有利於其他員工操作的便利性上。
二是參數anon_upload_enable。這個參數表示匿名用戶能否在匿名訪問的情況下向FTP伺服器上傳文件。通常情況下，應該把這個參數設置為No。即在匿名訪問時不允許用戶上傳文件。否則的話，隨便哪個人都可以上傳文件的話，那對方若上傳一個病毒文件，那企業不是要遭殃了。故應該禁止匿名用戶上傳文件。但是這也有例外。如有些企業通過FTP協議來備份文件。此時如果企業網路的安全性有所保障的話，可以把這個參數設置為YES，即允許操作系統調用FTP命令往FTP伺服器上備份文件。
⑹ 什麼是ftp主要的安全問題
ftp主要的安全問題是破壞程序能夠在伺服器端運行。
ftp文件傳輸協議是用於在網路上進行文件傳輸的一套標准協議，它工作在OSI模型的第七層，TCP模型的第四層，即應用層，使用TCP傳輸而不是UDP。客戶在和伺服器建立連接前要經過一個「三次握手」的過程，保證客戶與伺服器之間的連接是可靠的，而且是面向連接，為數據傳輸提供可靠保證。FTP允許用戶以文件操作的方式與另一主機相互通信。然而用戶並不真正登錄到自己想要存取的計算機上面而成為完全用戶，可用FTP程序訪問遠程資源，實現用戶往返傳輸文件、目錄管理以及訪問電子郵件等等，即使雙方計算機可能配有不同的操作系統和文件存儲方式。
更多關於什麼是ftp主要的安全問題，進入：https://m.abcgonglue.com/ask/4325cd1615836422.html?zd查看更多內容
⑺ ftp伺服器具有哪些功能
FTP（File Transfer Protocol），是文件傳輸協議的簡稱。用於Internet上的控制文件的雙向傳輸。同時，它也是一個應用程序（Application）。用戶可以通過它把自己的PC機與世界各地所有運行FTP協議的伺服器相連，訪問伺服器上的大量程序和信息。
FTP的主要功能：
FTP（File Transfer Protocol），是文件傳輸協議的簡稱。用於Internet上的控制文件的雙向傳輸。同時，它也是一個應用程序（Application）。用戶可以通過它把自己的PC機與世界各地所有運行FTP協議的伺服器相連，訪問伺服器上的大量程序和信息。
（1）把本地計算機上的一個或多個文件傳送到遠程計算機，或從遠程計算機上獲取一個或多個文件。所謂傳送文件並不是移動，而是復制，即拷貝。FTP傳送的是文件的副本，在完成文件傳送文件傳輸之後，被傳輸的文件並不從源端消失，而是仍然在計算機的磁碟上存在;
(2)能夠傳輸多種類型、多種結構、多種格式的文件，允許用戶選擇文本文件（ASCII）、二進制文件（Binary)兩種文件類型，和文件（File）、紀錄（RECORD)、頁（Page)3種文件結構，還可以選擇文件的格式以及文件傳輸的模式等。用戶可以根據FTP會話雙方所用的系統及要傳輸的文件，確定在文件傳輸時選擇哪一種文件類型和結構；
（3）提供對本地計算機和遠程計算機的目錄操作功能。可在本地計算機或遠程計算機上建立或刪除目錄，改變當前工作目錄，列印目錄和文件的列表等；
（4）對文件進行改名、刪除、顯示文件內容等；
（5）用戶使用FTP能夠訪問匿名FTP伺服器，從中獲取大量的免費或共享軟體。
⑻ 您好，我們公司要搭建ftp伺服器，但是我沒有做過也不會，所以想請教一下。希望您可以幫我。
用serv-u建立FTP
有點基礎的網路管理員都會知道SERV-U這個軟體，他是以前最流行的FTP站點建立工具。基本上在windows系統下的FTP都是由他建立的。他的功能非常強大，建立起來方法也很簡單，性能也非常穩定。
SERV-U小檔案：
軟體版本：6.1.0.3 Beta
軟體大小：3228KB
軟體語言：英文
軟體類別：共享軟體
運行環境：Win9x/Me/NT/2000/XP
廢話少說下面就為各位IT168的讀者介紹如何使用SERV-U的最新版本6來建立一個簡單的FTP。當然SERV-U的功能很強大，由於篇幅有限過多的FTP設置與管理就不在本篇文章中詳細介紹了，我們會專門拿出一篇文章介紹SERV-U的管理與應用技巧。
第一步：滑鼠雙擊下載的SERV-U安裝程序，進行安裝。
第二步：由於默認情況下MCAFEE殺毒軟體會把SERV-U列為病毒，所以軟體安裝時會給出提醒，如果本機安裝了MCAFEE的話請將該殺毒軟體關閉，防止他將SERV-U主程序誤刪除。
第三步：接下來是SERV-U的安裝信息，和普通軟體一樣我們直接點「下一步」即可。
第四步：同意SERV-U的安裝協議，點「下一步」繼續。
第五步：設置SERV-U的安裝目錄，這是安裝目錄並不是FTP的發布目錄，這點讀者要懂得有效的區分。我們通過「BROWSER」按鈕修改了他的默認安裝路徑設置為G盤的相應目錄。
第六步：選擇SERV-U安裝組件，默認情況下四個組件都會被選擇，依次為SERV-U主程序，SERV-U管理工具，幫助信息，在線幫助信息。其實我們只選擇前兩個即可，後面的幫助信息沒有多大的用處。
第七步：將SERV-U安裝在「開始->程序中的SERV-U FTP SERVER」組件中。
第八步：完成全部SERV-U安裝配置工作，「下一步」後開始安裝文件到本地硬碟。
第九步：開始復制文件到安裝目錄。
第十步：安裝完畢後還會出現SERV-U相關軟體介紹的界面，提供了幾個小工具例如FTP客戶端小程序，DNS解析小工具等，感興趣的讀者可以自行下載使用。
第十一步：完成全部安裝與配置工作，默認會將SERV-U的快捷方式添加到桌面並且啟動SERV-U管理控制台。
第十二步：在管理控制台界面我們會看到很多個選項，一般情況我們建立FTP站點都是對DOMAINS進行設置。
第十三步：在DOMAINS上點滑鼠右鍵選擇「NEW DOMAIN」。
第十四步：設置FTP伺服器使用的IP地址，我們可以使用本機IP地址如10.91.30.45，或者通過下拉菜單選擇「use any available ip address」來使用本機使用的任意IP地址，建議大家選擇此項。
第十五步：為FTP伺服器起一個名字，即設置DOMAIN NAME，我們起名為softer's ftp。然後點「NEXT」按鈕繼續。
第十六步：接下來是設置FTP伺服器使用的發布埠，也就是客戶端使用哪個埠訪問FTP伺服器。默認情況下為21埠，而且使用默認埠的話我們在訪問FTP時不用加上此埠號，類似於訪問HTTP時省去了80埠一樣。當然如果21埠被佔用或者我們要在同一台計算機上發布多個FTP站點時可以對此埠進行修改。
第十七步：設置當前保存的FTP伺服器系統參數到配置文件中，默認是.ini文件，我們保持默認即可。點「NEXT」按鈕後繼續。
第十八步：完成了整個FTP的DOMIANS建立工作後我們就會在管理界面中看到相應的DOMAINS了。不過此時我們還無法登錄FTP，就好比班級建立了沒有學生一樣。我們需要為這個FTP DOMAINS建立用戶。在USERS上點滑鼠右鍵選擇「NEW USER」。
第十九步：為訪問該FTP的用戶起一個名字，例如用戶名為softer。
第二十步：設置softer用戶對應的密碼為111111，「NEXT」後繼續。
第二十一步：接下來就是為該用戶設置訪問目錄了，訪問FTP時不同的用戶對應的主目錄是不一樣的，我們在此進行設置。通過右邊的小按鈕選擇具體路徑。這里我們設置為h盤根目錄。「NEXT」後繼續。
第二十二步：下一步很關鍵，這是對是否鎖定用戶目錄進行設定。如果沒有鎖定的話用戶可以通過「向上」或「向下」箭頭訪問除了自己主目錄外的其他目錄，這是非常危險的。使得非法用戶對非法目錄進行訪問，所以大多數情況下都將lock user in home directory設置為YES。
第二十三步：接下來我們就可以使用用戶名為softer，密碼為111111來訪問剛剛建立的FTP伺服器了，訪問地址為10.91.30.45。
第二十四步：設置的用戶主目錄信息會在通過用戶驗證後全部呈現在用戶屏幕上。
總結：
用SERV-U建立FTP是非常簡單的，不過對於任何工作來說入門都是相對容易的，要想精通則需要花費比較大的精力。在配置和管理SERV-U上也是如此，只要我們能想到的SERV-U都可以辦到，如何有效的管理FTP資源與合理分配用戶許可權需要我們在實際工作中不斷去嘗試，去積累經驗。
⑼ FTP的防範與攻擊如何實現
------------------------FTP安全考慮—RFC2577----------------------------------
1．簡介
文件傳輸協議規范（FTP）[PR85]提供了一種允許客戶端建立FTP控制連接並在兩台
FTP伺服器間傳輸文件的機制。這種「代理FTP」機制可以用來減少網路的流量，客戶端命
令一台伺服器傳輸文件給另一台伺服器，而不是從第一台伺服器傳輸文件給客戶端，然後從
客戶端再傳輸給第二台伺服器。當客戶端連接到網路的速度特別慢時，這是非常有用的。但
同時，代理FTP還帶來了一個安全問題——「跳轉攻擊（bounce attack）」[CERT97:27]。除
了「跳轉攻擊」，FTP伺服器還可以被攻擊者通過強力來猜測密碼。
本文檔並不考慮當FTP和一些強壯的安全協議（比如IP安全）聯合使用的情況。雖然
這些安全關注並不在本文檔的考慮范圍內，但是它們也應該被寫成文檔。
本文給FTP伺服器的實現者和系統管理員提供了一些信息，如下所示。第二章描述了
FTP「跳轉攻擊」。第三章提供了減少「跳轉攻擊」的建議。第四章給基於網路地址限制訪
問的伺服器提供了建議。第五章提供了限制客戶端強力「猜測密碼」的建議。接著，第六章
簡單的討論了改善保密性的機制。第七章給出了阻止猜測用戶身份的機制。第八章討論了端
口盜用。最後，第九章討論了其它跟軟體漏洞有關而跟協議本身無關的FTP安全問題。
2．跳轉攻擊（Bounce Attack）
RFC959[PR85]中規定的FTP規范提供了一種攻擊知名網路伺服器的一種方法，並且使
攻擊者很難被跟蹤。攻擊者發送一個FTP"PORT"命令給目標FTP伺服器，其中包含該主機
的網路地址和被攻擊的服務的埠號。這樣，客戶端就能命令FTP伺服器發一個文件給被
攻擊的服務。這個文件可能包括根被攻擊的服務有關的命令（如SMTP,NNTP等）。由於是
命令第三方去連接到一種服務，而不是直接連接，就使得跟蹤攻擊者變得困難，並且還避開
了基於網路地址的訪問限制。
例如，客戶端上載包含SMTP命令的報文到FTP伺服器。然後，使用正確的PORT命
令，客戶端命令伺服器打開一個連接給第三方機器的SMTP埠。最後，客戶端命令服務
器傳輸剛才上載的包含SMTP命令的報文給第三方機器。這就使得客戶端不建立任何直接
的連接而在第三方機器上偽造郵件，並且很難跟蹤到這個攻擊者。
3．避免跳轉攻擊
原來的FTP規范[PR85]假定使用TCP進行數據鏈接，TCP埠號從0到1023時報留給
一些眾所周知的服務的，比如郵件，網路新聞和FTP控制鏈接。FTP規范對數據鏈接沒有
限制TCP埠號。因此，使用代理FTP，客戶端就可以命令伺服器去攻擊任何機器上眾所
周知的服務。
為了避免跳轉攻擊，伺服器最好不要打開數據鏈接到小於1024的TCP埠號。如果服
務器收到一個TCP埠號小於1024的PORT命令，那麼可以返回消息504（對這種參數命
令不能實現）。但要注意這樣遺留下那些不知名服務（埠號大於1023）易受攻擊。
一些建議（例如[AOM98]和[Pis94]）提供了允許使用除了TCP以外的其他傳輸協議來
建立數據連接的機制。當使用這些協議時，同樣要注意採用類似的防範措施來保護眾所周知
的服務。
另外，我們注意到跳轉攻擊一般需要攻擊者首先上載一個報文到FTP伺服器然後再下
載到准備攻擊的服務埠上。使用適當的文件保護措施就可以阻止這種情況發生。然而攻擊
者也可能通過從遠程FTP伺服器發送一些能破壞某些服務的數據來攻擊它。
禁止使用PORT命令也是避免跳轉攻擊的一種方法。大多數文件傳輸可以僅通過PASV
命令來實現。但這樣做的缺點就是喪失了使用代理FTP的能力，當然代理FTP並不是在所
有場合都需要的。
4．受限制的訪問
一些FTP伺服器希望有基於網路地址的訪問控制。例如，伺服器可能希望限制來自某
些地點的對某些文件的訪問（例如為了某些文件不被傳送到組織以外）。在這種情況下，服
務器在發送受限制的文件之前應該首先確保遠程主機的網路地址在本組織的范圍內，不管是
控制連接還是數據連接。通過檢查這兩個連接，伺服器就被保護避免了這種情況：控制連接
用一台可信任的主機連接而數據連接不是。同樣的，客戶也應該在接受監聽模式下的開放端
口連接後檢察遠程主機的IP地址，以確保連接是由所期望的伺服器建立的。
注意，基於網路地址的受限訪問留下了FTP伺服器易受「地址盜用(spoof)」攻擊。在
spoof攻擊中，攻擊機器可以冒用在組織內的機器的網路地址，從而將文件下載到在組織之
外的未授權的機器上。只要可能，就應該使用安全鑒別機制，比如在[HL97]中列出的安全鑒
別機制。
5．保護密碼
為了減少通過FTP伺服器進行強力密碼猜測攻擊的風險，建議伺服器限制嘗試發送正
確的密碼的次數。在幾次嘗試（3~5次）後，伺服器應該結束和該客戶的控制連接。在結束
控制連接以前，伺服器必須給客戶端發送一個返回碼421（「服務不可用，關閉控制連接」
[PR85]）。另外，伺服器在相應無效的「PASS」命令之前應暫停幾秒來消減強力攻擊的有效
性。若可能的話，目標操作系統提供的機制可以用來完成上述建議。
攻擊者可能通過與伺服器建立多個、並行的控制連接破壞上述的機制。為了搏擊多個並
行控制連接的使用，伺服器可以限制控制連接的最大數目，或探查會話中的可疑行為並在以
後拒絕該站點的連接請求。然而上述兩種措施又引入了「服務否決」攻擊，攻擊者可以故意
的禁止有效用戶的訪問。
標准FTP[PR85]在明文文本中使用「PASS」命令發送密碼。建議FTP客戶端和伺服器
端使用備用的鑒別機制，這種鑒別機制不會遭受竊聽。比如，IETF公共鑒別技術工作組開
發的機制[HL97]。
6．私密性
在FTP標准中[PR85]中，所有在網路上被傳送的數據和控制信息（包括密碼）都未被
加密。為了保障FTP傳輸數據的私密性，應盡可能使用強壯的加密系統。在[HL97]中定義
了一個這樣的機制。
7．保護用戶名
當「USER」命令中的用戶名被拒絕時，在FTP標准中[PR85]中定義了相應的返回碼530。
而當用戶名是有效的但卻需要密碼，FTP將使用返回碼331。為了避免惡意的客戶利用USER
操作返回的碼確定一個用戶名是否有效，建議伺服器對USER命令始終返回331，然後拒絕
對無效用戶名合並用戶名和密碼。
8．埠盜用
許多操作系統以遞增的順序動態的分配埠號。通過合法的傳輸，攻擊者能夠觀察當前
由伺服器端分配的埠號，並「猜」出下一個即將使用的埠號。攻擊者可以與這個埠建
立連接，然後就剝奪了下一個合法用戶進行傳輸的能力。或者，攻擊者可以盜取給合法用戶
的文件。另外，攻擊者還可能在從授權用戶發出的數據流中插入偽造的文件。通過使FTP
客戶和伺服器隨機的給數據連接分配埠號，或者要求操作系統隨機分配埠號，或者使用
與系統無關的機制都可以減少埠盜用的發生。
9．基於軟體的安全問題
本文檔的重點是和協議相關的安全問題。另外還有一些成文的FTP安全問題是由於不
完善的FTP實現造成的。雖然這種類型的問題的細節超出本文檔的范圍，還是有必要指出
以下那些過去曾被誤用，今後的實現應該慎重考慮的FTP特性。
? 匿名FTP
匿名FTP服務使客戶端用最少的證明連接到FTP伺服器分享公共文件。如果這樣的用
戶能夠讀系統上所有的文件或者能建立文件，那麼問題就產生了。[CERT92:09] [CERT93:06]
? 執行遠程命令
FTP擴展命令"SITE EXEC"允許客戶端執行伺服器上任意的命令。這種特性顯然需要非
常小心的實現。已經有幾個成文的例子說明攻擊者利用FTP「SITE EXEC」命令可以破壞服
務器的安全性。[CERT94:08] [CERT95:16]
? 調試代碼
前面的一些跟FTP有關危及安全的問題是由於置入了調試特性的軟體造成的。
[CERT88:01]
本文建議有這些功能的FTP伺服器的實現者在發布軟體之前參閱所有的CERT有關這
些問題的攻擊以及類似機制的忠告。
10．結論
使用以上建議可以減少和FTP伺服器有關的安全問題的發生，而不用刪除其功能。