FTP详解

FTP工作原理

文件传输协议:File Transfer Protocol 早期的三个应用级协议之一,基于C/S结构
数据传输格式:二进制(默认)和文本
双通道协议:命令和数据连接
FTP有两种模式,主动模式和被动模式(相对于服务器而言)

  • 主动(PORT style):服务器主动连接
    命令(控制):客户端:随机port —> 服务器:21/tcp
    数据:客户端:随机port <—服务器:20/tcp
  • 被动(PASV style):客户端主动连接
    命令(控制):客户端:随机port —> 服务器:21/tcp
    数据:客户端:随机port —> 服务器:随机port /tcp
    在这里插入图片描述

FTP用户

用户认证:

  • 匿名用户:ftp,anonymous,对应Linux用户ftp
  • 系统用户:Linux用户,用户/etc/passwd,密码/etc/shadow
  • 虚拟用户:特定服务的专用用户,独立的用户/密码文件

用户和其共享目录

  • 匿名用户(映射为系统用户ftp )共享文件位置:/var/ftp
  • 系统用户共享文件位置:用户家目录
  • 虚拟用户共享文件位置:为其映射的系统用户的家目录

FTP服务状态码:

  • 1XX:信息 125:数据连接打开
  • 2XX:成功类状态 200:命令OK 230:登录成功
  • 3XX:补充类 331:用户名OK
  • 4XX:客户端错误 425:不能打开数据连接
  • 5XX:服务器错误 530:不能登录

常见 FTP 相关软件

FTP服务器端软件
Wu-ftpd,Proftpd,Pureftpd,Filezilla Server,Serv-U,Wing FTP Server,IIS
vsftpd:Very Secure FTP Daemon,CentOS 默认FTP服务器
高速,稳定,下载速度是WU-FTP的两倍
ftp.redhat.com数据:单机最多可支持15000个并发
客户端软件:
ftp,lftp,lftpget,wget,curl
ftp -A ftpserver port -A 主动模式 –p 被动模式
lftp –u username ftpserver
lftp username@ftpserver
lftpget ftp://ftpserver/pub/file
gftp:GUI centos5 最新版2.0.19 (11/30/2008)
filezilla,FTP Rush,CuteFtp,FlashFXP,LeapFtp
IE ftp://username:password@ftpserver

vsftpd软件介绍

由 vsftpd 包提供,不再由xinetd管理

vsftpd相关文件

[root@localhost ~]# rpm -ql vsftpd
/etc/pam.d/vsftpd
/etc/vsftpd/vsftpd.conf
/usr/lib/systemd/system/vsftpd.service
/usr/sbin/vsftpd
/var/ftp
/var/ftp/pub

vsftpd常见配置

  1. 命令连接端口
    listen_port=21
  2. 数据连接-主动模式端口
    connect_from_port_20=YES 主动模式端口为20
    ftp_data_port=20 (默认) 指定主动模式的端口
  3. 数据连接-被动模式端口范围
    linux 客户端默认使用被动模式
    windows 客户端默认使用主动模式
    pasv_min_port=6000 0为随机分配
    pasv_max_port=6010
  4. 使用当地时间
    use_localtime=YES 使用当地时间(默认为NO,使用GMT)
  5. 匿名用户登录
    anonymous_enable=YES 支持匿名用户
    no_anon_password=YES 匿名用户略过口令检查 , 默认NO
  6. 匿名用户上传
    anon_upload_enable=YES 匿名上传,注意:文件系统权限
    anon_mkdir_write_enable=YES 匿名建目录
    anon_world_readable_only=YES 只能下载全部读的文件, 默认YES
    anon_umask=0333 指定匿名上传文件的umask,默认077
    anon_other_write_enable=YES 可删除和修改上传的文件, ,默认NO
  7. 指定匿名用户的上传文件的默认的所有者和权限
    chown_uploads=YES 默认NO
    chown_username=wang
    chown_upload_mode=0644
  8. Linux系统用户
    local_enable=YES 是否允许linux用户登录
    write_enable=YES 允许linux用户上传文件
    local_umask=022 指定系统用户上传文件的默认权限
  9. 将系统用户映射为指定的guest用户
    guest_enable=YES 所有系统用户都映射成guest用户
    guest_username=ftp 配合上面选项才生效,指定guest用户
    local_root=/ftproot guest用户登录所在目录
  10. 禁锢系统用户
    禁锢所有系统在家目录中
    chroot_local_user=YES 禁锢系统用户,默认NO,即不禁锢
    禁锢或不禁锢特定的系统用户在家目录中,与上面设置功能相反
    chroot_list_enable=YES
    chroot_list_file=/etc/vsftpd/chroot_list
    当chroot_local_user=YES时,则chroot_list中用户不禁锢
    当chroot_local_user=NO时,则chroot_list中用户禁锢
  11. 日志
    wu-ftp日志:默认启用
    xferlog_enable=YES 启用记录上传下载日志,此为默认值
    xferlog_std_format=YES 使用wu-ftp日志格式,此为默认值
    xferlog_file=/var/log/xferlog 可自动生成, 此为默认值
    vsftpd日志:默认不启用
    dual_log_enable=YES 使用vsftpd日志格式,默认不启用
    vsftpd_log_file=/var/log/vsftpd.log 可自动生成, 此为默认值
  12. 提示信息
    登录提示信息
    ftpd_banner=“welcome to mage ftp server”
    banner_file=/etc/vsftpd/ftpbanner.txt
    目录访问提示信息
    dirmessage_enable=YES 此为默认值
    message_file=.message 信息存放在指定目录下.message ,此为默认值
  13. PAM模块实现用户访问控制
    pam_service_name=vsftpd
    pam配置文件:/etc/pam.d/vsftpd
    /etc/vsftpd/ftpusers 默认文件中用户拒绝登录
  14. 是否启用控制用户登录的列表文件
    userlist_enable=YES 此为默认值
    userlist_deny=YES(默认值) 黑名单,不提示口令,NO为白名单
    userlist_file=/etc/vsftpd/users_list 此为默认值
  15. vsftpd服务指定用户身份运行
    nopriv_user=nobody 此为默认值
  16. 连接数限制
    max_clients=0 最大并发连接数
    max_per_ip=0 每个IP同时发起的最大连接数
  17. 传输速率,字节/秒
    anon_max_rate=0 匿名用户的最大传输速率
    local_max_rate=0 本地用户的最大传输速率
  18. 连接时间:秒为单位
    connect_timeout=60 主动模式数据连接超时时长
    accept_timeout=60 被动模式数据连接超时时长
    data_connection_timeout=300 数据连接无数据输超时时长
    idle_session_timeout=60 无命令操作超时时长
  19. 优先以文本方式传输
    ascii_upload_enable=YES
    ascii_download_enable=YES
  20. 实现基于SSL的FTPS

查看是否支持SSL

ldd `which vsftpd` #查看到libssl.so

创建自签名证书

cd /etc/pki/tls/certs/
make vsftpd.pem
openssl x509 -in vsftpd.pem -noout –text

配置vsftpd服务支持SSL:

vim /etc/vsftpd/vsftpd.conf
ssl_enable=YES #启用SSL
allow_anon_ssl=NO #匿名不支持SSL
force_local_logins_ssl=YES #本地用户登录加密
force_local_data_ssl=YES #本地用户数据传输加密
rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
#用filezilla等工具测试

vsftpd虚拟用户

虚拟用户:

  • 所有虚拟用户会统一映射为一个指定的系统帐号:访问共享位置,即为此系统帐号的家目录
  • 各虚拟用户可被赋予不同的访问权限,通过匿名用户的权限控制参数进行指定

虚拟用户帐号的存储方式:

  • 文件:编辑文本文件,此文件需要被编码为hash格式
    db_load -T -t hash -f vusers.txt vusers.db
    奇数行为用户名,偶数行为密码
  • 关系型数据库中的表中:实时查询数据库完成用户认证
    vsftpd 支持mysql库:pam要依赖于pam-mysql
    /lib64/security/pam_mysql.so
    /usr/share/doc/pam_mysql-0.7/README

实现基于文件验证的vsftpd虚拟用户

1,创建用户数据库文件

确认vsftpd已安装
创建存储用户数据的txt文件

[root@localhost ~]# cd /etc/vsftpd/
[root@localhost vsftpd]# vim vusers.txt
haha
hahapass
heihei
heiheipass

将txt文件转化为db文件

[root@localhost vsftpd]# db_load -T -t hash -f vusers.txt vusers.db

为了安全将db文件的权限设置为600

[root@localhost vsftpd]# chmod 600 vusers.db

2,创建虚拟用户映射的系统用户以及FTP访问目录

创建系统用户vuser,以及vuser的家目录及其子目录upload

[root@localhost vsftpd]# useradd -s /sbin/nologin -d /data/ftproot -r vuser
[root@localhost vsftpd]# mkdir -pv /data/ftproot/upload
mkdir: created directory ‘/data/ftproot’
mkdir: created directory ‘/data/ftproot/upload’

设置/data/ftproot权限为rx,对ftp根目录有w权限的话无法登录

[root@localhost vsftpd]# chmod a=rx /data/ftproot

赋予vuser对子目录upload的rwx权限

[root@localhost vsftpd]# setfacl -m u:vuser:rwx /data/ftproot/upload

3,调用指定的pam文件并将虚拟文件映射到系统用户vuser

[root@localhost vsftpd]# vim vsftpd.conf
pam_service_name=vsftpd.db
guest_enable=yes
guest_username=vuser

4,配置指定的pam文件

[root@localhost vsftpd]# vim /etc/pam.d/vsftpd.db
auth required pam_userdb.so db=/etc/vsftpd/vusers
account required pam_userdb.so db=/etc/vsftpd/vusers

5,虚拟用户创建独立的配置文件

指定各虚拟用户配置文件存放路径

[root@localhost vsftpd]# vim vsftpd.conf
user_config_dir=/etc/vsftpd/vusers.d/

创建该目录

[root@localhost vsftpd]# mkdir /etc/vsftpd/vusers.d

配置虚拟用户haha的配置文件,设置其为可读写

[root@localhost vsftpd]# cd vusers.d
[root@localhost vusers.d]# vim haha
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES

配置虚拟用户heihei的配置文件,设置其为只读(默认),改变其访问根目录为/data/heihei,同时创建heihei目录

[root@localhost vusers.d]# vim heihei
local_root=/data/heihei
[root@localhost vusers.d]# mkdir /data/heihei

重启vsftpd服务

[root@localhost vusers.d]# systemctl restart vsftpd

实现基于MYSQL验证的vsftpd的虚拟用户

pam文件配置字段说明

  • auth 表示认证
  • account 验证账号密码正常使用
  • required 表示认证要通过
  • pam_mysql.so模块是默认的相对路径,是相对/lib64/security/路径而言,也可以写绝对路径;后面为给此模块传递的参数
  • user=vsftpd为登录mysql的用户
  • passwd=magedu 登录mysql的的密码
  • host=mysqlserver mysql服务器的主机名或ip地址
  • db=vsftpd 指定连接msyql的数据库名称
  • table=users 指定连接数据库中的表名
  • usercolumn=name 当做用户名的字段
  • passwdcolumn=password 当做用户名字段的密码
  • crypt=2 密码的加密方式为mysql password()函数加密

crypt 加密方式:

  • 0表示不加密
  • 1表示crypt(3)加密
  • 2表示使用mysql password()函数加密
  • 3表示md5加密
  • 4表示sha1加密
    两台服务器:一台mysql,一台ftp

1,mysql服务器上安装mysql

yum安装mysql,启动并设置开机自启

[root@msyql ~]# yum install mariadb-server -y
[root@msyql ~]# systemctl enable --now mariadb

创建数据库vsftpd,表vusers

[root@msyql ~]# mysql
MariaDB [(none)]> create database vsftpd;
MariaDB [(none)]> use vsftpd;
Database changed
MariaDB [vsftpd]> create table vusers (
    -> id int auto_increment not null primary key,
    -> name char(50) binary not null,
    -> password char(48) binary not null);

为vusers添加两行内容,这个两行内容存放的就是ftp虚拟用户的用户名和密码

MariaDB [vsftpd]> insert into vusers(name,password) values("haha",password("hahapass"));
MariaDB [vsftpd]> insert into vusers(name,password) values("heihei",password("heiheipass"));

创建ftp用来连接MySQL用的vsftpd用户的同时将vsftpd数据库的权限赋予vsftpd

MariaDB [vsftpd]> grant all on vsftpd.* to vsftpd@"192.168.39.%" identified by "123.com";
MariaDB [vsftpd]> flush privileges;

2,ftp服务器上编译安装pam-mysql

centos6可以yum安装pam-mysql;对于 centos7 和 8,无对应rpm包,需手动编译安装

[root@ftp ~]# yum install vsftpd gcc gcc-c++ make mariadb-devel pam-devel
[root@ftp ~]# wget http://prdownloads.sourceforge.net/pam-mysql/pam_mysql-0.7RC1.tar.gz
[root@ftp ~]# tar xf pam_mysql-0.7RC1.tar.gz
[root@ftp ~]# ls
pam_mysql-0.7RC1  pam_mysql-0.7RC1.tar.gz
[root@ftp pam_mysql-0.7RC1]# ./configure --with-pam-mods-dir=/lib64/security
[root@ftp pam_mysql-0.7RC1]# ll /lib64/security/pam_mysql*
-rwxr-xr-x 1 root root    882 Dec 18 15:42 /lib64/security/pam_mysql.la
-rwxr-xr-x 1 root root 141768 Dec 18 15:42 /lib64/security/pam_mysql.so

3,ftp服务器上将虚拟用户映射到指定系统用户

创建用户vuser,并创建ftp的目录以及设置目录的权限

[root@ftp pam_mysql-0.7RC1]# useradd -s /sbin/nologin -d /data/ftproot -r vuser
[root@ftp pam_mysql-0.7RC1]# mkdir -pv /data/ftproot/{upload,pub}
[root@ftp pam_mysql-0.7RC1]# chmod a=rx /data/ftproot
[root@ftp pam_mysql-0.7RC1]# setfacl -m u:vuser:rwx /data/ftproot/upload

指定pam认证文件,并将虚拟用户映射到系统用户vuser上

[root@ftp pam_mysql-0.7RC1]# vim /etc/vsftpd/vsftpd.conf
pam_service_name=vsftpd.mysql
guest_enable=YES
guest_username=vuser

4,ftp服务器上建立pam认证文件并配置

[root@ftp pam_mysql-0.7RC1]# vim /etc/pam.d/vsftpd.mysql
auth required pam.mysql.so user=vsftpd passwd=123.com host=192.168.39.11 db=vsftpd table=vusers usercolumn=name passwdcolumn=password crypt=2
account required pam.mysql.so user=vsftpd passwd=123.com host=192.168.39.11 db=vsftpd table=vusers usercolumn=name passwdcolumn=password crypt=2

5,ftp服务器上配置不同虚拟用户的不同权限

指定虚拟用户配置文件的路径

[root@ftp pam_mysql-0.7RC1]# vim /etc/vsftpd/vsftpd.conf
user_config_dir=/etc/vsftpd/vusers.d/
vsftpd.d目录不存在,创建之
[root@ftp pam_mysql-0.7RC1]# mkdir /etc/vsftpd/vusers.d
创建并配置haha虚拟用户的配置文件(没创建heihei的配置文件,所以heihei就是默认的只读)
[root@ftp pam_mysql-0.7RC1]# cd /etc/vsftpd/vusers.d
[root@ftp vusers.d]# vim haha
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
[root@ftp vusers.d]# systemctl enable --now vsftpd

测试

再找一台机器测试
用haha用户连接ftp,可以连接并且成功上传文件
[root@localhost ~]# ftp 192.168.39.12
Name (192.168.39.12:root): haha
Password:
ftp> ls
227 Entering Passive Mode (192,168,39,12,138,243).
150 Here comes the directory listing.
drwxr-xr-x    2 0        0               6 Dec 18 07:48 pub
drwxrwxr-x    2 0        0               6 Dec 18 07:48 upload
226 Directory send OK.
ftp> cd upload
250 Directory successfully changed.
ftp> !ls
anaconda-ks.cfg  original-ks.cfg
ftp> put anaconda-ks.cfg
ftp> ls
227 Entering Passive Mode (192,168,39,12,218,210).
150 Here comes the directory listing.
-rw-------    1 997      995          2053 Dec 18 08:56 anaconda-ks.cfg
226 Directory send OK.

用heihei用户连接ftp,可以连接但是不能上传文件

[root@localhost ~]# ftp 192.168.39.12
Name (192.168.39.12:root): heihei
Password:
ftp> ls
227 Entering Passive Mode (192,168,39,12,54,115).
150 Here comes the directory listing.
drwxr-xr-x    2 0        0               6 Dec 18 07:48 pub
drwxrwxr-x    2 0        0              29 Dec 18 08:56 upload
226 Directory send OK.
ftp> cd upload
ftp> put anaconda-ks.cfg
local: anaconda-ks.cfg remote: anaconda-ks.cfg
227 Entering Passive Mode (192,168,39,12,145,251).
550 Permission denied.
  • 1
    点赞
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值