#####################################
FTP简介
vsftpd基本使用
明文传输带来的安全隐患
安全通信方式
vsftpd + PAM + mysql实现虚拟用户
#####################################
FTP简介
文件传输服务位于应用层,监听21/tcp端口,数据传输模式为自适应,没有交叉编码能力Mine,遵循原文件本身格式,基于TCP协议实现,它有两个连接,命令连接和数据连接,它的工作模式有两种,主动模式和被动模式。
主动模式
被动模式
vsftpd基本使用
特性
文件服务权限等于文件系统权限和文件共享权限的交集
支持虚拟用户
家目录在/var/ftp目录下,/目录被锁定为其家目录
支持匿名用户
支持系统用户
家目录目录在/home/username目录下,/目录没有锁定,可以切换 lcd
支持基于PAM实现用户认证
安装
yum install vsftpd service vsftpd start chkconfig vsftpd on /etc/vsftpd 配置文件 /etc/init.d/vsftpd 服务脚本 /usr/sbin/vsftpd 守护进程 /etc/pam.d/* 配置文件 /lib/security 认证模块 /var/ftp 文件目录,不允许除root用户之外的其他用户具有写权限
常用选项
anonymous_enable=YES 启用匿名用户anonymous local_enable=YES 启用系统用户 write_enable=YES 开启写入 anon_upload_enable=YES 开启上传 anon_mkdir_write_enable=YES 开启目录创建 anon_other_write_enable=YES 开启其他写权限,例如delete等…… dirmessage_enable=YES 开启目录进入欢迎提示 vim /var/ftp/upload/.message 当用户切换到此目录时候会显示 xferlog_enable=YES 开启传输日志 xferlog_file=/var/log/vsftpd.log 定义传输日志存储位置和名称 #chown_uploads=YES 是否开启修改用户上传之后修改用户属主 #chown_username=whoever 修改为谁? #idle_session_timeout=600 命令连接超时时间 #data_connection_timeout=120 数据连接超时时间 #ascii_upload_enable=YES 文本模式上传 #ascii_download_enable=YES 文本模式下载 chroot_list_enable=YES 禁锢用户至自己家目录 chroot_list_file=/etc/vsftpd/chroot_list通过用户列表禁锢那些用户 #chroot_local_user=YES 禁锢所有用户至自己家目录,需要注释上面两项 listen=YES vsftpd是否工作为一个独立守护进程类型; 独立守护进程适合于 (访问量大,在线时间长的服务) 瞬时守护进程 (访问量比较小,在线时间不长的服务) pam_service_name=vsftpd 基于pam的认证 /etc/vsftpd/ftpusers (文件中用户不能登录,清空/etc/vsftpd/user_list后才真正由此文件控制) userlist_enable=YES 文件的用户不允许登录(/etc/vsftpd/user_list) userlist_deny=NO 仅允许文件中的用户可以登录(/etc/vsftpd/user_list) tcp_wrappers=YES max_clients 最多允许几个IP访问 max_per_ip 一个IP最多几个请求
举例:让匿名用户可以上传文件
anon_upload_enable=YES 开启 mkdir /var/ftp/upload setfacl -m u:ftp:rwx /var/ftp/upload/ getfacl /var/ftp/upload/
明文传输带来的安全隐患
使用客户端连接FTP服务器
在服务器端使用tcpdum命令抓包
tcpdump -i eth0 -nn -X -vv tcp port 21 and ip host 192.168.1.30
安全通信方式
ftps:ftp+ssl/tls
sftp:OpenSSH,SubSystem,sftp(SSH)
创建私有CA
cd /etc/pki/CA mkdir certs newcerts crl echo 01 > serial (umask 077;openssl genrsa -out private/cakey.pem 2048)创建私钥 openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 3650生成自签证书
生成证书颁发请求并签署
mkdir /etc/vsftpd/ssl cd /etc/vsftpd/ssl (umask 077; openssl genrsa -out vsftpd.key 2048;) 生成私钥 openssl req -new -key vsftpd.key -out vsftpd.csr 生成证书颁发请求 openssl ca -in vsftpd.csr -out vsftpd.crt 签署证书
修改配置文件etc/vsftpd/vsftpd.conf支持ssl、tsl功能
# ssl or tls ssl_enable=YES ssl_sslv3=YES ssl_tlsv1=YES allow_anon_ssl=NO force_local_data_ssl=YES force_local_logins_ssl=YES rsa_cert_file=/etc/vsftpd/ssl/vsftpd.crt rsa_private_key_file=/etc/vsftpd/ssl/vsftpd.key
客户端软件登陆
本文中使用FlashFXP作为FTP客户端
点击连接
成功连接
在服务器端抓包发现是明文
tcpdump -i eth0 -nn -X -vv tcp port 21 and ip host 192.168.1.30
vsftpd + PAM + mysql实现虚拟用户
一、安装所需要程序
事先安装好开发环境和mysql数据库;
yum -y install mysql-server mysql-devel yum -y groupinstall "Development Tools" "Development Libraries"
安装pam_mysql-0.7RC1
tar zxvf pam_mysql-0.7RC1.tar.gz cd pam_mysql-0.7RC1 ./configure --with-mysql=/usr --with-opensslrpm包的mysql make make install
安装vsftpd
yum -y install vsftpd
二、创建虚拟用户账号
准备数据库及相关表,首先请确保mysql服务已经正常启动。而后,按需要建立存储虚拟用户的数据库即可,这里将其创建为vsftpd数据库。
mysql> create database vsftpd; mysql> grant select on vsftpd.* to vsftpd@localhost identified by 'vsftpd'; mysql> grant select on vsftpd.* to vsftpd@127.0.0.1 identified by 'vsftpd'; mysql> flush privileges; mysql> use vsftpd; mysql> create table users ( -> id int AUTO_INCREMENT NOT NULL, -> name char(20) binary NOT NULL, -> password char(48) binary NOT NULL, -> primary key(id) -> );
添加测试的虚拟,用户pam_mysql的password()函数与MySQL的password()函数可能会有所不同。
insert into users (name,password) value ('bob','123'),('tom','321'),('lucy','333');
三、配置vsftpd
建立pam认证所需文件vi /etc/pam.d/vsftpd.mysql
auth required /usr/lib/security/pam_mysql.so user=vsftpd passwd=vsftpd host=localhost db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=0 account required /usr/lib/security/pam_mysql.so user=vsftpd passwd=vsftpd host=localhost db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=0
修改vsftpd的配置文件,使其适应mysql认证,建立虚拟用户映射的系统用户及对应的目录
useradd -s /sbin/nologin -d /var/ftproot vuser chmod go+rx /var/ftproot
请确保/etc/vsftpd.conf中已经启用了以下选项
anonymous_enable=YES local_enable=YES write_enable=YES anon_upload_enable=YES anon_mkdir_write_enable=NO chroot_local_user=YES
修改为NO,验证不通过SSL
force_local_data_ssl=NO force_local_logins_ssl=NO
而后添加以下选项
guest_enable=YES 启用来宾用户 guest_username=vuser 来宾用户为
并确保pam_service_name选项的值如下所示
pam_service_name=vsftpd.mysql
四、启动vsftpd服务并测试
启动服务
service vsftpd start chkconfig vsftpd on 自动启动
查看端口开启情况
netstat -tnlp |grep :21
查看数据库
FTP客户端工具登录验证pam是否生效
五、配置虚拟用户具有不同的访问权限
为虚拟用户使用配置文件目录
vim /etc/vsftpd/vsftpd.conf user_config_dir=/etc/vsftpd/vusers_dir
创建所需要目录,并为虚拟用户提供配置文件
mkdir /etc/vsftpd/vusers_dir/ touch /etc/vsftpd/vusers_dir/bob /etc/vsftpd/vusers_dir/tom
配置虚拟用户的访问权限;所有虚拟用户的家目录为/var/ftproot;所有的虚拟用户映射到vuser中,而vuser属于匿名用户,因此虚拟用户的访问权限是通过匿名用户指令生效的。
bob可以上传、创建、删除
vim /etc/vsftpd/vusers_dir/bob anon_upload_enable=YES (配置文件中已经开启,这里不写也可以) anon_mkdir_write_enable=YES anon_other_write_enable=YES
tom不可以上传
vim /etc/vsftpd/vusers_dir/tom anon_upload_enable=NO
lucy可以上传
主配置文件中匿名上传已启用anon_upload_enable=YES,所以不需要做任何修改
bob测试
tom测试
lucy测试
转载于:https://blog.51cto.com/soulboy/1290981