应用分析 － FTP文件传输应用分析

一、 FTP简介

1. 文件传输

文件传输服务是网络互联环境所必需的一种服务，当前网络中文件传输最主要的传输方式是使用FTP协议。

FTP，全称File Transfer Protocol，中文名为文件传输协议，它可以在网络中传输电子文档、图片、声音、影视、程序及程序等多种类型的文件。如果用户需要将文件从自己的计算机上发送到另一台计算机上，可使用FTP上传（upload）或（put）操作，而更多种的情况是用户使用FTP下载（download）或获取（get）操作从FTP服务器上下载文件。

2. FTP工作原理

一个完整的FTP文件传输需要建立两种类型的连接，一种为文件传输命令，称为控制连接，另一种实现真正的文件传输，称为数据连接。

1) 控制连接

        客户端希望与FTP服务器建立上传下载的数据传输时，它首先向服务器的TCP 21端口发起一个建立连接的请求，FTP服务器接受来自客户端的请求，完成连接的建立过程，这样的连接就称为FTP控制连接。

2) 数据连接

        FTP控制连接建立之后，即可开始传输文件，传输文件的连接称FTP数据连接。FTP数据连接就是FTP传输数据的过程，它有两种传输模式：主动传输模式（PORT）和被动传输模式（PASSIVE，简称PASV）。主动传输模式下，FTP服务器使用20端口与客户端的暂时端口进行连接并传输数据，客户端只是处于接收状态。被动传输模式下，FTP服务器打开一个暂态端口等待客户端对其进行连接，并传输数据，服务器不参与数据的主动传输，只是被动接受。

二、 具体分析FTP传输

1. 分析FTP传输的具体流程

对FTP传输进行分析，首先需要知道的是这个FTP传输使用的是主动模式还是被动模式，因为这两种模式的实现方法不同，两种模式下的分析存在较大的差异。下面分别对两种模式下的FTP传输进行分析。

1) 主动传输模式

我们使用科来网络分析系统捕获并分析一个主动模式下的FTP数据传输。客户端主机名“WWW-D999420E316”，地址为“192.168.1.189”，FTP服务器地址是192.168.1.188，客户端上使用的FTP客户端软件为SecureFX，传输模式采用主动（PORT）模式。

在客户端主机上打开科来网络分析系统。为避免数据干扰，设定一个过滤器，只捕获本机的数据通讯。 

 在FTP客户端软件SecureFX上，建立一个FTP会话连接到FTP服务器192.168.1.188，并上传一个名为t1.cap的文件到服务器，从服务器上下载一个名为Readme.txt的文件到客户端。完成操作后停止科来网络分析系统的捕获。

 

图1所示为科来网络分析系统对上述操作进行捕获后的TCP会话视图。

                            （图1　FTP主动传输模式下的连接及数据流重组信息）

 从图1中可知，上述的操作在客户端和服务器之间建立了FTP控制连接和FTP数据连接。详细查看FTP控制连接对应的数据流重组信息，我们可以知道上述操作的原始步骤（即FTP主动传输模式下的步骤）如下：

1.  客户端（这里是WWW-D999420E316）使用暂时端口作为源端口（这里是1492）向FTP服务器（这里是192.168.1.188）的21端口发起TCP SYN的数据包，请求建立TCP连接；FTP服务器发送SYN/ACK（同步确认）包给客户端，源端口为21，目标端口为客户端上使用的暂时端口1492；客户端向FTP服务器发送一个ACK（确认）包，TCP三次握手成功建立；
2. FTP服务器需要对服务器的身份进行验证，要求输入用户名和密码，此处用户名是anonymous，密码是Administrator@；
3. 客户端使用SYST命令获取FTP服务器的操作系统，此处是Windows_NT，即Windows 2003；
4. 客户端使用PWD命令获取当前目录，当前为“/”，即当前处于FTP服务器的根目录；
5.  ......
6. 客户端使用PORT命令向FTP服务器发送一个上传或下载文件的请求，这个命令包含自己的地址（这里是192.168.1.189）和一个暂时端口（这里是5,213，目标端口的计算方法是，5*256+213=1493），FTP服务器在收到请求后，以20作为源端口，1493作为目标端口与客户端建立TCP连接；
7.  客户端使用LIST命令获取FTP服务器当前目录下的文件列表；
8. 客户端再次使用PWD或CWD命令获取当前目录，当前为“/”；
9. 客户端再次使用PORT命令向FTP服务器发起上传或下载文件的请求，并同时给出暂时端口以用于建立TCP连接；
10. 客户端使用TYPE命令设置文件的传输类型，这里的传输类型为I。一般情况下传输类型有两种，默认为ASCII，简称A，另一种是二进制文件，简称I；
11. 客户端使用STOR命令上传文件到FTP服务器，这里上传的文件是t1.cap；
12. FTP服务器使用226应答码告诉客户端t1.cap文件的传输成功完成；
13. 客户端使用PWD或CWD命令再次获取当FTP服务器的当前目录，即刷新当前目录；
14. 客户端使用TYPE命令将FTP服务器的传输方式重新设置为默认的ASCII方式；
15. 客户端再次使用PORT命令向FTP服务器发起上传或下载文件的请求，并同时给出暂时端口以用于建立TCP连接；
16. 客户端使用RETR命令从FTP服务器下载文件到本地，这里下载的文件是Readme.txt；
17. FTP服务器使用226应答码告诉客户端Readme.txt的传输成功完成；
18. 数据传输完成以后，客户端向FTP服务器发送一个TCP FIN的数据包通知FTP服务器结束连接。这个FIN数据包需要FTP服务器以TCP ACK数据包确认，同时FTP服务器发送一个TCP FIN的数据包给客户端，这个FIN数据包同样需要客户端以TCP ACK数据包确认，双方成功确认后，关闭FTP控制连接。

图1中FTP控制连接，客户端使用暂时端口与FTP服务器的21端口通讯。其余数据连接，客户端使用暂时端口与FTP服务器的20端口通讯，其作用分别是：LIST命令列目录、PORT命令请求传输文件、STOR上传文件t1.cap、PORT命令请求传输文件、RETR命令下载文件Readme.txt、关闭连接。

（注意：客户端在FTP控制连接上发送的不同命令，将打开和关闭另外的FTP数据连接。上传下载的每一个文件，都分别打开一个FTP数据连接来完成，当所有数据连接完成并关闭后，控制连接才会按照上面的方法进行关闭。）

图2所示的是在进行主动模式的FTP数据传输后，科来网络分析系统的日志视图记录下的FTP传输日志信息。从中可以知道，当前FTP数据传输操作的客户端、FTP服务器端、使用的账号、操作的类型（上传或下载）、传输的文件及路径、传输模式（主动或被动）等信息。要查看日志的所有信息，请在图2所示视图的列头（序号、客户端IP……）中，单击鼠标右键，在弹出的快捷菜单中，单击“More …”，在弹出的“列表选项”对话框中，选中所有的项，单击确定保存即可。

                                            （图2　FTP主动传输模式下的日志信息）

 2) 被动传输模式

我们使用科来网络分析系统捕获并分析一个被动模式下的FTP数据传输。客户端主机名为“WWW-D999420E316”，FTP服务器地址是192.168.1.188，客户端上使用的FTP客户端软件为SecureFX ，传输模式采用被动（PASSIVE）模式。

 在客户端主机上打开科来网络分析系统。为避免数据干扰，设定一个过滤器，只捕获本机的数据通讯。

在FTP客户端软件SecureFX上，建立一个FTP会话连接到FTP服务器192.168.1.188，并上传一个名为t1.cap的文件到服务器，从服务器上下载一个名为Readme.txt的文件到客户端。完成操作后停止科来网络分析系统的捕获。

               图3所示为科来网络分析系统对上述操作进行捕获后的TCP会话视图。
                             （图3　FTP被动传输模式下的连接及数据流重组信息）

 从图3中可知，上述的操作在客户端和服务器之间建立了FTP控制连接和TCP连接。详细查看FTP控制连接对应的数据流重组信息，我们可以知道，上述操作的原始操作步骤（即FTP被动模式下的操作步骤）如下：

1.  客户端（这里是WWW-D999420E316）使用暂时端口作为源端口（这里是1785）向FTP服务器（这里是192.168.1.188）的21端口发起TCP SYN的数据包，请求建立TCP连接；FTP服务器发送SYN ACK（同步确认）包给客户端，源端口为21，目标端口为客户端上使用的暂时端口1785；
2. 客户端向FTP服务器发送一个ACK（确认）包，TCP三次握手成功建立；FTP服务器需要对服务器的身份进行验证，要求输入用户名和密码，此处用户名是anonymous，密码是Administrator@；
3. 客户端使用SYST命令获取FTP服务器的操作系统，此处是Windows_NT，即Windows 2003；
4. 客户端使用PWD命令获取当前目录，当前为“/”，即当前处于FTP服务器的根目录；
5. 客户端使用PASV命令告诉FTP服务器，当前客户端使用的是被动传输模式；
6. FTP服务器对客户端的PASV命令进行响应，响应内容包括FTP服务器的地址和一个暂时端口，这里是192.168.1.188,6,42，用6,42计算出目标端口是6*256+42=1578；
7. 客户端使用LIST命令获取FTP服务器当前目录下的文件列表；
8. 客户端再次使用PWD或CWD命令获取当FTP服务器的当前目录，即刷新当前目录；
9. 客户端再次使用PASV命令向FTP服务器发起上传或下载文件的请求，FTP服务器接受请求，并返回地址和暂时端口以用于建立连接；
10. 客户端使用TYPE命令设置文件的传输类型，这里的传输类型为I；
11. 客户端使用STOR命令上传文件到FTP服务器，这里上传的文件是t1.cap；
12. FTP服务器使用226应答码告诉客户端t1.cap文件的传输成功完成；
13. 客户端使用PWD或CWD命令再次获取当FTP服务器的当前目录，即刷新当前目录；
14. 客户端使用TYPE命令将FTP服务器的传输方式重新设置为默认的ASCII方式；
15. 客户端再次使用PASV命令向FTP服务器发起上传或下载文件的请求，FTP服务器接受请求，并返回地址和暂时端口以用于建立连接，方法与第9步相同；
16. 客户端使用RETR命令从FTP服务器下载文件到本地，这里下载的文件是Readme.txt；FTP服务器使用226应答码告诉客户端Readme.txt文件的传输成功完成；
17. 数据传输完成以后，客户端向FTP服务器发送一个TCP FIN的数据包通知FTP服务器结束连接。这个FIN数据包需要FTP服务器以TCP ACK数据包确认，同时FTP服务器发送一个TCP FIN的数据包给客户端，这个FIN数据包同样需要客户端以TCP ACK数据包确认，双方成功确认后，关闭FTP控制连接。

图3中有FTP控制连接，客户端使用暂时端口与FTP服务器的21端口通讯。其余是FTP数据连接，客户端使用暂时端口与FTP服务器暂时端口通讯，其作用分别是：LIST命令列目录、PASV命令请求传输文件、STOR上传文件t1.cap、PASV命令请求传输文件、RETR命令下载文件Readme.txt、关闭连接。

（注意：客户端在FTP控制连接上发送的不同命令，将打开和关闭另外的FTP数据连接。上传下载的每一个文件，都分别打开一个FTP数据连接来完成，当所有数据连接完成并关闭后，控制连接才会按照上面的方法进行关闭。）

注意图1和图3的比较，图1为主动传输模式，图3为被动传输模式，图1中捕获的连接的协议显示有FTP Data，而图3中，显示的是TCP，原因是FTP在使用被动模式进行数据传输时，其数据连接的端口是不固定的，FTP服务器并不使用主动模式下的20端口进行通讯，而在连接的两端都使用随机的暂时端口，因为暂时端口为随机的，所以就显示为TCP连接。

图4所示的是在进行被动模式的FTP数据传输后，科来网络分析系统的日志视图记录下的FTP传输日志信息。从中可以知道，当前FTP数据传输操作的客户端、FTP服务器端、使用的账号、操作的类型（上传或下载）、传输的文件及路径、传输模式（主动或被动）等信息。要查看日志的所有信息，请在图2所示视图的列头（序号、客户端IP……）中，单击鼠标右键，在弹出的快捷菜单中，单击“More …”，在弹出的“列表选项”对话框中，选中所有的项，单击确定保存即可。

                                           （图4　FTP被动传输模式下的日志信息）

 2. FTP命令

 从上面的分析及截图中我们可以知道，FTP传输过程中所有的操作都是通过在客户端发送命令完成的，FTP常见的命令如表1所示。

3. FTP应答

从上面的分析及截图中我们可以知道，对客户端发出的所有命令，FTP服务器都会对其做出应答，FTP常见的应答代码如表2所示。

 三、 总结

以上简单介绍了FTP协议，并使用科来网络分析分析系统跟踪分析了主动模式和被动模式下的FTP数据传输。据此，用户在遇到FTP传输的故障时，即可结合上面的分析，使用网络检测分析软件（这里是科来网络分析系统）对FTP数据传输进行跟踪分析，以完成对此类故障的快速排查。