FTP協(xié)議的分析和擴(kuò)展
我要評(píng)論| [R] LIST -al |
| [R] Connected. Negotiating SSL/TLS session.. |
| [R] 150 Opening ASCII data connection for ls / using SSL/TLS. |
| [R] SSL/TLS negotiation successful... |
| [R] TLSv1/SSLv3 encrypted session using cipher AES256-SHA (256 bits) |
| [R] List Complete: 181 bytes in 0.17 seconds (1.04 KBps) |
\======================================================================/
Explicit SSL模式下ftp client <-- server的通訊數(shù)據(jù)，可以看到AUTH SSL之后的指令全部都
已經(jīng)加密，無法看到。對(duì)應(yīng)2.3節(jié)中的傳統(tǒng)通訊過程，這確保了傳輸過程中數(shù)據(jù)無法被竊聽到。
在Implicit SSL模式中，從初始化連接開始的數(shù)據(jù)將全部加密，無法分析，因此此處不摘錄。
/======================================================================\
21:34:22.095241 IP 192.168.0.1.2279 > 192.168.0.3.999: S 1727744887:1727744887(0) win 65535 <mss 1460,nop,nop,sackOK> (DF)
0x0000 4500 0030 e6b7 4000 8006 92bb c0a8 0001 E..0..@.........
0x0010 c0a8 0003 08e7 03e7 66fb 4b77 0000 0000 ........f.Kw....
0x0020 7002 ffff 428a 0000 0204 05b4 0101 0402 p...B...........
21:34:22.095576 IP 192.168.0.3.999 > 192.168.0.1.2279: S 3598555607:3598555607(0) ack 1727744888 win 65535 <mss 1460,nop,nop,sackOK> (DF)
0x0000 4500 0030 8d9e 4000 8006 ebd4 c0a8 0003 E..0..@.........
0x0010 c0a8 0001 03e7 08e7 d67d 99d7 66fb 4b78 .........}..f.Kx
0x0020 7012 ffff d223 0000 0204 05b4 0101 0402 p....#..........
21:34:22.095639 IP 192.168.0.1.2279 > 192.168.0.3.999: . ack 1 win 65535 (DF)
0x0000 4500 0028 e6b8 4000 8006 92c2 c0a8 0001 E..(..@.........
0x0010 c0a8 0003 08e7 03e7 66fb 4b78 d67d 99d8 ........f.Kx.}..
0x0020 5010 ffff fee7 0000 P.......
21:34:22.108439 IP 192.168.0.3.999 > 192.168.0.1.2279: P 1:115(114) ack 1 win 65535 (DF)
0x0000 4500 009a 8da4 4000 8006 eb64 c0a8 0003 E.....@....d....
0x0010 c0a8 0001 03e7 08e7 d67d 99d8 66fb 4b78 .........}..f.Kx
0x0020 5018 ffff 5cb5 0000 3232 302d 5468 6973 P...\...220-This
0x0030 2073 6572 7665 7220 6973 2066 6f72 2070 .server.is.for.p
0x0040 7269 7661 7465 2075 7365 206f 6e6c 790d rivate.use.only.
0x0050 0a32 .2
21:34:22.257722 IP 192.168.0.1.2279 > 192.168.0.3.999: . ack 115 win 65421 (DF)
0x0000 4500 0028 e6c1 4000 8006 92b9 c0a8 0001 E..(..@.........
0x0010 c0a8 0003 08e7 03e7 66fb 4b78 d67d 9a4a ........f.Kx.}.J
0x0020 5010 ff8d fee7 0000 P.......
21:34:22.257941 IP 192.168.0.3.999 > 192.168.0.1.2279: P 115:154(39) ack 1 win 65535 (DF)
0x0000 4500 004f 8da7 4000 8006 ebac c0a8 0003 E..O..@.........
0x0010 c0a8 0001 03e7 08e7 d67d 9a4a 66fb 4b78 .........}.Jf.Kx
0x0020 5018 ffff 96b3 0000 3232 3020 506c 6561 P.......220.Plea
0x0030 7365 2065 6e74 6572 2079 6f75 7220 6c6f se.enter.your.lo
0x0040 6769 6e20 6e61 6d65 206e 6f77 2e0d 0a gin.name.now...
21:34:22.264587 IP 192.168.0.1.2279 > 192.168.0.3.999: P 1:11(10) ack 154 win 65382 (DF)
0x0000 4500 0032 e6c2 4000 8006 92ae c0a8 0001 E..2..@.........
0x0010 c0a8 0003 08e7 03e7 66fb 4b78 d67d 9a71 ........f.Kx.}.q
0x0020 5018 ff66 e88e 0000 4155 5448 2053 534c P..f....AUTH.SSL
0x0030 0d0a ..
21:34:22.371140 IP 192.168.0.3.999 > 192.168.0.1.2279: P 154:205(51) ack 11 win 65525 (DF)
0x0000 4500 005b 8dac 4000 8006 eb9b c0a8 0003 E..[..@.........
0x0010 c0a8 0001 03e7 08e7 d67d 9a71 66fb 4b82 .........}.qf.K.
0x0020 5018 fff5 9a03 0000 3233 3420 4155 5448 P.......234.AUTH
0x0030 2043 6f6d 6d61 6e64 204f 4b2e 2049 6e69 .Command.OK..Ini
0x0040 7469 616c 697a 696e 6720 5353 4c20 636f tializing.SSL.co
0x0050 6e6e nn
21:34:22.374945 IP 192.168.0.1.2279 > 192.168.0.3.999: P 11:141(130) ack 205 win 65331 (DF)
0x0000 4500 00aa e6c6 4000 8006 9232 c0a8 0001 E.....@....2....
0x0010 c0a8 0003 08e7 03e7 66fb 4b82 d67d 9aa4 ........f.K..}..
0x0020 5018 ff33 f99a 0000 8080 0103 0100 5700 P..3..........W.
0x0030 0000 2000 0016 0000 1300 000a 0700 c000 ................
0x0040 0066 0000 0700 0005 0000 0405 0080 0300 .f..............
0x0050 8001 ..
21:34:22.375857 IP 192.168.0.3.999 > 192.168.0.1.2279: P 205:1071(866) ack 141 win 65395 (DF)
0x0000 4500 038a 8dad 4000 8006 e86b c0a8 0003 E.....@....k....
0x0010 c0a8 0001 03e7 08e7 d67d 9aa4 66fb 4c04 .........}..f.L.
0x0020 5018 ff73 e356 0000 1603 0100 4a02 0000 P..s.V......J...
0x0030 4603 0140 8283 7da1 8821 775e 7765 a9ee F..@..}..!w^we..
0x0040 18ca e0ab 1b17 461e bf71 515f 6837 5c1a ......F..qQ_h7\.
\======================================================================/
>>4.0<< 總結(jié)
FTP的替代應(yīng)用
如今，如果考慮到其他一些安全的文件傳輸選擇，可能看起來沒有理由再使用FTP了，如SCP或
者SFTP，與FTP應(yīng)用相似但運(yùn)用SSH（注：Secure
Shell）來進(jìn)行驗(yàn)證和加密，如果你使用一臺(tái)基于UNIX的服務(wù)器，你可以在命令方式下調(diào)用SCP
或者SFTP，如果你想獲得更多的關(guān)于SSH的信息，參考如下URL
http://www.openssh.com
如果你只是用FTP來更新你的Web頁面，有別的替代應(yīng)用，稱為WebDAV的新的協(xié)議，WebDAV
是HTTP的擴(kuò)展，它允許多個(gè)用戶共同編輯和維護(hù)遠(yuǎn)程WEB服務(wù)器上的文件，如果想了解WebDAV
的詳細(xì)信息，參考http://www.cis.ohio-state.edu/cgi-bin/rfc/rfc2518.html
FTP是在70年代設(shè)計(jì)出來的，那個(gè)時(shí)候互聯(lián)網(wǎng)還是一個(gè)封閉的網(wǎng)絡(luò)，網(wǎng)絡(luò)安全不是一個(gè)大的問
題。當(dāng)FTP在使用NAT網(wǎng)關(guān)、防火墻、CISCO訪問列表的現(xiàn)代網(wǎng)絡(luò)環(huán)境中運(yùn)用的時(shí)候，不管你使
用Port模式還是Passive模式，都可能產(chǎn)生一些問題，F(xiàn)TP在公網(wǎng)上作為一些關(guān)鍵應(yīng)用的文件傳
輸手段可能就是一個(gè)錯(cuò)誤；當(dāng)然近年很多人為了是FTP協(xié)議更加安全進(jìn)行了不懈的努力，這些
努力卻使對(duì)于FTP的排錯(cuò)更加復(fù)雜，而且都沒有解決FTP最大的問題，即明文傳輸用戶名和口令
。有許多應(yīng)用可以替代FTP，如SCP，SFTP或者WebDAV。
以上為原文總結(jié)，本文下半部分補(bǔ)充了ftp自身的安全擴(kuò)展，使用SSL/TLS進(jìn)行ftp傳輸過程的
驗(yàn)證和加密，良好的實(shí)現(xiàn)了與傳統(tǒng)ftp協(xié)議的兼容性和優(yōu)良的數(shù)據(jù)保密性與完整性。在無法使用
替代服務(wù)的環(huán)境下，是一種非常好的ftp服務(wù)改進(jìn)計(jì)劃。
略有不足的是，由于歷史兼容性因素，很多ftp client和server對(duì)ssl ftp擴(kuò)展的實(shí)現(xiàn)都存在
著各種缺陷，例如加密算法不足，指令順序有錯(cuò)誤等等，這可能會(huì)引起一些安全保護(hù)級(jí)別的削弱。
1, 由于沒有良好的PKI體系支撐，很多ftp server的證書合法性無法得到驗(yàn)證，可能存在無法
信任或被偽造的可能；
2, 由于Explicit SSL模式的歷史兼容問題，AUTH指令和USER/PASS指令序列的優(yōu)先級(jí)沒有明確
約定，可能存在指令序列錯(cuò)誤造成信息泄露的問題；
3, 由于SSL自身體系的一些問題，可能受到證書泄露，偽造，或SSL中間人攻擊;
4, 在不完整的CA或PKI體系下，只能夠采用自簽名證書，這時(shí)SSL ftp得到的安全性提高僅僅
是通訊過程加密，并無法完成身份認(rèn)證的功能。
當(dāng)然，排除無法實(shí)現(xiàn)身份認(rèn)證功能和略微的實(shí)現(xiàn)缺陷，ssl ftp仍然是一種優(yōu)秀的ftp服務(wù)安全加強(qiáng)
措施。
>>5.0<< 參考
ftp協(xié)議簇 http://www.ietf.org/rfc/rfc959.txt http://www.ietf.org/rfc/rfc1579.txt
ftp安全擴(kuò)展 http://www.ietf.org/rfc/rfc2228.txt http://www.ietf.org/rfc/rfc2246.txt
ftp安全擴(kuò)展，SSL接口草案: http://www.ietf.org/internet-drafts/draft-murray-auth-ftp-ssl-13.txt
ssl/tls協(xié)議規(guī)范:
相關(guān)文章
微軟新版Outlook將推出郵件分類快捷鍵及多項(xiàng)優(yōu)化:5月開始部署
微軟計(jì)劃在新版Outlook for Windows中引入郵件分類快捷功能，用戶可通過預(yù)設(shè)快捷鍵快速對(duì)郵件進(jìn)行分類，從而大幅提升工作效率并優(yōu)化管理流程2025-04-21rsync The --password-file option may only be used when accessing a
客戶端上傳文件執(zhí)行命令出錯(cuò)，提醒The --password-file option may only be used when accessing an rsync daemon.查找資料也很少這樣的說法，最后發(fā)現(xiàn)是冒號(hào)的問題2025-02-26
郵箱密碼忘記了怎么找回來? 網(wǎng)易郵箱密碼找回流程
郵箱在使用的時(shí)候，由于各種原因，有時(shí)候我們可能會(huì)遇到忘記密碼、賬號(hào)被盜等問題，這時(shí)候就需要進(jìn)行163郵箱找回操作，本文將為大家介紹如何進(jìn)行163郵箱找回操作2025-02-01電子郵件注冊(cè)教程! 郵箱號(hào)怎么注冊(cè)看這篇就夠了
電子郵件成為了我們?nèi)粘Ｉ詈凸ぷ髦胁豢苫蛉钡囊徊糠?，無論是注冊(cè)社交媒體、購物平臺(tái)，還是與他人溝通，一個(gè)穩(wěn)定的郵箱賬號(hào)都變得至關(guān)重要，本文將為您提供詳細(xì)的電子郵件2025-02-01
wps調(diào)用Outlook 批量發(fā)送電子郵件時(shí)持續(xù)彈出警告框怎么辦?
如何解決程序調(diào)用outlook時(shí)一直警告，wps調(diào)用outlook發(fā)送郵件時(shí)，發(fā)送的時(shí)候，會(huì)一直出現(xiàn)警告，需要你一個(gè)個(gè)點(diǎn)確定或拒絕，本文介紹如何解決這個(gè)警告2025-02-01
QQ郵箱文件怎么發(fā)送微信? 電腦qq郵箱中轉(zhuǎn)站中文件分享到微信的方法
在使用郵箱軟件的時(shí)候，有的用戶想要通過QQ郵箱文件，QQ郵箱中存在這種功能，但是很多小伙伴不知道到底要如何操作，下面小編就給大家?guī)鞶Q郵箱文件發(fā)送微信教程，感興趣的2024-09-29
微信電腦版怎么獨(dú)立窗口中打開訂閱號(hào)? 訂閱號(hào)獨(dú)立窗口顯示的教程
微信電腦版看訂閱號(hào)的時(shí)候，想要獨(dú)立窗口顯示訂閱號(hào)，該怎么操作呢？下面我們就來看看詳細(xì)的教程2024-09-29Outlook在windows系統(tǒng)中有哪些快捷鍵? Outlook的鍵盤快捷方式大全
Outlook可以用它來收發(fā)電子郵件、管理聯(lián)系人信息、記日記、安排日程、分配任務(wù)，新版Outlook for Windows帶來了許多新功能，今天我們就來看看Outlook快捷鍵匯總2024-09-13微信怎么調(diào)默認(rèn)瀏覽器? 微信設(shè)置默認(rèn)瀏覽器打開網(wǎng)頁鏈接的教程
微信怎么調(diào)默認(rèn)瀏覽器？只需簡(jiǎn)單設(shè)置，在微信就可以使用默認(rèn)瀏覽器打開網(wǎng)站，該怎么設(shè)置呢？詳細(xì)請(qǐng)看下文介紹2024-08-14
GameViewer怎么刪除設(shè)備 GameViewer刪除設(shè)備的步驟
GameViewer怎么刪除設(shè)備？GameViewer 是一款專為游戲玩家設(shè)計(jì)的遠(yuǎn)程控制助手，下文中為大家?guī)砹薌ameViewer刪除設(shè)備步驟，需要的朋友快來看看吧2024-06-17
