教你如何巧妙设定匿名FTP的安全

lanlanxing

在网络上，匿名FTP是一个很常用的服务，常用于软件下载网站，软件交流网站等，为了提高匿名FTP服务开放的过程中的安全性，我们就这一问题进行一些讨论。
以下的设定方式是由过去许多网站累积的经验与建议组成。我们认为可以让有个别需求的网站拥有不同设定的选择。
设定匿名FTP
A.FTP daemon, 网站必须确定目前使用的是最新版本的FTP daemon。
B设定匿名FTP的目录, 匿名ftp的根目录(~ftp)和其子目录的拥有者不能为ftp帐号，或与ftp相同群组的帐号。这是一般常见的设定问题。
假如这些目录被ftp或与ftp相同群组的帐号所拥有，又没有做好防止写入的保护，入侵者便可能在其中增加文件或修改其它文件。现在许多网站都拥有root帐号，
如果让匿名FTP的根目录与子目录的拥有者是root，所属族群(group)为system?，如此只有root有写入的权力，这能帮助你维持FTP服务的安全???

以下是一个匿名ftp目录的设定范例：
drwxr-xr-x 7 root system 512 Mar 1 15:17 ./
drwxr-xr-x 25 root system 512 Jan 4 11:30 ../
drwxr-xr-x 2 root system 512 Dec 20 15:43 bin/
drwxr-xr-x 2 root system 512 Mar 12 16:23 etc/
drwxr-xr-x 10 root system 512 Jun 5 10:54 pub/
所有的文件和链接库，特别是那些被FTP daemon使用和那些在 ~ftp/bin 与~ftp/etc 中的文件，应该像上面范例中的目录做相同的保护。
这些文件和链接库除了不应该被ftp帐号或与ftp相同群组的帐号所拥有之外，也必须防止写入。
C.我们强烈建议网站不要使用系统中 /etc/passwd 做为~ftp/etc 目录中的密码文件或将系统中 /etc/group 做为 ~ftp/etc目录中的群组文件。
在~ftp/etc目录中放置这些文件会使得入侵者取得它们。这些文件是可自定的而且不是用来做存取控制。我们建议你在 ~ftp/etc/passwd 与 ~ftp/etc/group 使用代替的文件。
这些文件必须由root所拥有。DIR命令会使用这代替的文件来显示文件及目录的拥有者和群组名称。网站必须确定 ~/ftp/etc/passwd档中没有包含任何与系统中
/etc/passwd文件中相同的帐号名称。这些文件应该仅仅包含需要显示的FTP阶层架构中文件与目录的拥有者与所属群组名称。此外，确定密码字段是"整理"过的。
例如使用「*」来取代密码字段。
以下为cert中匿名ftp的密码文件范例
ssphwg:*:3144:20:Site Specific Policy Handbook Working Group::
cops:*:3271:20:COPS Distribution::
cert:*:9920:20:CERT::
tools:*:9921:20:CERT Tools::
ftp:*:9922:90:Anonymous FTP::
nist:*:9923:90:NIST Files::
以下为cert中匿名ftp的群组文件范例
cert:*:20:
ftp:*:90:
在你的匿名ftp提供可写入的目录, 让一个匿名ftp服务允许使用者储存文件是有风险存在的。我们强烈提醒网站不要自动建立一个上传目录，
除非已考虑过相关的风险。CERT/CC的事件回报成员接获许多使用上传目录造成非法传输版权软件或交换帐号与密码信息的事件。也接获恶意地将系统文件灌报造成denialof service问题。


--------------------------------------------
二，服务器型号信息介绍 香港服务器租用--香港新世界机房(NWT)是香港超大型互联网数据中心之一，“新世界”是目前香港到大陆速度最快、最稳定线路之一。新

世界线路是唯一华南华北一样快速的线路，是100%的“双线”，不存在其他香港线路网通访问比电信慢的问题。 香港服务器租用价格--处理器/频

率(CPU) 内存 硬盘 带宽/月流量 IP数 月付价格 Atom 230 1.6Ghz (超线程) 512MB 80GB 2M独享国际带宽 1 820元/月 Atom 230 1.6Ghz (超线程) 1GB 80GB 2M独享国际带宽 1 850元/月 Atom 230

1.6Ghz (超线程) 2GB 80GB 2M独享国际带宽 1 900元/月 奔腾双核 E2160 1.8Ghz 1GB 80GB 2M独享国际带宽 1 980元/月 奔腾双核 E5200 2.5Ghz 1GB 80GB 2M独享国际带宽 1 1100元/月 酷睿双核

E6550 2.33Ghz 2GB 80GB 2M独享国际带宽 1 1300元/月 酷睿四核 Q6600 2.4Ghz 2GB 80GB 2M独享国际带宽 1 1680元/月 双核至强 E3110 3.0Ghz 2GB 160GB 2M独享国际带宽 1 1860元/月
---------------------------------------------------------------------
SK芝加哥数据中心是海外防DDOS-gongji能力最强(10GB以上)的机房，带宽大，IP多；游戏发布站等客户的一致选择。不足之处：本机房上架交付需3－5天，服务器稳定性较好，机房服务支持响应速度有

时偏慢，下单前请先了解、确认；因不防CC/SYN等gongji类型，强烈推荐客户额外购买并安装专用防火墙，如金盾，本司有代售，详情请咨询销售专员。 美国服务

器租用--SK芝加哥防gongji数据中心服务器租用计划 型　号 处理器/频率(CPU) 内存(RAM) 硬盘(HDD) 带宽 IP数 月付价格 SK-01 Atom 1.6Ghz 双核四线程 2GB 500GB 100M带宽 不限流量 61

1498元/月 SK-02 AMD 2400+ 1.7Ghz 2GB 200GB 100M带宽 不限流量 61 1698元/月 SK-03 酷睿双核 E5200 2.5Ghz 2GB 300GB 100M带宽 不限流量 61 1998元/月 SK-04 酷睿四核 Q8300 2.5Ghz 4GB

500GB 100M带宽 不限流量 61 2198元/月 SK-05 酷睿四核 Q8300 2.5Ghz 8GB 2X500GB 100M带宽 不限流量 61 2898元/月 SK-06 酷睿四核 Q9400 3.0Ghz 8GB 2X1500GB 100M带宽 不限流量 61 2998元/

月 SK-07 酷睿四核 Q8300 2.5Ghz 8GB 2X500GB 100M带宽 不限流量 61 2998元/月 SK-08 四核至强 E5410 2.33Ghz 16GB 2X500GB 100M带宽 不限流量 61 4198元/月 USA-IDC

美国服务器租用商五洲数据提供美国服务器租用国外服务器租用业务
-------------------------------------------------
FTP服务器如何实现安全性
作为Internet上的FTP服务器，系统的安全性是非常重要的，这是建立FTP服务器者所考虑的第一个问题。其安全性主要包括以下几个方面 ：
一、 未经授权的用户禁止在服务器上进行FTP操作。
二、 FTP用户不能读取未经系统所有者允许的文件或目录。
三、 未经允许，FTP用户不能在服务器上建立文件或目录。
四、 FTP用户不能删除服务器上的文件或目录。
FTP服务器采取了一些验明用户身份的办法来解决上述第一个问题，主要包括以下几个措施：
FTP用户所使用的用户帐号必须在／etc/passwd文件中有所记载（匿名FTP用户除外），并且他的口令不能为空。
在没有正确输入用户帐号和口 令的情况下，服务器拒绝访问。
FTP守护进程FTPd还使用一个/etc/FTPusers文件，凡在这个文件中出现的用户都将被服务器拒绝提供FTP服务。
服务器管理可以建立"不受 欢迎"的用户目录，拒绝这些用户访问。 只有在服务器的／etc/passwd文件中存在名为"FTP"的用户时，服务器才可以接受匿名FTP连接，匿名FTP用户可以使

用"anonymous"或"FTP" 作为用户名，
自己的Internet电子邮件地址作为保密字。
为了解决上述安全性的另外三个问题，应该对FTP主目录下的文件属性进行管理，建议 对每个目录及其文件采取以下一些措施：
FTP主目录：将这个目录的所有者设为"FTP"，并且将属性设为所有的用户都不可写，防止不怀好意的用户删改文件。
FTP/bin目录：该目录主要放置一些系统文件，应将这个目录的所有者设为"root"（即超级用户），并且将属性设为所有的用户都不可写。
为保证合法用户可显示文件，应将目录中的ls文件属性设为可执行。
FTP/etc目录：将这个目录的所有者设为"root"，并且将属性设为所有的用户都不可写。将目录下的group文件和passwd文件的属性设为所 有用户只读属性，
并用编辑器将passwd文件中用户加过密的口令删掉。 FTP/pub目录：将这个目录的所有者置为"FTP"，并且将它的属性设为所有用户均可读、写、执行。 这样经过设置，既保证了系统文件不被删改，
又保证了FTP合法用户的正常访问。



---------------------------------------------------------
四，运营商信息 USA-IDC美国服务器租用商五洲数据提供国外服务器租用美国服务器租用业务 USA-IDC海外数据中

心 ? 2005～2010 深圳市网格时代科技有限公司 保留所有权利. http://www.usa-idc.com http://www.755800.com