FTP服务中允许上传权限存在的问题

lanlanxing

很多电影网站，论坛或其它机构为了方便会员或成员上传电影或者交流文件，都允许用户的上传权限，因为只有允许这个权限，用户才可以上传文件，
但这个权限在允许断点再传的ftp服务器中，可以导致很大的问题出来。
允许断点再传的ftp服务器程序，都必须支持一个“Rest”的命令，如果这个命令是用在上传命令前（send命令）， 是告诉ftp服务器我要上传的文件
会是从ftp服务器中存在的那个文件的什么位置中开始写。
例子：
假设ftp服务器中存在一个文件Readme.txt，文件大小为1000 bytes，连接上这个ftp服务器（假设我有写权限，ftp服务器是支持断点再传的），
我本地中也有一个叫Readme.txt的文件，文件大小为 500 bytes。好了，我开始做坏事。
1、连接上这个ftp服务器（用系统自带的 ftp：//ftp.exe/，在内网的可能无法使用，因为 ftp：//ftp.exe/用的是port模式）
2、dir（查看Readme.txt大小，确定了是1000 bytes）
3、quote rest 1000（告诉ftp服务器我将要传送的文件是从文件位置1000开始）
4、send Readme.txt
5、dir（再次查看Readme.txt大小，现在Readme。txt变成1500 bytes了）
为什么Readme.txt会变大了?很简单，因为我本地的那个Readme.txt的500字节上传成功，并写入到ftp服务器中存在的那个1000 bytes的Readme.txt文件中了。
问题是出在第二条命令，如果没有第二条命令，我的第4个命令（Send Readme.txt），就会得到一个Permission Deny的错误，第二条命令是让ftp服务器信任我们
将要进行一个断点再传的操作，如果没有第二条命令，ftp服务器将以为我们进行的是一个复盖原文件的操作（复盖原文件操作需要另外的权限才可以进行）。
说到这里，大家应该明白了主题的意思了吧，通过很简单的操作，任何具有写权限的用户，都可以改动其它用户上传的文件，单是这一点，就存在很大的安全漏洞了。
如果上传的是重要文件，随意的修改可以令文件完全破坏了;如果是可执行文件或一些zip或rar文件，会不会有些熟悉各种文件结构的天才疯子，
将一些恶意代码也加到那些文件，令执行者系统受到破坏或者执行了他们的后门代码或其它，由于本身对于这些文件结构并不熟悉，我只说这是一个未知之数，
但在电脑的世界中，很多不可能的事最后都被创造成可能，所以我无法下定论。但单是能破坏到文件这一点，已是很具破坏性了，想想一个500M的影视文件，
被人多加了字节进去的话，估计是无法再被观看的了，播放这些文件的程序一般都会说不是合法的影视文件，无法播放等等。至于zip，rar等文件，
winzip或 winrar肯定会说压缩文件已遭到破坏，crc检验码不对等等的错误。
这个问题只是在允许断点再传的FTP服务中存在，但现在90%的FTP服务程序都是允许断点再传的，所以这问题在普遍的FTP服务器都会存在。
防范方法：
如果一定需要给用户上传权限的话，最好的防范方法是每个用户都给他建立一个目录，将那个用户的权限完全锁在这个目录内，
那么用户就没有权限可以查看其它用户的目录，也就是说无法造成以上所说的破坏。
以上所说的在Serv-U V4.0中测试过，测试平台是Win 2K Server。如果其它ftp服务程序不存在这种问题，那不在此文章讨论范围内。
现在windows系统中架设ftp服务，用得最多最流行的还是Serv-U，所以管理员们要多留心了。这文章并不是要教人做坏事，如果你用这种方法去破坏ftp服务器的文件，唯一要负责任的人是你。
引用一句古龙小说中的话：“刀本身并没有错，错的是拿它的手”。


--------------------------------------------------------------------------------------------------
服务器机房信息介绍
香港服务器租用 各大机房信息
九仓电讯机房成立于1995年，最大的香港固网电信公司之一，拥有着稳定与先进的海底电缆与全球各基础线路商高速联接。
美国服务器租用香港服务器租用 - 香港九仓电讯线路租用介绍
处理器/频率(CPU) 内存 硬盘 带宽/月流量 IP数 月付价格  
Atom 230 1.6Ghz (超线程)  1GB  80GB  2M独享国际带宽  1  800元/月  
奔腾双核 E2160 1.8Ghz 1GB  80GB  2M独享国际带宽  1  900元/月  
奔腾双核 E5200 2.5Ghz 2GB  160GB  2M独享国际带宽  1  1100元/月  
四核至强 X3220 2.4Ghz 4GB  160GB  2M独享国际带宽  1  2100元/月  
美国服务器租用 - 香港和记电讯线路-租用介绍
处理器/频率(CPU) 内存 硬盘 带宽/月流量 IP数 月付价格  
Atom 230 1.6Ghz (超线程)  1GB  80GB  2M独享国际带宽  1  800元/月  
奔腾双核 E2160 1.8Ghz 1GB  80GB  2M独享国际带宽  1  900元/月  
奔腾双核 E5200 2.5Ghz 2GB  160GB  2M独享国际带宽  1  1100元/月  
四核至强 X3220 2.4Ghz 4GB  160GB  2M独享国际带宽  1  2100元/月  
香港服务器租用 - 香港NTT/HKNET线路 租用介绍
NTT机房是香港最大型最稳定的数据中心，自从2000年收购HKNET旗下起，
NTT在香港电讯服务上即占据领先地位。NTT/HKNET是目前香港到中国大陆速度最快、最稳定的线路之一。
处理器/频率(CPU) 内存 硬盘 带宽/月流量 IP数 月付价格  
酷睿双核 E7400 2.80Ghz 2GB  160GB  2M独享国际带宽  5  1280元/月  
酷睿四核 Q8200 2.33Ghz 4GB  160GB  2M独享国际带宽  5  1600元/月  
四核至强 E5405 2.0Ghz 4GB  500GB  2M独享国际带宽  5  2980元/月  
双CPU * 四核至强 E5405 2.0Ghz  4GB  2* 146G SAS  2M独享国际带宽  5  3380元/月  
USA-IDC香港服务器租用商五洲数据提供国外服务器租用美国服务器租用业务
在客服评价中国的网络环境最好的运营商莫过于USA-IDC拥有国际领先的ALINK网络 优化技术，
如果说国内哪个机房网络环境最好，回答是USA-IDC！要问哪个机房网络低峰与高峰期差距 最小！
回答依然是USA-IDC！同时USA-IDC的机房网络环境在国际互通方面也是国内最好的！
在国际方面的突出表现也是有目共睹的！好不好提供测试ip让您可以去测试一下
-------------------------------------------------------------
Serv-U的基础应用简介
在所有的FTP服务器端软件中，Serv-U除了拥有其他同类软件所具备的几乎全部功能外，还支持断点续传、支持带宽限制、支持远程管理、
支持远程打印、支持虚拟主机等；再加上良好的安全机制、友好的管理界面及稳定的性能，使它赢得了很高的赞誉，并被非常广泛地使用着。
本文将从Serv-U的安装和设置方面入手向你介绍这种优秀软件的最基本使用方法。
一、Serv-U的基本情况
软件名称：FTP Serv-U（共享软件，30天使用限制）
运行环境：除Windows 3.x之外的全系列版本Windows中
二、Serv-U的安装和卸载
1．Serv-U的安装
直接双击下载所得到的susetup1.exe文件即可开始其安装工作。除了在出现使用协议那一步中，需要先勾选中I have read and accept
the above license agreement（我已经阅读并接受以上协议）再按Next（下一步）按钮之外，其他均使用其默认选项即可。
当安装完成后，系统将自动进入Serv-U Administrator（以下简称"管理器"）的窗口，同时出现Setup Wizard（安装向导），
此时就可以根据这个向导开始建立你的第一个FTP服务器了。
2．Serv-U的卸载
选"开始→程序→Serv-U FTP Server"下的Remove Serv-U（卸载），再根据需要按提示操作即可。
三、建立第一个FTP服务器
为了说明方便起见，笔者在这里假设你的本机IP地址是192.168.0.1，本机计算机名为WY，你想在自己的局域网中建立一个只
允许匿名访问（Anonymous）的FTP服务器，匿名用户登录后进入的将是D:wy目录。
在安装向导中，一般建议除了以下几个需要修改的地方之外，对于初学者来说，其他部分一律选其默认选项（直接按Next按钮）即可。
1．当进行到有Anonymous home directory（匿名用户的主目录）提示的一步时，单击其右侧的箱子图标选择好目标目录D:wy后再按Next（下一步）按钮继续。（如图2）
此FTP服务器地址为192.168.0.1（或用此服务器的计算机名WY也可），默认端口号为21，只允许用匿名账号Anonymous登录。
Serv-U安装向导（Setup Wizard）主要内容详解
1．IP address ,leave blank for dynamic or unknown IP（IP地址，如果是动态IP或不知道IP则保持为空）：此项需要填入你欲为此FTP服务器绑定的IP地址。
除非你的计算机有多个固定的IP地址，并且你只想其中一个被FTP服务器所使用时，才需要在此地输入那个相应的IP地址；否则一般建议，
不管你是否有固定的IP地址，都请保留此项为空。
2．Domain name（域名）：此处填入你FTP服务器的域名。但域名是由DNS解析而不是由这里决定的，因此实际上你可以填入任意内容--
比如像"我的第一个FTP服务器"这种对此FTP进行说明的文字。
3．Install as system service（作为一个系统服务安装吗）：此项对于操作系统是Windows NT/2000/XP的服务器有效。选择了Yes（是），
则Serv-U的FTP服务就会被添加到系统服务中（在"管理工具"下的"服务"中可以查看到）；选择了No（否），则不会做为系统服务存在。
如果你的FTP服务器是常年运行的，则建议选Yes（是）；如果只是需要时才运行，则建议选No（否）。
4．Allow anonymous access（接受匿名登录吗）：如果你想让此FTP服务器接受匿名登录，则此处必须选择Yes（是）；否则选No（否）。
5．Anonymous home directory（匿名用户的主目录）：此处可设定匿名用户登录后其虚拟根目录在FTP服务器上的真实位置。
6．Lock anonymous users in to their home directory（将匿名用户锁定到其主目录吗）：如果选择Yes（是），
则匿名用户只能访问其主目录及以下的目录树；如果选择No（否），则它还可以访问其主目录的同级或更高级的目录树。从安全角度考虑，一般建议选Yes（是）。
7．Create named account（建立命名账户吗）：这里询问是否直接建立普通用户（相对匿名用户而言）账号。

--------------------------------------------------------------------------------------------------------
四，服务器运营商信息简介
USA-IDC美国服务器租用商五洲数据提供美国服务器租用国外服务器租用业务
USA-IDC海外数据中心 2005～2010 深圳市网格时代科技有限公司 保留所有权利.  
http://www.usa-idc.com
http://www.755800.com

hkbll93

支持lz。。。。。。。