Linux FTP Server 常见安全漏洞与防范措施
一 常见漏洞与风险
- 明文传输导致凭据泄露：传统 FTP 在控制与数据通道上均以明文传输，用户名、口令及传输内容可被窃听，属于高风险配置。若业务允许，应改用加密传输或禁用明文 FTP。
- 匿名登录与弱口令：开启 anonymous_enable=YES 或存在弱口令时，攻击者可轻易登录并下载/上传恶意文件，常被用于横向渗透与 Web 入口突破。实际攻防演练中，发现 vsftpd 3.0.3 允许匿名登录并可直接读取敏感列表文件，进一步导致凭证重用与入侵。
- 版本与横幅信息泄露：默认的 220 FTP 横幅常包含软件名与版本（如“vsFTPd 3.0.3”），为攻击者提供精确的指纹与漏洞匹配信息，应自定义或隐藏。
- 权限与目录遍历：未启用 chroot 将用户限制在自家目录，或错误配置匿名上传目录权限，可能导致越权访问、覆盖系统文件或作为恶意软件分发点。
二 加固措施清单
- 优先使用加密传输：启用 FTPS（FTP over SSL/TLS） 或迁移至 SFTP/SCP（基于 SSH），确保凭据与数据在传输过程中的机密性与完整性；仅在内网或受控网络中开放明文 FTP。
- 禁用匿名与强认证：设置 anonymous_enable=NO；为本地用户设置强密码策略与复杂度要求；结合 PAM 与 /etc/ftpusers 禁止 root 等高权限账户登录 FTP。
- 隐藏服务指纹：自定义或屏蔽 FTP 横幅，避免暴露 vsftpd 版本等信息，降低被针对性攻击的概率。
- 最小化权限与目录隔离：启用 chroot 将用户限制在其家目录；如确需匿名上传，创建专用上传目录并严格权限控制（如仅允许写入、禁止读取），必要时结合 SELinux 布尔值（如 allow_ftpd_anon_write）进行细粒度控制。
- 访问控制与网络最小化：通过 防火墙/安全组仅允许受信任 IP 访问 21 端口及被动模式端口范围；必要时修改默认监听端口，仅作为“安全通过 obscurity”的辅助手段，不能替代加密与认证。
- 日志、监控与审计：开启并定期审计 FTP 传输日志与系统日志，监控异常登录、失败尝试与大规模传输；结合 Lynis 等工具进行配置基线核查与持续加固。
- 及时更新与补丁：保持 vsftpd 与操作系统组件为最新稳定版本，及时修复已知漏洞；对无法立即升级的场景，叠加防火墙白名单与临时访问控制。
三 vsftpd 关键配置示例
- 隐藏横幅（任选其一）
- 禁用匿名、仅本地用户、启用日志
anonymous_enable=NO
local_enable=YES
xferlog_enable=YES
xferlog_std_format=YES
xferlog_file=/var/log/vsftpd.log
- 限制用户在自家目录（chroot）
chroot_local_user=YES
# 或仅对特定用户启用 chroot
# chroot_list_enable=YES
# chroot_list_file=/etc/vsftpd/chroot_list
- 如需允许匿名仅上传（示例）
anonymous_enable=YES
anon_upload_enable=YES
# 建议创建专用上传目录并严格权限
# mkdir -p /var/ftp/pub/upload
# chmod 730 /var/ftp/pub/upload
# chown root:ftp /var/ftp/pub/upload
如启用 SELinux 且需匿名写入，按需开启布尔值：setsebool -P allow_ftpd_anon_write on
修改配置后重启服务：systemctl restart vsftpd
以上示例基于 RHEL 8 官方安全指南与常见实践，参数与路径以实际发行版为准。
四 快速核查清单
- 使用
ftp <IP> 连接测试，确认不显示版本号且匿名登录被拒绝；必要时验证 FTPS 握手与证书有效性。
- 执行
nmap -sC -sV <IP> 检查服务指纹与匿名访问状态，确认未暴露版本与匿名可读敏感文件。
- 审查防火墙规则，确保仅放通受信任 IP 与所需端口（含被动模式端口范围）；如使用 firewalld，可参考按规则过滤特定流量。
- 检查日志与监控告警是否开启并正常运行，定期审计异常登录与传输行为。
