在網絡上，匿名FTP是一個很常用的服務，常用于軟件下載網站，軟件交流網站等，為了提高匿名FTP服務開放的過程中的安全性，我們就這一問題進行一些討論。
以下的設定方式是由過去許多網站累積的經驗與建議組成。我們認為可以讓有個別
需求的網站擁有不同設定的選擇。
設定匿名FTP
A.FTP daemon
網站必須確定目前使用的是最新版本的FTP daemon.
B設定匿名FTP的目錄
匿名ftp的根目錄（~ftp）和其子目錄的擁有者不能為ftp帳號，或與ftp相同群組的帳號。這是
一般常見的設定問題。假如這些目錄被ftp或與ftp相同群組的帳號所擁有，又沒有做好防止寫入的保護，入侵者便可能在其中增加文件（例如：。rhosts檔）或修改其它文件。許多網站？市硎褂胷oot帳號。讓匿名FTP的根目錄與子目錄的擁有者是root，所屬族群（group）為system？?⑾薅ù嬡∪？如chmod 0755），如此只有root有寫入的權力，這能幫助你維持FTP服務的安？?？
以下是一個匿名ftp目錄的設定范例：
drwxr-xr-x 7 root system 512 Mar 1 15：17 ./ drwxr-xr-x 25 root system 512 Jan 4 11：30 ……/ drwxr-xr-x 2 root system 512 Dec 20 15：43 bin/ drwxr-xr-x 2 root system 512 Mar 12 16：23 etc/ drwxr-xr-x 10 root system 512 Jun 5 10：54 pub/ |
我們強烈建議網站不要使用系統中 /etc/passwd 做為~ftp/etc 目錄中的密碼文件或將系統中 /etc/group 做為 ~ftp/etc目錄中的群組文件。在~ftp/etc目錄中放置這些文件會使得入侵者取得它們。這些文件是可自定的而且不是用來做存取控制。
我們建議你在 ~ftp/etc/passwd 與 ~ftp/etc/group 使用代替的文件。這些文件必須由root所擁有。DIR命令會使用這代替的文件來顯示文件及目錄的擁有者和群組名稱。網站必須確定 ~/ftp/etc/passwd檔中沒有包含任何與系統中 /etc/passwd文件中相同的帳號名稱。這些文件應該僅僅包含需要顯示的FTP階層架構中文件與目錄的擁有者與所屬群組名稱。此外，確定密碼字段是"整理"過的。例如使用「*」來取代密碼字段。
以下為cert中匿名ftp的密碼文件范例
ssphwg：*：3144：20：Site Specific Policy Handbook Working Group：： cops：*：3271：20：COPS Distribution：： cert：*：9920：20：CERT：： tools：*：9921：20：CERT Tools：： ftp：*：9922：90：Anonymous FTP：： nist：*：9923：90：NIST Files：： |
cert：*：20： ftp：*：90： |
讓一個匿名ftp服務允許使用者儲存文件是有風險存在的。我們強烈提醒網站不要自動建立一個上傳目錄，除非已考慮過相關的風險。CERT/CC的事件回報成員接獲許多使用上傳目錄造成非法傳輸版權軟件或交換帳號與密碼信息的事件。也接獲惡意地將系統文件灌報造成denialof service問題。
本節在討論利用三種方法來解決這個問題。第一種方法是使用一個修正過的FTP daemon.第二個方法是提供對特定目錄的寫入限制。第三種方法是使用獨立的目錄。
修正過的FTP daemon
假如你的網站計劃提供目錄用來做文件上傳，我們建議使用修正過的FTP daemon對文件上傳的目錄做存取的控制。這是避免使用不需要的寫入區域的最好的方法。以下有一些建議：
1.限定上傳的文件無法再被存取， 如此可由系統管理者檢測后，再放至于適當位置供人下載。
2.限制每個聯機的上傳資料大小。
3.依照現有的磁盤大小限制數據傳輸的總量。
4.增加登錄記錄以提前發現不當的使用。
若您欲修改FTP daemon， 您應該可以從廠商那里拿到程序代碼， 或者您可從下列地方取得公開的FTP程序原始碼：
wuarchive.wustl.edu ~ftp/packages/wuarchive-ftpd ftp.uu.net ~ftp/systems/unix/bsd-sources/libexec/ftpd gatekeeper.dec.com ~ftp/pub/DEC/gwtools/ftpd.tar.Z |
| 共2頁: 1 [2] 下一頁 | ||
|
