FTP服务器关于权限的安全防范问题
作者:佚名 来源:ddvip.com 发布时间:2009-02-10 16:04:00
很多电影网站,论坛或其它机构为了方便会员或成员上传电影或者交流文件,都允许用户的上传权限,因为只有允许这个权限,用户才可以上传文件,但这个权限在允许断点再传的ftp服务器中,可以导致很大的问题出来。
允许断点再传的ftp服务器程序,都必须支持一个“Rest”的命令,如果这个命令是用在上传命令前(send命令), 是告诉ftp服务器我要上传的文件会是从ftp服务器中存在的那个文件的什么位置中开始写。
例子:
假设ftp服务器中存在一个文件Readme.txt,文件大小为1000 bytes,连接上这个ftp服务器(假设我有写权限,ftp服务器是支持断点再传的),我本地中也有一个叫Readme.txt的文件,文件大小为500 bytes。好了,我开始做坏事。
1、连接上这个ftp服务器(用系统自带的 ftp://ftp.exe/,在内网的可能无法使用,因为 ftp://ftp.exe/用的是port模式)
2、dir(查看Readme.txt大小,确定了是1000 bytes)
3、quote rest 1000(告诉ftp服务器我将要传送的文件是从文件位置1000开始)
4、send Readme.txt
5、dir(再次查看Readme.txt大小,现在Readme。txt变成1500 bytes了)
为什么Readme.txt会变大了?很简单,因为我本地的那个Readme.txt的500字节上传成功,并写入到ftp服务器中存在的那个1000 bytes的Readme.txt文件中了。问题是出在第二条命令,如果没有第二条命令,我的第4个命令(Send Readme.txt),就会得到一个Permission Deny的错误,第二条命令是让ftp服务器信任我们将要进行一个断点再传的操作,如果没有第二条命令,ftp服务器将以为我们进行的是一个复盖原文件的操作(复盖原文件操作需要另外的权限才可以进行)。
说到这里,大家应该明白了主题的意思了吧,通过很简单的操作,任何具有写权限的用户,都可以改动其它用户上传的文件,单是这一点,就存在很大的安全漏洞了。如果上传的是重要文件,随意的修改可以令文件完全破坏了;如果是可执行文件或一些zip或rar文件,会不会有些熟悉各种文件结构的天才疯子,将一些恶意代码也加到那些文件,令执行者系统受到破坏或者执行了他们的后门代码或其它,由于本身对于这些文件结构并不熟悉,我只说这是一个未知之数。
但在电脑的世界中,很多不可能的事最后都被创造成可能,所以我无法下定论。但单是能破坏到文件这一点,已是很具破坏性了,想想一个500M的影视文件,被人多加了字节进去的话,估计是无法再被观看的了,播放这些文件的程序一般都会说不是合法的影视文件,无法播放等等。至于zip,rar等文件,winzip或winrar肯定会说压缩文件已遭到破坏,crc检验码不对等等的错误。
这个问题只是在允许断点再传的FTP服务中存在,但现在90%的FTP服务程序都是允许断点再传的,所以这问题在普遍的FTP服务器都会存在。
防范方法:
如果一定需要给用户上传权限的话,最好的防范方法是每个用户都给他建立一个目录,将那个用户的权限完全锁在这个目录内,那么用户就没有权限可以查看其它用户的目录,也就是说无法造成以上所说的破坏。
以上所说的在Serv-U V4.0中测试过,测试平台是Win 2K Server。如果其它ftp服务程序不存在这种问题,那不在此文章讨论范围内。 现在windows系统中架设ftp服务器,用得最多最流行的还是Serv-U,所以管理员们要多留心了。这文章并不是要教人做坏事,如果你用这种方法去破坏ftp服务器的文件,唯一要负责任的人是你。引用一句古龙小说中的话:“刀本身并没有错,错的是拿它的手”。
猜你喜欢
- Photoshop官方提供免费相册,非常酷的一个相册,全站基于Flash技术架构的,其操作非常方便。容量大小为2G,支持图片直接外链,仅可上
- 既然搜索引擎没有一个完善的机智来识别图片,那么我们就要帮助搜索引擎识别,根据我们的实验经验,下面总结出几点建议,供大家参考讨论。一 ALT标
- 最近做了几个垃圾站,从中体会到一点baidu收录的经验,今天我给大家谈谈!总看到不少的做站的人说,今天我的站收录了多少多少页,我的站多久被更
- Godaddy Linux主机帐户的免费软件您了解多少呢?我们的所有托管计划都含有一些免费的server-side applications
- 推荐一款“微软”出品增强型“日期和时间”(Microsoft Chinese Date & Time),我们现在用的系统,自带的“日
- V5shop多用户商城系统——v5mall宣布免费继v5shop独立网店系统全线免费取得良好的市场反应后,上海威博网络技术有限公司最近宣布最
- 很多站长都挂上了联盟的广告来赢利,而联盟大多都以百度、GG为主,站长们在通过了审核之后,放好广告,并想尽办法的去优化,以求获得更好的点击率,
- 看到有论坛反应会员注册邮箱验证不能使用,经过这几天的测试,会员注册验证没有多大问题,刚看到论坛有提供解决方案的,看了一下,只是争对UFT8的
- Google AdSense发布者在账号被停止后是否可以收到已经支付或即将支付的款项,这是最近很多发布者都在关注的问题,尤其是通过西联汇款支
- 之前,提到了地方网站的文化建设《地方网站,亮出你的文化“剑”》。如若说文化品牌的建设彰显的是地方网站
- 网易公司董事长兼CEO丁磊2月25日消息,今日凌晨,网易(NASDAQ: NTES)宣布了截至2009年12月31日的第四季度财务业绩。在今
- asp之家注:也许很多站长都有这样的疑问,我的站流量挺大,可是Google Adsense广告的点击确很不让人满意,而有的站虽然流量不多可能
- 每过几年,企业都要对网站进行改版设计。有时,企业对网站改版以新战略或是新产品的推出为契机。有时,企业只是不喜欢旧的网站才进行改版。或许,企业
- 上周我们已经向大家预告了我们将陆续推出Adsense“广告管理功能”,现在我们很高兴地通知大家,现在,我们已经开始分批推出这项功能了。一些发
- 现在很多中小网站(尤其是 Web 2.0 站点) 都允许用户上传图片,如果前期没有很好的规划,那么随着图片文件的增多,无论是管理还是性能上都
- Apache的Mode Rewrite模块提供了一个基于正则表达式分析器的重写引擎来实时重写URL请求。在大多数情况下,它和.htacces
- 我做互联网这个行业有5年了,一直做网站建设和推广销售。真正拥有自己的网站是去年。那时我是自己出来单干了,还有一个代理商赠送的一个代理平台,严
- WEB3.0时代已悄然降临在我们站长的身边,而这个时代我们靠什么赚钱呢?这是一个新的研究课题.可是在WEB2.0普遍流行的当今互联网江湖,可
- 5天前美图秀秀[点击本站下载]软件才刚刚发布过2.0周年纪念版,今天又以迅猛速度推出2.0.1小幅度升级版。虽然只是小幅度的升级,但是这次开
- 今天我们来说说服务器基础知识方面的几个问题,也是困惑初涉服务器领域众“菜鸟”们的几个常见问题:1 双