如何使FTP服务器安全

一、操作系统的选择

创新互联拥有网站维护技术和项目管理团队，建立的售前、实施和售后服务体系，为客户提供定制化的成都网站设计、网站建设、外贸网站建设、网站维护、服务器托管解决方案。为客户网站安全和日常运维提供整体管家式外包优质服务。我们的网站维护服务覆盖集团企业、上市公司、外企网站、成都商城网站开发、政府网站等各类型客户群体，为全球上1000家企业提供全方位网站维护、服务器维护解决方案。

FTP服务器首先是基于操作系统而运作的，因而操作系统本身的安全性就决定了FTP服务器安全性的级别。虽然Windows 98／Me一样可以架设FTP服务器，但由于其本身的安全性就不强，易受攻击，因而不要采用。Windows NT就像鸡肋，不用也罢。采用Windows 2000及以上版本，并记住及时打上补丁。至于Unix、Linux，则不在讨论之列。

二、使用防火墙

端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全，一般来说，仅打开你需要使用的端口，将其他不需要使用的端口屏蔽掉会比较安全。限制端口的方法比较多，可以使用第三方的个人防火墙，如天网个人防火墙等，这里只介绍Windows自带的防火墙设置方法。

1。利用TCP／IP筛选功能

在Windows 2000和Windows XP中，系统都带有TCP／IP筛选功能，利用它可以简单地进行端口设置。以Windows XP为例，打开“本地连接”的属性，在“常规”选项中找到“Internet协议（TCP／IP）”，双击它打开该协议的属性设置窗口。点击右下方的“高级”按钮，进入“高级TCP／IP设置”。在“选项”中选中“TCP／IP筛选”并双击进入其属性设置。这里我们可以设置系统只允许开放的端口，假如架设的FTP服务器端口为21，先选中“启用TCP／IP筛选（所有适配器）”，再在TCP端口选项中选择“只允许”，点“添加”，输入端口号21，确定即可。这样，系统就只允许打开21端口。要开放其他端口，继续添加即可。这可以有效防止最常见的139端口入侵。缺点是功能过于简单，只能设置允许开放的端口，不能自定义要关闭的端口。如果你有大量端口要开放，就得一个个地去手工添加，比较麻烦。

2。打开Internet连接防火墙

对于Windows XP系统，自带了“Internet连接防火墙”功能，与TCP／IP筛选功能相比，设置更方便，功能更强大。除了自带防火墙端口开放规则外，还可以自行增删。在控制面板中打开“网络连接”，右击拨号连接，进入“高级”选项卡，选中“通过限制或阻止来自Internet的对此计算机的访问来保护我的计算机和网络”，启用它。系统默认状态下是关闭了FTP端口的，因而还要设置防火墙，打开所使用的FTP端口。点击右下角的“设置”按钮进入“高级设置”，选中“FTP服务器”，我它。由于FTP服务默认端口是21，因而除了IP地址一栏外，其余均不可更改。在IP地址一栏中填入服务器公网IP，确定后退出即可即时生效。如果架设的FTP服务器端口为其他端口，比如22，则可以在“服务”选项卡下方点“添加”，输入服务器名称和公网IP后，将外部端口号和内部端口号均填入22即可。

三、对IIS、Serv－U等服务器软件进行设置

除了依靠系统提供的安全措施外，就需要利用FTP服务器端软件本身的设置来提高整个服务器的安全了。

1。IIS的安全性设置

1）及时安装新补丁

对于IIS的安全性漏洞，可以说是“有口皆碑”了，平均每两三个月就要出一两个漏洞。所幸的是，微软会根据新发现的漏洞提供相应的补丁，这就需要你不断更新，安装最新补丁。

2）将安装目录设置到非系统盘，关闭不需要的服务

一些恶意用户可以通过IIS的溢出漏洞获得对系统的访问权。把IIS安放在系统分区上，会使系统文件与IIS同样面临非法访问，容易使非法用户侵入系统分区。另外，由于IIS是一个综合性服务组件，每开设一个服务都将会降低整个服务的安全性，因而，对不需要的服务尽量不要安装或启动。

3）只允许匿名连接

FTP的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。而IIS又是基于Windows用户账户进行管理的，因而很容易泄漏系统账户名及密码，如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿名连接”，可以免却传输过程中泄密的危险。进入“默认FTP站点”，在属性的“安全账户”选项卡中，将此选项选中。

4）谨慎设置主目录及其权限

IIS可以将FTP站点主目录设为局域网中另一台计算机的共享目录，但在局域网中，共享目录很容易招致其他计算机感染的病毒攻击，严重时甚至会造成整个局域网瘫痪，不到万不得已，使用本地目录并将主目录设为NTFS格式的非系统分区中。这样，在对目录的权限设置时，可以对每个目录按不同组或用户来设置相应的权限。右击要设置的目录，进入“共享和安全→安全”中设置，如非必要，不要授予“写入”权限。

5）尽量不要使用默认端口号21

启用日志记录，以备出现异常情况时查询原因。

2。Serv－U的安全性设置

与IIS的FTP服务相比，Serv－U在安全性方面做得比较好。

1）对“本地服务器”进行设置

首先，选中“拦截FTP＿bounce攻击和FXP”。什么是FXP呢？通常，当使用FTP协议进行文件传输时，客户端首先向FTP服务器发出一个“PORT”命令，该命令中包含此用户的IP地址和将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息建立与用户的连接。大多数情况下，上述过程不会出现任何问题，但当客户端是一名恶意用户时，可能会通过在PORT命令中加入特定的地址信息，使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器，但是如果FTP服务器有权访问该机器的话，那么恶意用户就可以通过FTP服务器作为中介，仍然能够最终实现与目标服务器的连接。这就是FXP，也称跨服务器攻击。选中后就可以防止发生此种情况。

其次，在“高级”选项卡中，检查“加密密码”和“启用安全”是否被选中，如果没有，选择它们。“加密密码”使用单向hash函数（MD5）加密用户口令，加密后的口令保存在ServUDaemon。ini或是注册表中。如果不选择此项，用户口令将以明文形式保存在文件中：“启用安全”将启动Serv－U服务器的安全成功。

2）对域中的服务器进行设置

前面说过，FTP默认为明文传送密码，

容易被人嗅探，对于只拥有一般权限的账户，危险并不大，但如果该账户拥有远程管理尤其是系统管理员权限，则整个服务器都会被别人远程控制。Serv－U对每个账户的密码都提供了以下三种安全类型：规则密码、OTP S／KEY MD4和OTP S／KEY MD5。不同的类型对传输的加密方式也不同，以规则密码安全性最低。进入拥有一定管理权限的账户的设置中，在“常规”选项卡的下方找到“密码类型”下拉列表框，选中第二或第三种类型，保存即可。注意，当用户凭此账户登录服务器时，需要FTP客户端软件支持此密码类型，如CuteFTP Pro等，输入密码时选择相应的密码类型方可通过服务器验证。

与IIS一样，还要谨慎设置主目录及其权限，凡是没必要赋予写入等能修改服务器文件或目录权限的，尽量不要赋予。最后，进入“设置”，在“日志”选项卡中将“启用记录到文件”选中，并设置好日志文件名及保存路径、记录参数等，以方便随时查询服务器异常原因。

如何来提高FTP服务器的安全性？

从两个方向去做:

一、禁止系统级别用户来登录FTP服务器。

为了提高FTP服务器的安全，系统管理员最好能够为员工设置单独的FTP帐号，而不要把系统级别的用户给普通用户来使用，这会带来很大的安全隐患。在VSFTP服务器中，可以通过配置文件vsftpd.ftpusers来管理登陆帐户。不过这个帐户是一个黑名单，列入这个帐户的人员将无法利用其帐户来登录FTP服务器。部署好VSFTP服务器后，我们可以利用vi命令来查看这个配置文件，发现其已经有了许多默认的帐户。其中，系统的超级用户root也在其中。可见出于安全的考虑，VSFTP服务器默认情况下就是禁止root帐户登陆FTP服务器的。如果系统管理员想让root等系统帐户登陆到FTP服务器，则知需要在这个配置文件中将root等相关的用户名删除即可。不过允许系统帐户登录FTP服务器，会对其安全造成负面的影响，为此我不建议系统管理员这么做。对于这个文件中相关的系统帐户管理员最好一个都不要改，保留这些帐号的设置。

如果出于其他的原因，需要把另外一些帐户也禁用掉，则可以把帐户名字加入到这个文件中即可。如在服务器上可能同时部署了FTP服务器与数据库服务器。那么为了安全起见，把数据库管理员的帐户列入到这个黑名单，是一个不错的做法。

二、加强对匿名用户的控制。

匿名用户是指那些在FTP服务器中没有定义相关的帐户，而FTP系统管理员为了便于管理，仍然需要他们进行登陆。但是他们毕竟没有取得服务器的授权，为了提高服务器的安全性，必须要对他们的权限进行限制。在VSFTP服务器上也有很多参数可以用来控制匿名用户的权限。系统管理员需要根据FTP服务器的安全级别，来做好相关的配置工作。需要说明的是，匿名用户的权限控制的越严格，FTP服务器的安全性越高，但是同时用户访问的便利性也会降低。故最终系统管理员还是需要在服务器安全性与便利性上取得一个均衡。

下面是我推荐的几个针对匿名用户的配置，大家若不清楚该如何配置的话，可以参考这些配置。这些配置兼顾了服务器的安全与用户的使用便利。

一是参数anon_world_readable_only。这个参数主要用来控制匿名用户是否可以从FTP服务器上下载可阅读的文件。如果FTP服务器部署在企业内部，主要供企业内部员工使用的话，则最好把这个参数设置为YES。然后把一些企业常用表格等等可以公开的文件放置在上面，让员工在匿名的情况下也可以下载这些文件。这即不会影响到FTP服务器的安全，而且也有利于其他员工操作的便利性上。

二是参数anon_upload_enable。这个参数表示匿名用户能否在匿名访问的情况下向FTP服务器上传文件。通常情况下，应该把这个参数设置为No。即在匿名访问时不允许用户上传文件。否则的话，随便哪个人都可以上传文件的话，那对方若上传一个病毒文件，那企业不是要遭殃了。故应该禁止匿名用户上传文件。但是这也有例外。如有些企业通过FTP协议来备份文件。此时如果企业网络的安全性有所保障的话，可以把这个参数设置为YES，即允许操作系统调用FTP命令往FTP服务器上备份文件。

谢谢，这是我的回答。

注重设置让FTP服务器共享更安全

为了方便员工之间相互交流和传输信息，不少单位都利用Windows服务器系统自带的FTP功能架设了FTP服务器，这样一来员工就能把自己的信息上传到FTP服务器中让其他人下载使用了。不过，不同部门的员工共享使用同一台FTP服务器，往往会存在部门信息被轻易外泄的危险；为了有效避免这种风险，让FTP服务器共享访问更安全，我们可以从设置出发，来让不同部门的员工访问FTP服务器时只能看到本部门的信息，而不能看到其他部门的信息，这样一来就能实现多部门、多用户共享使用FTP服务器的目的了！

架设FTP服务器

假设某单位为了便于统一管理FTP服务器，希望能让不同的部门共享使用相同的一台FTP服务器，并希望不同部门用户登录进FTP服务器后，只能访问到本部门上传发布的信息，并且仅对这些信息进行读取或修改，而不能看到其他部门的上传信息。比方说，我们假设指定“D:\aaa”文件夹作为单位FTP服务器的主目录，并在该目录下创建两个名称分别为“bbb”与“ccc”的文件夹，现在我们要让B部门的员工以“bbb”用户帐号登录FTP服务器时，只能访问和读取“bbb” 文件夹中的信息，而不能看到和访问“ccc” 文件夹中的信息，那样一来多部门共享一台FTP服务器的安全性就能得到有效保证了。要实现上面的设置目的，我们不妨按照如下步骤进行设置：

首先以超级管理员身份登录进FTP服务器所在的主机系统，并在该系统桌面中用鼠标逐一单击“开始”、“设置”、“控制面板”命令，在其后弹出的窗口中用鼠标双击“管理工具”图标，之后再双击“计算机管理”图标，打开主机系统的计算机管理窗口；在该管理窗口的左侧显示区域，用鼠标依次展开“本地用户和组”/“用户”分支选项，打开计算机用户管理窗口，在该窗口的右侧空白区域单击鼠标右键，从弹出的右键菜单中执行“用户”命令，来为B部门和C部门的员工分别创建好登录FTP服务器的用户帐号名称“bbb”和“ccc”，同时为这两个用户帐号设置好合适的密码信息。

接着打开服务器系统的资源管理器窗口，找到该主机D盘下面的“aaa”文件夹，然后用鼠标双击该文件夹图标，在其后的文件夹窗口中用鼠标右击空白区域，并依次执行快捷菜单中的“新建”/“文件夹”命令，来在“aaa”文件夹下面分别创建好“bbb”与“ccc”文件夹，这两个文件夹就作为B部门和C部门员工的信息上传目录。

下面返回到服务器系统桌面中，并依次单击“开始”/“设置”/“控制面板”命令，在其后的窗口中用鼠标依次双击“管理工具”、“Internet服务管理器”图标，打开Internet信息服务窗口，在该窗口的左侧显示区域，用鼠标右键单击服务器主机名称，从弹出的快捷菜单中依次执行“新建”/“FTP站点”命令，然后在弹出的向导窗口中依照提示（如图1所示）， 设置好FTP服务器的站点名称、IP地址，以及指定好FTP站点所用的主目录路径，这样就能顺利完成FTP服务器站点的架设操作了。

小提示：当我们在Internet信息服务窗口的左侧显示区域中无法找到“FTP站点”选项时，那表明当前服务器系统还没有安装FTP文件传输协议功能，此时我们可以按照前面步骤打开系统的控制面板窗口，并在其中双击“添加/删除程序”命令，然后选择“添加/删除Windows组件”项目，打开Windows组件安装向导窗口；选中该窗口列表中的“应用程序服务器”选项，并单击“详细信息”按钮，之后选中应用程序服务器列表窗口中的“Internet信息服务（IIS）”子组件，再单击一下“详细信息”按钮，打开如图2所示的列表界面， 选中其中的“文件传输协议（FTP）服务”，最后单击“确定”按钮，那样一来服务器系统的FTP文件传输协议功能就能被正确安装成功了。

如何保证文件传输服务器FTP的安全

目前FTP 服务器面临的安全隐患主要包括：

1. 被用户跳转到了上级非授权的目录（如 /root）；

2. 客户端指定文件的类型和格式，但只通过扩展名判断。

3. 无法判断文件是否为带毒。

4. 文件传输不做校验，无法保证文件的完整性

5. 多人同用一个用户时，文件下载无法追查。

友予安全FTP，在标准FTP、SFTP基础上，增加安全如下：

1. 服务端目录限定：只允许用户访问设定的目录，如不能访问C:、/root、FTP服务软件本身的目录，当管理端添加用户指定的目录超出了限定，用户无法访问该目录。

2. 深度文件类型识别：服务端设定的可上传的类型，用友予Ftp客户端，在客户端中就会深度识别文件类型、修改扩展名无效，标准Ftp上传时，服务端做深度判断。

3. 文件病毒查杀：服务端支持卡巴斯基、比特凡德、GDATA、NOD32杀毒软件，每个上传的文件都调用杀毒软件命令查杀，返回查杀结果。友予Ftp客户端可显示错误原因，标准FTP删除文件，创建同名文件加错误原因。

4. MD5校验：友予Ftp客户端上传、下载的文件与服务端生成的MD5对比，同时对比文件的字节数，当都相同时才认定文件传输成功。

5. 下载文件限定：限定用户可下载文件的类型，如重要的设计图、代码、视频都可限定，限定的文件用户查看不到。

6. 下载文件备份：重要的资料外流，但不可查，通过平台，下载的文件会自动备份到指定的目录，并有用户、IP、时间、文件等信息记录到日志中，结合备份文件可查外传人员。

当前文章：服务器ftp安全 ftp 文件服务器
文章源于：http://myzitong.com/article/ddjghji.html