21 - Pentesting FTP
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
El Protocolo de Transferencia de Archivos (FTP) sirve como un protocolo estándar para la transferencia de archivos a través de una red de computadoras entre un servidor y un cliente.
Es un protocolo de texto plano que utiliza como carácter de nueva línea 0x0d 0x0a por lo que a veces necesitas conectarte usando telnet o nc -C.
Puerto por Defecto: 21
En FTP Activo, el cliente FTP primero inicia la conexión de control desde su puerto N al puerto de comando del servidor FTP – puerto 21. El cliente luego escucha en el puerto N+1 y envía el puerto N+1 al servidor FTP. El Servidor FTP luego inicia la conexión de datos, desde su puerto M al puerto N+1 del cliente FTP.
Pero, si el cliente FTP tiene un firewall configurado que controla las conexiones de datos entrantes desde el exterior, entonces el FTP activo puede ser un problema. Y, una solución viable para eso es el FTP Pasivo.
En FTP Pasivo, el cliente inicia la conexión de control desde su puerto N al puerto 21 del servidor FTP. Después de esto, el cliente emite un comando passv. El servidor luego envía al cliente uno de sus números de puerto M. Y el cliente inicia la conexión de datos desde su puerto P al puerto M del servidor FTP.
Fuente: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/
Los comandos FTP debug y trace se pueden usar para ver cómo está ocurriendo la comunicación.
Con nmap
Puedes usar los comandos HELP y FEAT para obtener información del servidor FTP:
anonymous : anonymous anonymous : ftp : ftp
Aquí puedes encontrar una buena lista con credenciales ftp predeterminadas: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt
El inicio de sesión anónimo y las verificaciones de rebote FTP se realizan por defecto con nmap usando la opción -sC o:
Puedes conectarte a un servidor FTP usando un navegador (como Firefox) utilizando una URL como:
Nota que si una aplicación web está enviando datos controlados por un usuario directamente a un servidor FTP, puedes enviar bytes de doble codificación URL %0d%0a (en doble codificación URL esto es %250d%250a) y hacer que el servidor FTP realice acciones arbitrarias. Una de estas posibles acciones arbitrarias es descargar contenido de un servidor controlado por un usuario, realizar escaneo de puertos o intentar comunicarse con otros servicios basados en texto plano (como http).
Si su usuario/contraseña tiene caracteres especiales, se puede usar el siguiente comando:
USER username
PASS password
HELP El servidor indica qué comandos son compatibles
**PORT 127,0,0,1,0,80**Esto indicará al servidor FTP que establezca una conexión con la IP 127.0.0.1 en el puerto 80 (debes poner el 5º carácter como "0" y el 6º como el puerto en decimal o usar el 5º y 6º para expresar el puerto en hex).
**EPRT |2|127.0.0.1|80|**Esto indicará al servidor FTP que establezca una conexión TCP (indicado por "2") con la IP 127.0.0.1 en el puerto 80. Este comando soporta IPv6.
LIST Esto enviará la lista de archivos en la carpeta actual
LIST -R Listar recursivamente (si lo permite el servidor)
APPE /path/something.txt Esto indicará al FTP que almacene los datos recibidos de una conexión pasiva o de una conexión PORT/EPRT en un archivo. Si el nombre del archivo existe, se añadirá la información.
STOR /path/something.txt Como APPE pero sobrescribirá los archivos
STOU /path/something.txt Como APPE, pero si existe no hará nada.
RETR /path/to/file Se debe establecer una conexión pasiva o de puerto. Luego, el servidor FTP enviará el archivo indicado a través de esa conexión
REST 6 Esto indicará al servidor que la próxima vez que envíe algo usando RETR debe comenzar en el 6º byte.
TYPE i Establecer transferencia a binario
PASV Esto abrirá una conexión pasiva e indicará al usuario dónde puede conectarse
PUT /tmp/file.txt Subir el archivo indicado al FTP
Algunos servidores FTP permiten el comando PORT. Este comando se puede usar para indicar al servidor que deseas conectarte a otro servidor FTP en algún puerto. Luego, puedes usar esto para escanear qué puertos de un host están abiertos a través de un servidor FTP.
Aprende aquí cómo abusar de un servidor FTP para escanear puertos.
También podrías abusar de este comportamiento para hacer que un servidor FTP interactúe con otros protocolos. Podrías subir un archivo que contenga una solicitud HTTP y hacer que el servidor FTP vulnerable la envíe a un servidor HTTP arbitrario (¿quizás para agregar un nuevo usuario administrador?) o incluso subir una solicitud FTP y hacer que el servidor FTP vulnerable descargue un archivo de otro servidor FTP. La teoría es fácil:
Sube la solicitud (dentro de un archivo de texto) al servidor vulnerable. Recuerda que si deseas hablar con otro servidor HTTP o FTP necesitas cambiar líneas con 0x0d 0x0a
Usa REST X para evitar enviar los caracteres que no deseas enviar (quizás para subir la solicitud dentro del archivo necesitabas poner algún encabezado de imagen al principio)
Usa PORT para conectarte al servidor y servicio arbitrarios
Usa RETR para enviar la solicitud guardada al servidor.
Es muy probable que esto produzca un error como Socket no writable porque la conexión no dura lo suficiente para enviar los datos con RETR. Sugerencias para intentar evitar eso son:
Si estás enviando una solicitud HTTP, pon la misma solicitud una tras otra hasta ~0.5MB al menos. Así:
Intenta llenar la solicitud con datos "basura" relativos al protocolo (hablando con FTP quizás solo comandos basura o repitiendo la instrucción RETR para obtener el archivo)
Simplemente llena la solicitud con muchos caracteres nulos u otros (divididos en líneas o no)
De todos modos, aquí tienes un viejo ejemplo sobre cómo abusar de esto para hacer que un servidor FTP descargue un archivo de otro servidor FTP.
FileZilla generalmente se vincula a local un servicio administrativo para el FileZilla-Server (puerto 14147). Si puedes crear un túnel desde tu máquina para acceder a este puerto, puedes conectarte a él usando una contraseña en blanco y crear un nuevo usuario para el servicio FTP.
La configuración predeterminada de vsFTPd se puede encontrar en /etc/vsftpd.conf. Aquí, podrías encontrar algunas configuraciones peligrosas:
anonymous_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_root=/home/username/ftp - Directorio para anónimos.
chown_uploads=YES - Cambiar la propiedad de los archivos subidos anónimamente
chown_username=username - Usuario que recibe la propiedad de los archivos subidos anónimamente
local_enable=YES - Permitir que los usuarios locales inicien sesión
no_anon_password=YES - No preguntar a los anónimos por la contraseña
write_enable=YES - Permitir comandos: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE, y SITE
ftp
port:21
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
