21 - Pentesting FTP
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Το File Transfer Protocol (FTP) χρησιμεύει ως πρότυπο πρωτόκολλο για τη μεταφορά αρχείων μέσω ενός υπολογιστικού δικτύου μεταξύ ενός διακομιστή και ενός πελάτη.
Είναι ένα πρωτόκολλο απλού κειμένου που χρησιμοποιεί ως χαρακτήρα νέας γραμμής 0x0d 0x0a οπότε μερικές φορές χρειάζεται να συνδεθείτε χρησιμοποιώντας telnet ή nc -C.
Default Port: 21
Στο Active FTP, ο FTP πελάτης πρώτα ξεκινά τη σύνδεση ελέγχου από την πόρτα N του στην πόρτα εντολών του FTP Server – πόρτα 21. Ο πελάτης στη συνέχεια ακούει στην πόρτα N+1 και στέλνει την πόρτα N+1 στον FTP Server. Ο FTP Server στη συνέχεια ξεκινά τη σύνδεση δεδομένων, από την πόρτα M του στην πόρτα N+1 του FTP Client.
Αλλά, αν ο FTP Client έχει ρυθμισμένο ένα τείχος προστασίας που ελέγχει τις εισερχόμενες συνδέσεις δεδομένων από το εξωτερικό, τότε το active FTP μπορεί να είναι πρόβλημα. Και, μια εφικτή λύση γι' αυτό είναι το Passive FTP.
Στο Passive FTP, ο πελάτης ξεκινά τη σύνδεση ελέγχου από την πόρτα N του στην πόρτα 21 του FTP Server. Μετά από αυτό, ο πελάτης εκδίδει μια εντολή passv. Ο server στη συνέχεια στέλνει στον πελάτη έναν από τους αριθμούς της πόρτας του M. Και ο πελάτης ξεκινά τη σύνδεση δεδομένων από την πόρτα P του στην πόρτα M του FTP Server.
Source: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/
Οι εντολές FTP debug και trace μπορούν να χρησιμοποιηθούν για να δουν πώς συμβαίνει η επικοινωνία.
Με nmap
Μπορείτε να χρησιμοποιήσετε τις εντολές HELP και FEAT για να αποκτήσετε κάποιες πληροφορίες από τον FTP server:
anonymous : anonymous &#xNAN;anonymous : &#xNAN;ftp : ftp
Εδώ μπορείτε να βρείτε μια ωραία λίστα με προεπιλεγμένα ftp credentials: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt
Οι έλεγχοι ανώνυμης σύνδεσης και bounce FTP εκτελούνται από προεπιλογή από το nmap με την επιλογή -sC ή:
Μπορείτε να συνδεθείτε σε έναν FTP server χρησιμοποιώντας έναν περιηγητή (όπως ο Firefox) χρησιμοποιώντας μια διεύθυνση URL όπως:
Σημειώστε ότι αν μια εφαρμογή ιστού στέλνει δεδομένα που ελέγχονται από έναν χρήστη άμεσα σε έναν FTP server μπορείτε να στείλετε διπλό URL encode %0d%0a (σε διπλό URL encode αυτό είναι %250d%250a) bytes και να κάνετε τον FTP server να εκτελεί αυθαίρετες ενέργειες. Μία από αυτές τις πιθανές αυθαίρετες ενέργειες είναι να κατεβάσετε περιεχόμενο από έναν server που ελέγχεται από χρήστη, να εκτελέσετε σάρωση θυρών ή να προσπαθήσετε να επικοινωνήσετε με άλλες υπηρεσίες βασισμένες σε απλό κείμενο (όπως το http).
Αν το όνομα χρήστη/κωδικός σας έχει ειδικούς χαρακτήρες, η παρακάτω εντολή μπορεί να χρησιμοποιηθεί:
USER username
PASS password
HELP Ο διακομιστής υποδεικνύει ποιες εντολές υποστηρίζονται
PORT 127,0,0,1,0,80 Αυτό θα υποδείξει στον διακομιστή FTP να δημιουργήσει μια σύνδεση με τη διεύθυνση IP 127.0.0.1 στην θύρα 80 (πρέπει να βάλετε τον 5ο χαρακτήρα ως "0" και τον 6ο ως την θύρα σε δεκαδικό ή να χρησιμοποιήσετε τον 5ο και 6ο για να εκφράσετε την θύρα σε δεκαεξαδικό).
EPRT |2|127.0.0.1|80| Αυτό θα υποδείξει στον διακομιστή FTP να δημιουργήσει μια σύνδεση TCP (υποδεικνύεται από το "2") με τη διεύθυνση IP 127.0.0.1 στην θύρα 80. Αυτή η εντολή υποστηρίζει IPv6.
LIST Αυτό θα στείλει τη λίστα των αρχείων στον τρέχοντα φάκελο
LIST -R Λίστα αναδρομικά (αν επιτρέπεται από τον διακομιστή)
APPE /path/something.txt Αυτό θα υποδείξει στον FTP να αποθηκεύσει τα δεδομένα που λαμβάνονται από μια παθητική σύνδεση ή από μια PORT/EPRT σύνδεση σε ένα αρχείο. Αν το όνομα αρχείου υπάρχει, θα προσθέσει τα δεδομένα.
STOR /path/something.txt Όπως το APPE αλλά θα αντικαταστήσει τα αρχεία
STOU /path/something.txt Όπως το APPE, αλλά αν υπάρχει δεν θα κάνει τίποτα.
RETR /path/to/file Πρέπει να έχει δημιουργηθεί μια παθητική ή μια σύνδεση port. Στη συνέχεια, ο διακομιστής FTP θα στείλει το υποδεικνυόμενο αρχείο μέσω αυτής της σύνδεσης
REST 6 Αυτό θα υποδείξει στον διακομιστή ότι την επόμενη φορά που θα στείλει κάτι χρησιμοποιώντας το RETR θα πρέπει να ξεκινήσει από το 6ο byte.
TYPE i Ρύθμιση μεταφοράς σε δυαδικό
PASV Αυτό θα ανοίξει μια παθητική σύνδεση και θα υποδείξει στον χρήστη πού μπορεί να συνδεθεί
PUT /tmp/file.txt Μεταφόρτωση του υποδεικνυόμενου αρχείου στον FTP
Ορισμένοι διακομιστές FTP επιτρέπουν την εντολή PORT. Αυτή η εντολή μπορεί να χρησιμοποιηθεί για να υποδείξει στον διακομιστή ότι θέλετε να συνδεθείτε σε άλλον διακομιστή FTP σε κάποια θύρα. Στη συνέχεια, μπορείτε να το χρησιμοποιήσετε για να σαρώσετε ποιες θύρες ενός host είναι ανοιχτές μέσω ενός διακομιστή FTP.
Μάθετε εδώ πώς να καταχραστείτε έναν διακομιστή FTP για να σαρώσετε θύρες.
Μπορείτε επίσης να καταχραστείτε αυτή τη συμπεριφορά για να κάνετε έναν διακομιστή FTP να αλληλεπιδρά με άλλα πρωτόκολλα. Μπορείτε να μεταφορτώσετε ένα αρχείο που περιέχει ένα HTTP αίτημα και να κάνετε τον ευάλωτο διακομιστή FTP να το στείλει σε έναν αυθαίρετο διακομιστή HTTP (ίσως για να προσθέσετε έναν νέο διαχειριστή χρήστη;) ή ακόμη και να ανεβάσετε ένα αίτημα FTP και να κάνετε τον ευάλωτο διακομιστή FTP να κατεβάσει ένα αρχείο από έναν διαφορετικό διακομιστή FTP. Η θεωρία είναι απλή:
Μεταφορτώστε το αίτημα (μέσα σε ένα αρχείο κειμένου) στον ευάλωτο διακομιστή. Θυμηθείτε ότι αν θέλετε να μιλήσετε με έναν άλλο διακομιστή HTTP ή FTP πρέπει να αλλάξετε γραμμές με 0x0d 0x0a
Χρησιμοποιήστε REST X για να αποφύγετε την αποστολή των χαρακτήρων που δεν θέλετε να στείλετε (ίσως για να ανεβάσετε το αίτημα μέσα στο αρχείο έπρεπε να βάλετε κάποια κεφαλίδα εικόνας στην αρχή)
Χρησιμοποιήστε PORT για να συνδεθείτε στον αυθαίρετο διακομιστή και υπηρεσία
Χρησιμοποιήστε RETR για να στείλετε το αποθηκευμένο αίτημα στον διακομιστή.
Είναι πολύ πιθανό ότι αυτό θα προκαλέσει ένα σφάλμα όπως Socket not writable επειδή η σύνδεση δεν διαρκεί αρκετά για να στείλει τα δεδομένα με το RETR. Προτάσεις για να προσπαθήσετε να το αποφύγετε είναι:
Αν στέλνετε ένα HTTP αίτημα, βάλτε το ίδιο αίτημα το ένα μετά το άλλο μέχρι ~0.5MB τουλάχιστον. Έτσι:
Προσπαθήστε να γεμίσετε το αίτημα με "σκουπίδια" δεδομένα σχετικά με το πρωτόκολλο (μιλώντας για FTP ίσως απλά σκουπίδια εντολές ή επαναλαμβάνοντας την εντολή RETR για να αποκτήσετε το αρχείο)
Απλά γεμίστε το αίτημα με πολλούς μηδενικούς χαρακτήρες ή άλλους (διαχωρισμένους σε γραμμές ή όχι)
Ούτως ή άλλως, εδώ έχετε ένα παλιό παράδειγμα για το πώς να καταχραστείτε αυτό για να κάνετε έναν διακομιστή FTP να κατεβάσει ένα αρχείο από έναν διαφορετικό διακομιστή FTP.
FileZilla συνήθως δεσμεύει σε τοπικό μια Διοικητική υπηρεσία για τον FileZilla-Server (θύρα 14147). Αν μπορείτε να δημιουργήσετε ένα τούνελ από τη μηχανή σας για να αποκτήσετε πρόσβαση σε αυτή τη θύρα, μπορείτε να συνδεθείτε σε αυτήν χρησιμοποιώντας έναν κενό κωδικό πρόσβασης και να δημιουργήσετε έναν νέο χρήστη για την υπηρεσία FTP.
Η προεπιλεγμένη ρύθμιση του vsFTPd μπορεί να βρεθεί στο /etc/vsftpd.conf. Εδώ, μπορείτε να βρείτε μερικές επικίνδυνες ρυθμίσεις:
anonymous_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_root=/home/username/ftp - Κατάλογος για ανώνυμους.
chown_uploads=YES - Αλλαγή ιδιοκτησίας των ανώνυμα ανεβασμένων αρχείων
chown_username=username - Χρήστης που αποκτά την ιδιοκτησία των ανώνυμα ανεβασμένων αρχείων
local_enable=YES - Ενεργοποίηση τοπικών χρηστών για σύνδεση
no_anon_password=YES - Μην ζητάτε από τον ανώνυμο κωδικό πρόσβασης
write_enable=YES - Επιτρέψτε τις εντολές: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE, και SITE
ftp
port:21
Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
