21 - Pentesting FTP
Grupo de Seguridad Try Hard
Información Básica
El Protocolo de Transferencia de Archivos (FTP) sirve como un protocolo estándar para la transferencia de archivos a través de una red informática entre un servidor y un cliente.
Es un protocolo de texto plano que utiliza como carácter de nueva línea 0x0d 0x0a
por lo que a veces necesitas conectar usando telnet
o nc -C
.
Puerto Predeterminado: 21
Conexiones Activas y Pasivas
En FTP Activo, el cliente FTP primero inicia la conexión de control desde su puerto N al puerto de comando del servidor FTP, que es el puerto 21. Luego, el cliente escucha en el puerto N+1 y envía el puerto N+1 al servidor FTP. El servidor FTP luego inicia la conexión de datos desde su puerto M al puerto N+1 del cliente FTP.
Sin embargo, si el cliente FTP tiene un firewall configurado que controla las conexiones de datos entrantes desde el exterior, entonces el FTP activo puede ser un problema. Y, una solución factible para eso es el FTP Pasivo.
En FTP Pasivo, el cliente inicia la conexión de control desde su puerto N al puerto 21 del servidor FTP. Después de esto, el cliente emite un comando passv. El servidor luego envía al cliente uno de sus números de puerto M. Y el cliente inicia la conexión de datos desde su puerto P al puerto M del servidor FTP.
Fuente: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/
Depuración de Conexiones
Los comandos debug
y trace
de FTP se pueden utilizar para ver cómo se está produciendo la comunicación.
Enumeración
Captura de Banner
Conectar a FTP usando starttls
Enumeración sin autenticación
Con nmap
Puedes usar los comandos HELP
y FEAT
para obtener información del servidor FTP:
Inicio de sesión anónimo
anonymous : anonymous anonymous : ftp : ftp
Aquí puedes encontrar una lista útil con credenciales ftp por defecto: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt
Automatizado
Las comprobaciones de inicio de sesión anónimo y rebote FTP se realizan de forma predeterminada por nmap con la opción -sC o:
Conexión del navegador
Puedes conectarte a un servidor FTP utilizando un navegador (como Firefox) usando una URL como:
Ten en cuenta que si una aplicación web está enviando datos controlados por un usuario directamente a un servidor FTP, puedes enviar una doble codificación de URL %0d%0a
(en doble codificación de URL esto es %250d%250a
) y hacer que el servidor FTP realice acciones arbitrarias. Una de estas posibles acciones arbitrarias es descargar contenido de un servidor controlado por un usuario, realizar un escaneo de puertos o intentar comunicarse con otros servicios basados en texto sin formato (como http).
Descargar todos los archivos del FTP
Si tu usuario/contraseña tiene caracteres especiales, se puede usar el siguiente comando:
Algunos comandos FTP
USER nombredeusuario
PASS contraseña
HELP
El servidor indica qué comandos son compatibles**
PORT 127,0,0,1,0,80
** Esto indicará al servidor FTP establecer una conexión con la IP 127.0.0.1 en el puerto 80 (debes poner el quinto carácter como "0" y el sexto como el puerto en decimal o usar el quinto y sexto para expresar el puerto en hexadecimal).**
EPRT |2|127.0.0.1|80|
** Esto indicará al servidor FTP establecer una conexión TCP (indicado por "2") con la IP 127.0.0.1 en el puerto 80. Este comando soporta IPv6.LIST
Esto enviará la lista de archivos en la carpeta actualLIST -R
Listar de forma recursiva (si el servidor lo permite)APPE /ruta/algo.txt
Esto indicará al FTP almacenar los datos recibidos de una conexión pasiva o de una conexión PORT/EPRT en un archivo. Si el nombre de archivo existe, se añadirán los datos.STOR /ruta/algo.txt
Similar aAPPE
pero sobrescribirá los archivosSTOU /ruta/algo.txt
Similar aAPPE
, pero si existe no hará nada.RETR /ruta/al/archivo
Se debe establecer una conexión pasiva o de puerto. Luego, el servidor FTP enviará el archivo indicado a través de esa conexiónREST 6
Esto indicará al servidor que la próxima vez que envíe algo usandoRETR
debe comenzar en el sexto byte.TYPE i
Establecer transferencia a binarioPASV
Esto abrirá una conexión pasiva e indicará al usuario dónde puede conectarsePUT /tmp/archivo.txt
Subir el archivo indicado al FTP
Ataque FTPBounce
Algunos servidores FTP permiten el comando PORT. Este comando se puede usar para indicar al servidor que desea conectarse a otro servidor FTP en algún puerto. Luego, puedes usar esto para escanear qué puertos de un host están abiertos a través de un servidor FTP.
Aprende aquí cómo abusar de un servidor FTP para escanear puertos.
También podrías abusar de este comportamiento para hacer que un servidor FTP interactúe con otros protocolos. Podrías subir un archivo que contenga una solicitud HTTP y hacer que el servidor FTP vulnerable la envíe a un servidor HTTP arbitrario (¡quizás para agregar un nuevo usuario administrador!) o incluso subir una solicitud FTP y hacer que el servidor FTP vulnerable descargue un archivo para un servidor FTP diferente. La teoría es sencilla:
Sube la solicitud (dentro de un archivo de texto) al servidor vulnerable. Recuerda que si deseas comunicarte con otro servidor HTTP o FTP, debes cambiar las líneas con
0x0d 0x0a
Usa
REST X
para evitar enviar los caracteres que no deseas enviar (quizás para subir la solicitud dentro del archivo necesitabas poner algún encabezado de imagen al principio)Usa
PORT
para conectarte al servidor y servicio arbitrariosUsa
RETR
para enviar la solicitud guardada al servidor.
Es muy probable que esto genere un error como Socket no escribible porque la conexión no dura lo suficiente para enviar los datos con RETR
. Algunas sugerencias para intentar evitar eso son:
Si estás enviando una solicitud HTTP, pon la misma solicitud una tras otra hasta ~0.5MB como mínimo. Así:
Intenta llenar la solicitud con datos "basura" relativos al protocolo (hablando con FTP quizás solo comandos basura o repitiendo la instrucción
RETR
para obtener el archivo)Simplemente llena la solicitud con muchos caracteres nulos u otros (divididos en líneas o no)
De todos modos, aquí tienes un ejemplo antiguo sobre cómo abusar de esto para hacer que un servidor FTP descargue un archivo de un servidor FTP diferente.
Vulnerabilidad del Servidor Filezilla
FileZilla generalmente se vincula a un servicio administrativo local para el Servidor FileZilla (puerto 14147). Si puedes crear un túnel desde tu máquina para acceder a este puerto, puedes conectarte a él usando una contraseña en blanco y crear un nuevo usuario para el servicio FTP.
Archivos de configuración
Post-Explotación
La configuración predeterminada de vsFTPd se puede encontrar en /etc/vsftpd.conf
. Aquí, podrías encontrar algunas configuraciones peligrosas:
anonymous_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_root=/home/username/ftp
- Directorio para anónimos.chown_uploads=YES
- Cambiar la propiedad de los archivos cargados de forma anónimachown_username=username
- Usuario al que se le da la propiedad de los archivos cargados de forma anónimalocal_enable=YES
- Permitir a los usuarios locales iniciar sesiónno_anon_password=YES
- No pedir contraseña a los anónimoswrite_enable=YES
- Permitir comandos: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE y SITE
Shodan
ftp
port:21
Try Hard Security Group
Comandos Automáticos de HackTricks
Última actualización