21 - Pentesting FTP
Try Hard Security Group
Βασικές Πληροφορίες
Το Πρωτόκολλο Μεταφοράς Αρχείων (FTP) λειτουργεί ως πρότυπο πρωτόκολλο για τη μεταφορά αρχείων σε έναν υπολογιστικό δίκτυο μεταξύ ενός διακομιστή και ενός πελάτη.
Είναι ένα πρωτόκολλο κειμένου που χρησιμοποιεί ως χαρακτήρα νέας γραμμής 0x0d 0x0a
και γι' αυτό μερικές φορές χρειάζεται να συνδεθείτε χρησιμοποιώντας το telnet
ή το nc -C
.
Προεπιλεγμένη Θύρα: 21
Ενεργές & Παθητικές Συνδέσεις
Στο Ενεργό FTP, ο FTP πελάτης πρώτα εκκινεί τη σύνδεση ελέγχου από τη θύρα N του προς τη θύρα εντολών του FTP Διακομιστή - θύρα 21. Ο πελάτης στη συνέχεια ακούει στη θύρα N+1 και στέλνει τη θύρα N+1 στον FTP Διακομιστή. Ο FTP Διακομιστής στη συνέχεια εκκινεί τη σύνδεση δεδομένων, από τη θύρα M του προς τη θύρα N+1 του FTP Πελάτη.
Ωστόσο, αν ο FTP Πελάτης έχει μια ρύθμιση του τοίχου πυρασφάλειας που ελέγχει τις εισερχόμενες συνδέσεις δεδομένων από έξω, τότε το ενεργό FTP μπορεί να αποτελέσει πρόβλημα. Και, μια εφικτή λύση γι' αυτό είναι το Παθητικό FTP.
Στο Παθητικό FTP, ο πελάτης εκκινεί τη σύνδεση ελέγχου από τη θύρα N προς τη θύρα 21 του FTP Διακομιστή. Μετά από αυτό, ο πελάτης εκδίδει μια εντολή passv. Ο διακομιστής στέλνει στον πελάτη έναν από τους αριθμούς θύρας του, Μ. Και ο πελάτης εκκινεί τη σύνδεση δεδομένων από τη θύρα P του προς τη θύρα M του FTP Διακομιστή.
Πηγή: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/
Αποσφαλμάτωση Σύνδεσης
Οι FTP εντολές debug
και trace
μπορούν να χρησιμοποιηθούν για να δούμε πώς εμφανίζεται η επικοινωνία.
Απαρίθμηση
Ανάκτηση Μπάνερ
Σύνδεση στο FTP χρησιμοποιώντας το starttls
Ανεξουθενετική απαρίθμηση
Με το nmap
Μπορείτε να χρησιμοποιήσετε τις εντολές HELP
και FEAT
για να λάβετε πληροφορίες για τον διακομιστή FTP:
Ανώνυμη σύνδεση
anonymous : anonymous anonymous : ftp : ftp
Εδώ μπορείτε να βρείτε μια ωραία λίστα με προεπιλεγμένα διαπιστευτήρια ftp: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt
Αυτοματοποιημένο
Οι έλεγχοι ανώνυμης σύνδεσης και αναπήδησης FTP εκτελούνται προεπιλεγμένα από το nmap με την επιλογή -sC ή:
Σύνδεση μέσω περιηγητή
Μπορείτε να συνδεθείτε σε έναν διακομιστή FTP χρησιμοποιώντας έναν περιηγητή (όπως ο Firefox) χρησιμοποιώντας ένα URL όπως:
Σημειώστε ότι εάν μια εφαρμογή web στέλνει δεδομένα που ελέγχει ο χρήστης απευθείας σε έναν διακομιστή FTP, μπορείτε να στείλετε διπλό κωδικοποιημένο URL %0d%0a
(σε διπλή κωδικοποίηση URL αυτό είναι %250d%250a
) bytes και να κάνετε τον FTP server να εκτελέσει αυθαίρετες ενέργειες. Μία από αυτές τις πιθανές αυθαίρετες ενέργειες είναι η λήψη περιεχομένου από έναν διακομιστή που ελέγχει ο χρήστης, η πραγματοποίηση σάρωσης θυρών ή η προσπάθεια επικοινωνίας με άλλες υπηρεσίες βασισμένες σε απλό κείμενο (όπως το http).
Λήψη όλων των αρχείων από το FTP
Αν ο χρήστης/κωδικός πρόσβασής σας περιέχει ειδικούς χαρακτήρες, μπορεί να χρησιμοποιηθεί η ακόλουθη εντολή:
Μερικές εντολές FTP
USER username
PASS password
HELP
Ο διακομιστής υποδεικνύει ποιες εντολές υποστηρίζονται**
PORT 127,0,0,1,0,80
**Αυτό θα υποδείξει στο διακομιστή FTP να καθιερώσει μια σύνδεση με τη διεύθυνση IP 127.0.0.1 στη θύρα 80 (πρέπει να βάλετε τον 5ο χαρακτήρα ως "0" και τον 6ο ως τη θύρα σε δεκαδική μορφή ή να χρησιμοποιήσετε τον 5ο και 6ο για να εκφράσετε τη θύρα σε δεκαεξαδική μορφή).**
EPRT |2|127.0.0.1|80|
**Αυτό θα υποδείξει στο διακομιστή FTP να καθιερώσει μια σύνδεση TCP (υποδεικνύεται από το "2") με τη διεύθυνση IP 127.0.0.1 στη θύρα 80. Αυτή η εντολή υποστηρίζει IPv6.LIST
Αυτό θα στείλει τη λίστα των αρχείων στον τρέχοντα φάκελοLIST -R
Λίστα αναδρομικά (εάν επιτρέπεται από τον διακομιστή)APPE /path/something.txt
Αυτό θα υποδείξει στο FTP να αποθηκεύσει τα δεδομένα που λαμβάνει από μια παθητική σύνδεση ή από μια σύνδεση PORT/EPRT σε ένα αρχείο. Εάν το όνομα αρχείου υπάρχει, θα προσθέσει τα δεδομένα.STOR /path/something.txt
Όπως τοAPPE
αλλά θα αντικαταστήσει τα αρχείαSTOU /path/something.txt
Όπως τοAPPE
, αλλά αν υπάρχει δεν θα κάνει τίποτα.RETR /path/to/file
Πρέπει να καθιερωθεί μια παθητική ή μια σύνδεση port. Στη συνέχεια, ο διακομιστής FTP θα στείλει το αναφερόμενο αρχείο μέσω αυτής της σύνδεσηςREST 6
Αυτό θα υποδείξει στο διακομιστή ότι την επόμενη φορά που θα στείλει κάτι χρησιμοποιώντας τοRETR
θα πρέπει να ξεκινήσει από τον 6ο χαρακτήρα.TYPE i
Ορίζει τη μεταφορά σε δυαδική μορφήPASV
Αυτό θα ανοίξει μια παθητική σύνδεση και θα υποδείξει στον χρήστη πού μπορεί να συνδεθείPUT /tmp/file.txt
Ανεβάζει το αναφερόμενο αρχείο στο FTP
Επίθεση FTPBounce
Ορισμένοι διακομιστές FTP επιτρέπουν την εντολή PORT. Αυτή η εντολή μπορεί να χρησιμοποιηθεί για να υποδείξετε στο διακομιστή ότι θέλετε να συνδεθείτε σε άλλο διακομιστή FTP σε κάποια θύρα. Έπειτα, μπορείτε να χρησιμοποιήσετε αυτό για να σαρώσετε ποιες θύρες ενός υπολογιστή είναι ανοιχτές μέσω ενός διακομιστή FTP.
Μάθετε εδώ πώς να καταχραστείτε έναν διακομιστή FTP για να σαρώσετε θύρες.
Μπορείτε επίσης να καταχραστείτε αυτήν τη συμπεριφορά για να κάνετε έναν διακομιστή FTP να αλληλεπιδρά με άλλα πρωτόκολλα. Μπορείτε να ανεβάσετε ένα αρχείο που περιέχει μια αίτηση HTTP και να κάνετε το ευάλωτο διακομιστή FTP να τη στείλει σε έναν αυθαίρετο διακομιστή HTTP (ίσως για να προσθέσετε ένα νέο διαχειριστή χρηστών?) ή ακόμα και να ανεβάσετε μια αίτηση FTP και να κάνετε τον ευάλωτο διακομιστή FTP να κατεβάσει ένα αρχείο για έναν διαφορετικό διακομιστή FTP. Η θεωρία είναι εύκολη:
Ανεβάστε την αίτηση (μέσα σε ένα αρχείο κειμένου) στον ευάλωτο διακομιστή. Θυμηθείτε ότι εάν θέλετε να μιλήσετε με έναν άλλο διακομιστή HTTP ή FTP πρέπει να αλλάξετε γραμμές με
0x0d 0x0a
Χρησιμοποιήστε το
REST X
για να αποφύγετε την αποστολή των χαρακτήρων που δεν θέλετε να στείλετε (ίσως για να ανεβάσετε την αίτηση μέσα στο αρχείο χρειάστηκε να βάλετε κάποια κεφαλίδα εικόνας στην αρχή)Χρησιμοποιήστε το
PORT
για να συνδεθείτε στον αυθαίρετο διακομιστή και υπηρεσίαΧρησιμοποιήστε το
RETR
για να στείλετε την αποθηκευμένη αίτηση στον διακομιστή.
Είναι πολύ πιθανό αυτό να εμφανίσει ένα σφάλμα όπως Μη εγγράψιμο socket επειδή η σύνδεση δεν διαρκεί αρκετά για να στείλει τα δεδομένα με το RETR
. Προτάσεις για να προσπαθήσετε να αποφύγετε αυτό είναι:
Εάν στέλνετε μια αίτηση HTTP, βάλτε την ίδια αίτηση μία μετά την άλλη μέχρι τα ~0.5MB τουλάχιστον. Όπως εδώ:
Δοκιμάστε να γεμίσετε την αίτηση με "άχρηστα" δεδομένα σχετικά με το πρωτόκολλο (μιλώντας με FTP ίσως απλώς άχρηστες εντολές ή επανάληψη της εντολής
RETR
για να πάρετε το αρχείο)Απλά γεμίστε την αίτηση με πολλούς μηδενικούς χαρακτήρες ή άλλους (διαιρούμενους σε γραμμές ή όχι)
Πάντως, εδώ έχετε ένα παλιό παράδειγμα για το πώς να καταχραστείτε αυτό για να κάνετε έναν διακομιστή FTP να κατεβάσει ένα αρχείο από έναν διαφορετικό διακομιστή FTP.
Ευπάθεια του Filezilla Server
Το FileZilla συνήθως δένεται σε ένα τοπικό διαχειριστικό υπηρεσίας για το FileZilla-Server (θύρα 14147). Εάν μπορείτε να δημιουργήσετε ένα τούνελ από τον υπολογιστή σας για να έχετε πρόσβαση σε αυτήν τη θύρα, μπορείτε να συνδεθείτε σε αυτήν χρησιμοποιώντας ένα κενό κωδικό πρόσβασης και να δημιουργήσετε έναν νέο χρήστη για την υπηρεσία FTP.
Αρχεία ρυθμίσεων
Post-Exploitation
Η προεπιλεγμένη διαμόρφωση του vsFTPd μπορεί να βρεθεί στο /etc/vsftpd.conf
. Εδώ, μπορείτε να βρείτε μερικές επικίνδυνες ρυθμίσεις:
anonymous_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_root=/home/username/ftp
- Κατάλογος για ανώνυμους.chown_uploads=YES
- Αλλαγή κυριότητας αρχείων που ανεβάζονται ανώνυμαchown_username=username
- Χρήστης που δίνεται κυριότητα ανεβασμένων αρχείων ανώνυμαlocal_enable=YES
- Ενεργοποίηση τοπικών χρηστών για σύνδεσηno_anon_password=YES
- Να μην ζητηθεί κωδικός από ανώνυμοwrite_enable=YES
- Επιτρέπει τις εντολές: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE, και SITE
Shodan
ftp
port:21
Try Hard Security Group
HackTricks Automatic Commands
Last updated