Уязвимость протокола FTP

Протокол FTP регламентирует обмен информацией между сервером и клиентом FTP по сети TCP/IP при передаче файлов. Для выполнения передачи файлов FTP-клиент открывает на FTP-сервере два TCP-соединения (т.е. соединения, обмен с которыми регламентируется протоколом TCP). Первое соединение реализует канал передачи команд, а второе соединение - канал передачи данных. Для канала передачи команд на стороне FTP-сервера открывается стандартный порт с номером 21. Для канала передачи данных на стороне сервера порт может быть открыт двояким образом.

• В активном режиме клиент открывает на своей стороне пассивный (т.е. находящийся в режиме прослушивания) порт с произвольным номером, обычно с номером выше 1023, и передает его серверу, который в ответ открывает стандартный порт с номером 20. Для передачи или приема данных сервер устанавливает соединение с указанным номером порта клиента и открывает канал данных.

• В пассивном режиме клиент также открывает на своей стороне пассивный порт и передает серверу команду перехода в пассивный режим. В ответ сервер открывает пассивный порт с произвольным номером и передает его клиенту. Для передачи данных клиент открывает соединение с указанным портом и открывает канал данных.

Таким образом, в активном режиме открытие соединения TCP инициирует сервер, а в пассивном - клиент. Указанные тонкости открытия FTP-доступа часто усложняют защиту соединения по протоколу FTP при использовании программ брандмауэров, поскольку заранее не известен номер порта, защиту которого следует настроить. И если администратор бастионного хоста сделает ошибку в настройке брандмауэра, у хакера появляется шанс. Эта ошибка называется нестрогим списком ACL.