一台暴露在公网上的名访FTP服务器，如果开了匿名访问，问漏等于在门口挂了个牌子：“贵重物品，名访请自取”。问漏这绝不是名访危言耸听。2019年，问漏某知名安全公司扫描发现，名访全球仍有超过120万台FTP服务器允许匿名登录。问漏其中相当一部分属于企业内网设备，名访只是问漏因为防火墙规则失误被“晒”了出来。匿名登录意味着什么？名访不需要用户名，不需要密码，问漏输入“anonymous”或者“ftp”，名访邮箱随便填个格式，问漏你就进去了。名访就这么简单。

我见过最离谱的一次测试，是在某制造企业的文件服务器上。匿名登录后，目录里躺着一份Excel表格，文件名就叫“2020年供应商合同及付款计划”。打开一看，几百条记录，金额、账号、联系人电话，一应俱全。整个过程不到五分钟，没有触发任何告警。那个服务器的系统日志显示，过去三个月里，已经有来自17个不同IP地址的匿名访问记录——显然，我不是第一个“客人”。

问题出在哪？很多时候不是管理员故意开放匿名，而是安装FTP服务时的默认选项没改。比如vsftpd，某些版本安装后默认允许匿名下载，只是不开放上传。又比如Windows自带的IIS FTP，在配置向导里如果手快点了“允许匿名连接”，后续权限设置又没跟上，漏洞就埋下了。更麻烦的是，很多老旧设备，比如打印机、网络摄像头、NAS，它们内置的FTP服务根本没有关闭匿名访问的选项——固件写死了，你只能干瞪眼。

匿名访问的真正危险不只是泄露文件。如果FTP目录允许匿名写入，那就成了恶意软件的中转站。攻击者上传一个PHP webshell（如果服务器还开了Web服务且目录有交集），或者存放钓鱼邮件附件、勒索病毒样本，你的服务器就成了“跳板”。曾有案例，某高校FTP服务器被匿名上传了一个恶意APK文件，然后被用来向校内学生群发短信链接，诱导下载。最后溯源时发现，FTP只是被利用的工具，真正的受害者是那些点击了链接的学生。

修复手段其实很粗暴。第一，直接在FTP配置里禁用匿名登录——vsftpd里设置anonymous_enable=NO，IIS里取消勾选匿名访问。第二，如果业务确实需要匿名下载，那就把匿名用户的权限锁死在一个只读目录里，且该目录与任何Web根目录物理隔离。第三，别忘检查防火墙规则，确认FTP端口（21/TCP）只对必要的IP段开放，而不是暴露在0.0.0.0/0。用nmap扫一下自己的公网IP，看看21端口是不是开着，如果开着，再用ftp -a试试能不能匿名登录——这一条命令就能验证你的暴露面。

说句实话，很多漏洞不是技术门槛高，而是懒。管理员默认配置跑三年不更新，设备采购回来插上网线就不管了。匿名访问漏洞就像家里大门没锁——不是小偷技术高超，是你自己把钥匙插在了锁孔里还转了一圈。关掉它，五分钟的事。不关，就是给全网黑客留了一份长期有效的“邀请函”。

(责任编辑：休闲)