扫描ftp服务器

一台没打补丁的扫描vsftpd服务器，在Shodan上暴露了不到六小时，扫描就被扫走了整个/etc/passwd。扫描这不是扫描段子，是扫描我上周帮朋友排查一起数据泄露时看到的真实日志。攻击者根本没用什么高级漏洞，扫描只是扫描连上去试了试匿名登录，然后就进去了。扫描

扫描FTP服务器这件事，扫描说穿了就是扫描在找那些“忘了关门”的机器。FTP协议诞生于1971年，扫描那会儿网络安全这个概念基本不存在。扫描明文传输、扫描弱口令、扫描匿名访问——这些问题到今天依然遍地都是扫描。你随便拿个nmap，对着一个B段跑一遍ftp-anon脚本，半小时内总能捞出几台让你随便读写的机器。

先搞清楚你要扫什么

FTP服务默认跑在21端口，控制连接走这里。但数据连接就不一定了，主动模式下服务器从20端口往回连，被动模式下随机开一个高位端口。很多防火墙只放行了21，结果被动模式一传输就卡死。所以扫描的时候别只盯着21，ftp-data的20端口也得看一眼。

nmap的基本命令长这样：

nmap -p 21 --script ftp-anon,ftp-brute,ftp-syst 192.168.1.0/24

ftp-anon检测匿名登录，ftp-brute跑字典爆破，ftp-syst抓服务器返回的SYST信息——有些老版本vsftpd和ProFTPD会直接告诉你版本号，省得你自己猜。我一般还会加上-sV做版本探测，-O识别操作系统。速度别调太快，-T4足够了，-T5容易把老设备打崩。

匿名登录：最容易被忽略的入口

很多人以为匿名FTP就是让用户下个文件，没什么大不了。但配置不当的匿名目录经常连着整个磁盘分区。我见过一台CentOS机器，/var/ftp直接软链到了/，匿名用户cd /etc就能读shadow文件。vsftpd默认配置里anonymous_enable=YES是开着的，装完不关的人一抓一大把。

用ftp命令行手动试最快：

ftp 192.168.1.100 Name: anonymous Password: （随便填个邮箱）

登进去之后先ls -la看看权限，再试试cd ..能不能往上跳。如果pwd显示的是/而不是/var/ftp，那这台机器基本等于裸奔。

爆破这件事，字典比工具重要

hydra和medusa都能跑FTP爆破，但决定成败的是字典。FTP服务器有个特点：很多管理员图省事，用户名和密码设成一样的。ftp:ftp、admin:admin、test:test——这类组合在内部网络里命中率高得离谱。我自己的字典里前100条永远是这些“经典款”，比什么rockyou.txt前面几千条都管用。

还有个细节：FTP服务器对失败登录的响应速度。有些配置了delay_failed_login，每次失败等几秒，爆破效率直接归零。遇到这种就别硬爆了，换思路，去看看有没有匿名可写目录，往里面扔个.forward或者.ssh目录试试。

扫完之后看什么

拿到访问权限只是第一步。真正有价值的是看服务器上跑了什么、连了谁。FTP的SITE命令有时候能执行系统命令，STAT能看当前连接，HELP能列出所有支持的指令——有些服务器会暴露SITE EXEC这种危险功能。

日志文件也值得翻。很多管理员把FTP日志放在Web目录下，/var/log/vsftpd.log直接能通过HTTP访问。里面记录了所有登录尝试的IP和用户名，等于把攻击面又扩大了一圈。

扫描FTP服务器这件事，技术含量真不高。它更像是在提醒你：那些看起来“能用就行”的老服务，往往就是最薄的那层纸。我见过太多人把精力花在WAF和EDR上，结果21端口连个防火墙规则都没加。攻击者不傻，哪扇门开着就往哪走。