ftp弱口令漏洞

2019年，口令某安全公司对某省级政务外网做渗透测试。漏洞扫描器跑完一轮，口令结果里躺着一条毫不起眼的漏洞记录：某台老旧服务器开着FTP服务，端口21，口令允许匿名登录。漏洞测试人员随手敲了个`anonymous`，口令密码留空，漏洞回车——进去了。口令目录里躺着的漏洞是全省下辖各市的人事档案压缩包，整整12GB，口令没加密。漏洞那台服务器的口令管理员密码，是漏洞`123456`。

FTP弱口令这回事，口令说穿了就是服务器把大门钥匙挂在门框上，谁路过都能摘下来开门。它不像零日漏洞那样需要高超技巧，也不像APT攻击那样讲究隐蔽潜伏。你只需要一个暴力破解工具，比如Hydra或者Medusa，对着IP段跑上一夜，总有几个密码是`admin`、`root`、`password`的幸运儿等着你。攻击成本低到几乎可以忽略不计，收益却可能高得吓人。

我见过最离谱的一次，是某制造企业的FTP服务器，账号`ftpuser`，密码`ftp123`，跑的是企业内部的图纸和采购合同。负责维护的IT小哥说，这密码从2008年设了就没改过，因为“内网嘛，没人会闲得慌来扫”。问题是，他们的FTP服务映射到了公网——用Shodan一搜，开放21端口的IP一抓一大把，其中相当一部分是中小企业的文件服务器。

弱口令的根子，在于人对“方便”的偏好压过了对“风险”的感知。管理员图省事，设个简单密码；员工图快，把账号密码写在便签纸上贴在显示器边框。更麻烦的是，很多FTP服务承载的是业务系统之间的文件交换，一旦被攻破，攻击者不只是能下载文件——还能上传。上传意味着什么？意味着你可以把webshell丢进服务器的web目录，意味着你可以篡改同步给其他系统的数据文件，意味着你可以植入勒索病毒，等着第二天上班的人去双击。

有个案例我得提一下。某物流公司的FTP服务器被爆破，攻击者没下载数据，而是把所有文件替换成了同名空文件，然后留了封勒索信。公司IT恢复数据花了三天，期间所有运输单据无法同步，几十辆货车在高速上等着纸质确认单。损失算下来，比直接交赎金还贵。而这一切的起因，只是密码设了`ftp2020`——那年是2020年，管理员图个好记。

别指望防火墙能挡住这种攻击。FTP服务必须开放21端口，你没法用ACL把它藏起来。也别太依赖入侵检测系统——爆破流量和正常登录尝试在特征上很难区分，除非你专门盯着登录失败次数做告警，但大多数中小企业的运维根本没空看日志。

该怎么做？说白了就三步：禁用匿名登录，强制强密码，开启登录失败锁定。密码至少要12位，混合大小写、数字、符号，别用公司名加年份这种套路。再把FTP换成SFTP或者FTPS，至少数据是加密传输的——很多弱口令漏洞被利用后，攻击者用嗅探器抓到的还是明文密码。如果业务允许，干脆用VPN拨号后再访问FTP，把服务从公网上撤下来。

现实是，很多管理员觉得“我这儿没什么值钱东西”。可攻击者不这么想。他们要的只是你的服务器当跳板，或者拿你的数据当勒索筹码。FTP弱口令就像你家门锁是那种老式弹子锁，小偷用张塑料卡片就能捅开——你屋里可能没值钱东西，但小偷可以住进来，等你出门时反手把门锁换了。到那时候，你连自己家都进不去。