2023年冬天，洞攻某省级运营商机房的洞攻一台老服务器被拖进黑名单。原因不是洞攻它自己出了故障，而是洞攻它成了FTP漏洞的跳板——攻击者用匿名登录上传了一个PHP webshell，然后通过这个shell横向渗透了内网三台数据库服务器。洞攻事后排查发现，洞攻那台FTP服务用的洞攻是vsftpd 2.3.4，一个2011年就爆出后门漏洞的洞攻版本。十二年没升级，洞攻等于把大门钥匙插在锁上还贴了张纸条：“欢迎光临”。洞攻

FTP这东西，洞攻设计之初就没怎么考虑安全。洞攻1971年问世，洞攻比TCP/IP协议还早两年。洞攻明文传输账号密码，洞攻数据通道和控制通道分离，被动模式随机开端口——每一条特性在今天的网络环境里都是隐患。但偏偏它又活得特别久，很多企业内部的文件分发、设备固件更新、甚至某些工控系统的配置备份，还在跑FTP。老系统不敢动，新系统懒得换，于是漏洞就像墙角裂缝，越裂越深。

最常见的攻击路径其实很朴素：扫端口。21端口开着，返回一个“220 (vsFTPd 2.3.4)”，攻击者眼睛就亮了。vsftpd 2.3.4的后门触发方式是在用户名末尾加“:)”，比如“user:)”，服务器会在6200端口开一个shell。这个细节在Exploit-DB上挂了十几年，Metasploit里一个模块就能打。我见过一个案例，某高校实验室的FTP服务器被扫到后，攻击者连密码都没猜，直接笑脸符号进去，留了个IRC bot就走。管理员三个月后才发现，因为那台机器平时根本没人登录。

另一种常见的是匿名登录配置不当。FTP服务器允许anonymous用户，而且匿名用户有写权限。攻击者上传一个.asp或者.php文件到Web可访问目录，如果FTP根目录和Web根目录重合——很多偷懒的部署就是这样——那就是一个现成的webshell。2019年某电商平台的一次数据泄露，源头就是运营人员图方便，把商品图片的FTP上传目录设成了Web目录的子集，匿名可写。攻击者传了个一句话木马，三天后拖走了二十万条订单记录。

暴力破解反而显得笨拙，但架不住有人用。Hydra或者Medusa跑字典，针对的是那些用“admin/123456”或者“ftp/ftp”的账户。2022年我帮一个朋友看他的小服务器，日志里全是来自巴西和俄罗斯IP的登录失败记录，每秒三四次。他设的密码是“Company2022”，字典跑两天就破了。攻击者进去后没干别的，把FTP根目录改成了某个盗版软件的下载站，他的服务器变成了分发节点。

防御这事，说复杂也复杂，说简单也简单。能不用FTP就不用，SFTP或者FTPS替代，一条命令的事。非要跑FTP，至少把版本升到最新，关掉匿名登录，限制用户目录权限，再套个fail2ban。但现实是，很多运维人员觉得“内网没人看”，或者“就传个文件能出什么事”。直到某天收到IDC的流量异常告警，才发现服务器已经在往外发垃圾邮件了。

FTP漏洞攻击没什么高深技术，它利用的是人的惰性和系统的惯性。一个用了二十年的协议，一群不想改配置的人，中间夹着几个永远不补的洞。攻击者不需要多聪明，只需要比管理员勤快一点——扫一遍全网21端口，总有几个笑脸符号在等着。