hacktricks/network-services-pentesting/pentesting-ftp/README.md

# 21 - Pentesting FTP

<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
* Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtén el [**swag oficial de PEASS y HackTricks**](https://peass.creator-spring.com)
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **sígueme** en **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Comparte tus trucos de hacking enviando PR al [repositorio de hacktricks](https://github.com/carlospolop/hacktricks) y al [repositorio de hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>

## Información básica

El **Protocolo de transferencia de archivos (FTP)** es un protocolo de red estándar utilizado para la transferencia de archivos de computadora entre un cliente y un servidor en una red de computadoras.\
Es un protocolo de **texto plano** que utiliza como **carácter de nueva línea `0x0d 0x0a`** por lo que a veces es necesario **conectarse usando `telnet`** o **`nc -C`**.

**Puerto predeterminado:** 21
```
PORT   STATE SERVICE
21/tcp open  ftp
```
### Conexiones activas y pasivas

En **FTP activo**, el **cliente** FTP primero **inicia** la **conexión de control** desde su puerto N al puerto de comando del servidor FTP, el puerto 21. El **cliente** luego **escucha** en el puerto **N+1** y envía el puerto N+1 al servidor FTP. El servidor FTP luego **inicia** la **conexión de datos** desde **su puerto M al puerto N+1** del cliente FTP.

Pero, si el cliente FTP tiene un firewall configurado que controla las conexiones de datos entrantes desde el exterior, entonces FTP activo puede ser un problema. Y, una solución factible para eso es FTP pasivo.

En **FTP pasivo**, el cliente inicia la conexión de control desde su puerto N al puerto 21 del servidor FTP. Después de esto, el cliente emite un **comando passv**. El servidor luego envía al cliente uno de sus números de puerto M. Y el **cliente** **inicia** la **conexión de datos** desde **su puerto P al puerto M** del servidor FTP.

Fuente: [https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/](https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/)

### Depuración de la conexión

Los comandos **`debug`** y **`trace`** de **FTP** se pueden usar para ver **cómo se está produciendo la comunicación**.

## Enumeración

### Banner Grabbing
```bash
nc -vn <IP> 21
openssl s_client -connect crossfit.htb:21 -starttls ftp #Get certificate if any
```
### Conectar a FTP usando starttls
```
lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login                       
Usage: login <user|URL> [<pass>]
lftp 10.10.10.208:~> login username Password
```
### Enumeración sin autenticación

Con **nmap**
```bash
sudo nmap -sV -p21 -sC -A 10.10.10.10
```
Puedes usar los comandos `HELP` y `FEAT` para obtener información del servidor FTP:
```
HELP
214-The following commands are recognized (* =>'s unimplemented):
214-CWD     XCWD    CDUP    XCUP    SMNT*   QUIT    PORT    PASV    
214-EPRT    EPSV    ALLO*   RNFR    RNTO    DELE    MDTM    RMD     
214-XRMD    MKD     XMKD    PWD     XPWD    SIZE    SYST    HELP    
214-NOOP    FEAT    OPTS    AUTH    CCC*    CONF*   ENC*    MIC*    
214-PBSZ    PROT    TYPE    STRU    MODE    RETR    STOR    STOU    
214-APPE    REST    ABOR    USER    PASS    ACCT*   REIN*   LIST    
214-NLST    STAT    SITE    MLSD    MLST    
214 Direct comments to root@drei.work

FEAT
211-Features:
 PROT
 CCC
 PBSZ
 AUTH TLS
 MFF modify;UNIX.group;UNIX.mode;
 REST STREAM
 MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.mode*;UNIX.owner*;
 UTF8
 EPRT
 EPSV
 LANG en-US
 MDTM
 SSCN
 TVFS
 MFMT
 SIZE
211 End

STAT
#Info about the FTP server (version, configs, status...)
```
### Acceso anónimo

_anonymous : anonymous_\
_anonymous :_\
_ftp : ftp_
```bash
ftp <IP>
>anonymous
>anonymous
>ls -a # List all files (even hidden) (yes, they could be hidden)
>binary #Set transmission to binary instead of ascii
>ascii #Set transmission to ascii instead of binary
>bye #exit
```
### [Fuerza bruta](../../generic-methodologies-and-resources/brute-force.md#ftp)

Aquí puedes encontrar una buena lista con credenciales FTP por defecto: [https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt)

### Automatizado

Las comprobaciones de inicio de sesión anónimo y de rebote FTP se realizan por defecto con la opción **-sC** de nmap o:
```bash
nmap --script ftp-* -p 21 <ip>
```
## Conexión del navegador

Puedes conectarte a un servidor FTP usando un navegador (como Firefox) usando una URL como:
```bash
ftp://anonymous:anonymous@10.10.10.98
```
Ten en cuenta que si una **aplicación web** está enviando datos controlados por un usuario **directamente a un servidor FTP**, puedes enviar doble codificación de URL `%0d%0a` (en doble codificación de URL esto es `%250d%250a`) y hacer que el **servidor FTP realice acciones arbitrarias**. Una de estas posibles acciones arbitrarias es descargar contenido desde un servidor controlado por el usuario, realizar un escaneo de puertos o intentar comunicarse con otros servicios basados en texto sin formato (como http).

## Descargar todos los archivos de FTP
```bash
wget -m ftp://anonymous:anonymous@10.10.10.98 #Donwload all
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98 #Download all
```
## Algunos comandos FTP

* **`USER nombre_de_usuario`**
* **`PASS contraseña`**
* **`HELP`** El servidor indica qué comandos son compatibles.
* **`PORT 127,0,0,1,0,80`** Esto indicará al servidor FTP que establezca una conexión con la IP 127.0.0.1 en el puerto 80 (_debe poner el quinto carácter como "0" y el sexto como el puerto en decimal o usar el quinto y sexto para expresar el puerto en hexadecimal_).
* **`EPRT |2|127.0.0.1|80|`** Esto indicará al servidor FTP que establezca una conexión TCP (_indicada por "2"_) con la IP 127.0.0.1 en el puerto 80. Este comando **admite IPv6**.
* **`LIST`** Esto enviará la lista de archivos en la carpeta actual.
  * **`LIST -R`** Lista de forma recursiva (si el servidor lo permite).
* **`APPE /ruta/algo.txt`** Esto indicará al FTP que almacene los datos recibidos de una conexión **pasiva** o de una conexión **PORT/EPRT** en un archivo. Si el nombre de archivo existe, se agregarán los datos.
* **`STOR /ruta/algo.txt`** Como `APPE`, pero sobrescribirá los archivos.
* **`STOU /ruta/algo.txt`** Como `APPE`, pero si existe, no hará nada.
* **`RETR /ruta/al/archivo`** Debe establecerse una conexión pasiva o de puerto. Luego, el servidor FTP enviará el archivo indicado a través de esa conexión.
* **`REST 6`** Esto indicará al servidor que la próxima vez que envíe algo usando `RETR`, debe comenzar en el sexto byte.
* **`TYPE i`** Establecer la transferencia a binaria.
* **`PASV`** Esto abrirá una conexión pasiva e indicará al usuario dónde puede conectarse.
* **`PUT /tmp/archivo.txt`** Cargar el archivo indicado en el FTP.

![](<../../.gitbook/assets/image (227).png>)

## Ataque FTPBounce

Algunos servidores FTP permiten el comando PORT. Este comando se puede usar para indicar al servidor que desea conectarse a otro servidor FTP en algún puerto. Luego, puede usar esto para escanear qué puertos de un host están abiertos a través de un servidor FTP.

[**Aprenda aquí cómo abusar de un servidor FTP para escanear puertos.**](ftp-bounce-attack.md)

También podría abusar de este comportamiento para hacer que un servidor FTP interactúe con otros protocolos. Podría **cargar un archivo que contenga una solicitud HTTP** y hacer que el servidor FTP vulnerable **la envíe a un servidor HTTP arbitrario** (_¿tal vez para agregar un nuevo usuario administrador?_) o incluso cargar una solicitud FTP y hacer que el servidor FTP vulnerable descargue un archivo para un servidor FTP diferente.\
La teoría es fácil:

1. **Cargue la solicitud (dentro de un archivo de texto) en el servidor vulnerable.** Recuerde que si desea hablar con otro servidor HTTP o FTP, debe cambiar las líneas con `0x0d 0x0a`.
2. **Use `REST X` para evitar enviar los caracteres que no desea enviar** (tal vez para cargar la solicitud dentro del archivo que necesitaba poner algún encabezado de imagen al principio).
3. **Use `PORT` para conectarse al servidor y servicio arbitrarios.**
4. **Use `RETR` para enviar la solicitud guardada al servidor.**

Es muy probable que esto **arroje un error como** _**Socket no writable**_ **porque la conexión no dura lo suficiente para enviar los datos con `RETR`**. Las sugerencias para tratar de evitar eso son:

* Si está enviando una solicitud HTTP, **ponga la misma solicitud una después de otra** hasta **\~0.5MB** al menos. Así:

{% file src="../../.gitbook/assets/posts (1).txt" %}
posts.txt
{% endfile %}

* Trate de **llenar la solicitud con datos "basura" relativos al protocolo** (hablando con FTP tal vez solo comandos basura o repitiendo la instrucción `RETR` para obtener el archivo).
* Simplemente **llene la solicitud con muchos caracteres nulos u otros** (divididos en líneas o no).

De todos modos, aquí tiene un [ejemplo antiguo sobre cómo abusar de esto para hacer que un servidor FTP descargue un archivo de un servidor FTP diferente.](ftp-bounce-download-2oftp-file.md)

## Vulnerabilidad del servidor Filezilla

**FileZilla** generalmente se **vincula** a un **servicio administrativo local** para el **servidor FileZilla** (puerto 14147). Si puede crear un **túnel** desde **su máquina** para acceder a este puerto, puede **conectarse** a **él** usando una **contraseña en blanco** y **crear** un **nuevo usuario** para el servicio FTP.

## Archivos de configuración
```
ftpusers
ftp.conf
proftpd.conf
vsftpd.conf
```
### Post-Explotación

La configuración predeterminada de vsFTPd se puede encontrar en `/etc/vsftpd.conf`. Aquí, se pueden encontrar algunas configuraciones peligrosas:

* `anonymous_enable=YES`
* `anon_upload_enable=YES`
* `anon_mkdir_write_enable=YES`
* `anon_root=/home/username/ftp` - Directorio para usuarios anónimos.
* `chown_uploads=YES` - Cambiar la propiedad de los archivos cargados de forma anónima.
* `chown_username=username` - Usuario al que se le da la propiedad de los archivos cargados de forma anónima.
* `local_enable=YES` - Permitir que los usuarios locales inicien sesión.
* `no_anon_password=YES` - No pedir contraseña a los usuarios anónimos.
* `write_enable=YES` - Permitir comandos: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE y SITE.

### Shodan

* `ftp`
* `port:21`

## Comandos Automáticos de HackTricks
```
Protocol_Name: FTP    #Protocol Abbreviation if there is one.
Port_Number:  21     #Comma separated if there is more than one.
Protocol_Description: File Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
  Name: Notes
  Description: Notes for FTP
  Note: |
    Anonymous Login
    -bi     <<< so that your put is done via binary

    wget --mirror 'ftp://ftp_user:UTDRSCH53c"$6hys@10.10.10.59'
    ^^to download all dirs and files

    wget --no-passive-ftp --mirror 'ftp://anonymous:anonymous@10.10.10.98' 
    if PASV transfer is disabled

    https://book.hacktricks.xyz/pentesting/pentesting-ftp

Entry_2:
  Name: Banner Grab
  Description: Grab FTP Banner via telnet
  Command: telnet -n {IP} 21

Entry_3:
  Name: Cert Grab
  Description: Grab FTP Certificate if existing
  Command: openssl s_client -connect {IP}:21 -starttls ftp

Entry_4:
  Name: nmap ftp
  Description: Anon login and bounce FTP checks are performed
  Command: nmap --script ftp-* -p 21 {IP}

Entry_5:
  Name: Browser Connection
  Description: Connect with Browser
  Note: ftp://anonymous:anonymous@{IP}

Entry_6:
  Name: Hydra Brute Force
  Description: Need Username
  Command: hydra -t 1 -l {Username} -P {Big_Passwordlist} -vV {IP} ftp
  
Entry_7:
  Name: consolesless mfs enumeration ftp
  Description: FTP enumeration without the need to run msfconsole
  Note: sourced from https://github.com/carlospolop/legion
  Command: msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/colorado_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' &&  msfconsole -q -x 'use auxiliary/scanner/ftp/titanftp_xcrc_traversal; set RHOSTS {IP}; set RPORT 21; run; exit'
```
<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
* Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtén la [**oficial PEASS & HackTricks swag**](https://peass.creator-spring.com)
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) **grupo de Discord** o al [**grupo de telegram**](https://t.me/peass) o **sígueme en** **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Comparte tus trucos de hacking enviando PRs al [repositorio de hacktricks](https://github.com/carlospolop/hacktricks) y al [repositorio de hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>