hacktricks/network-services-pentesting/pentesting-ftp

21 - Ελεγχος Εισβολής στο FTP

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (Ειδικός Ερυθρού Συνεργείου AWS του HackTricks)!

• Εργάζεστε σε μια εταιρεία κυβερνοασφάλειας; Θέλετε να δείτε την εταιρεία σας να διαφημίζεται στο HackTricks; ή θέλετε να έχετε πρόσβαση στην τελευταία έκδοση του PEASS ή να κατεβάσετε το HackTricks σε μορφή PDF; Ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!
• Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs
• Αποκτήστε το επίσημο PEASS & HackTricks swag
• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα τηλεγράφου ή ακολουθήστε με στο Twitter 🐦@carlospolopm.
• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στο αποθετήριο hacktricks και αποθετήριο hacktricks-cloud.

Βασικές Πληροφορίες

Το Πρωτόκολλο Μεταφοράς Αρχείων (FTP) λειτουργεί ως ένα πρότυπο πρωτόκολλο για τη μεταφορά αρχείων σε έναν υπολογιστικό δίκτυο μεταξύ ενός διακομιστή και ενός πελάτη.
Είναι ένα πρωτόκολλο κειμένου που χρησιμοποιεί ως χαρακτήρα νέας γραμμής 0x0d 0x0a οπότε μερικές φορές χρειάζεται να συνδεθείτε χρησιμοποιώντας telnet ή nc -C.

Προεπιλεγμένη Θύρα: 21

PORT   STATE SERVICE
21/tcp open  ftp

Ενεργές & Παθητικές Συνδέσεις

Στο Ενεργό FTP, ο FTP πελάτης πρώτα εκκινεί τη σύνδεση ελέγχου από τη θύρα του N στη θύρα εντολών του FTP Διακομιστή - θύρα 21. Ο πελάτης στη συνέχεια ακούει στη θύρα N+1 και στέλνει τη θύρα N+1 στον FTP Διακομιστή. Ο FTP Διακομιστής στη συνέχεια εκκινεί τη σύνδεση δεδομένων, από τη θύρα του M στη θύρα N+1 του FTP Πελάτη.

Ωστόσο, αν ο FTP Πελάτης έχει μια προστατευτική προσαρμογή που ελέγχει τις εισερχόμενες συνδέσεις δεδομένων από έξω, τότε το ενεργό FTP μπορεί να αποτελέσει πρόβλημα. Και, μια εφικτή λύση γι' αυτό είναι το Παθητικό FTP.

Στο Παθητικό FTP, ο πελάτης εκκινεί τη σύνδεση ελέγχου από τη θύρα του N στη θύρα 21 του FTP Διακομιστή. Μετά από αυτό, ο πελάτης εκδίδει μια εντολή passv. Ο διακομιστής στέλνει στον πελάτη έναν από τους αριθμούς θύρας του M. Και ο πελάτης εκκινεί τη σύνδεση δεδομένων από τη θύρα του P στη θύρα M του FTP Διακομιστή.

Πηγή: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/

Αποσφαλμάτωση Σύνδεσης

Οι εντολές debug και trace του FTP μπορούν να χρησιμοποιηθούν για να δούμε πώς εμφανίζεται η επικοινωνία.

Απαρίθμηση

Ανάκτηση Μπάνερ

nc -vn <IP> 21
openssl s_client -connect crossfit.htb:21 -starttls ftp #Get certificate if any

Σύνδεση στο FTP χρησιμοποιώντας το starttls

lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login
Usage: login <user|URL> [<pass>]
lftp 10.10.10.208:~> login username Password

Ανεξουθενετική απαρίθμηση

Με το nmap

sudo nmap -sV -p21 -sC -A 10.10.10.10

Μπορείτε να χρησιμοποιήσετε τις εντολές HELP και FEAT για να λάβετε κάποιες πληροφορίες για τον FTP διακομιστή:

HELP
214-The following commands are recognized (* =>'s unimplemented):
214-CWD     XCWD    CDUP    XCUP    SMNT*   QUIT    PORT    PASV
214-EPRT    EPSV    ALLO*   RNFR    RNTO    DELE    MDTM    RMD
214-XRMD    MKD     XMKD    PWD     XPWD    SIZE    SYST    HELP
214-NOOP    FEAT    OPTS    AUTH    CCC*    CONF*   ENC*    MIC*
214-PBSZ    PROT    TYPE    STRU    MODE    RETR    STOR    STOU
214-APPE    REST    ABOR    USER    PASS    ACCT*   REIN*   LIST
214-NLST    STAT    SITE    MLSD    MLST
214 Direct comments to root@drei.work

FEAT
211-Features:
PROT
CCC
PBSZ
AUTH TLS
MFF modify;UNIX.group;UNIX.mode;
REST STREAM
MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.mode*;UNIX.owner*;
UTF8
EPRT
EPSV
LANG en-US
MDTM
SSCN
TVFS
MFMT
SIZE
211 End

STAT
#Info about the FTP server (version, configs, status...)

Ανώνυμη σύνδεση

anonymous : anonymous
anonymous :
ftp : ftp

ftp <IP>
>anonymous
>anonymous
>ls -a # List all files (even hidden) (yes, they could be hidden)
>binary #Set transmission to binary instead of ascii
>ascii #Set transmission to ascii instead of binary
>bye #exit

Χυδαιός εκφορτισμός

Εδώ μπορείτε να βρείτε μια ωραία λίστα με προεπιλεγμένα διαπιστευτήρια ftp: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt

Αυτοματοποιημένο

Ο έλεγχος ανώνυμης σύνδεσης και αναπήδησης FTP εκτελείται προεπιλεγμένα από το nmap με την επιλογή -sC ή:

nmap --script ftp-* -p 21 <ip>

Σύνδεση μέσω προγράμματος περιήγησης

Μπορείτε να συνδεθείτε σε έναν διακομιστή FTP χρησιμοποιώντας έναν περιηγητή (όπως το Firefox) χρησιμοποιώντας ένα URL όπως:

ftp://anonymous:anonymous@10.10.10.98

Σημειώστε ότι εάν μια εφαρμογή web στέλνει δεδομένα που ελέγχει ο χρήστης απευθείας σε έναν διακομιστή FTP μπορείτε να στείλετε διπλό κωδικοποιημένο URL %0d%0a (σε διπλή κωδικοποίηση URL αυτό είναι %250d%250a) bytes και να κάνετε τον FTP server να εκτελέσει αυθαίρετες ενέργειες. Μία από αυτές τις πιθανές αυθαίρετες ενέργειες είναι η λήψη περιεχομένου από έναν διακομιστή που ελέγχει ο χρήστης, η πραγματοποίηση σάρωσης θυρών ή η προσπάθεια επικοινωνίας με άλλες υπηρεσίες βασισμένες σε κείμενο απλού κειμένου (όπως το http).

Λήψη όλων των αρχείων από το FTP

wget -m ftp://anonymous:anonymous@10.10.10.98 #Donwload all
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98 #Download all

Αν ο χρήστης/κωδικός πρόσβασής σας περιέχει ειδικούς χαρακτήρες, μπορεί να χρησιμοποιηθεί η ακόλουθη εντολή:

wget -r --user="USERNAME" --password="PASSWORD" ftp://server.com/

Μερικές εντολές FTP

• USER username
• PASS password
• HELP Ο διακομιστής υποδεικνύει ποιες εντολές υποστηρίζονται
• **PORT 127,0,0,1,0,80**Αυτό θα υποδείξει στον FTP διακομιστή να εγκαθιδρύσει μια σύνδεση με τη διεύθυνση IP 127.0.0.1 στη θύρα 80 (πρέπει να βάλετε τον 5ο χαρακτήρα ως "0" και τον 6ο ως τη θύρα σε δεκαδική μορφή ή να χρησιμοποιήσετε τον 5ο και 6ο για να εκφράσετε τη θύρα σε δεκαεξαδική μορφή).
• **EPRT |2|127.0.0.1|80|**Αυτό θα υποδείξει στον FTP διακομιστή να εγκαθιδρύσει μια σύνδεση TCP (υποδεικνύεται από το "2") με τη διεύθυνση IP 127.0.0.1 στη θύρα 80. Αυτή η εντολή υποστηρίζει IPv6.
• LIST Αυτό θα στείλει τη λίστα των αρχείων στον τρέχοντα φάκελο
• LIST -R Λίστα αναδρομικά (εάν επιτρέπεται από τον διακομιστή)
• APPE /path/something.txt Αυτό θα υποδείξει στο FTP να αποθηκεύσει τα δεδομένα που λαμβάνει από μια παθητική σύνδεση ή από μια σύνδεση PORT/EPRT σε ένα αρχείο. Εάν το όνομα αρχείου υπάρχει, θα προσθέσει τα δεδομένα.
• STOR /path/something.txt Όπως το APPE αλλά θα αντικαταστήσει τα αρχεία
• STOU /path/something.txt Όπως το APPE, αλλά αν υπάρχει δεν θα κάνει τίποτα.
• RETR /path/to/file Πρέπει να εγκαθιδρύσετε μια παθητική ή μια σύνδεση PORT. Στη συνέχεια, ο FTP διακομιστής θα στείλει το αναφερόμενο αρχείο μέσω αυτής της σύνδεσης
• REST 6 Αυτό θα υποδείξει στο διακομιστή ότι την επόμενη φορά που θα στείλει κάτι χρησιμοποιώντας το RETR θα πρέπει να ξεκινήσει από τον 6ο χαρακτήρα.
• TYPE i Ορίζει τη μεταφορά σε δυαδική μορφή
• PASV Αυτό θα ανοίξει μια παθητική σύνδεση και θα υποδείξει στον χρήστη πού μπορεί να συνδεθεί
• PUT /tmp/file.txt Ανεβάζει το αναφερόμενο αρχείο στο FTP

Επίθεση FTPBounce

Ορισμένοι FTP διακομιστές επιτρέπουν την εντολή PORT. Αυτή η εντολή μπορεί να χρησιμοποιηθεί για να υποδείξετε στον διακομιστή ότι θέλετε να συνδεθείτε σε άλλο FTP διακομιστή σε κάποια θύρα. Έπειτα, μπορείτε να χρησιμοποιήσετε αυτό για να σαρώσετε ποιες θύρες ενός υπολογιστή είναι ανοιχτές μέσω ενός FTP διακομιστή.

Μάθετε εδώ πώς να καταχραστείτε έναν FTP διακομιστή για να σαρώσετε θύρες.

Μπορείτε επίσης να καταχραστείτε αυτή τη συμπεριφορά για να κάνετε έναν FTP διακομιστή να αλληλεπιδρά με άλλα πρωτόκολλα. Μπορείτε να ανεβάσετε ένα αρχείο που περιέχει ένα αίτημα HTTP και να κάνετε το ευάλωτο FTP διακομιστή να το στείλει σε έναν αυθαίρετο HTTP διακομιστή (ίσως για να προσθέσετε ένα νέο διαχειριστή χρήστη?) ή ακόμη και να ανεβάσετε ένα αίτημα FTP και να κάνετε τον ευάλωτο FTP διακομιστή να κατεβάσει ένα αρχείο για έναν διαφορετικό FTP διακομιστή.
Η θεωρία είναι απλή:

1. Ανεβάστε το αίτημα (μέσα σε ένα αρχείο κειμένου) στον ευάλωτο διακομιστή. Θυμηθείτε ότι εάν θέλετε να μιλήσετε με έναν άλλο HTTP ή FTP διακομιστή πρέπει να αλλάξετε γραμμές με 0x0d 0x0a
2. Χρησιμοποιήστε το REST X για να αποφύγετε την αποστολή των χαρακτήρων που δεν θέλετε να στείλετε (ίσως για να ανεβάσετε το αίτημα μέσα στο αρχείο χρειαζόταν να βάλετε κάποια κεφαλίδα εικόνας στην αρχή)
3. Χρησιμοποιήστε το PORT για να συνδεθείτε στον αυθαίρετο διακομιστή και υπηρεσία
4. Χρησιμοποιήστε το RETR για να στείλετε το αποθηκευμένο αίτημα στον διακομιστή.

Είναι πολύ πιθανό αυτό να εμφανίσει ένα σφάλμα όπως Μη εγγράψιμος socket επειδή η σύνδεση δεν διαρκεί αρκετά για να στείλει τα δεδομένα με το RETR. Προτάσεις για να προσπαθήσετε να αποφύγετε αυτό είναι:

• Εάν στέλνετε ένα αίτημα HTTP, βάλτε το ίδιο αίτημα ένα μετά το άλλο μέχρι ταλλά τουλάχιστον ~0.5MB. Όπως εδώ:

{% file src="../../.gitbook/assets/posts (1).txt" %} posts.txt {% endfile %}

• Δοκιμάστε να γεμίσετε το αίτημα με "άχρηστα" δεδομένα σχετικά με το πρωτόκολλο (μιλώντας με FTP ίσως απλά άχρηστες εντολές ή επανάληψη της εντολής RETR για να πάρετε το αρχείο)
• Απλά γεμίστε το αίτημα με πολλούς μηδενικούς χαρακτήρες ή άλλους (διαιρεμένους σε γραμμές ή όχι)

Πάντως, εδώ έχετε ένα παλιό παράδειγμα για το πώς να καταχραστείτε αυτό για να κάνετε έναν FTP διακομιστή να κατεβάσει ένα αρχείο από έναν διαφορετικό FTP διακομιστή.

Ευπάθεια του Filezilla Server

Το FileZilla συνήθως δένεται σε ένα τοπικό υπηρεσία Διαχείρισης για το FileZilla-Server (θύρα 14147). Εάν μπορείτε να δημιουργήσετε ένα τούνελ από τον υπολογιστή σας για να έχετε πρόσβαση σε αυτήν τη θύρα, μπορείτε να συνδεθείτε σε αυτήν χρησιμοποιώντας ένα κενό κωδικό πρόσβασης και να δημιουργήσετε έναν νέο χρήστη για την υπηρεσία FTP.

Αρχεία ρυθμίσεων

ftpusers
ftp.conf
proftpd.conf
vsftpd.conf

Post-Exploitation

Η προεπιλεγμένη διαμόρφωση του vsFTPd μπορεί να βρεθεί στο /etc/vsftpd.conf. Εδώ, μπορείτε να βρείτε μερικές επικίνδυνες ρυθμίσεις:

• anonymous_enable=YES
• anon_upload_enable=YES
• anon_mkdir_write_enable=YES
• anon_root=/home/username/ftp - Κατάλογος για ανώνυμους.
• chown_uploads=YES - Αλλαγή κυριότητας αρχείων που ανεβάζονται ανώνυμα
• chown_username=username - Χρήστης που δίνεται κυριότητα ανεβασμένων αρχείων ανώνυμα
• local_enable=YES - Ενεργοποίηση τοπικών χρηστών για σύνδεση
• no_anon_password=YES - Να μην ζητηθεί κωδικός από ανώνυμο
• write_enable=YES - Επιτρέπει τις εντολές: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE, και SITE

Shodan

• ftp
• port:21

---

HackTricks Αυτόματες Εντολές

Protocol_Name: FTP    #Protocol Abbreviation if there is one.
Port_Number:  21     #Comma separated if there is more than one.
Protocol_Description: File Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for FTP
Note: |
Anonymous Login
-bi     <<< so that your put is done via binary

wget --mirror 'ftp://ftp_user:UTDRSCH53c"$6hys@10.10.10.59'
^^to download all dirs and files

wget --no-passive-ftp --mirror 'ftp://anonymous:anonymous@10.10.10.98'
if PASV transfer is disabled

https://book.hacktricks.xyz/pentesting/pentesting-ftp

Entry_2:
Name: Banner Grab
Description: Grab FTP Banner via telnet
Command: telnet -n {IP} 21

Entry_3:
Name: Cert Grab
Description: Grab FTP Certificate if existing
Command: openssl s_client -connect {IP}:21 -starttls ftp

Entry_4:
Name: nmap ftp
Description: Anon login and bounce FTP checks are performed
Command: nmap --script ftp-* -p 21 {IP}

Entry_5:
Name: Browser Connection
Description: Connect with Browser
Note: ftp://anonymous:anonymous@{IP}

Entry_6:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -t 1 -l {Username} -P {Big_Passwordlist} -vV {IP} ftp

Entry_7:
Name: consolesless mfs enumeration ftp
Description: FTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/colorado_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' &&  msfconsole -q -x 'use auxiliary/scanner/ftp/titanftp_xcrc_traversal; set RHOSTS {IP}; set RPORT 21; run; exit'

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

• Εργάζεστε σε μια εταιρεία κυβερνοασφάλειας; Θέλετε να δείτε τη εταιρεία σας διαφημισμένη στο HackTricks; ή θέλετε να έχετε πρόσβαση στη τελευταία έκδοση του PEASS ή να κατεβάσετε το HackTricks σε PDF; Ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!
• Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs
• Αποκτήστε το επίσημο PEASS & HackTricks swag
• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα τηλεγραφήματος ή ακολουθήστε με στο Twitter 🐦@carlospolopm.
• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στο αποθετήριο hacktricks και αποθετήριο hacktricks-cloud.