hacktricks/network-services-pentesting/pentesting-ftp

21 - Pentesting FTP

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• ¿Trabajas en una empresa de ciberseguridad? ¿Quieres ver tu empresa anunciada en HackTricks? ¿O quieres tener acceso a la última versión de PEASS o descargar HackTricks en PDF? ¡Consulta los PLANES DE SUSCRIPCIÓN!
• Descubre The PEASS Family, nuestra colección exclusiva de NFTs
• Obtén el swag oficial de PEASS y HackTricks
• Únete al 💬 grupo de Discord o al grupo de telegram o sígueme en Twitter 🐦@carlospolopm.
• Comparte tus trucos de hacking enviando PRs al repositorio de hacktricks y al repositorio de hacktricks-cloud.

Encuentra las vulnerabilidades que más importan para que puedas solucionarlas más rápido. Intruder rastrea tu superficie de ataque, realiza escaneos proactivos de amenazas, encuentra problemas en toda tu pila tecnológica, desde APIs hasta aplicaciones web y sistemas en la nube. Pruébalo gratis hoy.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

---

Información básica

El Protocolo de Transferencia de Archivos (FTP) es un protocolo de red estándar utilizado para la transferencia de archivos de computadora entre un cliente y un servidor en una red informática.
Es un protocolo de texto plano que utiliza como carácter de nueva línea 0x0d 0x0a, por lo que a veces es necesario conectarse usando telnet o nc -C.

Puerto predeterminado: 21

PORT   STATE SERVICE
21/tcp open  ftp

Conexiones Activas y Pasivas

En el FTP Activo, el cliente FTP primero inicia la conexión de control desde su puerto N al puerto de comandos del servidor FTP, que es el puerto 21. Luego, el cliente escucha en el puerto N+1 y envía el puerto N+1 al servidor FTP. El servidor FTP luego inicia la conexión de datos desde su puerto M al puerto N+1 del cliente FTP.

Sin embargo, si el cliente FTP tiene un firewall configurado que controla las conexiones de datos entrantes desde el exterior, entonces el FTP activo puede ser un problema. Y una solución factible para eso es el FTP Pasivo.

En el FTP Pasivo, el cliente inicia la conexión de control desde su puerto N al puerto 21 del servidor FTP. Después de esto, el cliente emite un comando passv. El servidor luego envía al cliente uno de sus números de puerto M. Y el cliente inicia la conexión de datos desde su puerto P al puerto M del servidor FTP.

Fuente: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/

Depuración de la conexión

Los comandos debug y trace del FTP se pueden utilizar para ver cómo se está produciendo la comunicación.

Enumeración

Obtención del banner

nc -vn <IP> 21
openssl s_client -connect crossfit.htb:21 -starttls ftp #Get certificate if any

Conectarse a FTP utilizando starttls

El protocolo FTP (File Transfer Protocol) es ampliamente utilizado para transferir archivos entre sistemas en una red. Sin embargo, la comunicación a través de FTP no está encriptada de forma predeterminada, lo que puede ser un problema de seguridad. Para abordar este problema, se puede utilizar el comando STARTTLS para establecer una conexión segura a través de FTP.

El comando STARTTLS permite la negociación de una capa de seguridad TLS (Transport Layer Security) para proteger la comunicación entre el cliente y el servidor FTP. Esto garantiza que los datos transferidos estén encriptados y protegidos contra posibles ataques de interceptación.

Para conectarse a un servidor FTP utilizando STARTTLS, sigue estos pasos:

1. Abre una conexión FTP utilizando un cliente FTP compatible.
2. Autentícate en el servidor FTP proporcionando las credenciales de inicio de sesión requeridas.
3. Una vez autenticado, envía el comando AUTH TLS o AUTH SSL al servidor FTP para iniciar la negociación de la capa de seguridad TLS.
4. Si el servidor FTP admite STARTTLS, responderá con un mensaje de confirmación.
5. Envía el comando PBSZ 0 para establecer el tamaño del búfer de protección en cero.
6. A continuación, envía el comando PROT P para establecer el nivel de protección en privado.
7. Finalmente, puedes comenzar a transferir archivos de forma segura a través de la conexión FTP establecida.

Es importante tener en cuenta que no todos los servidores FTP admiten STARTTLS. Por lo tanto, es recomendable verificar la compatibilidad del servidor antes de intentar establecer una conexión segura utilizando este método.

lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login
Usage: login <user|URL> [<pass>]
lftp 10.10.10.208:~> login username Password

Enumeración no autorizada

Con nmap

sudo nmap -sV -p21 -sC -A 10.10.10.10

Puedes usar los comandos HELP y FEAT para obtener información del servidor FTP:

HELP
214-The following commands are recognized (* =>'s unimplemented):
214-CWD     XCWD    CDUP    XCUP    SMNT*   QUIT    PORT    PASV
214-EPRT    EPSV    ALLO*   RNFR    RNTO    DELE    MDTM    RMD
214-XRMD    MKD     XMKD    PWD     XPWD    SIZE    SYST    HELP
214-NOOP    FEAT    OPTS    AUTH    CCC*    CONF*   ENC*    MIC*
214-PBSZ    PROT    TYPE    STRU    MODE    RETR    STOR    STOU
214-APPE    REST    ABOR    USER    PASS    ACCT*   REIN*   LIST
214-NLST    STAT    SITE    MLSD    MLST
214 Direct comments to root@drei.work

FEAT
211-Features:
PROT
CCC
PBSZ
AUTH TLS
MFF modify;UNIX.group;UNIX.mode;
REST STREAM
MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.mode*;UNIX.owner*;
UTF8
EPRT
EPSV
LANG en-US
MDTM
SSCN
TVFS
MFMT
SIZE
211 End

STAT
#Info about the FTP server (version, configs, status...)

Inicio de sesión anónimo

anonymous : anonymous
anonymous :
ftp : ftp

ftp <IP>
>anonymous
>anonymous
>ls -a # List all files (even hidden) (yes, they could be hidden)
>binary #Set transmission to binary instead of ascii
>ascii #Set transmission to ascii instead of binary
>bye #exit

Fuerza bruta

Aquí puedes encontrar una lista completa de credenciales FTP por defecto: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt

Automatizado

Las comprobaciones de inicio de sesión anónimo y rebote FTP se realizan automáticamente por defecto con nmap utilizando la opción -sC o:

nmap --script ftp-* -p 21 <ip>

Conexión del navegador

Puedes conectarte a un servidor FTP utilizando un navegador (como Firefox) utilizando una URL como:

ftp://anonymous:anonymous@10.10.10.98

Ten en cuenta que si una aplicación web está enviando datos controlados por un usuario directamente a un servidor FTP, puedes enviar bytes de doble codificación de URL %0d%0a (en doble codificación de URL esto es %250d%250a) y hacer que el servidor FTP realice acciones arbitrarias. Una de estas posibles acciones arbitrarias es descargar contenido desde un servidor controlado por el usuario, realizar un escaneo de puertos o intentar comunicarse con otros servicios basados en texto sin formato (como http).

Descargar todos los archivos desde FTP

wget -m ftp://anonymous:anonymous@10.10.10.98 #Donwload all
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98 #Download all

Si tu usuario/contraseña tiene caracteres especiales, se puede utilizar el siguiente comando:

wget -r --user="USERNAME" --password="PASSWORD" ftp://server.com/

Algunos comandos FTP

• USER nombre_de_usuario
• PASS contraseña
• HELP El servidor indica qué comandos son compatibles
• PORT 127,0,0,1,0,80 Esto indicará al servidor FTP que establezca una conexión con la IP 127.0.0.1 en el puerto 80 (debes poner el quinto carácter como "0" y el sexto como el puerto en decimal o usar el quinto y sexto para expresar el puerto en hexadecimal).
• EPRT |2|127.0.0.1|80| Esto indicará al servidor FTP que establezca una conexión TCP (indicada por "2") con la IP 127.0.0.1 en el puerto 80. Este comando admite IPv6.
• LIST Esto enviará la lista de archivos en la carpeta actual
• LIST -R Listar de forma recursiva (si está permitido por el servidor)
• APPE /ruta/algo.txt Esto indicará al FTP que almacene los datos recibidos de una conexión pasiva o de una conexión PORT/EPRT en un archivo. Si el nombre de archivo existe, se agregarán los datos.
• STOR /ruta/algo.txt Similar a APPE, pero sobrescribirá los archivos
• STOU /ruta/algo.txt Similar a APPE, pero si existe no hará nada.
• RETR /ruta/al/archivo Debe establecerse una conexión pasiva o de puerto. Luego, el servidor FTP enviará el archivo indicado a través de esa conexión
• REST 6 Esto indicará al servidor que la próxima vez que envíe algo usando RETR, debe comenzar en el sexto byte.
• TYPE i Establecer la transferencia a binario
• PASV Esto abrirá una conexión pasiva e indicará al usuario dónde puede conectarse
• PUT /tmp/archivo.txt Subir el archivo indicado al FTP

Ataque FTPBounce

Algunos servidores FTP permiten el comando PORT. Este comando se puede utilizar para indicar al servidor que desea conectarse a otro servidor FTP en algún puerto. Luego, puede usar esto para escanear qué puertos de un host están abiertos a través de un servidor FTP.

Aprende aquí cómo abusar de un servidor FTP para escanear puertos.

También puedes abusar de este comportamiento para hacer que un servidor FTP interactúe con otros protocolos. Puedes subir un archivo que contenga una solicitud HTTP y hacer que el servidor FTP vulnerable lo envíe a un servidor HTTP arbitrario (tal vez para agregar un nuevo usuario administrador) o incluso subir una solicitud FTP y hacer que el servidor FTP vulnerable descargue un archivo para un servidor FTP diferente.
La teoría es sencilla:

1. Sube la solicitud (dentro de un archivo de texto) al servidor vulnerable. Recuerda que si quieres comunicarte con otro servidor HTTP o FTP, debes cambiar las líneas con 0x0d 0x0a
2. Usa REST X para evitar enviar los caracteres que no deseas enviar (tal vez para subir la solicitud dentro del archivo necesitaste poner algún encabezado de imagen al principio)
3. Usa PORT para conectarte al servidor y servicio arbitrarios
4. Usa RETR para enviar la solicitud guardada al servidor.

Es muy probable que esto arroje un error como Socket no writable porque la conexión no dura lo suficiente para enviar los datos con RETR. Algunas sugerencias para intentar evitar esto son:

• Si estás enviando una solicitud HTTP, pon la misma solicitud una tras otra hasta ~0.5MB al menos. Así:

{% file src="../../.gitbook/assets/posts (1).txt" %} posts.txt {% endfile %}

• Intenta llenar la solicitud con datos "basura" relativos al protocolo (hablando con FTP, tal vez solo comandos basura o repitiendo la instrucción RETR para obtener el archivo)
• Simplemente llena la solicitud con muchos caracteres nulos u otros (divididos en líneas o no)

De todos modos, aquí tienes un ejemplo antiguo sobre cómo abusar de esto para hacer que un servidor FTP descargue un archivo de un servidor FTP diferente.

Vulnerabilidad del servidor Filezilla

FileZilla generalmente se vincula a un servicio administrativo local para el FileZilla-Server (puerto 14147). Si puedes crear un túnel desde tu máquina para acceder a este puerto, puedes conectarte a él usando una contraseña en blanco y crear un nuevo usuario para el servicio FTP.

Archivos de configuración

ftpusers
ftp.conf
proftpd.conf
vsftpd.conf

Post-Explotación

La configuración predeterminada de vsFTPd se puede encontrar en /etc/vsftpd.conf. Aquí, podrías encontrar algunas configuraciones peligrosas:

• anonymous_enable=YES
• anon_upload_enable=YES
• anon_mkdir_write_enable=YES
• anon_root=/home/username/ftp - Directorio para usuarios anónimos.
• chown_uploads=YES - Cambiar la propiedad de los archivos cargados de forma anónima.
• chown_username=username - Usuario al que se le otorga la propiedad de los archivos cargados de forma anónima.
• local_enable=YES - Permitir que los usuarios locales inicien sesión.
• no_anon_password=YES - No solicitar contraseña a los usuarios anónimos.
• write_enable=YES - Permitir comandos: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE y SITE.

Shodan

• ftp
• port:21

Encuentra las vulnerabilidades que más importan para que puedas solucionarlas más rápido. Intruder rastrea tu superficie de ataque, realiza escaneos de amenazas proactivos, encuentra problemas en toda tu pila tecnológica, desde APIs hasta aplicaciones web y sistemas en la nube. Pruébalo gratis hoy.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

---

Comandos Automáticos de HackTricks

Protocol_Name: FTP    #Protocol Abbreviation if there is one.
Port_Number:  21     #Comma separated if there is more than one.
Protocol_Description: File Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for FTP
Note: |
Anonymous Login
-bi     <<< so that your put is done via binary

wget --mirror 'ftp://ftp_user:UTDRSCH53c"$6hys@10.10.10.59'
^^to download all dirs and files

wget --no-passive-ftp --mirror 'ftp://anonymous:anonymous@10.10.10.98'
if PASV transfer is disabled

https://book.hacktricks.xyz/pentesting/pentesting-ftp

Entry_2:
Name: Banner Grab
Description: Grab FTP Banner via telnet
Command: telnet -n {IP} 21

Entry_3:
Name: Cert Grab
Description: Grab FTP Certificate if existing
Command: openssl s_client -connect {IP}:21 -starttls ftp

Entry_4:
Name: nmap ftp
Description: Anon login and bounce FTP checks are performed
Command: nmap --script ftp-* -p 21 {IP}

Entry_5:
Name: Browser Connection
Description: Connect with Browser
Note: ftp://anonymous:anonymous@{IP}

Entry_6:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -t 1 -l {Username} -P {Big_Passwordlist} -vV {IP} ftp

Entry_7:
Name: consolesless mfs enumeration ftp
Description: FTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/colorado_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' &&  msfconsole -q -x 'use auxiliary/scanner/ftp/titanftp_xcrc_traversal; set RHOSTS {IP}; set RPORT 21; run; exit'

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• ¿Trabajas en una empresa de ciberseguridad? ¿Quieres ver tu empresa anunciada en HackTricks? ¿O quieres tener acceso a la última versión de PEASS o descargar HackTricks en PDF? ¡Consulta los PLANES DE SUSCRIPCIÓN!
• Descubre La Familia PEASS, nuestra colección exclusiva de NFTs
• Obtén el merchandising oficial de PEASS y HackTricks
• Únete al 💬 grupo de Discord o al grupo de Telegram o sígueme en Twitter 🐦@carlospolopm.
• Comparte tus trucos de hacking enviando PRs al repositorio de hacktricks y al repositorio de hacktricks-cloud.