Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 13:13:41 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-ftp/README.md

294 lines
16 KiB
Markdown
Raw Blame History

# 21 - Pentesting FTP
<details>
<summary><strong>Aprende a hackear AWS desde cero hasta convertirte en un experto con</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión del PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
* Descubre [**La Familia PEASS**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtén la [**merchandising oficial de PEASS & HackTricks**](https://peass.creator-spring.com)
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **sígueme** en **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Comparte tus trucos de hacking enviando PRs al [repositorio de hacktricks](https://github.com/carlospolop/hacktricks) y al [repositorio de hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.
</details>
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
Encuentra vulnerabilidades que importan más para que puedas solucionarlas más rápido. Intruder rastrea tu superficie de ataque, ejecuta escaneos proactivos de amenazas, encuentra problemas en toda tu pila tecnológica, desde APIs hasta aplicaciones web y sistemas en la nube. [**Pruébalo gratis**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) hoy.
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
***
## Información Básica
El **Protocolo de Transferencia de Archivos (FTP)** sirve como un protocolo estándar para la transferencia de archivos a través de una red informática entre un servidor y un cliente.\
Es un protocolo de **texto plano** que utiliza como **carácter de nueva línea `0x0d 0x0a`** por lo que a veces necesitas **conectar usando `telnet`** o **`nc -C`**.
**Puerto Predeterminado:** 21
```
PORT STATE SERVICE
21/tcp open ftp
```
### Conexiones Activas y Pasivas
En **FTP Activo**, el **cliente** FTP primero **inicia** la **conexión de control** desde su puerto N al puerto de comando del Servidor FTP, que es el puerto 21. Luego, el **cliente** **escucha** en el puerto **N+1** y envía el puerto N+1 al Servidor FTP. El Servidor FTP luego **inicia** la **conexión de datos** desde **su puerto M al puerto N+1** del Cliente FTP.
Sin embargo, si el Cliente FTP tiene un firewall configurado que controla las conexiones de datos entrantes desde el exterior, entonces el FTP activo puede ser un problema. Una solución factible para esto es el FTP Pasivo.
En **FTP Pasivo**, el cliente inicia la conexión de control desde su puerto N al puerto 21 del Servidor FTP. Después de esto, el cliente emite un comando **passv**. El servidor luego envía al cliente uno de sus números de puerto M. Y el **cliente** **inicia** la **conexión de datos** desde **su puerto P al puerto M** del Servidor FTP.
Fuente: [https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/](https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/)
### Depuración de Conexiones
Los comandos **`debug`** y **`trace`** de **FTP** se pueden utilizar para ver **cómo se está produciendo la comunicación**.
## Enumeración
### Captura de Banner
```bash
nc -vn <IP> 21
openssl s_client -connect crossfit.htb:21 -starttls ftp #Get certificate if any
```
### Conectar a FTP usando starttls
```
lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login
Usage: login <user|URL> [<pass>]
lftp 10.10.10.208:~> login username Password
```
### Enumeración sin autenticación
Con **nmap**
```bash
sudo nmap -sV -p21 -sC -A 10.10.10.10
```
Puedes usar los comandos `HELP` y `FEAT` para obtener información del servidor FTP:
```
HELP
214-The following commands are recognized (* =>'s unimplemented):
214-CWD XCWD CDUP XCUP SMNT* QUIT PORT PASV
214-EPRT EPSV ALLO* RNFR RNTO DELE MDTM RMD
214-XRMD MKD XMKD PWD XPWD SIZE SYST HELP
214-NOOP FEAT OPTS AUTH CCC* CONF* ENC* MIC*
214-PBSZ PROT TYPE STRU MODE RETR STOR STOU
214-APPE REST ABOR USER PASS ACCT* REIN* LIST
214-NLST STAT SITE MLSD MLST
214 Direct comments to root@drei.work
FEAT
211-Features:
PROT
CCC
PBSZ
AUTH TLS
MFF modify;UNIX.group;UNIX.mode;
REST STREAM
MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.mode*;UNIX.owner*;
UTF8
EPRT
EPSV
LANG en-US
MDTM
SSCN
TVFS
MFMT
SIZE
211 End
STAT
#Info about the FTP server (version, configs, status...)
```
### Inicio de sesión anónimo
_anonymous : anonymous_\
_anonymous :_\
_ftp : ftp_
```bash
ftp <IP>
>anonymous
>anonymous
>ls -a # List all files (even hidden) (yes, they could be hidden)
>binary #Set transmission to binary instead of ascii
>ascii #Set transmission to ascii instead of binary
>bye #exit
```
### [Fuerza bruta](../../generic-methodologies-and-resources/brute-force.md#ftp)
Aquí puedes encontrar una lista útil con credenciales FTP por defecto: [https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt)
### Automatizado
Las comprobaciones de inicio de sesión anónimo y rebote FTP se realizan de forma predeterminada con nmap con la opción **-sC** o:
```bash
nmap --script ftp-* -p 21 <ip>
```
## Conexión del navegador
Puedes conectarte a un servidor FTP utilizando un navegador (como Firefox) usando una URL como:
```bash
ftp://anonymous:anonymous@10.10.10.98
```
Ten en cuenta que si una **aplicación web** está enviando datos controlados por un usuario **directamente a un servidor FTP**, puedes enviar una doble codificación de URL `%0d%0a` (en doble codificación de URL esto es `%250d%250a`) y hacer que el **servidor FTP realice acciones arbitrarias**. Una de estas posibles acciones arbitrarias es descargar contenido de un servidor controlado por un usuario, realizar un escaneo de puertos o intentar comunicarse con otros servicios basados en texto plano (como http).
## Descargar todos los archivos del FTP
```bash
wget -m ftp://anonymous:anonymous@10.10.10.98 #Donwload all
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98 #Download all
```
Si tu usuario/contraseña tiene caracteres especiales, se puede usar el [siguiente comando](https://stackoverflow.com/a/113900/13647948):
```bash
wget -r --user="USERNAME" --password="PASSWORD" ftp://server.com/
```
## Algunos comandos FTP
* **`USER nombredeusuario`**
* **`PASS contraseña`**
* **`HELP`** El servidor indica qué comandos son compatibles
* **`PORT 127,0,0,1,0,80`** Esto indicará al servidor FTP establecer una conexión con la IP 127.0.0.1 en el puerto 80 (_debes poner el 5to carácter como "0" y el 6to como el puerto en decimal o usar el 5to y 6to para expresar el puerto en hexadecimal_).
* **`EPRT |2|127.0.0.1|80|`** Esto indicará al servidor FTP establecer una conexión TCP (_indicado por "2"_) con la IP 127.0.0.1 en el puerto 80. Este comando **soporta IPv6**.
* **`LIST`** Esto enviará la lista de archivos en la carpeta actual
* **`LIST -R`** Listar de forma recursiva (si lo permite el servidor)
* **`APPE /ruta/algo.txt`** Esto indicará al FTP almacenar los datos recibidos de una conexión **pasiva** o de una conexión **PORT/EPRT** en un archivo. Si el nombre de archivo existe, se añadirán los datos.
* **`STOR /ruta/algo.txt`** Similar a `APPE` pero sobrescribirá los archivos
* **`STOU /ruta/algo.txt`** Similar a `APPE`, pero si existe no hará nada.
* **`RETR /ruta/al/archivo`** Debe establecerse una conexión pasiva o de puerto. Luego, el servidor FTP enviará el archivo indicado a través de esa conexión
* **`REST 6`** Esto indicará al servidor que la próxima vez que envíe algo usando `RETR`, debe comenzar en el sexto byte.
* **`TYPE i`** Establecer la transferencia a binario
* **`PASV`** Esto abrirá una conexión pasiva e indicará al usuario dónde puede conectarse
* **`PUT /tmp/archivo.txt`** Subir el archivo indicado al FTP
![](<../../.gitbook/assets/image (227).png>)
## Ataque FTPBounce
Algunos servidores FTP permiten el comando PORT. Este comando se puede usar para indicar al servidor que deseas conectarte a otro servidor FTP en algún puerto. Luego, puedes usar esto para escanear qué puertos de un host están abiertos a través de un servidor FTP.
[**Aprende aquí cómo abusar de un servidor FTP para escanear puertos.**](ftp-bounce-attack.md)
También podrías abusar de este comportamiento para hacer que un servidor FTP interactúe con otros protocolos. Podrías **subir un archivo que contenga una solicitud HTTP** y hacer que el servidor FTP vulnerable **la envíe a un servidor HTTP arbitrario** (_¡quizás para agregar un nuevo usuario administrador!_) o incluso subir una solicitud FTP y hacer que el servidor FTP vulnerable descargue un archivo para un servidor FTP diferente.\
La teoría es sencilla:
1. **Sube la solicitud (dentro de un archivo de texto) al servidor vulnerable.** Recuerda que si deseas comunicarte con otro servidor HTTP o FTP, debes cambiar las líneas con `0x0d 0x0a`
2. **Usa `REST X` para evitar enviar los caracteres que no deseas enviar** (quizás para subir la solicitud dentro del archivo necesitabas poner algún encabezado de imagen al principio)
3. **Usa `PORT` para conectarte al servidor y servicio arbitrarios**
4. **Usa `RETR` para enviar la solicitud guardada al servidor.**
Es muy probable que esto **genere un error como** _**Socket no escribible**_ **porque la conexión no dura lo suficiente para enviar los datos con `RETR`**. Algunas sugerencias para intentar evitarlo son:
* Si estás enviando una solicitud HTTP, **pon la misma solicitud una tras otra** hasta **\~0.5MB** como mínimo. Así:
{% file src="../../.gitbook/assets/posts (1).txt" %}
posts.txt
{% endfile %}
* Intenta **llenar la solicitud con datos "basura" relativos al protocolo** (hablando con FTP quizás solo comandos basura o repitiendo la instrucción `RETR` para obtener el archivo)
* Simplemente **llena la solicitud con muchos caracteres nulos u otros** (divididos en líneas o no)
De todos modos, aquí tienes un [ejemplo antiguo sobre cómo abusar de esto para hacer que un servidor FTP descargue un archivo de un servidor FTP diferente.](ftp-bounce-download-2oftp-file.md)
## Vulnerabilidad del Servidor Filezilla
**FileZilla** suele **vincularse** a un **servicio administrativo local** para el **Servidor FileZilla** (puerto 14147). Si puedes crear un **túnel** desde **tu máquina** para acceder a este puerto, puedes **conectarte** a **él** usando una **contraseña en blanco** y **crear** un **nuevo usuario** para el servicio FTP.
## Archivos de configuración
```
ftpusers
ftp.conf
proftpd.conf
vsftpd.conf
```
### Post-Explotación
La configuración predeterminada de vsFTPd se puede encontrar en `/etc/vsftpd.conf`. Aquí, podrías encontrar algunas configuraciones peligrosas:
- `anonymous_enable=YES`
- `anon_upload_enable=YES`
- `anon_mkdir_write_enable=YES`
- `anon_root=/home/username/ftp` - Directorio para usuarios anónimos.
- `chown_uploads=YES` - Cambiar la propiedad de los archivos cargados de forma anónima
- `chown_username=username` - Usuario al que se le da la propiedad de los archivos cargados de forma anónima
- `local_enable=YES` - Permitir a los usuarios locales iniciar sesión
- `no_anon_password=YES` - No solicitar contraseña a los usuarios anónimos
- `write_enable=YES` - Permitir comandos: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE y SITE
### Shodan
- `ftp`
- `port:21`
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>
Encuentra vulnerabilidades que son más importantes para que puedas solucionarlas más rápido. Intruder rastrea tu superficie de ataque, ejecuta escaneos proactivos de amenazas, encuentra problemas en toda tu pila tecnológica, desde APIs hasta aplicaciones web y sistemas en la nube. [**Pruébalo gratis**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) hoy.
{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}
***
## Comandos Automáticos de HackTricks
```
Protocol_Name: FTP #Protocol Abbreviation if there is one.
Port_Number: 21 #Comma separated if there is more than one.
Protocol_Description: File Transfer Protocol #Protocol Abbreviation Spelled out
Entry_1:
Name: Notes
Description: Notes for FTP
Note: |
Anonymous Login
-bi <<< so that your put is done via binary
wget --mirror 'ftp://ftp_user:UTDRSCH53c"$6hys@10.10.10.59'
^^to download all dirs and files
wget --no-passive-ftp --mirror 'ftp://anonymous:anonymous@10.10.10.98'
if PASV transfer is disabled
https://book.hacktricks.xyz/pentesting/pentesting-ftp
Entry_2:
Name: Banner Grab
Description: Grab FTP Banner via telnet
Command: telnet -n {IP} 21
Entry_3:
Name: Cert Grab
Description: Grab FTP Certificate if existing
Command: openssl s_client -connect {IP}:21 -starttls ftp
Entry_4:
Name: nmap ftp
Description: Anon login and bounce FTP checks are performed
Command: nmap --script ftp-* -p 21 {IP}
Entry_5:
Name: Browser Connection
Description: Connect with Browser
Note: ftp://anonymous:anonymous@{IP}
Entry_6:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -t 1 -l {Username} -P {Big_Passwordlist} -vV {IP} ftp
Entry_7:
Name: consolesless mfs enumeration ftp
Description: FTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/colorado_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/titanftp_xcrc_traversal; set RHOSTS {IP}; set RPORT 21; run; exit'
```
<details>
<summary><strong>Aprende hacking en AWS de cero a héroe con</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión del PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
* Descubre [**La Familia PEASS**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtén el [**oficial PEASS & HackTricks swag**](https://peass.creator-spring.com)
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **sígueme** en **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Comparte tus trucos de hacking enviando PRs al [repositorio de hacktricks](https://github.com/carlospolop/hacktricks) y al [repositorio de hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.
</details>
Reference in a new issue View git blame Copy permalink