• 学习笔记-VSFTP


    VSFTP 配置案例


    安装

    • 服务端

      yum install -y vsftpd

    • 客户端

      yum install -y ftp


    匿名访问

    参数作用
    anonymous_enable=YES允许匿名访问模式
    anon_umask=022匿名用户上传文件的 umask 值
    anon_upload_enable=YES允许匿名用户上传文件
    anon_mkdir_write_enable=YES允许匿名用户创建目录
    anon_other_write_enable=YES允许匿名用户修改目录名称或删除目录
    1. vim /etc/vsftpd/vsftpd.conf
    2. 1 anonymous_enable=YES
    3. 2 anon_umask=022
    4. 3 anon_upload_enable=YES
    5. 4 anon_mkdir_write_enable=YES
    6. 5 anon_other_write_enable=YES
    1. setenforce 0
    2. firewall-cmd --permanent --zone=public --add-service=ftp
    3. firewall-cmd --reload
    4. systemctl restart vsftpd
    5. systemctl enable vsftpd

    现在就可以在客户端执行 ftp 命令连接到远程的 FTP 服务器了.

    vsftpd 服务程序的匿名开放认证模式下,其账户统一为 anonymous,密码为空.而且在连接到 FTP 服务器后,默认访问的是 /var/ftp 目录.

    我们可以切换到该目录下的 pub 目录中,然后尝试创建一个新的目录文件,以检验是否拥有写入权限:

    1. [root@linuxprobe ~]# ftp 192.168.10.10
    2. Connected to 192.168.10.10 (192.168.10.10).
    3. 220 (vsFTPd 3.0.2)
    4. Name (192.168.10.10:root): anonymous
    5. 331 Please specify the password.
    6. Password:此处敲击回车即可
    7. 230 Login successful.
    8. Remote system type is UNIX.
    9. Using binary mode to transfer files.
    10. ftp> cd pub
    11. 250 Directory successfully changed.
    12. ftp> mkdir files
    13. 257 "/pub/files" created
    14. ftp> rename files database
    15. 350 Ready for RNTO.
    16. 250 Rename successful.
    17. ftp> rmdir database
    18. 250 Remove directory operation successful.
    19. ftp> exit
    20. 221 Goodbye.

    本地用户

    参数作用
    anonymous_enable=NO禁止匿名访问模式
    local_enable=YES允许本地用户模式
    write_enable=YES设置可写权限
    local_umask=022本地用户模式创建文件的 umask 值
    userlist_deny=YES启用"禁止用户名单",名单文件为ftpusers和user_list
    userlist_enable=YES开启用户作用名单文件功能
    1. vim /etc/vsftpd/vsftpd.conf
    2. 1 anonymous_enable=NO
    3. 2 local_enable=YES
    4. 3 write_enable=YES
    5. 4 local_umask=022
    1. setenforce 0
    2. firewall-cmd --permanent --zone=public --add-service=ftp
    3. firewall-cmd --reload
    4. systemctl restart vsftpd
    5. systemctl enable vsftpd

    按理来讲,现在已经完全可以本地用户的身份登录 FTP 服务器了.但是在使用 root 管理员登录后,系统提示如下的错误信息:

    1. [root@linuxprobe ~]# ftp 192.168.10.10
    2. Connected to 192.168.10.10 (192.168.10.10).
    3. 220 (vsFTPd 3.0.2)
    4. Name (192.168.10.10:root): root
    5. 530 Permission denied.
    6. Login failed.
    7. ftp>

    可见,在我们输入 root 管理员的密码之前,就已经被系统拒绝访问了.这是因为 vsftpd 服务程序所在的目录中默认存放着两个名为"用户名单"的文件 (ftpusers和user_list) .只要里面写有某位用户的名字,就不再允许这位用户登录到 FTP 服务器上.

    1. [root@linuxprobe ~]# cat /etc/vsftpd/user_list
    2. [root@linuxprobe ~]# cat /etc/vsftpd/ftpusers

    如果你确认在生产环境中使用 root 管理员不会对系统安全产生影响,只需按照上面的提示删除掉 root 用户名即可.我们也可以选择 ftpusers 和 user_list 文件中没有的一个普通用户尝试登录 FTP 服务器

    在采用本地用户模式登录 FTP 服务器后,默认访问的是该用户的家目录,也就是说,访问的是 /home/username 目录.而且该目录的默认所有者、所属组都是该用户自己,因此不存在写入权限不足的情况.


    虚拟用户

    1. 创建用于进行 FTP 认证的用户数据库文件,其中奇数行为账户名,偶数行为密码.例如,我们分别创建出 zhangsan 和 lisi 两个用户,密码均为 redhat
    cd /etc/vsftpd/
    1. vim login.list
    2. zhangsan
    3. redhat
    4. lisi
    5. redhat

    但是,明文信息既不安全,也不符合让 vsftpd 服务程序直接加载的格式,因此需要使用db_load 命令用哈希 (hash) 算法将原始的明文信息文件转换成数据库文件,并且降低数据库文件的权限 (避免其他人看到数据库文件的内容) ,然后再把原始的明文信息文件删除.

    1. db_load -T -t hash -f login.list login.db
    2. rm -f login.list
    1. 创建 vsftpd 服务程序用于存储文件的根目录以及虚拟用户映射的系统本地用户.FTP 服务用于存储文件的根目录指的是,当虚拟用户登录后所访问的默认位置

    由于 Linux 系统中的每一个文件都有所有者、所属组属性,例如使用虚拟账户"张三"新建了一个文件,但是系统中找不到账户"张三",就会导致这个文件的权限出现错误.为此,需要再创建一个可以映射到虚拟用户的系统本地用户.简单来说,就是让虚拟用户默认登录到与之有映射关系的这个系统本地用户的家目录中,虚拟用户创建的文件的属性也都归属于这个系统本地用户,从而避免 Linux 系统无法处理虚拟用户所创建文件的属性权限.

    为了方便管理 FTP 服务器上的数据,可以把这个系统本地用户的家目录设置为 /var 目录 (该目录用来存放经常发生改变的数据) .并且为了安全起见,我们将这个系统本地用户设置为不允许登录 FTP 服务器,这不会影响虚拟用户登录,而且还可以避免黑客通过这个系统本地用户进行登录.

    1. useradd -d /home/ftp -s /sbin/nologin virtual
    2. chmod -Rf 755 /home/ftp
    1. 建立用于支持虚拟用户的 PAM 文件.
      新建一个用于虚拟用户认证的 PAM 文件 vsftpd.vu,其中 PAM 文件内的"db="参数为使用 db_load 命令生成的账户密码数据库文件的路径,但不用写数据库文件的后缀:
    1. vim /etc/pam.d/vsftpd.vu
    2. auth required pam_userdb.so db=/etc/vsftpd/login
    3. account required pam_userdb.so db=/etc/vsftpd/login

    在 vsftpd 服务程序的主配置文件中通过 pam_service_name 参数将 PAM 认证文件的名称修改为 vsftpd.vu,

    例如,在 vsftpd 服务程序的主配置文件中默认就带有参数 pam_service_name=vsftpd,表示登录 FTP 服务器时是根据 /etc/pam.d/vsftpd 文件进行安全认证的.现在我们要做的就是把 vsftpd 主配置文件中原有的 PAM 认证文件 vsftpd 修改为新建的 vsftpd.vu 文件即可.

    1. vim /etc/vsftpd/vsftpd.conf
    2. 1 anonymous_enable=NO
    3. 2 local_enable=YES
    4. 3 guest_enable=YES
    5. 4 guest_username=virtual
    6. 5 pam_service_name=vsftpd.vu
    7. 6 allow_writeable_chroot=YES
    参数作用
    anonymous_enable=NO禁止匿名开放模式
    local_enable=YES允许本地用户模式
    guest_enable=YES开启虚拟用户模式
    guest_username=virtual指定虚拟用户账户
    pam_service_name=vsftpd.vu指定 PAM 文件
    allow_writeable_chroot=YES允许对禁锢的 FTP 根目录执行写入操作,而且不拒绝用户的登录请求

    为虚拟用户设置不同的权限.虽然账户 zhangsan 和 lisi 都是用于 vsftpd 服务程序认证的虚拟账户,但是我们依然想对这两人进行区别对待.比如,允许张三上传、创建、修改、查看、删除文件,只允许李四查看文件.这可以通过 vsftpd 服务程序来实现.只需新建一个目录,在里面分别创建两个以 zhangsan 和 lisi 命名的文件,其中在名为 zhangsan 的文件中写入允许的相关权限

    1. mkdir /etc/vsftpd/user_conf/
    2. cd /etc/vsftpd/user_conf/
    3. touch lisi
    1. vim zhangsan
    2. anon_upload_enable=YES
    3. anon_mkdir_write_enable=YES
    4. anon_other_write_enable=YES

    然后再次修改 vsftpd 主配置文件,通过添加 user_config_dir 参数来定义这两个虚拟用户不同权限的配置文件所存放的路径.为了让修改后的参数立即生效,需要重启 vsftpd 服务程序并将该服务添加到开机启动项中:

    1. vim /etc/vsftpd/vsftpd.conf
    2. user_config_dir=/etc/vsftpd/user_conf
    1. setenforce 0
    2. firewall-cmd --permanent --zone=public --add-service=ftp
    3. firewall-cmd --reload
    4. systemctl restart vsftpd
    5. systemctl enable vsftpd

    案例

    案例 1

    • 使用虚拟用户认证方式,创建用户 virtftp,该用户的家目录为 /data/ftp_data ,shell 为 /sbin/nologin ,并将虚拟用户映射至 virtftp 用户;
    • 允许属主对 /data/ftp_data 有写权限;
    • 关闭 PASV 模式的安全检查;
    • 设置客户端最大连接数为 100,每个 IP 允许 3 个连接数;
    • ftpuser 虚拟用户可以下载与上传文件;
    • ftpadmin 虚拟用户可以下载与上传文件以及删除重命名操作,上传文件的 umask 为 022.
    • 配置文件要求:
      • 以下文件除了 vsftpd.conf 文件其余文件均需要自行创建
      • /etc/vsftpd/vsftpd.conf(ftp 配置文件)/etc/pam.d/vsftpd.vu, (pam 配置文件)
      • /etc/vsftpd/vlogin.db, (用户数据库)
      • /etc/vsftpd/ftp_user (该目录下 ftp 用户权限配置目录)
      • ftpuser,ftpadmin 用户权限相关配置文件均在 /etc/vsftpd/ftp_user 目录下.

    安装服务,配置虚拟用户认证

    yum install -y vsftpd
    1. cd /etc/vsftp
    2. vim vlogin.list
    3. ftpuser
    4. 123456
    5. ftpadmin
    6. 123456
    1. db_load -T -t hash -f vlogin.list vlogin.db
    2. cp /etc/pam.d/vsftpd /etc/pam.d/vsftpd.vu
    1. vim /etc/pam.d/vsftpd.vu
    2. auth required pam_userdb.so db=/etc/vsftpd/vlogin
    3. account required pam_userdb.so db=/etc/vsftpd/vlogin

    修改配置文件

    1. vim /etc/vsftpd/vsftpd.conf
    2. pam_service_name=vsftpd.vu
    3. guest_enable=YES
    4. guest_username=virtftp
    5. user_config_dir=/etc/vsftpd/ftp_user
    6. allow_writeable_chroot=YES
    7. pasv_promiscuous=YES
    8. max_clients=100
    9. max_per_ip=3

    创建家目录为 /data/ftp_data,shell为/sbin/nologin 的 virtftp 用户;

    1. useradd -d /data/ftp_data -s /sbin/nologin virtftp
    2. chmod -Rf 755 /data/ftp_data
    3. cd /data/ftp_data
    4. touch testfile

    配置权限文件

    1. mkdir /etc/vsftpd/ftp_user
    2. cd /etc/vsftpd/ftp_user
    1. vim ftpuser
    2. anon_upload_enable=YES
    1. vim ftpadmin
    2. anon_upload_enable=YES
    3. anon_mkdir_wirte_enable=YES
    4. anon_other_wirte_enable=YES
    5. anon_umask=022

    起服务

    1. setenforce 0
    2. firewall-cmd --zone=public --add-service=ftp
    3. firewall-cmd --reload
    4. systemctl restart vsftpd
    5. systemctl enable vsftpd

    案例 2

    • 创建用户 tom,密码为 aaabbb.
    • 为 WEB 网站创建 FTP 站点,具体要求如下:
    • FTP 普通用户主目录: /data/web_data
    • FTP 访问权限:通过扩展 acl 方式允许用户 tom 读取和写入
    • FTP 访问路径为: ftp://tom:aaabbb@公网IP/
    • 为产品资料下载创建 FTP 站点,具体要求如下:
    • FTP 匿名用户主目录: /data/instructions
    • FTP 访问权限:允许匿名用户读取
    • FTP 访问路径为: ftp://公网IP/

    修改配置文件

    1. vim /etc/vsftpd/vsftpd.conf
    2. local_root=/data/web_data
    3. anon_root=/data/instructions
    4. anon_upload_enable=NO

    创建用户与 acl;

    1. useradd tom
    2. passwd tom
    3. cd /data/web_data
    4. chmod -Rf 755 /data/web_data
    5. setfacl -R -m u:tom:rwx .
    6. touch success

    起服务

    1. setenforce 0
    2. firewall-cmd --zone=public --add-service=ftp
    3. firewall-cmd --reload
    4. systemctl restart vsftpd
    5. systemctl enable vsftpd

    案例 3

    • 拒绝匿名访问,只允许本地系统用户登录;
    • 使用被动模式,设置主机B公网 IP 为被动模式数据传输地址
    • 所有用户主目录为 /data/ftp_data 宿主为 virtual 用户;
    • 将用户使用文件的方式记录账号以及密码;
    • ftpuser1 用户只能下载不能上传以及删除文件重命名操作;
    • ftpuser2 可以下载与上传文件以及删除重命名操作;
    • ftpadmin 可以下载与上传文件以及删除重命名操作,上传文件的 umask 为 022;
    • 配置文件要求:
      • 以下文件除了 vsftpd.conf 文件其余文件均需要自行创建:
      • /etc/vsftpd/vsftpd.conf(ftp配置文件)/etc/pam.d/vsftpd.vu, (pam 配置文件)
      • /etc/vsftpd/vlogin.db, (用户数据库)
      • /etc/vsftpd/user_conf (该目录下 ftp 用户权限配置目录)
      • ftpuser1,ftpuser2,ftpadmin 用户权限相关配置文件均在 /etc/vsftpd/user_conf 目录下.

    安装服务,配置虚拟用户认证

    1. yum install -y vsftpd
    2. cd /etc/vsftp
    1. vim vlogin.list
    2. ftpuser1
    3. 123456
    4. ftpuser2
    5. 123456
    6. ftpadmin
    7. 123456
    1. db_load -T -t hash -f vlogin.list vlogin.db
    2. cp /etc/pam.d/vsftpd /etc/pam.d/vsftpd.vu
    1. vim /etc/pam.d/vsftpd.vu
    2. auth required pam_userdb.so db=/etc/vsftpd/vlogin
    3. account required pam_userdb.so db=/etc/vsftpd/vlogin

    修改配置文件

    1. vim /etc/vsftpd/vsftpd.conf
    2. anonymous_enable=NO
    3. pam_service_name=vsftpd.vu
    4. guest_enable=YES
    5. guest_username=virtual
    6. user_config_dir=/etc/vsftpd/ftp_user
    7. allow_writeable_chroot=YES
    8. pasv_enable=YES # 启用 pasv 模式
    9. pasv_min_port=30000 # pasv 端口起始号
    10. pasv_max_port=40000 # pasv 端口结束号
    11. xferlog_enable=YES # 启用上传和下载的日志功能,默认开启.
    12. xferlog_file=/var/log/xferlog # vsftpd 的日志存放位置

    创建家目录为 /data/ftp_data 的 virtual 用户;

    1. useradd -d /data/ftp_data -s /sbin/nologin virtual
    2. chmod -Rf 755 /data/ftp_data
    3. cd /home/ftp/
    4. touch testfile
    5. grep virtftp /etc/passwd

    配置权限文件

    1. mkdir /etc/vsftpd/ftp_user
    2. cd /etc/vsftpd/ftpuser1
    1. vim ftpuser
    2. vim ftpuser2
    3. anon_upload_enable=YES
    4. anon_mkdir_wirte_enable=YES
    5. anon_other_wirte_enable=YES
    6. vim ftpadmin
    7. anon_upload_enable=YES
    8. anon_mkdir_wirte_enable=YES
    9. anon_other_wirte_enable=YES
    10. anon_umask=022

    起服务

    1. setenforce 0
    2. firewall-cmd --zone=public --add-port=30000-40000/tcp --permanent
    3. firewall-cmd --zone=public --add-port=30000-40000/udp --permanent
    4. firewall-cmd --reload
    5. systemctl restart vsftpd
    6. systemctl enable vsftpd

    案例 4

    • 创建用户 tom,密码为 aaabbb;
    • 禁止匿名用户登录;
    • 使用被动模式,设置主机B公网 IP 为被动模式数据传输地址;
    • 为 mariadb 数据库创建 FTP 站点,具体要求如下:
    • FTP 普通用户主目录: /data/mariadb_data ;
    • FTP 访问权限:通过扩展 acl 方式设置用户 tom 拥有读、写、执行权限;
    • FTP 访问路径为: ftp://tom:aaabbb@公网IP/.

    修改配置文件

    1. vim /etc/vsftpd/vsftpd.conf
    2. anonymous_enable=NO
    3. local_root=/data/mariadb_data
    4. pasv_enable=YES # 启用 pasv 模式
    5. pasv_min_port=30000 # pasv 端口起始号
    6. pasv_max_port=40000 # pasv 端口结束号

    创建用户与 acl;

    1. useradd tom
    2. passwd tom
    3. cd /data/mariadb_data
    4. chmod -Rf 755 /data/mariadb_data
    5. setfacl -R -m u:tom:rwx .
    6. touch success

    起服务

    1. setenforce 0
    2. firewall-cmd --zone=public --add-port=30000-40000/tcp --permanent
    3. firewall-cmd --zone=public --add-port=30000-40000/udp --permanent
    4. firewall-cmd --reload
    5. systemctl restart vsftpd
    6. systemctl enable vsftpd

    点击关注,共同学习!安全狗的自我修养

    github haidragon

    https://github.com/haidragon

  • 相关阅读:
    【2023年11月第四版教材】第16章《采购管理》(合集篇)
    【HarmonyOS】低代码平台组件拖拽使用技巧之页签容器
    Ceph-RBD
    搭建自己的搜索引擎之五
    解决方案-权限系统设计
    windows开发环境备份,再也不怕重装系统了
    软件测试面试题:智力题。
    跨端必须要掌握的uniapp(3),前端基础
    React 从入门到精通——本文来自AI创作助手
    【数据结构】顺序表实现通讯录
  • 原文地址:https://blog.csdn.net/sinat_35360663/article/details/127690822