毕业设计（论文）-安全计算机机房构建与评测--FTP服务器安全部分.doc

XX 学院毕业设计论文 I 安全计算机机房构建与评测FTP 服务器安全部分 摘要 近年来，网络安全越来越被人们所关注，而服务器安全更是其中重要的一项， 一般说来，安全的系统会利用一些专门的安全特性来控制对信息的访问，只有经过 适当授权的人，或者以这些人的名义进行的进程可以读、写、创建和删除这些信息。 对于一个安全的计算机机房来说，其服务器一般以 FTP 服务器为主，那么他的 危害一般都是来自于计算机机房的内部，所以为了防治学生对服务器进行一些非法 的操作， （如：进入 FTP 服务器将其中的一些重要文件删除，修改。 ）如何保护这些 服务器的安全就成了安全计算机机房构建的一项重任。 本文的目标就是来对 FTP 服务器进行一些安全性措施以防止内部人为的对 FTP 服务器的非法操作！ 关键字：关键字：FTP 服务器，账户，密码策略，安全策略，匿名连接 XX 学院毕业设计论文 II SAFETY OF COMPUTER ROOM CONSTRUCTION EVALUATIONSERVER SECURITY SECTION ABSTRACT In recent years, more and more people are concerned about network security, and server security is an important one, in General, the security system will make use of a number of specialized security features to control the access to the information, only a duly authorized person, or processes carried out in the name of those who can read, write, create, and delete the information. For a secure computer room, its server to ftp server, then the harm is he comes from inside the computer room, so in order to control students on the server for a number of illegal actions, Example: entering the ftp server is one of a number of important files deleted or modified, and so on. How to protect the security of these servers has become a responsibility of safety construction of computer room. The goal of this article is to ftp server security measures to prevent illegal operations on the ftp server of the internal human! Keywords: ftp servers, accounts, password policies, security policies, Anonymous connection XX 学院毕业设计论文 III 目 录 第一章 绪 论 .1 1.1 设计的目的（意义） .1 第二章 课程设计研究 .2 2.1 FTP 安全措施.2 2.2 匿名 FTP 安全漏洞及检查 .2 2.3 主要问题 .3 2.4 运行环境 .3 第三章 IIS-FTP 文件服务器 .4 3.1 用 IIS 架设 FTP 服务器 .4 3.2 IIS 与 FTP 服务器的管理.6 3.3 IIS 与 FTP 的安全性设置.8 第四章 设计实现过程 .10 4.1 实验过程: .10 4.2 FTP 站点的身份验证配置.10 4.3 进行权限设置 .12 4.4 IP 地址限制的配置.13 4.5 端口安全性的实现 .14 第五章 FTP 站点安全评测.15 5.1 FTP 站点的身份验证评测.15 5.2 进行权限的评测 .15 5.3 IP 地址限制的评测.16 5.4 端口安全性评测 .17 结论 .18 参考文献 .19 致谢 .20 XX 学院毕业设计论文 1 第一章 绪 论 1.1 设计的目的（意义） 为了了解 FTP 服务器存在的安全隐患，掌握增强 FTP 服务器安全性的配置方法。 FTP 协议是用来在两台计算机之间传送文件的 TCP/IP 通信协议，它通过 FTP 程 序在 Internet 上实现远程文件的传输。在 Internet 中，FTP 服务是由 FTP 服务器和 FTP 客户端构成，其中 FTP 服务器是用来存放各种类型文件的文件服务器，而客户端 可以使用 FTP 命令将文件上传到 FTP 服务器或从 FTP 服务器中下载文件。 Internet 中的 FTP 服务器又可以分为专用 FTP 服务器和匿名 FTP 服务器。对于 专用 FTP 服务器，当用户对其进行访问时，需要提供正确的用户名和密码，才能获 得访问权限，否则将无法访问。因此专用 FTP 服务器仅为特定用户提供资源，用户 要想成为它的合法用户，必须经过该服务器管理员的允许，由管理员为用户分配一 个用户账户和密码，然后用户使用这个用户账户和密码访问服务器。 假设你是某网站的管理者，经检测你的 FTP 服务器存在着一些安全隐患，请按 下面的要求配置你的 FTP 服务器，增加其安全性。 (1) 取消用户的匿名访问方式，并为合法用户分配用户名和口令。 (2) 设置允许或拒绝从特定 IP 发来的服务请求，有选择地允许特定节点的用户 访问服务。 (3) 修改 FTP 服务器的通信端口。 XX 学院毕业设计论文 2 第二章 课程设计研究 2.1 FTP 安全措施 虽然 FTP 是目前应用最广的 Internet 功能之一，但也是安全最弱的服务。必须 在 FTP 服务器配置中仔细地设置。下面以基于 Windows NT 的 Web 服务器为例叙述应 当如何配置和如何保护 FTP 安全。有以下安全措施可以采用： (1) 不管用户是否匿名，都设置为对连接做记录。这样，通过 Event Viewer 可 以查看登录用户的信息。为此，在.FtpSvcParameters 下，建立一对 REG_DWORD 条目：“logAnonymous”和“LogNonAnonymous” 。将这些值设为“1” ，打开记录 (2) 还可以使用 Windows NT Resource Kit。这个应用程序可提供有关 FTP 服务 器及其活动重要的统计数字，可以追踪到诸如每秒传送的字节数，网上用户数，最 大允许上网用户数和传送的文件数等。这对于发现是否有闯入是有用的。 (3) 定期检查 FTP 服务器。 2.2 匿名 FTP 安全漏洞及检查 FTP 最大的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。 而 IIS 又是基于 Windows 用户账户进行管理的，因而很容易泄漏系统账户名及密码， 如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿 名连接” ，可以免却传输过程中泄密的风险。进入“默认 FTP 站点” ，在属性的“安 全账户”选项卡中，将此选项选中。 XX 学院毕业设计论文 3 2.3 主要问题 1. FTP 服务器存在的安全问题及其解决办法。 2. 查找网上 FTP 站点的漏洞。 2.4 运行环境 在 Windows Server 2003 系统中，通过系统自带 Internet(IIS)信息服务来提 供 FTP 服务，使用图形界面的方式对 FTP 服务器进行安全方面的设置。 XX 学院毕业设计论文 4 第三章 IIS-FTP 文件服务器 3.1 用 IIS 架设 FTP 服务器 如果只是想建个小型的同时在线用户数不超过 10 个的 FTP 服务器，且不会同时 进行大流量的数据传输，可以用 IIS 5.0 作为服务器软件来架设(IIS 只适用于 Windows NT/2000/XP 操作系统)。 1.安装 Windows XP 默认安装时不安装 IIS 组件，需要手工添加安装。进入控制面板， 找到“添加/删除程序” ，打开后选择“添加/删除 Windows 组件” ，在弹出的 “Windows 组件向导”窗口中，将“Internet 信息服务(IIS)”项选中。在该选项前 的“”背景色是灰色的，这是因为 Windows XP 默认并不安装 FTP 服务组件。再点 击右下角的“详细信息” ，在弹出的“Internet 信息服务(IIS)”窗口中，找到“文 件传输协议(FTP)服务” ，选中后确定即可。 图 3-1 IIS 选项 安装完后需要重启。Windows NT/2000 和 Windows XP 的安装方法相同。 2.设置 电脑重启后，FTP 服务器就开始运行了，但还要进行一些设置。点击“开始所 有程序管理工具Internet 信息服务” ，进入“Internet 信息服务”窗口后，找 到“默认 FTP 站点” ，右击鼠标，在弹出的右键菜单中选择“属性” 。在“属性”中， 我们可以设置 FTP 服务器的名称、IP、端口、访问账户、FTP 目录位置、用户进入 XX 学院毕业设计论文 5 FTP 时接收到的消息等。 (1)FTP 站点基本信息 进入“FTP 站点”选项卡，其中的“描述”选项为该 FTP 站点的名称，用来称呼 你的服务器，可以随意填；“IP 地址”为服务器的 IP，系统默认为“(全部未分配)” ，一般不需改动，但如果在下拉列表框中有两个或两个以上的 IP 地址时，最好指定 为公网 IP；“TCP 端口”一般仍设为默认的 21 端口；“连接”选项用来设置允许同 时连接服务器的用户最大连接数；“连接超时”用来设置一个等待时间，如果连接 到服务器的用户在线的时间超过等待时间而没有任何操作，服务器就会自动断开与 该用户的连接。 (2)设置账户及其权限 很多 FTP 站点都要求用户输入用户名和密码才能登录，这个用户名和密码就叫 账户。不同用户可使用相同的账户访问站点，同一个站点可设置多个账户，每个账 户可拥有不同的权限，如有的可以上传和下载，而有的则只允许下载。 (3)安全设定 进入“安全账户”选项卡，有“允许匿名连接”和“仅允许匿名连接”两项， 默认为“允许匿名连接” ，此时 FTP 服务器提供匿名登录。 “仅允许匿名连接”是用 来防止用户使用有管理权限的账户进行访问，选中后，即使是 Administrator(管理 员)账号也不能登录，FTP 只能通过服务器进行“本地访问”来管理。至于“FTP 站 点操作员”选项，是用来添加或删除本 FTP 服务器具有一定权限的账户。IIS 与其他 专业的 FTP 服务器软件不同，它基于 Windows 用户账号进行账户管理，本身并不能 随意设定 FTP 服务器允许访问的账户，要添加或删除允许访问的账户，必须先在操 作系统自带的“管理工具”中的“计算机管理”中去设置 Windows 用户账号，然后 再通过“安全账户”选项卡中的“FTP 站点操作员”选项添加或删除。但对于 Windows 2000 和 Windows XP 专业版，系统并不提供“FTP 站点操作员”账户添加与 删除功能，只提供 Administrator 一个管理账号。 （提示：匿名登录一般不要求用户 输入用户名和密码即可登录成功，若需要，可用“anonymous”作为用户名，以任意 电子邮件地址为密码来登录。 ） (4)设置用户登录目录 最后设置 FTP 主目录(即用户登录 FTP 后的初始位置)，进入“主目录”选项卡， 在“本地路径”中选择好 FTP 站点的根目录，并设置该目录的读取、写入、目录访 XX 学院毕业设计论文 6 问权限。 “目录列表样式”中“UNIX”和“MS-DOS”的区别在于：假设将 G:Ftp 设 为站点根目录，则当用户登录 FTP 后，前者会使主目录显示为“” ，后者显示为 “G:Ftp” 。 设置完成后，FTP 服务器就算真正建成了。如果前面 IP 地址为 ，则 用户使用 FTP 客户端软件(用来登录 FTP 服务器的上传或下载软件，如 CuteFTP、FlashFXP 等，如无特别说明，本文中所称 FTP 客户端软件均以 CuteFTP Pro 2.0 为例)时，主机处填 ，端口填 21，此服务器的地址表述为： /。IIS 虽然安装简单，设置较简便，但功能不强，管理也很麻烦， 尤其是连新建一个基本的授权访问账户都要进行繁杂的设置，而且 IIS 本身的安全 性也比较差，容易受到诸如“红色代码”等专门针对 IIS 漏洞进行攻击的病毒侵袭， 因而很多人都喜欢使用第三方的 FTP 服务器软件来架设。 3.2 IIS 与 FTP 服务器的管理 架设好 FTP 服务器后，怎样才能更好地管理自己的 FTP，使它性能稳定并合理占 用机器资源和分配带宽呢？不同的 FTP 服务器软件提供的管理方式、功能有所不同。 IIS 虽然安装简单，但管理功能不强，只有简单的账户管理、目录权限设置、消 息设置、连接用户管理。 1.账户管理 与 Serv-U 不同，IIS 对账户的管理按照 Windows 用户账户方式进行。如果要给 FTP 服务器添加一个用户名和密码均为 dys 的授权账户，首先得在 Windows 中添加该 账户。 (1)在“管理工具”中打开“计算机管理” ，找到“本地用户和组”下的“用户” ， 右击鼠标，选择“新用户” 。 (2)在弹出的“新用户”窗口中输入用户名和密码，确定后 Windows 就会创建该 用户。 (3)在“管理工具”中打开“Internet 信息服务” ，进入“默认 FTP 站点”的 “属性”设置窗口，在“安全账户”选项卡中找到“FTP 站点操作员” 。在这里可以 XX 学院毕业设计论文 7 看到，系统已经默认“Administrators”组所有成员为授权账户。如果你用的是 Windows 2000 服务器版，可以点旁边的“添加”按钮，将 dys 账户添加进去，如果 不是，则“添加”和“删除”按钮为灰色，不可选。能不能将 dys 账户添加进去呢？ 当然可以。 (4)回到“计算机管理” ，右击刚才创建的用户名，打开“属性”设置，在“隶 属于”选项卡中先将默认的“Users”组删除，再点“添加” ，在弹出的“选择组” 窗口中点“高级立即查找” ，在搜索结果中选择“Administrators”组，然后确定 就可以了。 (5)要删除某个账户，直接在“计算机管理”中删除即可。 提示：这样做的缺点在于如果不是 Windows 2000 服务器版，则你每添加一个账 户，该账户就自动拥有系统管理员“Administrator”的所有权限。可以想象，一旦 账户密码失窃将带来很大的安全隐患。 2.目录管理 (1)设置虚拟目录 很多时候，上传的文件多了，架设服务器当初设定的主目录所在盘空间往往就 不够了，怎么办？这就需要设置虚拟目录。虚拟目录就是将其他目录以映射的方式 虚拟到该 FTP 服务器的主目录下，这样，一个 FTP 服务器的主目录实质上就可以包 括很多不同盘符、不同路径的目录，而不会受到所在盘空间的限制了。当用户登录 到主目录下，还可以根据该账户的权限对它进行相应的操作，就像操作主目录下的 子目录一样。如果用户被锁定在主目录下，这项功能将允许他们访问主目录之外的 其他目录。 这里我们假设要将 D:MTV 目录设为 G:Ftp 目录下的虚拟目录 Music。在 “Internet 信息服务”中右击“默认 FTP 站点” ，选“新建虚拟目录”进行设置。 在“虚拟目录别名”中填入“Music” ，在“FTP 站点内容目录”中选择“D:MTV” ， 在“访问权限”中将“读取”和“写入”打上钩，完成后退出。以 dys 的账户登录 到 FTP 看看，是不是多了个“Music”的目录？接下来就可以往该目录里上传或下载 文件了。 (2)读写权限设置 IIS 的权限设置比较简单，对每个目录只提供了三种权限：读取(允许下载)、写 入(允许上传)和记录访问(在日志中记录用户对此目录的访问)。对主目录可以在 XX 学院毕业设计论文 8 “默认 FTP 站点”的属性中设置，对于虚拟目录可以在虚拟目录的“属性”中设置。 提示：主目录设置的权限如果与虚拟目录的权限发生冲突，则以主目录权限为 准。比如主目录设置的权限为读取和写入，而 Music 的权限只设置为读取，则 Music 权限将会被主目录权限覆盖掉，自动拥有写入权限。 3.消息设置 进入“默认 FTP 站点”属性中的“消息”选项卡，可以设置用户登录和退出服 务器时在 FTP 客户端软件的状态窗口显示消息。其中， “标题”和“欢迎”将在用户 登录时出现， “退出时”是当用户退出服务器时显示的告别信息。 4.连接用户管理 在“FTP 站点”选项卡中可以简单地管理连接用户。 “限制为”用来设置服务器 允许同时连接的最大连接数，如果不是 Windows 2000 服务器版，不仅“无限制”选 项不可选，而且最大连接数不能超过 10 个。 “连接超时”可以设置当连接用户空闲 多少秒时会被服务器自动踢出，这可以有效防止用户浪费服务器最大连接数。点右 下角的“当前会话”可以看到在线连接用户所用的账户及当前状态，选择其中某个 用户再点“断开”可以将该用户踢除。 3.3 IIS 与 FTP 的安全性设置 (1)及时安装新补丁 对于 IIS 的安全性漏洞，可以说是“有口皆碑”了，平均每两三个月就要出一 两个漏洞。所幸的是，微软会根据新发现的漏洞提供相应的补丁，这就需要你不断 更新，安装最新补丁。 (2)将安装目录设置到非系统盘，关闭不需要的服务。 一些恶意用户可以通过 IIS 的溢出漏洞获得对系统的访问权。把 IIS 安放在系 统分区上，会使系统文件与 IIS 同样面临非法访问，容易使非法用户侵入系统分区。 另外，由于 IIS 是一个综合性服务组件，每开设一个服务都将会降低整个服务的安 全性，因而，对不需要的服务尽量不要安装或启动。 (3)只允许匿名连接 XX 学院毕业设计论文 9 FTP 最大的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。 而 IIS 又是基于 Windows 用户账户进行管理的，因而很容易泄漏系统账户名及密码， 如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿 名连接” ，可以免却传输过程中泄密的风险。进入“默认 FTP 站点” ，在属性的“安 全账户”选项卡中，将此选项选中。 (4)谨慎设置主目录及其权限 IIS 可以将 FTP 站点主目录设为局域网中另一台计算机的共享目录，但在局域网 中，共享目录很容易招致其他计算机感染的病毒攻击，严重时甚至会造成整个局域 网瘫痪，不到万不得已，最好使用本地目录并将主目录设为 NTFS 格式的非系统分区 中。这样，在对目录的权限设置时，可以对每个目录按不同组或用户来设置相应的 权限。右击要设置的目录，进入“共享和安全安全”中设置，如非必要，不要授 予“写入”权限。 (5)尽量不要使用默认端口号 21 启用日志记录，以备出现异常情况时查询原因。 XX 学院毕业设计论文 10 第四章 设计实现过程 4.1 实验过程: 1. FTP 站点的身份验证配置。 2. 进行用户权限设置。 3. 进行 IP 地址限制的配置。 4. 进行端口安全性的实现。 图 4-1 试验场景图 4.2 FTP 站点的身份验证配置 (1) 在主机 A 上，依次点击“开始-所有程序-管理工具-Internet 信息服务 (IIS)管理器” 。 XX 学院毕业设计论文 11 图 4-2 IIS 的添加 (2) 主机 A 选中“FTP 站点”中的“默认 FTP 站点” ，并进行右键点击，选择 “属性” 。生成默认 FTP 站点对话框。 图 4-3 FTP 属性 (3) 在“默认 FTP 站点 属性”对话框中，选择“安全帐户”页签。如下图 4-4 所示： 图 4-4 匿名设置 系统默认的身份验证方式为“允许匿名连接” ，如果想对访问 FTP 站点的用户进 行管制，可以取消“允许匿名连接” ，并保存设置。此时其它用户若访问主机 A 的 FTP 站点，就必须拥有相应的帐户和口令。这里我们建一个用户“student” ，密码为 “123456” XX 学院毕业设计论文 12 图 4-5 提示性息 在这里我们取消“允许匿名连接” ，并单击信息提示框的【是】按钮，如下图 4- 6 所示： 图 4-6 取消匿名连接 (4) 上面对话框的【确定】按钮，完成配置。主机 B 打开 IE 浏览器，访问主机 A 的 FTP 站点“ftp:/主机 A 的 IP 地址” ，此时会提示需输入用户名和密码。输入用 户名“student”和密码“123456” ，即可登录主机 A 的 FTP 站点。此时，主机 A 的 IP 地址是 6。 4.3 进行权限设置 主机 A 右键点击“默认 FTP 站点” ，选择“属性” ，切换到“主目录”页签。如 下图 4-7 所示： XX 学院毕业设计论文 13 图 4-7 主目录选择 在“FTP 站点目录”页签中选择“写入”选项，保存设置。此时 FTP 站点赋予了 任一用户写入的权力。 4.4 IP 地址限制的配置 (1) 主机 A 右键点击“默认 FTP 站点” ，选择“属性” ，选择“目录安全性”页 签， 选中“拒绝访问”单选框，点击“添加”按钮，添加授权的主机。 图 4-8 授权访问 在弹出的“授权访问”对话框中，选中“一台计算机”单选框，在“IP 地址” 中输入所授权访问主机的 IP 地址，这里输入的是主机 B 的 IP 地址（例 2） XX 学院毕业设计论文 14 图 4-9 添加 IP 上述步骤的设置表示：仅授权主机 B 可以访问 FTP 服务器，其它主机拒绝访问。 (2) 依次单击上面对话框的【确定】按钮，完成配置。 主机 B 访问主机 A 的 FTP 站点“ftp:/主机 A 的 IP 地址” ，此时主机 B 是可以 访问的；将主机 B 的 IP 进行修改（注意：不要和其他主机发生 IP 地址冲突） ，这时 主机 B 再访问主机 A 的 FTP 站点，一直在进行登录时的身份验证，不能对主机 A 进 行访问，这说明配置成功。 4.5 端口安全性的实现 (1) 主机 A 右键点击“默认 FTP 站点” ，选择“属性” ，选择“FTP 站点”页签， 修改“TCP 端口”的值为“2121” ，如下图 4-10 所示。 图 4-10 默认站点设置 (2) 单击上面对话框的【确定】按钮，完成配置。 XX 学院毕业设计论文 15 第五章 FTP 站点安全评测 5.1 FTP 站点的身份验证评测 将主机 B 的 IP 地址手动配置成 2，并与主机 A 进行物理连通并测试 连通性，连通后，打开主机 B 的浏览器访问主机 A 的 FTP 站点 “6” ，会出现如图 5-1 所示，要求填写用户名和密码，将已设好 的用户名与密码填写完后点击登录，主机 B 即可访问到主机 A 上的 FTP 服务器。 图 5-1 填写用户名与密码 5.2 进行权限的评测 在主机 B 的浏览器中输入“6” ，打开 FTP 站点，站点中内容 如下图 5-2 所示。 图 5-2 FTP 站点内容 右键新建一个文件夹“1”发现成功了，这时候站点下内容为： XX 学院毕业设计论文 16 图 5-3 新建文件夹后 因此我们得出结论我们添加的用户写入权限成功。如果我们在 FTP 服务器上将 用户的写入权限取消。 图 5-4 取消写入权限 这时候我们再在主机 B 上访问 FTP，并新建文件夹，将会出现错误信息如图所示。 图 5-5 提示信息 5.3 IP 地址限制的评测 我们刚刚所配置的主机 B 的 IP 地址为 2 因为我们选择的是拒绝访问， 只允许 2 的地址访问，所以主机 B 这时候仍能访问 FTP 服务器，测试后成 功，现在我们将主机 B 的 IP 改为 172.