Hacker tấn công máy chủ FTP như thế nào và bạn có thể làm gì với nó?

Dữ liệu của bạn có thể gặp rủi ro chỉ bằng cách chuyển tệp giữa thiết bị của riêng bạn và trang web. Để bảo vệ thông tin cá nhân của bạn, cài đặt tường lửa cho cả máy chủ bên ngoài và bên trong phải được thiết lập đúng cách. Đó là lý do tại sao điều quan trọng là bạn phải quen thuộc với máy chủ FTP và hiểu các chiến lược tấn công khác nhau từ quan điểm của kẻ tấn công.

Vậy máy chủ FTP là gì? Làm cách nào tội phạm mạng có thể chặn dữ liệu của bạn nếu chúng không được định cấu hình đúng cách?

Máy chủ FTP là gì?

FTP là viết tắt của Giao thức truyền tệp. Nó cung cấp chuyển tập tin giữa hai máy tính được kết nối với internet. Nói cách khác, bạn có thể chuyển các tệp bạn muốn sang máy chủ trang web của mình qua FTP. Bạn có thể truy cập FTP từ dòng lệnh hoặc ứng dụng khách Giao diện người dùng đồ họa (GUI).

Phần lớn các nhà phát triển sử dụng FTP là những người thường xuyên bảo trì trang web và truyền tệp. Giao thức này giúp bảo trì ứng dụng web dễ dàng và không gặp rắc rối. Mặc dù nó là một giao thức khá cũ nhưng nó vẫn được sử dụng tích cực. Bạn có thể sử dụng FTP không chỉ để tải lên dữ liệu mà còn để tải xuống các tệp. Mặt khác, một máy chủ FTP hoạt động giống như một ứng dụng sử dụng giao thức FTP.

Để kẻ tấn công có thể tấn công máy chủ FTP một cách hiệu quả, quyền của người dùng hoặc cài đặt bảo mật chung phải được thiết lập sai.

Tin tặc thỏa hiệp giao tiếp RCP như thế nào?

RCP là viết tắt của Cuộc gọi thủ tục từ xa. Điều này giúp các máy tính trong mạng thực hiện một số yêu cầu với nhau mà không cần biết chi tiết về mạng. Giao tiếp với RCP không chứa bất kỳ mã hóa nào; thông tin bạn gửi và nhận ở dạng văn bản thuần túy.

Nếu bạn sử dụng RCP trong giai đoạn xác thực của máy chủ FTP, tên người dùng và mật khẩu sẽ chuyển đến máy chủ ở dạng văn bản thuần túy. Ở giai đoạn này, kẻ tấn công đang nghe thông tin liên lạc sẽ tham gia lưu lượng truy cập và tiếp cận thông tin của bạn bằng cách chụp gói văn bản này.

Tương tự như vậy, vì việc truyền thông tin giữa máy khách và máy chủ không được mã hóa, kẻ tấn công có thể đánh cắp gói tin mà máy khách đang nhận và truy cập thông tin mà không cần mật khẩu hoặc tên người dùng. Với việc sử dụng SSL (Lớp cổng bảo mật), bạn có thể tránh được mối nguy hiểm này, vì lớp bảo mật này sẽ mã hóa mật khẩu, tên người dùng và tất cả các giao tiếp dữ liệu.

Để sử dụng cấu trúc này, bạn phải có phần mềm hỗ trợ SSL ở phía máy khách. Ngoài ra, nếu bạn muốn sử dụng SSL, bạn sẽ cần một nhà cung cấp chứng chỉ bên thứ ba, độc lập, tức là Cơ quan chứng nhận (CA). Vì CA thực hiện quy trình xác thực giữa máy chủ và máy khách nên cả hai bên phải tin tưởng vào tổ chức đó.

Cấu hình kết nối chủ động và thụ động là gì?

Hệ thống FTP hoạt động trên hai cổng. Đây là các kênh điều khiển và dữ liệu.

Kênh điều khiển hoạt động trên cổng 21. Nếu trước đây bạn đã thực hiện các giải pháp CTF bằng phần mềm như nmap, thì có thể bạn đã thấy cổng 21. Máy khách kết nối với cổng này của máy chủ và bắt đầu truyền dữ liệu.

Trong kênh dữ liệu diễn ra quá trình truyền tệp. Vì vậy, đây là mục đích chính của sự tồn tại của FTP. Ngoài ra còn có hai loại kết nối khác nhau khi truyền tệp: chủ động và thụ động.

Kết nối hoạt động

Máy khách chọn cách dữ liệu sẽ được gửi trong khi kết nối đang hoạt động. Sau đó, họ yêu cầu máy chủ bắt đầu truyền dữ liệu từ một cổng nhất định và máy chủ sẽ làm như vậy.

Một trong những lỗ hổng quan trọng nhất trong hệ thống này bắt đầu từ việc máy chủ bắt đầu quá trình truyền và tường lửa của máy khách chấp nhận kết nối này. Nếu tường lửa mở một cổng để kích hoạt tính năng này và chấp nhận các kết nối từ các cổng này, điều đó cực kỳ rủi ro. Do đó, kẻ tấn công có thể quét máy khách để tìm các cổng đang mở và xâm nhập vào máy bằng cách sử dụng một trong các cổng FTP được phát hiện là đang mở.

Kết nối thụ động

Trong kết nối thụ động, máy chủ quyết định cách truyền dữ liệu. Máy khách yêu cầu một tệp từ máy chủ. Máy chủ gửi thông tin máy khách từ bất kỳ cổng nào mà máy chủ có thể nhận được. Hệ thống này an toàn hơn kết nối đang hoạt động vì bên khởi tạo là máy khách và máy chủ kết nối với cổng có liên quan. Bằng cách đó, máy khách không cần mở cổng và cho phép các kết nối đến.

Nhưng một kết nối thụ động vẫn có thể dễ bị tổn thương khi máy chủ tự mở một cổng và chờ đợi. Kẻ tấn công quét các cổng trên máy chủ, kết nối với cổng mở trước khi máy khách yêu cầu tệp và truy xuất tệp có liên quan mà không cần các chi tiết như thông tin đăng nhập.

Trong trường hợp này, khách hàng không thể thực hiện hành động nào để bảo vệ tệp. Đảm bảo tính bảo mật của tệp đã tải xuống là một quá trình hoàn toàn phía máy chủ. Vì vậy, làm thế nào bạn có thể ngăn chặn điều này xảy ra? Để bảo vệ chống lại kiểu tấn công này, máy chủ FTP phải chỉ cho phép địa chỉ IP hoặc MAC đã yêu cầu tệp liên kết với cổng mà nó mở.

Mặt nạ IP/MAC

Nếu máy chủ có quyền kiểm soát IP/MAC, kẻ tấn công phải phát hiện địa chỉ IP và MAC của máy khách thực và che dấu chính chúng để đánh cắp tệp. Tất nhiên, trong trường hợp này, cơ hội thành công của cuộc tấn công sẽ giảm đi vì cần phải kết nối với máy chủ trước khi máy tính yêu cầu tệp. Cho đến khi kẻ tấn công thực hiện che IP và MAC, máy tính yêu cầu tệp sẽ được kết nối với máy chủ.

Thời gian chờ

Một cuộc tấn công thành công vào máy chủ có tính năng lọc IP/MAC có thể xảy ra nếu máy khách trải qua các khoảng thời gian ngắt kết nối ngắn trong quá trình truyền tệp. Các máy chủ FTP thường xác định một khoảng thời gian chờ nhất định để quá trình truyền tệp không kết thúc trong trường hợp kết nối bị gián đoạn trong thời gian ngắn. Khi máy khách gặp sự cố như vậy, máy chủ sẽ không đăng xuất khỏi địa chỉ IP và MAC của máy khách và đợi kết nối được thiết lập lại cho đến khi hết thời gian chờ.

Thực hiện che IP và MAC, kẻ tấn công kết nối với phiên mở trên máy chủ trong khoảng thời gian này và tiếp tục tải xuống các tệp từ nơi máy khách ban đầu đã dừng lại.

Tấn công Bounce hoạt động như thế nào?

Đặc điểm quan trọng nhất của tấn công nảy là nó làm cho kẻ tấn công khó bị phát hiện. Khi được sử dụng kết hợp với các cuộc tấn công khác, tội phạm mạng có thể tấn công mà không để lại bất kỳ dấu vết nào. Logic của kiểu tấn công này là sử dụng máy chủ FTP làm proxy. Các kiểu tấn công chính mà phương pháp trả lại tồn tại là quét cổng và vượt qua các bộ lọc gói cơ bản.

Quét cổng

Nếu kẻ tấn công sử dụng phương pháp này để quét cổng, khi bạn xem chi tiết nhật ký máy chủ, bạn sẽ thấy máy chủ FTP là máy tính quét. Nếu máy chủ mục tiêu bị tấn công và máy chủ FTP hoạt động như một proxy nằm trên cùng một mạng con, thì máy chủ mục tiêu sẽ không thực hiện bất kỳ hoạt động lọc gói dữ liệu nào đến từ máy chủ FTP. Các gói đã gửi không được cắm vào tường lửa. Vì không có quy tắc truy cập nào được áp dụng cho các gói này nên cơ hội thành công của kẻ tấn công sẽ tăng lên.

Vượt qua các bộ lọc gói cơ bản

Sử dụng phương pháp này, kẻ tấn công có thể truy cập vào máy chủ nội bộ phía sau máy chủ FTP ẩn danh được bảo vệ bởi tường lửa. Kẻ tấn công kết nối với máy chủ FTP ẩn danh phát hiện máy chủ nội bộ được kết nối bằng phương pháp quét cổng và có thể tiếp cận nó. Và như vậy, một hacker có thể tấn công máy chủ mà tường lửa bảo vệ chống lại các kết nối bên ngoài, từ một điểm được xác định đặc biệt để giao tiếp với máy chủ FTP.

Tấn công từ chối dịch vụ là gì?

Các cuộc tấn công DoS (Từ chối dịch vụ) không phải là một loại lỗ hổng mới. Các cuộc tấn công DoS được thực hiện để ngăn máy chủ gửi tệp bằng cách lãng phí tài nguyên của máy chủ mục tiêu. Điều này có nghĩa là những người truy cập vào máy chủ FTP bị tấn công không thể kết nối với máy chủ hoặc nhận các tệp họ yêu cầu trong cuộc tấn công này. Trong trường hợp này, có thể phải chịu tổn thất tài chính lớn cho một ứng dụng web có lưu lượng truy cập cao—và khiến khách truy cập rất thất vọng!

Hiểu cách hoạt động của các giao thức chia sẻ tệp

Những kẻ tấn công có thể dễ dàng khám phá các giao thức bạn sử dụng để tải tệp lên. Mỗi giao thức đều có điểm mạnh và điểm yếu, vì vậy bạn nên nắm vững các phương pháp mã hóa khác nhau và ẩn các cổng này. Tất nhiên, tốt hơn hết là bạn nên nhìn mọi thứ qua con mắt của kẻ tấn công để tìm ra biện pháp bạn cần thực hiện tốt hơn để bảo vệ bản thân và khách truy cập.

Hãy nhớ rằng: những kẻ tấn công sẽ đi trước bạn một bước về nhiều mặt. Nếu bạn có thể tìm thấy những điểm yếu của mình, bạn có thể đạt được lợi thế lớn hơn chúng.