發表者	討論內容
冷日 (冷日)	發表時間：2012/6/7 2:17
Webmaster 註冊日: 2008/2/19 來自: 發表數: 15773	[轉貼]搭建支持SSL加密傳輸的vftpd Vsftpd完全攻略（四）搭建支持SSL加密傳輸的vftpd 2010-01-08 23:30:16 原創作品，允許轉載，轉載時請務必以超鏈接形式標明文章原始出處、作者信息和本聲明。否則將追究法律責任。http://viong.blog.51cto.com/844766/261354 ftp傳輸數據是明文，弄個抓包軟件就可以通過數據包來分析到賬號和密碼，為了搭建一個安全性比較高ftp，可以結合SSL來解決問題 SSL(Secure Socket Layer)工作於傳輸層和應用程序之間.作為一個中間層,應用程序只要採用SSL提供的一套SSL套接字API來替換標準的Socket套接字,就可以把程序轉換為SSL化的安全網絡程序,在傳輸過程中將由SSL協議實現數據機密性和完整性的保證.SSL取得大規模成功後,IETF將SSL作了標準化,並將其稱為TLS(Transport Layer Security).Ftp結合SSL,將實現傳輸數據的加密,保證數據不被別人竊取. 下面我們使用linux自帶的抓包工具tcpdump抓包分析，來截取ftp登錄用戶口令 [root@red-hat-5 vsftpd]# tcpdump -i eth0 -A \|more tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes ………………………………. 20:40:26.208724 IP 192.168.184.1.54516 > 192.168.184.129.ftp: S 289306029:28 9306029(0) win 8192 <mss 1460,nop,nop,sackOK> .............>u.....p. ..V.......... 20:40:26.210838 IP 192.168.184.129.ftp > 192.168.184.1.54516: S 1292926425:1 292926425(0) ack 289306030 win 5840 <mss 1460,nop,nop,sackOK> E..0..@.@.H.............M.}..>u.p...S........... 20:40:26.212600 IP 192.168.184.1.54516 > 192.168.184.129.ftp: . ack 1 win 64 240 E..(m.@..................>u.M.}.P............. 20:40:26.229597 IP 192.168.184.129.ftp > 192.168.184.1.54516: P 42:48(6) ack 1 win 5840 E....2@.@...............M.~..>u.P.......220 20:40:26.251901 IP 192.168.184.1.54516 > 192.168.184.129.ftp: P 1:16(15) ack 48 win 64193 E..7m.@..................>u.M.~ P...#...USER viong 20:40:26.251989 IP 192.168.184.129.ftp > 192.168.184.1.54516: . ack 16 win 5 840 E..(.3@.@...............M.~ .>u.P....... 20:40:26.252116 IP 192.168.184.129.ftp > 192.168.184.1.54516: P 48:82(34) ac k 16 win 5840 E..J.4@.@...............M.~ .>u.P...8...331 Please specify the password. 20:40:26.255680 IP 192.168.184.1.54516 > 192.168.184.129.ftp: P 16:31(15) ac k 82 win 64159 E..7m.@..................>u.M.~+P....3..PASS 123456 E..Nm......R.............:.!............ EJFDEBFEEBFACACACACACACACACACAAA.. .. 20:40:31.301262 IP 192.168.184.129.ftp > 192.168.184.1.54516: P 82:105(23) ack 31 win 5840 E..?.6@.@...............M.~+.>u.P....H..230 Login successful. 從我們抓的數據包，可以看到賬號密碼，所以明文傳輸的數據安全性太可怕了讓vsftpd支持SSL，必須讓OPENSSL0.9.6版本，還有就是本身vsftpd版本是否支持查詢vsftpd軟件是否支持SSL `[root@localhost vsftpd]# ldd /usr/sbin/vsftpd \|grep libssl libssl.so.6 => /lib/libssl.so.6 (0xf7f27000) ==e說明此版本支持` 如沒有輸出libssl.so.6 => /lib/libssl.so.6 (0xf7f27000)類似文本，說明此vsftpd版本不支持SSL [root@red-hat-5 ~]#openssl req -x509 -nodes -days 365 -newkey rsa:1024 \-keyout /etc/vsftpd/vsftpd.pem \-out /etc/vsftpd/vsftpd.pem ==e生成vsftpd.pem 證書 Generating a 1024 bit RSA private key ..++++++ ....................................++++++ writing new private key to 'vsftpd.pem' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [GB]:cn State or Province Name (full name) [Berkshire]: shanghai Locality Name (eg, city) [Newbury]:shanghai Organization Name (eg, company) [My Company Ltd]:ys ==e根據提示填寫一些信息 Organizational Unit Name (eg, section) []:ys Common Name (eg, your name or your server's hostname) []:viong Email Address []:viong@viong.com [root@localhost ~]# ll /etc/vsftpd/ ==e查看是否生成vsftpd.pem文件 -rw-r--r-- 1 root root 197 12-25 19:57 chroot_list -rw--------1 root root 125 2007-12-13 ftpusers -rw------- 1 root root 361 2007-12-13 user_list -rw------- 1 root root 4396 12-25 19:19 vsftpd.conf -rwxr--r-- 1 root root 338 2007-12-13 vsftpd_conf_migrate.sh -rw-r--r-- 1 root root 2168 01-08 01:53 vsftpd.pem ==e生成vsftpd.pem成功 [root@red-hat-5 ~]# vi /etc/vsftpd/vsftpd.conf ==e編輯主配置文件，添加以下參數 ssl_enable=YES allow_anon_ssl=NO force_local_data_ssl=YES force_local_logins_ssl=YES ssl_tlsv1=YES ssl_sslv2=NO ssl_sslv3=NO rsa_cert_file=/etc/vsftpd/vsftpd.pem 下面是ssl參數一些定義，根據自己需求去修改 ssl_enable=yes/no //是否啟用 SSL,默認為no allow_anon_ssl=yes/no //是否允許匿名用戶使用SSL,默認為no rsa_cert_file=/path/to/file //rsa證書的位置 dsa_cert_file=/path/to/file //dsa證書的位置 force_local_logins_ssl=yes/no //非匿名用戶登陸時是否加密,默認為yes force_local_data_ssl=yes/no //非匿名用戶傳輸數據時是否加密,默認為yes force_anon_logins_ssl=yes/no //匿名用戶登錄時是否加密,默認為no force_anon_data_ssl=yes/no //匿名用戶數據傳輸時是否加密,默認為no ssl_sslv2=yes/no //是否激活sslv2加密,默認no ssl_sslv3=yes/no //是否激活sslv3加密,默認no ssl_tlsv1=yes/no //是否激活tls v1加密,默認yes ssl_ciphers=加密方法 //默認是DES-CBC3-SHA `[root@red-hat-5 ~]# service vsftpd restart 關閉vsftpd： [確定] 為vsftpd啟動vsftpd： [確定]` 通過FlashFXP連接FTP 下載地址：http://duote.com/soft/11584.html 如下圖：打開FlashFXP按F4跳出站點管理器.填寫ftp目標地址並選擇連接類型接受並保存證書連接成功傳輸數據成功接下來我們同樣通過tcpdump抓包分析 [root@red-hat-5 vsftpd]# tcpdump -i eth0 -A \|more tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes ………………………………………………………….省略 E..(.l@................._.W.h...P....)........ 15:55:03.887804 IP 192.168.184.129.ftp > 192.168.184.1.53447: P 1:36(35) ack 1 win 5840 E..K 3@.@.>.............h..._.W.P....s..220-........YSPLAY........FTP.... 15:55:03.888817 IP 192.168.184.129.ftp > 192.168.184.1.53447: P 36:42(6) ack 1 win 5840 E... 4@.@.>.............h..._.W.P...Q...220- 15:55:03.888982 IP 192.168.184.1.53447 > 192.168.184.129.ftp: . ack 42 win 64199 E..(.m@................._.W.h...P....)........ 15:55:03.889715 IP 192.168.184.129.ftp > 192.168.184.1.53447: P 42:48(6) ack 1 win 5840 E... 5@.@.>.............h..._.W.P...Q...220 15:55:03.893159 IP 192.168.184.1.53447 > 192.168.184.129.ftp: P 1:11(10) ack 48 win 64193 E..2.n@................._.W.h...P.......AUTH SSL =======e說明SSL加密成功通過測試得知數據傳輸已經被加密，說明支持SSL加密的vsftp搭建成功原文出處：Vsftpd完全攻略（四）搭建支持SSL加密传输的vftpd - 技术在于折腾 - 51CTO技术博客
回覆