БИБЛИЯ ХАКЕРА

Ftpd и анонимный ftp

Версии

Убедитесь, что используете самую современную версию ftp демона.

Попробуйте установить ftpd, разработанный в вашингтонском уни­верситете. В «заплатка» 005 должна быть поставлена в программе версии 1.1 BSD/386.

Конфигурация

Проверьте все заданные по умолчанию опции конфигурации на ва­шем ftp-сервере.

Убедитесь, что на вашем ftp-сервере нет команды SITE EXEC.

Убедитесь, что файл определяющий несанкциониро­

Ванных пользователей и не позволяющий им подсоединиться к вашему серверу, установлен.

Файл должен включать в себя, как минимум, входы: root, bin, uucp, ingres, daemon, news, nobody и все аккаунты, поставленные поставщиком.

Только анонимный Ftp

Чтобы установить, работает ли у вас анонимный ftp, попробуйте, используя его, соединиться с локальным хостом. Убедитесь, что ввели имя пользователя в формате RFC822 как пароль.

Чтобы отключить анонимный ftp, переместите или удалите все фай­лы в - ftp/, и затем удалите пользователя ftp из файла пароля.

При запуске распределенных паролей (например, NIS, N1S +) вы должны проверить входы пароля, обслуживаемые вашей машиной также, как в вашем локальном файле пароля.

Конфигурация Ftp сервера

Проверьте все заданные по умолчанию опции конфигурации на ва­шем ftp сервере.

Не все версии ftp позволяют перенастраивать конфигурацию. Если у вас установлена версию с перенастраиваемой конфигурацией ftp (на­пример, wu-ftp), удостоверьтесь, что опции delete, overwrite, rename, chmod и umask (и, возможно, ряд других) не доступны для «гостей» и анонимных пользователей. Вообще, анонимные пользователи должны иметь мини­мум привилегий.

Проверьте, что интерпретатор команд (типа оболочки или утилит подобных perl) не прописан в - ftp/bin, ~ftp/usr/bin, —ftp/sbin или в им по­добных конфигурациях каталога, которые могут использоваться SITE EXEC.

Командные файлы системы не должны храниться в —ftp/bin, - ftp/usr/bin, —ftp/sbin или подобных каталогах, которые могут использо­ваться SITE EXEC.

Ряд команд, например uncompress, может располагаться в этих ката­логах. В каждом отдельном случае очень внимательно отнеситесь к подоб­ному расположению файлов, так как при такой конфигурации почти лю­бая подобная команда может стать «лазейкой» для несанкционированных пользователей.

Будьте крайне осторожны при запуске команд, которые могут вы­полнять произвольные команды. Например, некоторые версии команды tar могут допустить выполнение произвольного файла.

Убедитесь, что используете недопустимые пароль и пользователь­скую оболочку для ftp входа в системный файл пароля и его копию (если таковая у вас имеется). Вот примерно как это должно выглядеть:

Ftp:*:400:400:Anonymous

FTP:/home/ftp:/bin/false где /home/ftp — анонимная ftp область.

Проверьте, что разрешения исходного ftp каталога (-ftp/) установ­лены на 555 (read nowrite execute), а владелец установлен к корню (не к ftp).

Удостоверьтесь, что у вас нет копии настоящего файла /etc/passwd (~ftp/etc/passwd).

В самом начале создайте некий корневой файл с разрешениями 444. Он не должен содержать отсылки на аккаунты из настоящего файла паро­ля, в нем должны находиться только корень и ftp. Таким образом, вы пре­доставите потенциальным взломщикам фиктивную информацию о вхо­дах в систему и заблокированные пароли, к примеру:

Root:*:0:0:Ftp maintainer::

Ftp:*:400:400:Anonymous ftp::

Файл пароля используется только для обеспечения доступа (через универсальный ID) пользователей к распечаткам Is (1).

Проверьте, что нигде нет копии настоящего файла /etc/group (~ftp/ etc/group).

Создайте соответствующий аналогичный преды­

Дущему.

Проверьте, что файлов ~ftp/.rhosts и ~ftp/.forward нет.

Установите регистрационную оболочку ftp-аккаунта к неработаю­щей (по сути, фальшивой) оболочке типа /bin/false.

Разрешения

Убедитесь, что ни один файл или каталог не принадлежит унту или располагаются в той же группе, где и ftp-аккаунт.

Если же это не так, то злоумышленник может заменить их на «тро­янского коня».

Убедитесь, что анонимный ftp-пользователь не имеет возможности создавать файлы или каталоги в системе не иначе как по особому запро­су.

Убедитесь, что анонимному ftp-пользователю вся информация до­ступна в режиме «только для чтения».

Проверьте, что разрешения исходного ftp каталога установ­

Лены на 555 (read nowrite execute), а владелец установлен к корню (не к ftp).

Убедитесь, что системные подкаталоги и имеют

Разрешения 111, а владелец установлен к корню.

Проверьте, что файлы в каталоге имеют разрешения

Владелец устанавливает к корню.

Проверьте, что разрешения файлов в каталоге установле­

Ны на 444, владелец устанавливает к корню.

Убедитесь, что в системе существуют почтовые псевдонимы для ftp; это поможет избежать несанкционированного вскрытия почты.

Удостоверьтесь, что /usr/spool/mail/ftp принадлежит корню с разре­шениями 400.

Перезаписываемые каталоги

Проверьте, что в вашей системе нет перезаписываемых каталогов. Лучше всего вовсе не иметь перезаписываемых каталогов. Если же они у вас все-таки есть, то мы рекомендуем ограничиться одним.

Убедитесь, что к перезаписываемым каталогам нет доступа «для чтения».

Каталоги, одновременно и перезаписываемые, и читаемые, могут несанкционированно использоваться.

Убедитесь, что все перезаписываемые каталоги принадлежат корню и имеют разрешения 1733.

Если возможно, поместите перезаписываемые каталоги в отдель­ном разделе.

Это поможет предотвратить отрицание сервисных решений.

Обязательно прочтите «Anonymous FTP Configuration Guide-lines».

Установка дисков

Никогда не устанавливайте диски с других компьютеров в ~ftp ие­рархии до тех пор, пока они не будут помечены «read-only» («только для чтения»).