内容摘要：所有FTP服务器都可以匿名访问——这话说出来，搞运维的同事怕是要抄起键盘砸我。但别急，我亲眼见过太多例子，默认配置的FTP服务就像没上锁的自行车，停在路边，谁都能骑走。 上个月帮一家做外贸的小公司排查

所有FTP服务器都可以匿名访问——这话说出来，服访问搞运维的匿名同事怕是要抄起键盘砸我。但别急，服访问我亲眼见过太多例子，匿名默认配置的服访问FTP服务就像没上锁的自行车，停在路边，匿名谁都能骑走。服访问

上个月帮一家做外贸的匿名小公司排查网络问题，老板信誓旦旦说服务器安全得很。服访问我随手用浏览器输入ftp://他们的匿名公网IP，回车，服访问目录列表直接弹出来了。匿名里面躺着近三年的服访问报关单、合同扫描件，匿名甚至还有员工身份证照片的服访问备份文件夹。老板脸色当时就白了。他压根不知道，他们买的NAS设备默认开启了FTP匿名访问，还映射到了公网。

这不是个例。很多路由器、网络摄像头、老旧服务器，甚至某些云主机镜像，预装的FTP服务都默认允许匿名登录。厂商为了“用户体验”，恨不得你插上网线就能用，安全性就扔到了脑后。你登录上去看到的是空目录，但黑客看到的，是通往内网的跳板。

有人会反驳：我配置过，明明要用户名密码。对，那是你改过。但问题在于，大量设备管理员根本不知道这个默认开关的存在。我见过一个工厂的MES系统，生产数据实时写入FTP，运维工程师三年没动过配置，直到有一次被勒索病毒盯上，才发现匿名用户居然有写权限——病毒直接在服务器上盖了个新文件夹，里面全是加密后的生产报表。

更隐蔽的是那些“半匿名”状态。有些FTP服务器允许匿名登录，但限制只能访问某个公共目录。听起来安全？可如果那个目录下有个符号链接指向系统目录呢？或者目录权限设置成了可写，攻击者上传一个WebShell，配合服务器上跑着的Apache，直接就能拿到控制权。我测试过一台老式打印机，它内置的FTP服务允许匿名上传固件包，上传个修改过的文件，打印机就变成了内网跳板机。

说回标题——并非所有FTP服务器都可以匿名访问，但默认配置下，太多可以。真正的风险在于，人们总以为“默认”等于“安全”。你去搜“FTP服务器搭建教程”，十篇里有八篇教你如何快速开启服务，没有一篇提醒你立刻关闭匿名访问。厂商也乐得如此，少一个配置项，就少一份技术支持压力。

所以，如果你还在用FTP传文件，花两分钟检查一下：打开你FTP客户端，用anonymous作为用户名，随便填个邮箱当密码，试试能不能连上。能连上？那你该谢谢这个测试，而不是骂我危言耸听。改掉默认配置，关掉匿名，强密码，或者干脆换SFTP——这比装什么防火墙都管用。

别以为这些事离你很远。你公司那台放在角落里的NAS，可能正开着21号端口，对全网吆喝：“来啊，免费看文件啊。”