ftp匿名登录漏洞怎么解决

去年帮一个做外贸的名登朋友看服务器，他用的录漏是某云厂商的轻量应用服务器，跑着一个老旧的洞解图片管理系统。我随手用命令行连了一下21端口，名登居然直接进去了——匿名登录，录漏root目录可读，洞解客户上传的名登合同扫描件整整齐齐躺在那里。他当时脸就白了。录漏这事不复杂，洞解但太多人栽在上面。名登

FTP匿名登录漏洞的录漏本质，是洞解服务器配置里开了个"后门"。vsftpd、名登ProFTPD、录漏Pure-FTPd这些常见软件，洞解默认配置里通常有一行anonymous_enable=YES。管理员图省事，或者装完就没管过，这个选项就一直开着。攻击者用ftp 目标IP，用户名填anonymous，密码随便写个邮箱，就能进去。权限取决于配置，有的只能下载，有的能上传，极端情况下还能写webshell。

先确认是不是真开了

别急着改配置。先连上去看看。Linux下直接ftp localhost，或者用nmap -p21 --script ftp-anon 目标IP扫一下。返回Anonymous FTP login allowed就是中招了。Windows服务器的话，IIS的FTP站点在"FTP授权规则"里如果加了"匿名用户"且权限是读取或写入，同样算。

我见过最离谱的一台机器，匿名登录后ls列出来的目录里有.ssh文件夹，私钥就放在里面。管理员把FTP根目录设成了/home，而某个用户的home目录恰好在那下面。这种配置错误比单纯的匿名可写更致命。

关掉它，但别只关一半

vsftpd的话，编辑/etc/vsftpd.conf，把anonymous_enable=YES改成NO。ProFTPD在/etc/proftpd/proftpd.conf里找<Anonymous>段落，整段注释掉或者删掉。Pure-FTPd检查/etc/pure-ftpd/pure-ftpd.conf里的AnonymousOnly和NoAnonymous。改完systemctl restart vsftpd重启服务。

但很多人改完就以为完事了。我遇到过一台机器，主配置文件改了，结果/etc/vsftpd/vsftpd.conf.d/下面还有个额外的conf文件，里面又开了一次。主配置和子配置的加载顺序取决于软件，别只看一个文件。用grep -r "anonymous" /etc/全局搜一遍，把所有相关配置都翻出来。

还有个坑：有些面板比如宝塔、WDCP，会在自己的界面里提供FTP管理，但底层配置可能被面板覆盖。你手动改了配置文件，面板一重启又给你写回去。这种情况得在面板设置里关掉匿名访问，或者干脆卸载面板自带的FTP模块，用系统原生的。

如果业务真的需要匿名访问

有些场景确实要开匿名，比如公开的软件下载站。那就把权限锁死。vsftpd里设anon_upload_enable=NO、anon_mkdir_write_enable=NO、anon_other_write_enable=NO，只留anon_world_readable_only=YES。再把匿名用户的根目录设成一个独立分区，用chroot_local_user=YES把它关在里面。目录权限设成555，属主是root，匿名用户根本写不进去。

更稳妥的做法是换协议。如果只是对外提供文件下载，HTTP就够了，Nginx配个autoindex on，比FTP轻量得多，还没有匿名登录这回事。内部传文件用SFTP，走SSH通道，认证靠密钥，根本不存在匿名概念。FTP这协议本身在设计上就没考虑安全，明文传输、双通道、防火墙穿透麻烦，能换就换。

最后说个检测思路。别等出了事再查。写个脚本每天扫一遍所有服务器的21端口，用nmap或者nc试探匿名登录，返回成功就告警。成本极低，但能挡住90%的批量扫描。那帮搞黑产的用masscan全网扫21端口，你服务器开着匿名，被翻牌子只是时间问题。

(责任编辑：探索)