毕业设计（论文）安全计算机机房构建与评测FTP服务器安全部分.doc

安全计算机机房构建与评测FTP服务器安全部分摘要近年来，网络安全越来越被人们所关注，而服务器安全更是其中重要的一项，一般说来，安全的系统会利用一些专门的安全特性来控制对信息的访问，只有经过适当授权的人，或者以这些人的名义进行的进程可以读、写、创建和删除这些信息。对于一个安全的计算机机房来说，其服务器一般以FTP服务器为主，那么他的危害一般都是来自于计算机机房的内部，所以为了防治学生对服务器进行一些非法的操作，（如：进入FTP服务器将其中的一些重要文件删除，修改。）如何保护这些服务器的安全就成了安全计算机机房构建的一项重任。本文的目标就是来对FTP服务器进行一些安全性措施以防止内部人为的对FTP服务器的非法操作！关键字：FTP服务器，账户，密码策略，安全策略，匿名连接SAFETY OF COMPUTER ROOM CONSTRUCTION EVALUATIONSERVER SECURITY SECTIONABSTRACTIn recent years, more and more people are concerned about network security, and server security is an important one, in General, the security system will make use of a number of specialized security features to control the access to the information, only a duly authorized person, or processes carried out in the name of those who can read, write, create, and delete the information. For a secure computer room, its server to ftp server, then the harm is he comes from inside the computer room, so in order to control students on the server for a number of illegal actions, Example: entering the ftp server is one of a number of important files deleted or modified, and so on. How to protect the security of these servers has become a responsibility of safety construction of computer room. The goal of this article is to ftp server security measures to prevent illegal operations on the ftp server of the internal human!Keywords: ftp servers, accounts, password policies, security policies, Anonymous connection 目 录第一章 绪 论1§1.1 设计的目的（意义）1第二章 课程设计研究2§2.1 FTP安全措施2§2.2 匿名FTP安全漏洞及检查2§2.3 主要问题3§2.4 运行环境3第三章 IIS-FTP 文件服务器4§3.1 用IIS架设FTP服务器4§3.2 IIS与FTP服务器的管理6§3.3 IIS与FTP的安全性设置8第四章 设计实现过程10§4.1 实验过程:10§4.2 FTP站点的身份验证配置10§4.3 进行权限设置12§4.4 IP地址限制的配置13§4.5 端口安全性的实现14第五章 FTP站点安全评测15§5.1 FTP站点的身份验证评测15§5.2 进行权限的评测15§5.3 IP地址限制的评测16§5.4 端口安全性评测17结论18参考文献19致谢20第一章 绪 论§1.1设计的目的（意义）为了了解FTP服务器存在的安全隐患，掌握增强FTP服务器安全性的配置方法。FTP协议是用来在两台计算机之间传送文件的TCP/IP通信协议，它通过FTP程序在Internet上实现远程文件的传输。在Internet中，FTP服务是由FTP服务器和FTP客户端构成，其中FTP服务器是用来存放各种类型文件的文件服务器，而客户端可以使用FTP命令将文件上传到FTP服务器或从FTP服务器中下载文件。Internet中的FTP服务器又可以分为专用FTP服务器和匿名FTP服务器。对于专用FTP服务器，当用户对其进行访问时，需要提供正确的用户名和密码，才能获得访问权限，否则将无法访问。因此专用FTP服务器仅为特定用户提供资源，用户要想成为它的合法用户，必须经过该服务器管理员的允许，由管理员为用户分配一个用户账户和密码，然后用户使用这个用户账户和密码访问服务器。假设你是某网站的管理者，经检测你的FTP服务器存在着一些安全隐患，请按下面的要求配置你的FTP服务器，增加其安全性。(1) 取消用户的匿名访问方式，并为合法用户分配用户名和口令。(2) 设置允许或拒绝从特定IP发来的服务请求，有选择地允许特定节点的用户访问服务。(3) 修改FTP服务器的通信端口。第二章 课程设计研究§2.1 FTP安全措施虽然FTP是目前应用最广的Internet功能之一，但也是安全最弱的服务。必须在FTP服务器配置中仔细地设置。下面以基于Windows NT的Web服务器为例叙述应当如何配置和如何保护FTP安全。有以下安全措施可以采用：(1) 不管用户是否匿名，都设置为对连接做记录。这样，通过Event Viewer可以查看登录用户的信息。为此，在.FtpSvcParameters下，建立一对REG_DWORD条目：“logAnonymous”和“LogNonAnonymous”。将这些值设为“1”，打开记录(2) 还可以使用Windows NT Resource Kit。这个应用程序可提供有关FTP服务器及其活动重要的统计数字，可以追踪到诸如每秒传送的字节数，网上用户数，最大允许上网用户数和传送的文件数等。这对于发现是否有闯入是有用的。(3) 定期检查FTP服务器。§2.2匿名FTP安全漏洞及检查FTP最大的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。而IIS又是基于Windows用户账户进行管理的，因而很容易泄漏系统账户名及密码，如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿名连接”，可以免却传输过程中泄密的风险。进入“默认FTP站点”，在属性的“安全账户”选项卡中，将此选项选中。§2.3主要问题1. FTP服务器存在的安全问题及其解决办法。2. 查找网上FTP站点的漏洞。§2.4运行环境在Windows Server 2003系统中，通过系统自带Internet(IIS)信息服务来提供FTP服务，使用图形界面的方式对FTP服务器进行安全方面的设置。第三章 IIS-FTP 文件服务器§3.1 用IIS架设FTP服务器如果只是想建个小型的同时在线用户数不超过10个的FTP服务器，且不会同时进行大流量的数据传输，可以用IIS 5.0作为服务器软件来架设(IIS只适用于Windows NT/2000/XP操作系统)。1.安装Windows XP默认安装时不安装IIS组件，需要手工添加安装。进入控制面板，找到“添加/删除程序”，打开后选择“添加/删除Windows组件”，在弹出的“Windows组件向导”窗口中，将“Internet信息服务(IIS)”项选中。在该选项前的“”背景色是灰色的，这是因为Windows XP默认并不安装FTP服务组件。再点击右下角的“详细信息”，在弹出的“Internet信息服务(IIS)”窗口中，找到“文件传输协议(FTP)服务”，选中后确定即可。图3-1 IIS 选项安装完后需要重启。Windows NT/2000和Windows XP的安装方法相同。2.设置电脑重启后，FTP服务器就开始运行了，但还要进行一些设置。点击“开始所有程序管理工具Internet信息服务”，进入“Internet信息服务”窗口后，找到“默认FTP站点”，右击鼠标，在弹出的右键菜单中选择“属性”。在“属性”中，我们可以设置FTP服务器的名称、IP、端口、访问账户、FTP目录位置、用户进入FTP时接收到的消息等。(1)FTP站点基本信息进入“FTP站点”选项卡，其中的“描述”选项为该FTP站点的名称，用来称呼你的服务器，可以随意填；“IP地址”为服务器的IP，系统默认为“(全部未分配)”，一般不需改动，但如果在下拉列表框中有两个或两个以上的IP地址时，最好指定为公网IP；“TCP端口”一般仍设为默认的21端口；“连接”选项用来设置允许同时连接服务器的用户最大连接数；“连接超时”用来设置一个等待时间，如果连接到服务器的用户在线的时间超过等待时间而没有任何操作，服务器就会自动断开与该用户的连接。(2)设置账户及其权限很多FTP站点都要求用户输入用户名和密码才能登录，这个用户名和密码就叫账户。不同用户可使用相同的账户访问站点，同一个站点可设置多个账户，每个账户可拥有不同的权限，如有的可以上传和下载，而有的则只允许下载。(3)安全设定进入“安全账户”选项卡，有“允许匿名连接”和“仅允许匿名连接”两项，默认为“允许匿名连接”，此时FTP服务器提供匿名登录。“仅允许匿名连接”是用来防止用户使用有管理权限的账户进行访问，选中后，即使是Administrator(管理员)账号也不能登录，FTP只能通过服务器进行“本地访问”来管理。至于“FTP站点操作员”选项，是用来添加或删除本FTP服务器具有一定权限的账户。IIS与其他专业的FTP服务器软件不同，它基于Windows用户账号进行账户管理，本身并不能随意设定FTP服务器允许访问的账户，要添加或删除允许访问的账户，必须先在操作系统自带的“管理工具”中的“计算机管理”中去设置Windows用户账号，然后再通过“安全账户”选项卡中的“FTP站点操作员”选项添加或删除。但对于Windows 2000和Windows XP专业版，系统并不提供“FTP站点操作员”账户添加与删除功能，只提供Administrator一个管理账号。（提示：匿名登录一般不要求用户输入用户名和密码即可登录成功，若需要，可用“anonymous”作为用户名，以任意电子邮件地址为密码来登录。）(4)设置用户登录目录最后设置FTP主目录(即用户登录FTP后的初始位置)，进入“主目录”选项卡，在“本地路径”中选择好FTP站点的根目录，并设置该目录的读取、写入、目录访问权限。“目录列表样式”中“UNIX”和“MS-DOS”的区别在于：假设将G:Ftp设为站点根目录，则当用户登录FTP后，前者会使主目录显示为“”，后者显示为“G:Ftp”。设置完成后，FTP服务器就算真正建成了。如果前面IP地址为218.1.1.1，则用户使用FTP客户端软件(用来登录FTP服务器的上传或下载软件，如CuteFTP、FlashFXP等，如无特别说明，本文中所称FTP客户端软件均以CuteFTP Pro 2.0为例)时，主机处填218.1.1.1，端口填21，此服务器的地址表述为：ftp:/218.1.1.1/。IIS虽然安装简单，设置较简便，但功能不强，管理也很麻烦，尤其是连新建一个基本的授权访问账户都要进行繁杂的设置，而且IIS本身的安全性也比较差，容易受到诸如“红色代码”等专门针对IIS漏洞进行攻击的病毒侵袭，因而很多人都喜欢使用第三方的FTP服务器软件来架设。§3.2 IIS与FTP服务器的管理架设好FTP服务器后，怎样才能更好地管理自己的FTP，使它性能稳定并合理占用机器资源和分配带宽呢？不同的FTP服务器软件提供的管理方式、功能有所不同。IIS虽然安装简单，但管理功能不强，只有简单的账户管理、目录权限设置、消息设置、连接用户管理。1.账户管理与Serv-U不同，IIS对账户的管理按照Windows用户账户方式进行。如果要给FTP服务器添加一个用户名和密码均为dys的授权账户，首先得在Windows中添加该账户。(1)在“管理工具”中打开“计算机管理”，找到“本地用户和组”下的“用户”，右击鼠标，选择“新用户”。(2)在弹出的“新用户”窗口中输入用户名和密码，确定后Windows就会创建该用户。(3)在“管理工具”中打开“Internet信息服务”，进入“默认FTP站点”的“属性”设置窗口，在“安全账户”选项卡中找到“FTP站点操作员”。在这里可以看到，系统已经默认“Administrators”组所有成员为授权账户。如果你用的是Windows 2000服务器版，可以点旁边的“添加”按钮，将dys账户添加进去，如果不是，则“添加”和“删除”按钮为灰色，不可选。能不能将dys账户添加进去呢？当然可以。(4)回到“计算机管理”，右击刚才创建的用户名，打开“属性”设置，在“隶属于”选项卡中先将默认的“Users”组删除，再点“添加”，在弹出的“选择组”窗口中点“高级立即查找”，在搜索结果中选择“Administrators”组，然后确定就可以了。(5)要删除某个账户，直接在“计算机管理”中删除即可。提示：这样做的缺点在于如果不是Windows 2000服务器版，则你每添加一个账户，该账户就自动拥有系统管理员“Administrator”的所有权限。可以想象，一旦账户密码失窃将带来很大的安全隐患。2.目录管理(1)设置虚拟目录很多时候，上传的文件多了，架设服务器当初设定的主目录所在盘空间往往就不够了，怎么办？这就需要设置虚拟目录。虚拟目录就是将其他目录以映射的方式虚拟到该FTP服务器的主目录下，这样，一个FTP服务器的主目录实质上就可以包括很多不同盘符、不同路径的目录，而不会受到所在盘空间的限制了。当用户登录到主目录下，还可以根据该账户的权限对它进行相应的操作，就像操作主目录下的子目录一样。如果用户被锁定在主目录下，这项功能将允许他们访问主目录之外的其他目录。这里我们假设要将D:MTV目录设为G:Ftp目录下的虚拟目录Music。在“Internet信息服务”中右击“默认FTP站点”，选“新建虚拟目录”进行设置。在“虚拟目录别名”中填入“Music”，在“FTP站点内容目录”中选择“D:MTV”，在“访问权限”中将“读取”和“写入”打上钩，完成后退出。以dys的账户登录到FTP看看，是不是多了个“Music”的目录？接下来就可以往该目录里上传或下载文件了。(2)读写权限设置IIS的权限设置比较简单，对每个目录只提供了三种权限：读取(允许下载)、写入(允许上传)和记录访问(在日志中记录用户对此目录的访问)。对主目录可以在“默认FTP站点”的属性中设置，对于虚拟目录可以在虚拟目录的“属性”中设置。提示：主目录设置的权限如果与虚拟目录的权限发生冲突，则以主目录权限为准。比如主目录设置的权限为读取和写入，而Music的权限只设置为读取，则Music权限将会被主目录权限覆盖掉，自动拥有写入权限。3.消息设置进入“默认FTP站点”属性中的“消息”选项卡，可以设置用户登录和退出服务器时在FTP客户端软件的状态窗口显示消息。其中，“标题”和“欢迎”将在用户登录时出现，“退出时”是当用户退出服务器时显示的告别信息。4.连接用户管理在“FTP站点”选项卡中可以简单地管理连接用户。“限制为”用来设置服务器允许同时连接的最大连接数，如果不是Windows 2000服务器版，不仅“无限制”选项不可选，而且最大连接数不能超过10个。“连接超时”可以设置当连接用户空闲多少秒时会被服务器自动踢出，这可以有效防止用户浪费服务器最大连接数。点右下角的“当前会话”可以看到在线连接用户所用的账户及当前状态，选择其中某个用户再点“断开”可以将该用户踢除。§3.3 IIS与FTP的安全性设置(1)及时安装新补丁对于IIS的安全性漏洞，可以说是“有口皆碑”了，平均每两三个月就要出一两个漏洞。所幸的是，微软会根据新发现的漏洞提供相应的补丁，这就需要你不断更新，安装最新补丁。(2)将安装目录设置到非系统盘，关闭不需要的服务。一些恶意用户可以通过IIS的溢出漏洞获得对系统的访问权。把IIS安放在系统分区上，会使系统文件与IIS同样面临非法访问，容易使非法用户侵入系统分区。另外，由于IIS是一个综合性服务组件，每开设一个服务都将会降低整个服务的安全性，因而，对不需要的服务尽量不要安装或启动。(3)只允许匿名连接FTP最大的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。而IIS又是基于Windows用户账户进行管理的，因而很容易泄漏系统账户名及密码，如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿名连接”，可以免却传输过程中泄密的风险。进入“默认FTP站点”，在属性的“安全账户”选项卡中，将此选项选中。(4)谨慎设置主目录及其权限IIS可以将FTP站点主目录设为局域网中另一台计算机的共享目录，但在局域网中，共享目录很容易招致其他计算机感染的病毒攻击，严重时甚至会造成整个局域网瘫痪，不到万不得已，最好使用本地目录并将主目录设为NTFS格式的非系统分区中。这样，在对目录的权限设置时，可以对每个目录按不同组或用户来设置相应的权限。右击要设置的目录，进入“共享和安全安全”中设置，如非必要，不要授予“写入”权限。(5)尽量不要使用默认端口号21启用日志记录，以备出现异常情况时查询原因。第四章 设计实现过程§4.1 实验过程:1. FTP站点的身份验证配置。2. 进行用户权限设置。3. 进行IP地址限制的配置。4. 进行端口安全性的实现。图4-1 试验场景图§4.2 FTP站点的身份验证配置(1) 在主机A上，依次点击“开始->所有程序->管理工具->Internet信息服务(IIS)管理器”。图4-2 IIS的添加(2) 主机A选中“FTP站点”中的“默认FTP站点”，并进行右键点击，选择“属性”。生成默认FTP站点对话框。图4-3 FTP属性(3) 在“默认FTP站点 属性”对话框中，选择“安全帐户”页签。如下图4-4所示：图4-4 匿名设置系统默认的身份验证方式为“允许匿名连接”，如果想对访问FTP站点的用户进行管制，可以取消“允许匿名连接”，并保存设置。此时其它用户若访问主机A的FTP站点，就必须拥有相应的帐户和口令。这里我们建一个用户“student”，密码为“123456”图4-5 提示性息在这里我们取消“允许匿名连接”，并单击信息提示框的【是】按钮，如下图4-6所示：图4-6 取消匿名连接(4) 上面对话框的【确定】按钮，完成配置。主机B打开IE浏览器，访问主机A的FTP站点“ftp:/主机A的IP地址”，此时会提示需输入用户名和密码。输入用户名“student”和密码“123456”，即可登录主机A的FTP站点。此时，主机A的IP地址是172.16.0.16。§4.3 进行权限设置主机A右键点击“默认FTP站点”，选择“属性”，切换到“主目录”页签。如下图4-7所示：图4-7主目录选择在“FTP站点目录”页签中选择“写入”选项，保存设置。此时FTP站点赋予了任一用户写入的权力。§4.4 IP地址限制的配置(1) 主机A右键点击“默认FTP站点”，选择“属性”，选择“目录安全性”页签， 选中“拒绝访问”单选框，点击“添加”按钮，添加授权的主机。图4-8 授权访问在弹出的“授权访问”对话框中，选中“一台计算机”单选框，在“IP地址”中输入所授权访问主机的IP地址，这里输入的是主机B的IP地址（例172.16.0.12）图4-9添加IP上述步骤的设置表示：仅授权主机B可以访问FTP服务器，其它主机拒绝访问。(2) 依次单击上面对话框的【确定】按钮，完成配置。主机B访问主机A的FTP站点“ftp:/主机A的IP地址”，此时主机B是可以访问的；将主机B的IP进行修改（注意：不要和其他主机发生IP地址冲突），这时主机B再访问主机A的FTP站点，一直在进行登录时的身份验证，不能对主机A进行访问，这说明配置成功。§4.5 端口安全性的实现(1) 主机A右键点击“默认FTP站点”，选择“属性”，选择“FTP站点”页签，修改“TCP端口”的值为“2121”，如下图4-10所示。图4-10 默认站点设置(2) 单击上面对话框的【确定】按钮，完成配置。 第五章 FTP站点安全评测§5.1 FTP站点的身份验证评测将主机B的IP地址手动配置成172.16.0.12，并与主机A进行物理连通并测试连通性，连通后，打开主机B的浏览器访问主机A的FTP站点“ftp:/172.16.0.16”，会出现如图5-1所示，要求填写用户名和密码，将已设好的用户名与密码填写完后点击登录，主机B即可访问到主机A上的FTP服务器。图5-1 填写用户名与密码§5.2 进行权限的评测在主机B的浏览器中输入“ftp:/172.16.0.16”，打开FTP站点，站点中内容如下图5-2所示。图5-2 FTP站点内容右键新建一个文件夹“1”发现成功了，这时候站点下内容为：图5-3 新建文件夹后因此我们得出结论我们添加的用户写入权限成功。如果我们在FTP服务器上将用户的写入权限取消。图5-4 取消写入权限这时候我们再在主机B上访问FTP，并新建文件夹，将会出现错误信息如图所示。图5-5 提示信息§5.3 IP地址限制的评测我们刚刚所配置的主机B的IP地址为172.16.0.12因为我们选择的是拒绝访问，只允许172.16.0.12的地址访问，所以主机B这时候仍能访问FTP服务器，测试后成功，现在我们将主机B的IP改为172.16.0.13，然后我们在去访问FTP站点，出现错误信息，如图5-6所示。图5-6 文件夹错误§5.4 端口安全性评测主机B访问主机A的FTP站点“ftp:/172.16.0.16”，此时会收到“FTP 文件夹错误”的提示框，表明端口的配置成功，已不是默认的21了。图5-7 错误信息主机B再次访问主机A的FTP站点“ftp:/172.16.0.16:2121”，主机B即可登录主机A的FTP站点。结 论通过上述的FTP站点和安全评测，我们不难发现，其实要做好FTP的安全工作就那么几点：（1）身份验证机制（2）用户的访问权限的设置（3）IP地址的限制（4）端口的限制只要做好以上四项的基本配置，对于机房的FTP的安全来说已经足够了。本论文主要讲述的是机房FTP服务器的安全配置，在撰写过程中由于本人的经验不足可能存在一些缺陷，但是大致的方面还是可以的，相信大家看了我的论文后对FTP服务器的安全配置会有一个全新的认识和了解。参考文献1 王明计算机网络技术与实训教程机械工业出版社.20102 吴功宜计算机网络课程设计机械工业出版社.20083 张建忠计算机网络实验指导书清华大学出版社.20084 王群计算机网络教程清华大学出版社.20095 谢宗晓，刘琦.信息安全管理体系实施案例及文件集.中国标准出版社.20106 （英）安德森.信息安全工程（第2版）.清华大学出版社.2012/*译著*/7 8 9 10 致谢课程设计是大学学习过程中一次非常难得的理论与实际相结合的机会，通过这次的实训，让我摆脱了单纯的理论知识学习状态，这次的课程设计锻炼了了我的综合运用所学的专业基础知识，解决实际问题的能力，同时也提高我查阅文献资料的水平，而且通过这次设计，我对程序整体的掌控，对局部的取舍，以及对细节的斟酌处理能力都得到了很大的提高。这正是这次课程设计目的之所在，我很高兴的看到设计任务能够完成，各种能力得到了锻炼。在以后的学习生活中我还要继续发扬这种整体掌控力，这种不怕辛苦困难的精神。本次课程设计虽然完成了，但是由于创作时间较短，考虑不周全，可能有很多不尽如人意的地方，如中文编码问题一直还没能解决。有错误就有提高，这些问题我将在以后继续修复改善，以不断提高自己解决问题的能力。最后，我要感谢在本次课设中给予我帮助的各位同学，特别还要感谢老师的悉心帮助，正是有了你们的帮助，我的课设才能按时顺利的完成。