安全配置FTP服務(wù)器

為了便于維護(hù)網(wǎng)站，很多服務(wù)器上都開通了FTP服務(wù)，雖然Serv-U等第三方FTP服務(wù)器軟件功能強(qiáng)大，不過系統(tǒng)自帶的FTP組件具有穩(wěn)定性好、操作簡便，和系統(tǒng)完美融合等特點(diǎn)，在實(shí)際工作中使用極為普遍。我們知道，Serv-U的功能雖然不錯(cuò)，但是如果其設(shè)置不當(dāng)?shù)脑?，就會存在很大的安全隱患。在很多黑客入侵案例中，都可以看到黑客利用Serv-U配置漏洞入侵得手的情況。如何檢測目標(biāo)服務(wù)器上使用的是系統(tǒng)自帶的FTP服務(wù)呢？方法很簡單，使用“ftp”命令連接目標(biāo)服務(wù)器，如果返回“220 Microsoft FTP Srvice”的信息，就表明其使用了上述組件。

在IIS 6.0之 前 的Windows中，IIS中沒有辦法將用戶限制在FTP站點(diǎn)中的特定目錄，于是造成擁有寫入權(quán)限的用戶把FTP主目錄搞的亂七八糟的情況。IIS 6.0之后的系統(tǒng)可以有效解決該問題。通過使用用戶隔離模式，讓用戶在連接FTP服務(wù)器后直接進(jìn)入與之關(guān)聯(lián)的目錄中，并且其無法查看或者修改別的用戶目錄。為此，需要在系統(tǒng)中為FTP用戶單獨(dú)創(chuàng)建本地賬戶。運(yùn)行“l(fā)usrmgr.msc”程序，在本地用戶和組窗口左側(cè)選擇“用戶”項(xiàng)，在右側(cè)窗口的右鍵菜單中點(diǎn)擊“新賬戶”項(xiàng)，來創(chuàng)建所需的賬戶。注意：不要選擇“用戶下次登錄時(shí)須更改密碼”項(xiàng)，同時(shí)選擇“用戶不能更改密碼”和“密碼永不過期”項(xiàng)。

圖4 設(shè)置隔離用戶

圖5 開啟磁盤配額管理功能

雙擊創(chuàng)建的賬戶，在其屬性窗口的“隸屬于”面板中刪除所有的組名（例如User組等），使其不隸屬于任意組。同理，可以創(chuàng)建多個(gè)FTP專用賬戶。

為了安全起見，需要事先規(guī)劃好FTP站點(diǎn)的目錄結(jié)構(gòu)。方法是某個(gè)NTFS分區(qū)中新建一個(gè)文件夾（例如“Webroot”），在其中創(chuàng)建名為“LocalUser”的子目錄。進(jìn)入該子目錄，在其中為每一個(gè)用戶創(chuàng)建一個(gè)文件夾。

注意：FTP站點(diǎn)主目錄下的子文件夾名稱必須為“LocalUser”，在其中創(chuàng)建的子目錄其名稱必須和每個(gè)FTP用戶的賬戶名完全一致。

在Internet信息服務(wù)窗口左側(cè)的“FTP站點(diǎn)”的右鍵菜單上點(diǎn)擊“新建”→“FTP站點(diǎn)”項(xiàng)，在向?qū)Ы缑嬷悬c(diǎn)擊下一步按鈕，輸入FTP站點(diǎn)描述信息，在下一步窗口中選擇該FTP站點(diǎn)使用的IP地址和端口號。在下一步窗口（如圖4所示）選擇“隔離用戶”項(xiàng)，之后在“FTP站點(diǎn)主目錄”窗口中選擇FTP主目錄，在下一步窗口中選擇“寫入”項(xiàng)，為其設(shè)置訪問權(quán)限。之后完成FTP站點(diǎn)創(chuàng)建動作。前面我們已經(jīng)為每一個(gè)磁盤設(shè)置了訪問權(quán)限，只允許Administrators組和SYSTEM賬戶擁有訪問權(quán)限。因此，需要針對每一個(gè)FTP賬戶文件夾，在其屬性窗口中的“安全”面板中點(diǎn)擊“添加”按鈕，將與之對應(yīng)的FTP本地賬戶添加進(jìn)來，并為其指派除了“讀取和運(yùn)行”、“寫入”、“修改”等權(quán)限。

一般來說，服務(wù)器針對每個(gè)用戶提供的FTP存儲空間都是有限的，具體的配置方法是選擇FTP主目錄所在的盤符，在其“屬性”窗口中“配額”面板（如圖5所示）中選擇“啟用配額管理”項(xiàng)，并選擇“拒絕將磁盤空間給超過配額限制的用戶”項(xiàng)。點(diǎn)擊“配額項(xiàng)”按鈕，在彈出窗口中的工具欄上點(diǎn)擊第一個(gè)按鈕，導(dǎo)入對應(yīng)的FTP本地賬戶名，在“添加新配額項(xiàng)”窗口中選擇“將磁盤空間限制為”項(xiàng)，為其分配合適的存儲空間，點(diǎn)擊確定按鈕，該FTP用戶就擁有了合適的存儲空間。

當(dāng)您登錄到虛擬主機(jī)提供的FTP空間后，會發(fā)現(xiàn)其中存在三個(gè)目錄，除了FTP主目錄外，還 存 在“l(fā)ogfile”，“Isapi”目錄，前者為網(wǎng)站日志目錄，后者為ISAPI篩選器目錄。但是，按照上述方法創(chuàng)建的FTP站點(diǎn)中卻沒有這些目錄，為此我們手工在服務(wù)器中的FTP主目錄中建立這些目錄，其配置方法下面會提及。

注意，這里主要使用FTP站點(diǎn)維護(hù)網(wǎng)站之用，所以針對每一個(gè)FTP本地賬戶，在其關(guān)聯(lián)的文件夾中分別創(chuàng)建“www”、“l(fā)ogfile”、“Isapi” 目錄，用來存儲其管理的網(wǎng)站目錄、日志目錄以及篩選器信息。