FTP 보안 위협 및 대책

보안 문제 

- FTP 연결은 명령 연결 및 데이터 연결 모두 평문으로 전달함

- 네트워크 스니핑 공격에 취약하기 때문에 암호화가 필요

 

해결 방법 

- FTP over SSH: Secure-FTP(SFTP) 프로토콜 사용

- 전송 중 명령 연결 및 데이터 연결이 모두 암호화가 됨, 대신 낮은 속도

- SSH에서 SSH 클라이언트와 SSH 서버 사이에 보안 연결이 성립되었을 때, 사용 가능

- 22/TCP 포트 사용 

 

- FTP over TLS 

- 명령 연결만 전송 중 암호화가 이루어짐, SFTP보다 훨씬 빠른 속도 

- 990/TCP 포트 사용 

 

공격 유형

Bounce Attack

 - 데이터 채널을 생성할 때 목적지를 확인하지 않는 FTP 설계의 구조적 취약점을 이용

 - Active 모드에서 FTP 서버의 파일을 요청하면 클라이언트에서 파일을 받을 IP와 포트를 지정해서 전달(PORT 명령사용)

 - 익명 FTP 서버를 경유하여 특정 호스트의 포트를 스캔

 - 클라이언트가 아닌 다른 호스트를 지정해도 해당 호스트로 정보를 전달(목적지 확인 X)

 - Fake Mail: 메일의 헤더 부분을 허위 조작하여 거짓 메일을 보낼 수 있음 

 

공격 단계

- 공격자 A가 있다고 가정,

- 네트워크에는 2개의 서버(P, Q)와 1개의 클라이언트(C)가 있음

- Q는 네트워크의 세 번째 장치 

1단계: 공격자 A는 클라이언트 C와 서버 P 사이에 FTP 제어 연결을 생성

2단계: 공격자 A는 클라이언트 C의 IP를 지정하는 대신, 다른 서버 Q의 IP를 PORT 명령으로 지정

3단계: 공격자 A는 서버 P에 실행할 명령들을 전송, 여기엔 서버 P에서 서버 Q에 대한 패시브 연결을 여는 명령들이 포함되지만, P의 IP가 아닌 공격자 A의 IP를 부여 함. 이를 통해 서버 Q의 파일 접근 권한 획득

4단계: 서버 Q는 서버 P가 요청한 데이터를 전송하고 서버 P는 데이터를 공격자 A에게 다시 전송한다. 

 

탐지 방법

- FTP 데이터 패킷이 1024번 이하의 포트를 오픈하면 공격으로 간주

- 공격자가 보내는 패킷을 카운트하여 공격인정 시간 내, 특정 값 달성 시 공격으로 간주하여 연결 차단

조치 방법

- 제어 연결과 데이터 연결을 맺는 호스트가 항상 같도록 설정하여 공격에 이용되지 않도록 함 

- 제어 연결이 20번 포트와 같이 예약된 포트에 연결되는 것을 차단

- 익명 FTP서버의 경우, 임시로 ./incoming에 파일 업로드를 하지 못하도록 함

 

 

그 외 공격

1. IFTP Attack

 - 인증 절차를 요구하지 않기 때문에 설정이 잘못되어 있으면 누구나 해당 호스트에 접근하여 파일을 다운로드 할 수 있음 

 - /etc/passwd 파일에 FTP 사용자 설정 

 - TFTP가 불필요한 경우 Secure mode로 운영 

2. Anonymous FTP Attack

 - 보안 절차를 거치지 않은 익명의 사용자에게 FTP 서버 접근 허용, 익명 사용자가 서버에 쓰기 권한이 있을 때 악성코드 생성 가능

 - 사용자의 Root 디렉터리와 중요한 파일들이 담긴 bin, etc, pub 디렉터리 소유자의 권한을 관리

 - /etc/passwd 파일에서 anonymous ftp에 불필요한 항목 제거

3. FTP 서버 취약점

 - Wu-FTP 포맷 스트링 취약점 및 각종 버퍼 오버플로우 공격

4. Network Sniffing

 - ID 및 패스워드 입력 후 접속 시도 시 암호화가 이루어지지 않음

5. Brutu Force 

 - 무작위 대입