Anatoly Sablin написал(а) к Alexey Shilov в May 18 07:53:42 по местному времени:

Нello, Alexey Shilov.
On 13.05.2018 0:16 you wrote:

AS>> Он наружу торчит?
AS> Торчит.

Поздравляю, твоя файлопомойка открыта для любого желающего. Ты же понимаешь, что из-за того, что ftp ничего не шифрует, пароль и логин передаются открытым текстом, и любой желающий может перехватить их и получить доступ к хранилищу.

У тебя, надеюсь, пароль для ftp уникальный и нигде больше не используется?

AS>> FTP не является безопасным и подвержен следующим проблемам: -
AS>> Скрытые атаки (bounce attacks) - Спуф-атаки (spoof attacks) -
AS>> Атаки методом грубой силы (brute force attacks) - Перехват
AS>> пакетов, сниффинг (packet capture, sniffing) - Защита имени
AS>> пользователя - Захват портов (port stealing)
AS> Это я знаю, но врятли кому-то интересны мои залежи музыки, фильмов
AS> и электронных книг

Имея доступ к хранилищу (так как перехватить не зашифрованные логин/пароль не то, чтобы легко, достаточно запустить любой сниффер), можно залить зловред, или подменить файл версией с майнером/зловредом, или залить cp, или ещё что-нибудь сделать.

Относительно недавно была новость о дыре в окошках, что при открытии pdf-файла сливается ntlm-хэш на сторонний адрес. При этом не используется уязвимости, недокументированные возможности, используется стандартное api.

AS>> FTP не шифрует ничего и передаёт данные, пароли открытым текстом.
AS> Да и пофиг. Мой домашний сервер и файлопомойка.

И кто-то может получить доступ туда.

AS>> Кроме того, у него проблемы с пробиванием nat-ов (особенно когда
AS>> и сервер, и клиент сидят за своим nat-ом).
AS> Никаких проблем. Белый IP и переадресация портов.

У тебя наружу открыт целый диапазон портов?

AS>> Также у FTP есть проблемы при возобновлении соединений при
AS>> заливке или скачивании файлов, начиная с сегмента, большего, чем
AS>> 2 GB.
AS> Вот не замечал пока. Только что заливал 27 гигов. Правда по
AS> локали.

Начни заливать и на отметке 25гб убей закачку. А потом продолжи заливку последних двух гигов, не заливая заново залитые данные.

--
Best regards!
Posted using Нotdoged on Android
--- Нotdoged/2.13.5/Android