一操作系统的选择
ＦＴＰ服务器首先是基于操作系统而运作的因而操作系统本身的安全性就决定了ＦＴＰ服务器安全性的级别虽然Ｗｉｎｄｏｗｓ ９８／Ｍｅ一样可以架设ＦＴＰ服务器但由于其本身的安全性就不强易受攻击因而最好不要采用Ｗｉｎｄｏｗｓ ＮＴ就像鸡肋不用也罢最好采用Ｗｉｎｄｏｗｓ ２０００及以上版本并记住及时打上补丁至于ＵｎｉｘＬｉｎｕｘ则不在讨论之列
二使用防火墙
端口是计算机和外部网络相连的逻辑接口也是计算机的第一道屏障端口配置正确与否直接影响到主机的安全一般来说仅打开你需要使用的端口将其他不需要使用的端口屏蔽掉会比较安全限制端口的方法比较多可以使用第三方的个人防火墙如天网个人防火墙等这里只介绍Ｗｉｎｄｏｗｓ自带的防火墙设置方法
１利用ＴＣＰ／ＩＰ筛选功能
在Ｗｉｎｄｏｗｓ ２０００和Ｗｉｎｄｏｗｓ ＸＰ中系统都带有ＴＣＰ／ＩＰ筛选功能利用它可以简单地进行端口设置以Ｗｉｎｄｏｗｓ ＸＰ为例打开本地连接的属性在常规选项中找到Ｉｎｔｅｒｎｅｔ协议（ＴＣＰ／ＩＰ）双击它打开该协议的属性设置窗口点击右下方的高级按钮进入高级ＴＣＰ／ＩＰ设置在选项中选中ＴＣＰ／ＩＰ筛选并双击进入其属性设置这里我们可以设置系统只允许开放的端口假如架设的ＦＴＰ服务器端口为２１先选中启用ＴＣＰ／ＩＰ筛选（所有适配器）再在ＴＣＰ端口选项中选择只允许点添加输入端口号２１确定即可这样系统就只允许打开２１端口要开放其他端口继续添加即可这可以有效防止最常见的１３９端口入侵缺点是功能过于简单只能设置允许开放的端口不能自定义要关闭的端口如果你有大量端口要开放就得一个个地去手工添加比较麻烦
２打开Ｉｎｔｅｒｎｅｔ连接防火墙
对于Ｗｉｎｄｏｗｓ ＸＰ系统自带了Ｉｎｔｅｒｎｅｔ连接防火墙功能与ＴＣＰ／ＩＰ筛选功能相比设置更方便功能更强大除了自带防火墙端口开放规则外还可以自行增删在控制面板中打开网络连接右击拨号连接进入高级选项卡选中通过限制或阻止来自Ｉｎｔｅｒｎｅｔ的对此计算机的访问来保护我的计算机和网络启用它系统默认状态下是关闭了ＦＴＰ端口的因而还要设置防火墙打开所使用的ＦＴＰ端口点击右下角的设置按钮进入高级设置选中ＦＴＰ服务器编辑它由于ＦＴＰ服务默认端口是２１因而除了ＩＰ地址一栏外其余均不可更改在ＩＰ地址一栏中填入服务器公网ＩＰ确定后退出即可即时生效如果架设的ＦＴＰ服务器端口为其他端口比如２２则可以在服务选项卡下方点添加输入服务器名称和公网ＩＰ后将外部端口号和内部端口号均填入２２即可
三对ＩＩＳＳｅｒｖ－Ｕ等服务器软件进行设置
除了依靠系统提供的安全措施外就需要利用ＦＴＰ服务器端软件本身的设置来提高整个服务器的安全了
１ＩＩＳ的安全性设置
１）及时安装新补丁
对于ＩＩＳ的安全性漏洞可以说是有口皆碑了平均每两三个月就要出一两个漏洞所幸的是微软会根据新发现的漏洞提供相应的补丁这就需要你不断更新安装最新补丁
２）将安装目录设置到非系统盘关闭不需要的服务
一些恶意用户可以通过ＩＩＳ的溢出漏洞获得对系统的访问权把ＩＩＳ安放在系统分区上会使系统文件与ＩＩＳ同样面临非法访问容易使非法用户侵入系统分区另外由于ＩＩＳ是一个综合性服务组件每开设一个服务都将会降低整个服务的安全性因而对不需要的服务尽量不要安装或启动
３）只允许匿名连接
ＦＴＰ最大的安全漏洞在于其默认传输密码的过程是明文传送很容易被人嗅探到而ＩＩＳ又是基于Ｗｉｎｄｏｗｓ用户账户进行管理的因而很容易洩漏系统账户名及密码如果该账户拥有一定管理权限则更会影响到整个系统的安全设置为只允许匿名连接可以免却传输过程中洩密的危险进入默认ＦＴＰ站点在属性的安全账户选项卡中将此选项选中
４）谨慎设置主目录及其权限
ＩＩＳ可以将ＦＴＰ站点主目录设为局域网中另一台计算机的共享目录但在局域网中共享目录很容易招致其他计算机感染的病毒攻击严重时甚至会造成整个局域网瘫痪不到万不得已最好使用本地目录并将主目录设为ＮＴＦＳ格式的非系统分区中这样在对目录的权限设置时可以对每个目录按不同组或用户来设置相应的权限右击要设置的目录进入共享和安全→安全中设置如非必要不要授予写入权限
５）尽量不要使用默认端口号２１
启用日志记录以备出现异常情况时查询原因
２Ｓｅｒｖ－Ｕ的安全性设置
与ＩＩＳ的ＦＴＰ服务相比Ｓｅｒｖ－Ｕ在安全性方面做得比较好
１）对本地服务器进行设置
首先选中拦截ＦＴＰ＿ｂｏｕｎｃｅ攻击和ＦＸＰ什么是ＦＸＰ呢？通常当使用ＦＴＰ协议进行文件传输时客户端首先向ＦＴＰ服务器发出一个ＰＯＲＴ命令该命令中包含此用户的ＩＰ地址和将被用来进行数据传输的端口号服务器收到后利用命令所提供的用户地址信息建立与用户的连接大多数情况下上述过程不会出现任何问题但当客户端是一名恶意用户时可能会通过在ＰＯＲＴ命令中加入特定的地址信息使ＦＴＰ服务器与其它非客户端的机器建立连接虽然这名恶意用户可能本身无权直接访问某一特定机器但是如果ＦＴＰ服务器有权访问该机器的话那么恶意用户就可以通过ＦＴＰ服务器作为中介仍然能够最终实现与目标服务器的连接这就是ＦＸＰ也称跨服务器攻击选中后就可以防止发生此种情况
其次在高级选项卡中检查加密密码和启用安全是否被选中如果没有选择它们加密密码使用单向ｈａｓｈ函数（ＭＤ５）加密用户口令加密后的口令保存在ＳｅｒｖＵＤａｅｍｏｎｉｎｉ或是注册表中如果不选择此项用户口令将以明文形式保存在文件中启用安全将启动Ｓｅｒｖ－Ｕ服务器的安全成功
２）对域中的服务器进行设置
前面说过ＦＴＰ默认为明文传送密码
容易被人嗅探对于只拥有一般权限的账户危险并不大但如果该账户拥有远程管理尤其是系统管理员权限则整个服务器都会被别人远程控制Ｓｅｒｖ－Ｕ对每个账户的密码都提供了以下三种安全类型规则密码ＯＴＰ Ｓ／ＫＥＹ ＭＤ４和ＯＴＰ Ｓ／ＫＥＹ ＭＤ５不同的类型对传输的加密方式也不同以规则密码安全性最低进入拥有一定管理权限的账户的设置中在常规选项卡的下方找到密码类型下拉列表框选中第二或第三种类型保存即可注意当用户凭此账户登录服务器时需要ＦＴＰ客户端软件支持此密码类型如ＣｕｔｅＦＴＰ Ｐｒｏ等输入密码时选择相应的密码类型方可通过服务器验证
与ＩＩＳ一样还要谨慎设置主目录及其权限凡是没必要赋予写入等能修改服务器文件或目录权限的尽量不要赋予最后进入设置在日志选项卡中将启用记录到文件选中并设置好日志文件名及保存路径记录参数等以方便随时查询服务器异常原因
