原址：How to Install and Configure FTP Server in Ubuntu
FTP（File Transfer Protocol 文件傳輸協(xié)議 ）是通過(guò)網(wǎng)絡(luò)在兩臺(tái)電腦之間傳輸文件的協(xié)議柑司，這是一種很古老但是很常用的協(xié)議。它認(rèn)證所用的用戶(hù)名跟密碼是通過(guò)明文在網(wǎng)絡(luò)上傳輸?shù)淖蚨忍炀褪遣话踩摹?/b>
警告：如果你計(jì)劃使用FTP，請(qǐng)考慮使用SSL/TLS配置FTP連接音诫，否則猛铅，做好使用安全的FTP胖秒，如SFTP寇窑。
在這篇文章中鸦概，我們將介紹如何在Ubuntu中去安裝 配置并加固FTP服務(wù)器（在文章中我們使用 VsFTP，一個(gè)號(hào)稱(chēng)非常安全的FTP服務(wù)器軟件）甩骏，以去應(yīng)對(duì)FTP漏洞窗市。
Step 1.安裝VsFTP
1.首先，升級(jí)Ubuntu系統(tǒng)并安裝VsFTP
sudo apt-get update
sudo apt-get install -y vsftpd
2.安裝完成后饮笛，啟動(dòng)VsFTP咨察，并設(shè)置開(kāi)機(jī)自啟動(dòng)。
------------- On SystemD -------------
systemctl start vsftpd
systemctl enable vsftpd
------------- On SysVInit -------------
service vsftpd start
chkconfig --level 35 vsftpd on
3.如果福青，你在服務(wù)器上開(kāi)啟了 UFW firewall 的話摄狱，還要開(kāi)放 21 和 20 端口，來(lái)允許遠(yuǎn)程計(jì)算機(jī)的TCP連接无午，然后添加新的防火墻規(guī)則媒役，
sudo ufw allow 20/tcp
sudo ufw allow 21/tcp
sudo ufw status
Step 2.配置Vsftp
4.首先，創(chuàng)建原始配置文件/etc/vsftpd.conf 的備份
sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig
然后指厌，打開(kāi)配置文件
sudo vi /etc/vsftpd.conf
OR
sudo nano /etc/vsftpd.conf
添加/修改以下選項(xiàng)
anonymous_enable=NO? ? ? ? ? ? # disable? anonymous login
local_enable=YES ? ? ? ? ? ? ? ? ? ? ?# permit local logins
write_enable=YES ? ? ? ? ? ? ? ? ? ? # enable FTP commands which change the filesystem
local_umask=022 ? ? ? ? ? ? ? ? ? ? ? # value of umask for file creation for local users
dirmessage_enable=YES ? ? ? ? ?# enable showing of messages when users first enter a new directory
xferlog_enable=YES ? ? ? ? ? ? ? ? ?# a log file will be maintained detailing uploads and downloads
connect_from_port_20=YES? ? ? ? # use port 20 (ftp-data) on the server machine for PORT style connections
xferlog_std_format=YES ? ? ? ? ? ? # keep standard log file format
listen=NO ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?# prevent vsftpd from running in standalone mode
listen_ipv6=YES ? ? ? ? ? ? ? ? ? ? ? ? ? # vsftpd will listen on an IPv6 socket instead of an IPv4 one
pam_service_name=vsftpd? ? ? ? # name of the PAM service vsftpd will use
userlist_enable=YES ? ? ? ? ? ? ? ? # enable vsftpd to load a list of usernames
tcp_wrappers=YES ? ? ? ? ? ? ? ? ? # turn on tcp wrappers
5.配置?/etc/vsftpd.userlist（注：在我的系統(tǒng)中默認(rèn)是 /etc/vsftpd.user_list 文件且不存在刊愚，需要自己創(chuàng)建）?去允許/阻止FTP用戶(hù)登陸
請(qǐng)注意，默認(rèn)情況下踩验，如果 userlist_enable = YES，userlist_deny = YES商玫，則在 userlist_file = /etc/vsftpd.userlist 中列出的用戶(hù)將被拒絕登陸箕憾。
但是，userlist_deny = NO 時(shí) userlist_file = /etc/vsftpd.userlist 中的用戶(hù)會(huì)允許登錄FTP服務(wù)器拳昌。
userlist_enable=YES? ? ? ? ? ? ? ? ? # vsftpd將從userlist_file給出的文件名中加載用戶(hù)名列表
userlist_file=/etc/vsftpd.userlist? ? # 給出文件名列表的存儲(chǔ)文件（注：若不配置袭异，則默認(rèn)為 /etc/vsftpp.user_list）
userlist_deny=NO
注意：當(dāng)用戶(hù)登錄到FTP服務(wù)器時(shí)，由于開(kāi)啟了根目錄限制炬藤，用戶(hù)只能瀏覽他們的本地根目錄御铃，而不能跳轉(zhuǎn)到其他目錄。
接下來(lái)沈矿，我們將修改根目錄限制上真。
6.我們添加/修改/取消注釋以下兩個(gè)選項(xiàng)，將FTP用戶(hù)限制到其主目錄羹膳。
chroot_local_user=YES
allow_writeable_chroot=YES
chroot_local_user = YES 意味著本地用戶(hù)將被限制在根目錄下睡互，默認(rèn)情況下登錄在它們各自的主目錄下。
默認(rèn)情況下出于安全的考慮，VsFTP是不允許根目錄可寫(xiě)的就珠，但是我們可以通過(guò) allow_writeable_chroot=YES 來(lái)使其可寫(xiě)寇壳。
保存并關(guān)閉配置文件，重啟VsFTP服務(wù)器使上述改變生效
------------- On SystemD -------------
# systemctl restart vsftpd
------------- On SysVInit -------------
# service vsftpd restart
Step 3：測(cè)試VsFTP服務(wù)器
7.現(xiàn)在我們將通過(guò)使用 useradd 命令創(chuàng)建FTP用戶(hù)來(lái)測(cè)試FTP服務(wù)器妻怎，如下所示：
sudo useradd -m -c "Aaron Kili, Contributor" -s /bin/bash aaronkilik
sudo passwd aaronkilik
然后壳炎，我們必須使用echo命令和tee命令在/etc/vsftpd.userlist文件中顯式地列出用戶(hù)aaronkilik，如下所示：
echo "aaronkilik" | sudo tee -a /etc/vsftpd.userlist
cat /etc/vsftpd.userlist
8.現(xiàn)在測(cè)試我們的服務(wù)器是否按上述要求配置工作逼侦。我們先測(cè)試匿名登錄;我們可以從下面的輸出中清楚地看到匿辩，不允許在FTP服務(wù)器上進(jìn)行匿名登錄：
# ftp 192.168.56.102 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Connected to 192.168.56.102? (192.168.56.102). ?
220 Welcome to TecMint.com FTP service.
Name (192.168.56.102:aaronkilik) : anonymous
530 Permission denied.
Login failed.
ftp> bye
221 Goodbye.
9.接下來(lái)，讓我們測(cè)試未在文件/etc/vsftpd.userlist中列出的用戶(hù)是否可以登錄到服務(wù)器偿洁。從以下輸出中可以看出這是不允許的：
# ftp 192.168.56.102 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Connected to 192.168.56.102? (192.168.56.102).
220 Welcome to TecMint.com FTP service.
Name (192.168.56.10:root) : user
1530 Permission denied.
Login failed.
ftp> bye
221 Goodbye
10.現(xiàn)在撒汉，我們將進(jìn)行最后的測(cè)試，以確定在/etc/vsftpd.userlist文件中列出的用戶(hù)是否可以成功登錄并登錄到主目錄下涕滋。
# ftp 192.168.56.102 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Connected to 192.168.56.102? (192.168.56.102). ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
220 Welcome to TecMint.com FTP service. ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Name (192.168.56.102:aaronkilik) : aaronkilik ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
331 Please specify the password. ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Password:
230 Login successful. ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Remote system type is UNIX. ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
Using binary mode to transfer files.
ftp>ls
警告：設(shè)置選項(xiàng) allow_writeable_chroot = YES 是比較危險(xiǎn)睬辐，它可能有安全隱患，特別是如果用戶(hù)有上傳權(quán)限宾肺，shell訪問(wèn)權(quán)限等溯饵。只有你完完全全的知道你在做什么時(shí)，才能授予此權(quán)限锨用。
這些安全隱患不僅僅只存在于 VSFTPD 進(jìn)程中丰刊，它們也可以影響其他所有的，將用戶(hù)限制于根目錄中的FTP守護(hù)進(jìn)程增拥。
因?yàn)檫@個(gè)原因啄巧，在下面的部分，我們將介紹一個(gè)更安全的方法掌栅，為用戶(hù)設(shè)置不同的不可寫(xiě)的本地根目錄秩仆。
Step 4:配置 FTP 用戶(hù)家目錄
11.現(xiàn)在再次打開(kāi) VsFTP 配置文件
sudo vi /etc/vsftpd.conf
OR
sudo nano /etc/vsftpd.conf
使用＃字符注釋掉不安全的選項(xiàng)，如下所示：
#allow_writeable_chroot=YES
接下來(lái)猾封，為用戶(hù)創(chuàng)建備用本地根目錄（aaronkilik澄耍，你的目錄可能不相同），并通過(guò)禁用其他用戶(hù)對(duì)此目錄的寫(xiě)入權(quán)限來(lái)設(shè)置我們所需的權(quán)限：
sudo mkdir /home/aaronkilik/ftp
sudo chown nobody:nogroup /home/aaronkilik/ftp
sudo chmod a-w /home/aaronkilik/ftp
12.然后晌缘，在本地目錄下創(chuàng)建一個(gè)新目錄齐莲，并賦予用戶(hù)適當(dāng)權(quán)限：
sudo mkdir /home/aaronkilik/ftp/files
sudo chown -R aaronkilk:aaronkilik /home/aaronkilik/ftp/files
sudo chmod -R 0770 /home/aaronkilik/ftp/files/
然后，在 VsFTPD 配置文件中添加/修改以下選項(xiàng)：
user_sub_token=$USER? ? ? ? ? # 將用戶(hù)名插入本地根目錄
local_root=/home/$USER/ftp? ? # 定義任何用戶(hù)的本地根目錄
保存并關(guān)閉配置文件磷箕，重啟 VsFTP 使上述配置生效
------------- On SystemD ------------- ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
# systemctl restart vsftpd ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
------------- On SysVInit ------------- ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ??
# service vsftpd restart
13.現(xiàn)在选酗，讓我們進(jìn)行最終的檢查，確保用戶(hù)登錄后的根目錄是我們?cè)谄渲髂夸浿袆?chuàng)建的FTP文件夾
# ftp 192.168.56.102
Connected to 192.168.56.102? (192.168.56.102).
220 Welcome to TecMint.com FTP service.
Name (192.168.56.10:aaronkilik) : aaronkilik
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>ls
PS：翻譯的不好搀捷，英語(yǔ)四級(jí)剛過(guò)星掰，見(jiàn)諒見(jiàn)諒多望！各位就湊合看吧，應(yīng)該不影響操作吧氢烘！
