ftp服务器的建立.doc

!-FTP服务器配置方法中小企业组建一个用于资料共享、数据上传的FTP服务器，对于企业加强与用户之间的沟通交流，甚至降低企业运作成本方面，都是大有益处。本文围绕FTP硬件需求与软件配置方面展开，硬件方面根据不同企业的需求提出了不同的解决方案；软件配置方面采用目前流行的第三方FTP配置软件Serv-U作介绍，希望能对正在组建或准备组建FTP服务器的企业用户带来一些帮助。 一硬件需求：根据企业实际定制。根据并发访问用户的多少，以及企业对FTP服务器稳定性的不同需求，自然在FTP服务器硬件的搭配上就要有所考虑，不要一味贪图高配置、高要求。以下根据不同的企业需要，提出不同的方案：1.高要求稳定型-HP Proliant DL360 G4推荐说明：主频3.6G的Xeon处理器加上1GB的内存容量，足以应付上百个用户的并发访问；并且可以根据需要加装第二颗处理器。另外SCSI接口的硬盘类型，为数据的存储提供了更快的速度，再配合强大的处理器性能，在上百台客户机的网络中应用，绝对绰绰有余。还有一点值得注意的是，此款服务器并未具体给出硬盘容量，可以根据实际自由选择SCSI硬盘容量，对于扩展FTP服务器功能也是功不可末。 2.一般适用型-方正圆明 LT200A推荐说明：不管从哪方面来说，此款服务器都只能算作一高端计算机。之所以选择此类配置，也是考虑企业实际。当在一个小型办公环境中搭建FTP服务器时，用户访问量及数据存储都不大，80GB的硬盘空间相信能满足需要；P4 2.8G的处理器性能绝对不俗，配合512MB的内存容量，充分体现出实用的原则。并且可根据企业发展不断升级配置。二.软件需求：Serv-U安装与配置。软件方面首先应考虑与操作系统的搭配问题。与硬件的选购类似，当对FTP的要求较高时（比如安全性，可管理性等方面），UNIX系统还是上等之选；只是由于操作系统的配置不易掌握才不被广泛使用；普遍的解决方案是使用Windows 2000/2003 Server操作系统+Serv-U（FTP软件）的组合方式。作为一款精典的FTP服务器软件，SERVU一直被大部分管理员所使用，它简单的安装和配置以及强大的管理功能的人性化也一直被管理员们称颂。但是随着使用者越来越多，该软件的安全问题也逐渐显露出来。 首先是SERV-U的SITE CHMOD漏洞和Serv-U MDTM漏洞，即利用一个账号可以轻易的得到SYSTEM权限。其次是Serv-u的本地溢出漏洞，即Serv-U有一个默认的管理用户（用户名：localadministrator，密码：#$ak#.k;0p），任何人只要通过一个能访问本地端口43958的账号就可以随意增删账号和执行任意内部和外部命令。此时，人们才开始重视起SERVU的安全来，并采取了一些相关措施，如修改SERVU的管理端口、账号和密码等。但是，修改后的内容还是保留在ServUDaemon.exe文件里，因此下载后用如UltraEdit之类的16进制编辑软件就可以很轻易的获取到修改后的端口、账号和密码。从SERVU6.0.0.2开始，该软件有了登录密码功能，这样如果加了管理密码，并且设置比较妥善的话，SERVU将会比原来安全的多。现在我们就开始SERVU的设置之旅，采用版本是SERVU 6.0.0.2。古语有云，千尺之台始于垒土，设置SERVU的安全就从安装开始。这篇文章主要是写SERVU的安全设置，所以不会花费太多的功夫来介绍安装，只说一下要点。SERVU默认是安装在C:Program FilesServ-U目录下的，我们最好做一下变动。例如改为：D:u89327850mx8utu432X$UY32x211936890co7v23x1t3（图1）这样的路径，如果安装盘符WEB用户不能浏览的话，他便很难猜到安装的路径。当然，安装后会在桌面和开始菜单上生成快捷方式，建议删除，因为一般不会使用到它。可能你要问了，那应该怎样进入SERVU的设置界面呢？其实很简单，双击下右角任务栏里的Tray Monitor小图标来启动SERVU的管理界面。 图1：修改安装的目录安装的时候只选前2项就可以了，后面的2个是说明和在线帮助文件。(见图2) 图2：安装时候只需要选择前2项下图是生成的开始菜单组里的文件夹的名字，建议更改成比较不像SERVU的名字，或者是删除该文件夹。(见图3) 图3：更改安装后生成开始菜单组里文件夹的名字安装完成后会出现一个向导让你建立一个域和账号。在这里点Cancel取消向导。用向导生成的账号会带来一些问题，所以下面采用手工方式建立域和账号。(见图4) 图4：点Cancel取消向导然后点选Start automatically(system service)前面的选项，接着点下边的Start Server按钮把SERVU加入系统服务，这样就可以随系统启动了，不用每次都手工启动。(见图5) 图5：把SERVU加入服务接下来就会出现如图6的界面。通过点击Set/Change Password设置一个密码。图6：点击Set/Change Password设置密码然后会出现如图7的界面。因为是第一次使用，所以是没有密码的，也就是说原来的密码为空。不用在old password里输入字符，直接在下面的New password和Repeat new password里输入同样的密码再点OK就可以了。这里建议设置一个足够复杂的密码，以防止别人暴力破解。自己记不得也没有关系，只要把ServUDaemon.ini里的LocalSetupPassword=这一行清除并保存，再次运行ServUAdmin.exe就不会提示你输入密码登录了。下面就到了该对SERVU进行安全设置的时候了。首先建立一个WINDOWS账号SSERVU，密码也需要足够的复杂。密码要记住，如果记不住就暂时保存在一个文件里，一会儿还要用到。(见图8) 图8：建立一个WINDOWS账号建好账号以后，双击建好的用户编辑用户属性，从“隶属于”里删除USERS组。 图9：从隶属于里删除USERS组从“终端服务配置文件”选项里取消“允许登录到终端服务器（W）”的选择，然后点击确定继续我们的设置。（见图10）图10：取消“允许登录到终端服务器”这里我们已经建好了账号，该设置服务里的账号了。现在就要用到刚才建立的这个账号，密码还没有忘记吧，马上就要用到了。在开始菜单的管理工具里找到“服务”点击打开。在“Serv-U FTP Server服务”上点右键，选择属性继续。然后点击“登录”进入登录账号选择界面。选择刚才建立的系统账号名，并在下面重复输入2次该账号的密码（就是刚才让你记住的那个），然后点“应用”，再次点确定，完成服务的设置。（见图11）图11：更改启动和登录SRVU的账号密码接下来要先使用FTP管理工具建立一个域，再建立一个账号，建好后选择保存在注册表。（见图12） 图12：FTP用户密码保存到注册表里打开注册表来测试相应的权限，否则SERVU是没办法启动的。在开始运行里输入regedt32点“确定”继续。找到HKEY_LOCAL_MACHINESOFTWARECat Soft分支。在上面点右键，选择权限，然后点高级，取消允许父项的继承权限传播到该对象和所有子对象，包括那些在此明确定义的项目，点击“应用”继续，接着删除所有的账号。再次点击“确定”按钮继续。这时会弹出对话框显示“您拒绝了所有用户访问Cat Soft。没有人能访问 Cat Soft，而且只有所有者才能更改权限。您要继续吗？”，点击“是”继续。接着点击添加按钮增加我们建立的SSERVU账号到该子键的权限列表里，并给予完全控制权限。到这里注册表已经设置完了。但还不能重新启动SERVU，因为安装目录还没设置。现在就来设置一下，只保留你的管理账号和SSERVU账号，并给予除了完全控制外的所有权限。（见图13）图13：SERVU安装目录权限设置现在，在服务里重启Serv-U FTP Server服务就可以正常启动了。当然，到这里还没有完全设置完，你的FTP用户因为没有权限还是登录不了的，所以还要设置一下目录的权限。假设你有一个WEB目录，路径是d:web。那么在这个目录的“安全设定”里除了管理员和IIS用户都删除掉，再加入SSERVU账号，切记SYSTEM账号也删除掉。为什么要这样设置呢？因为现在已经是用SSERVU账号启动的SERVU，而不是用SYSTEM权限启动的了，所以访问目录不再是用SYSTEM而是用SSERVU，此时SYSTEM已经没有用了，这样就算真的溢出也不可能得到SYSTEM权限。另外，WEB目录所在盘的根目录还要设置允许SSERVU账号的浏览和读取权限，并确认在高级里设置只有该文件夹。（见图14）图14：WEB目录所在盘的权限设置至此，设置全部结束。现在的SERVU设置是配合IIS设置的，因为和IIS使用不同的账号，WEB用户就不可能访问SERVU的目录，并且WEB目录没有给予SYSTEM权限，所以SYSTEM账号也同样访问不了WEB目录，也就是说，即使使用MSSQL得到备份的权限也不能备份SHELL到你的WEB目录。你可以安全的使用SERVU了。4.登录FTP服务器。在浏览器地址栏输入FTP域名“ftp.server.com”，局域网内用户可直接输入服务器IP地址即可访问；另外也在DOS下使用“Telnet”命令登录：Telnet ftp.server.com。如果能够正常登录，即表示此FTP服务器从硬件、软件方面全部配置完成。2007年5月