1

在教授 Web 开发课程时，我让学生 SFTP 进入我为他们创建的沙箱服务器，以便他们可以使用 PHP。其中一名学生（成人，而不是传统的学生年龄——有点勒德分子）犹豫是否要使用它，因为在他们的脑海中“现在我们要连接到远程服务器”等同于有人可以访问他们计算机上的文件和信息。

你会如何回答这个问题？这不是我曾经想过的事情，但我对 FTP 协议本身的了解还不够，无法给出一个强有力的解释。

4

4 回答 4

3

我要指出，虽然连接到 FTP 服务器存在风险，但它们不包括 FTP 服务器访问您的计算机的能力。

  • 真正的风险是攻击者可以嗅探用户名和密码并获取、修改或删除服务器上的文件

当然，这可能会导致有效的攻击向量如下：

  • 攻击者获得对 FTP 服务器的访问权限
  • 攻击者破坏服务器上的文件，将其替换为包含恶意软件的文件
  • 您下载文件，期望它是有效的
  • 你运行文件，你的机器被攻破了

这种妥协可能来自僵尸网络客户端、键盘记录木马等。

您当然可以通过以下方式将风险降至最低：

  • 使用 SFTP - 提供加密和更强的身份验证
  • 提供您要下载的文件的哈希值，以便对其进行验证
  • 病毒扫描所有下载的文件
  • 只允许在沙箱中执行下载的文件
于 2012-06-07T12:09:40.940 回答
1

为了让任何人从客户端计算机检索文件，客户端必须在他/她的防火墙中打开 SFTP 端口，并允许通过 sftp 访问他/她的文件。这些设置默认为“拒绝访问”，因此他/她的文件不会受到损害。当他 SFTP 进入服务器时，服务器已允许他访问其上的文件。因此，尽管他/她正在连接到服务器并检索文件，但服务器确实无法从他/她的计算机访问任何文件，因为计算机将拒绝访问。希望有帮助！

于 2012-06-07T07:59:39.680 回答
1

每次访问网站时，您都在“连接到远程服务器”。每次检查电子邮件时，您都在“连接到远程服务器”。Skype？“连接到远程服务器。” 事实上，如果“连接到远程服务器”让您担心，那么拥有互联网连接实际上是没有意义的。FTP 似乎因为传输文件部分而吓到了一些人，但实际上它与任何其他协议没有根本的不同，当然也没有更多的安全风险。在过去，“连接到远程服务器”是一项昂贵的操作，需要谨慎处理，但技术世界发展迅速，现在这是一项正常而平凡的操作。

这就是我要对他说的。

于 2012-06-07T08:22:01.417 回答
0

让他认为 FTP 是他可能已经知道的其他东西，例如 USB 记忆棒...... 特别是如果你把它交给你不信任的人。

于 2012-06-07T07:53:05.573 回答