FTP-Anonymous-Login prüfen

Prüfen Sie, ob ein FTP-Server anonyme Logins annimmt - eine häufige Fehlkonfiguration und ein mögliches Sicherheitsrisiko.

Was ist anonymes FTP?

Anonymes FTP erlaubt die Verbindung zu einem FTP-Server ohne persönliches Konto, mit dem Benutzernamen anonymous und einer beliebigen Zeichenfolge (meist einer E-Mail-Adresse) als Passwort. Früher diente es zur Verteilung öffentlicher Software; heute gilt es auf Servern mit sensiblen Daten als Sicherheitsrisiko.

Viele Server erlauben es noch absichtlich - Spiegelserver von Linux-Distributionen, Download-Server für Firmware und öffentliche Archive stellen Dateien so bereit. Das Problem sind die Server, die es versehentlich erlauben: eine aktiv gebliebene Standardkonfiguration, eine Testumgebung, die in den Produktivbetrieb gewandert ist, oder ein anonymes Verzeichnis, das nie Kundendaten enthalten sollte. Genau diese Lücke findet diese Prüfung.

So funktioniert die Prüfung

Das Tool verbindet sich auf dem angegebenen Port mit Ihrem Server, versucht eine echte Anmeldung mit dem Benutzernamen anonymous und meldet die tatsächliche Antwort des Servers - einschließlich des Begrüßungsbanners, wenn der Zugriff gewährt wird. Es wird nichts herunter- oder hochgeladen; es ist derselbe Handshake, den der Scanner eines Angreifers versuchen würde, einmal ausgeführt, aus Ihrem Browser.

Warum auf anonymen Zugriff prüfen?

  • Ungewollter anonymer Zugriff kann private Dateien im öffentlichen Internet offenlegen.
  • Angreifer nutzen anonymes FTP, um Schadsoftware hochzuladen oder den Server als Zwischenstation zu missbrauchen.
  • Viele Compliance-Vorgaben (PCI-DSS, HIPAA) verlangen, dass anonymes FTP deaktiviert ist.

Wenn Sie den Server ohnehin prüfen: Kontrollieren Sie Zugangsdaten und Erreichbarkeit mit dem FTP-Verbindungstester, und sehen Sie mit dem FTP-Server-Banner-Grabber, welche Software der Server der Welt verrät. Und wenn aus der Prüfung echte Arbeit mit Dateien wird, ist FTPie ein moderner kostenloser FTP-Client für Windows mit FTPS und SFTP an Bord.

Häufige Fragen

Welchen Benutzernamen und welches Passwort verwendet anonymes FTP?

Der Benutzername ist anonymous, und als Passwort dient traditionell Ihre E-Mail-Adresse - die meisten Server akzeptieren aber jede Zeichenfolge. Viele Server nehmen auch den kürzeren Benutzernamen ftp an. Gelingt eine der beiden Anmeldungen, erlaubt der Server anonymen Zugriff.

Ist anonymes FTP immer ein Sicherheitsrisiko?

Nein. Öffentliche Download-Spiegel und Software-Archive nutzen anonymes FTP bewusst, und Lesezugriff auf wirklich öffentliche Dateien ist unproblematisch. Zum Risiko wird es, wenn es unbeabsichtigt aktiviert ist, wenn die zugänglichen Verzeichnisse private Daten enthalten oder wenn anonyme Benutzer hochladen dürfen - beschreibbares anonymes FTP ist ein klassischer Umschlagplatz für Schadsoftware.

Wie deaktiviere ich anonymes FTP auf meinem Server?

Setzen Sie bei vsftpd anonymous_enable=NO in vsftpd.conf und starten Sie den Dienst neu. Entfernen Sie bei ProFTPD den Abschnitt Anonymous aus der Konfiguration oder kommentieren Sie ihn aus. Löschen Sie bei FileZilla Server das Benutzerkonto anonymous. Deaktivieren Sie bei IIS die anonyme Authentifizierung für die FTP-Site. Führen Sie danach diese Prüfung erneut aus, um zu bestätigen, dass der Server die anonyme Anmeldung jetzt ablehnt.