参考资料：
http://www.9170.org/post-322.html 史上最详细的vsftpd配置文件讲解 作者：王健宇
实验可能会用到的测试工具
flashfxp或filezilla
1、安装vsftpd(服务器端)、ftp软件(客户端)
[root@gnnt ~]# yum install vsftpd ftp
#yum源的建立可参见：http://1343138116.blog.51cto.com/6124664/1681861 RedHat 6.6自建yum仓库
2、查询vsftpd安装列表
[root@gnnt ~]# rpm -ql vsftpd
/etc/vsftpd/vsftpd.conf #vsftpd服务的主配置文件
/etc/pam.d/vsftpd #vsftpd的pam模块
/etc/vsftpd/ftpusers #控制用户是否能够登录FTP服务器，默认为加入此文件的用户不能登录
/etc/vsftpd/user_list #主配置文件经常与此命令连用userlist_deny=YES(黑名单)，为NO代表白名单
以上4个文件经常用到
3、实际用户
以用户zj为例
(1)、创建zj用户
[root@ftp ~]# useradd zj
[root@ftp ~]# passwd zj
Changing password for user zj.
New password:
BAD PASSWORD: it is too simplistic/systematic
Retype new password:
passwd: all authentication tokens updated successfully.
(2)、将用户禁锢在自身的主目录中
实验前最好先关闭iptables与SElinux
[root@ftp ~]#service iptables stop
[root@ftp ~]#setfenforce 0
[root@ftp ~]#getfenforce
Permissive
[root@ftp ~]# vim /etc/vsftpd.conf/vsftpd.conf
chroot_list_enable=YES #开启chroot写入列表的功能
chroot_list_file=/etc/vsftpd/chroot_list #与上条命令结合使用，在文件里的用户将被禁锢
[root@ftp ~]#vim /etc/vsftpd/chroot_list
zj
[root@ftp ~]#
注：如果以上两个参数与chroot_local_user=YES(将用户限制在自己的主目录内，为了安全最好是YES)连用，将会出现chroot_list中的用户将成为白名单，否则为黑名单,我这里没有与它连用
(3)、普通用户的文件上传、下载、新建、删除
[root@ftp ~]# ftp localhost #登录FTP服务器，也可自行添加一台linux客户端做测试
Connected to localhost (127.0.0.1).
220-welcome to ftp.gnnt.com!!!
220
Name (localhost:root): zj #输入用户名
331 Please specify the password.
Password: #输入密码
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> pwd
257 "/"
ftp> cd /home #被禁锢在了自己的家目录中，不能切换目录
550 Failed to change directory.
ftp> ls
227 Entering Passive Mode (127,0,0,1,160,213).
150 Here comes the directory listing.
226 Directory send OK.
ftp> lcd /etc #改变本地的工作目录
Local directory now /etc
ftp> put inittab
#上传/etc/inittab文件到/home/zj，上传文件时最好是在自己的主目录中(此种情况发生在没有被禁锢的用户中)
local: inittab remote: inittab
227 Entering Passive Mode (127,0,0,1,185,62).
150 Ok to send data.
226 Transfer complete.
884 bytes sent in 9e-05 secs (9822.22 Kbytes/sec)
ftp> get inittab #下载inittab文件到当前目录(意指登录FTP时是在哪个目录进行的)
local: inittab remote: inittab
227 Entering Passive Mode (127,0,0,1,114,111).
150 Opening BINARY mode data connection for inittab (884 bytes).
226 Transfer complete.
884 bytes received in 0.0189 secs (46.85 Kbytes/sec)
ftp> mkdir test #新建test目录
257 "/test" created
ftp> rmdir test #删除test目录
250 Remove directory operation successful.
ftp> delete inittab #删除inittab文件
250 Delete operation successful.
ftp> ls
227 Entering Passive Mode (127,0,0,1,41,127).
150 Here comes the directory listing.
226 Directory send OK.
同时也可在windows下进行测试(这里我使用的gif录制软件“都叫兽”,可以百度搜索下载)
这里我的windows客户端IP地址为：172.16.0.255
linux服务器端IP地址为：172.16.0.10
4、虚拟用户（未完待续）
5、匿名用户上传、下载、新建、删除文件的方法(不建议给匿名用户如此大的权限)
(1)、修改vsftpd.conf配置文件
[root@ftp ~]# vim /etc/vsftpd/vsftpd.conf
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
banner_file=/etc/vsftpd/welcome.txt
listen=YES
xferlog_enable=YES
xferlog_file=/var/log/xferlog
命令逐条解释
#给anonymous用户有上传文件的权限
#给anonymous用户有创建文件的权限
#给anonymous用户有创建文件之外的其它权限，例如删除文件
#登录ftp服务器时显示的信息，此文件需要自己手动创建，并添加相应的内容
#设置vsftpd的启动方式为stand alone(独立守护进程),另一种方式为super daemon(超级守护进程),可在/etc/xinetd.d/目录下配置一个脚本文件即可让其成为瞬时守护进程(用于访问量较小的FTP服务器)
#是否开启传输日志
#传输日志的文件的路径
[root@ftp ~]#service vsftpd restart
Shutting down vsftpd: [ OK ]
Starting vsftpd for vsftpd: [ OK ]
#每次修改配置文件或刚安装完服务后，都不要忘记重启，使服务可用
(2)、匿名用户上传文件方法
1)新建uploads文件夹与“欢迎”文件
[root@ftp ~]#mkdir /var/ftp/uploads
[root@ftp ~]#echo "welcome to ftp.gnnt.com!!!" >/etc/vsftpd/welcome.txt
#新建welcome.txt文件并向其追加内容
2)添加匿名用户可以上传文件权限
anon_upload_enable=YES #将vsftpd.conf配置文件中的井号去掉
3)设置uploads文件夹权限
[root@ftp ~]#setfacl -m u:ftp:rwx /var/ftp/uploads/
[root@ftp uploads]# getfacl /var/ftp/uploads/
getfacl: Removing leading '/' from absolute path names
# file: var/ftp/uploads/
# owner: root
# group: root
user::rwx
user:ftp:rwx
group::r-x
mask::rwx
other::r-x
4）上传/etc/inittab文件
[root@ftp ~]# ftp localhost
Connected to localhost (127.0.0.1).
220-welcome to ftp.gnnt.com!!! #事先建立好了的“欢迎”文件
220
Name (localhost:root): anonymous #用户名
331 Please specify the password.
Password: #密码可以不用输，敲回车键即可
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> cd uploads #进入到uploads目录
250 Directory successfully changed.
ftp> lcd /etc/ #在客户端上改变本地的工作目录
Local directory now /etc
ftp> put inittab #上传inittab到uploads目录
local: inittab remote: inittab
227 Entering Passive Mode (127,0,0,1,176,207).
150 Ok to send data.
226 Transfer complete.
884 bytes sent in 9.6e-05 secs (9208.33 Kbytes/sec)
ftp> ls
227 Entering Passive Mode (127,0,0,1,119,21).
150 Here comes the directory listing.
drwx------ 2 14 50 4096 Aug 18 11:18 123
-rw------- 1 14 50 884 Aug 18 11:55 inittab
-rw-r--r-- 1 0 0 0 Aug 18 11:14 test.txt
226 Directory send OK.
若没有执行3)这步操作，将出现以下提示：
ftp> put inittab
local: inittab remote: inittab
227 Entering Passive Mode (127,0,0,1,250,230).
550 Permission denied.
(3)、匿名用户新建、删除目录方法
anon_mkdir_write_enable=YES #将vsftpd.conf配置文件中的井号去掉
ftp> cd uploads #注下例实验均在此目录进行
250 Directory successfully changed.
ftp> ls
227 Entering Passive Mode (127,0,0,1,92,36).
150 Here comes the directory listing.
drwx------ 2 14 50 4096 Aug 18 11:18 123
-rw------- 1 14 50 884 Aug 18 11:55 inittab
226 Directory send OK.
ftp> mkdir test
257 "/uploads/test" created
ftp> rmdir test
250 Remove directory operation successful.
ftp> ls
227 Entering Passive Mode (127,0,0,1,199,206).
150 Here comes the directory listing.
drwx------ 2 14 50 4096 Aug 18 11:18 123
-rw------- 1 14 50 884 Aug 18 11:55 inittab
drwx------ 2 14 50 4096 Aug 18 12:04 test
226 Directory send OK.
(4)、匿名用户删除文件方法
anon_other_write_enable=YES #将vsftpd.conf配置文件中的井号去掉
事先在/var/ftp/uploads目录中新建一个test.txt文件或另外上传一个文件
ftp> ls
227 Entering Passive Mode (127,0,0,1,173,181).
150 Here comes the directory listing.
drwx------ 2 14 50 4096 Aug 18 11:18 123
-rw------- 1 14 50 884 Aug 18 11:55 inittab
drwx------ 2 14 50 4096 Aug 18 12:04 test
-rw-r--r-- 1 0 0 0 Aug 18 11:14 test.txt
226 Directory send OK.
ftp> delete test.txt
250 Delete operation successful.
ftp> ls
227 Entering Passive Mode (127,0,0,1,188,242).
150 Here comes the directory listing.
drwx------ 2 14 50 4096 Aug 18 11:18 123
-rw------- 1 14 50 884 Aug 18 11:55 inittab
drwx------ 2 14 50 4096 Aug 18 12:04 test
226 Directory send OK.
(5)、匿名用户下载文件方法
再次在/var/ftp/uploads目录中新建test.txt文件或自己上传一个文件进行下载
ftp> ls
227 Entering Passive Mode (127,0,0,1,253,154).
150 Here comes the directory listing.
drwx------ 2 14 50 4096 Aug 18 11:18 123
-rw------- 1 14 50 884 Aug 18 11:55 inittab
drwx------ 2 14 50 4096 Aug 18 12:04 test
-rw-r--r-- 1 0 0 0 Aug 18 12:14 test.txt
226 Directory send OK.
ftp> get test.txt
local: test.txt remote: test.txt
227 Entering Passive Mode (127,0,0,1,221,87).
150 Opening BINARY mode data connection for test.txt (0 bytes).
226 Transfer complete.
ftp> bye
221 Goodbye.
[root@gnnt ~]# ls #可以看出是直接下载在当前目录中的
anaconda-ks.cfg Desktop Documents Downloads install.log.syslog s test.txt
6、查看xferlog
[root@ftp ~]# tail /var/log/xferlog
Tue Aug 18 19:14:52 2015 1 127.0.0.1 0 /uploads/test.txt b _ o a ? ftp 0 * c
Tue Aug 18 19:27:54 2015 1 127.0.0.1 884 /uploads/inittab b _ i a ? ftp 0 * c
Tue Aug 18 19:55:19 2015 1 127.0.0.1 884 /uploads/inittab b _ i a ? ftp 0 * c
Tue Aug 18 20:12:49 2015 1 127.0.0.1 0 /uploads/inittab b _ o a ? ftp 0 * i
Tue Aug 18 20:13:58 2015 1 127.0.0.1 0 /uploads/inittab b _ o a ? ftp 0 * i
Tue Aug 18 20:14:26 2015 1 127.0.0.1 0 /uploads/test.txt b _ o a ? ftp 0 * c
7、用awk命令找出满足条件的日志
若遇到日志较多的情况可通过如下命令解决，暂不深究以下命令，会用便可
[root@ftp ~]# awk '{if(substr($4,1,2)*10000+substr($4,4,2)*100+substr($4,7,2)>=191452&&substr($4,1,2)*10000+substr($4,4,2)*100+substr($4,7,2)<195519)print $0}' /var/log/xferlog
Tue Aug 18 19:14:52 2015 1 127.0.0.1 0 /uploads/test.txt b _ o a ? ftp 0 * c
Tue Aug 18 19:27:54 2015 1 127.0.0.1 884 /uploads/inittab b _ i a ? ftp 0 * c
#此为一行命令，目的是找出19:14:52—19:55:19的日志行，注意文中的不等式，要灵活运用
8、vsftpd的安全性
1)使用tcpdump命令监测
[root@ftp ~]# tcpdump -i eth0 -nn -X -vv tcp port 21 and ip host 172.16.0.11
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
2)在windows中的命令提示符进行如下操作
C:\Users\k>ftp 172.16.0.11
连接到 172.16.0.11。
220-welcome to ftp.gnnt.com!!!
220
用户(172.16.0.11:(none)): zj
331 Please specify the password.
密码:
230 Login successful.
3)监测结果
[root@ftp ~]# tcpdump -i eth0 -nn -X -vv tcp port 21 and ip host 172.16.0.11
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
...........................................................................................
20:54:53.100571 IP (tos 0x0, ttl 128, id 2779, offset 0, flags [DF], proto TCP (6), length 53)
172.16.0.255.55633 > 172.16.0.11.21: Flags [P.], cksum 0x80ab (correct), seq 10:23, ack 73, win 2030, length 13
0x0000: 4500 0035 0adb 4000 8006 96bd ac10 00ff E..5..@.........
0x0010: ac10 000b d951 0015 1f50 ac5e d1db ecce .....Q...P.^....
0x0020: 5018 07ee 80ab 0000 5041 5353 2031 3233 P.......PASS.123
0x0030: 3435 360d 0a 456..
...........................................................................................
其中红色加粗部分为捕捉到的密码
9、加强vsftpd的安全性（未完待续）
10、配置文件参数汇总
-------------------------------------------------------------------------------------------
与服务器环境相关的设置值：
banner_file=/etc/vsftpd/welcome.txt
listen=YES
#登录ftp服务器时显示的信息，此文件需要自己手动创建，并添加相应的内容
#设置vsftpd的启动方式为stand alone(独立守护进程),另一种方式为super daemon(超级守护进程),可在/etc/xinetd.d/目录下配置一个脚本文件即可让其成为瞬时守护进程(用于访问量较小的FTP服务器)
-------------------------------------------------------------------------------------------
与实体用户较相关的设置值：
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
#将用户限制在自己的主目录内，为了安全最好是YES
#开启chroot写入列表的功能
#与上条命令结合使用，在文件里的用户将被禁锢
-------------------------------------------------------------------------------------------
与匿名用户较相关的设置值：
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
#给anonymous用户有上传文件的权限
#给anonymous用户有创建文件的权限
#给anonymous用户有创建文件之外的其它权限，例如删除文件
-------------------------------------------------------------------------------------------
与系统安全方面的设置值：
xferlog_enable=YES
xferlog_file=/var/log/xferlog
#是否开启传输日志
#传输日志的文件的路径
-------------------------------------------------------------------------------------------
至此，本文档已经结束，文档中难免有不尽人意之处，希望各位能够给出宝贵的建议，谢谢！
紫禁之巅
2015年8月18日 21：12
