共享的桥梁：FTP的原理与分析技巧

FTP（全称File Transfer Protocol，中文名为文件传输协议），通过它可以实现在两台不同操作系统的主机间可靠地传输文件，包括电子文档、图片、声音、影视、程序及程序等。

掌握FTP工作原理有两个关键知识点：FTP采用双通道机制（FTP会建立两个TCP连接，一个用于发送命令，一个用于传输数据）；FTP有两种传输模式（主动模式和被动模式）；掌握了这两个知识点，分析FTP协议就能得心应手。

1.FTP文件传输需要建立两种类型的连接：

客户端用大于1024的随机高端口（端口号N）与FTP服务器建的TCP 21端口建立一个TCP连接，这个连接专门用于发送控制指令，如发送用户名密码进行登陆，进行上传、下载操作等指令。这个连接称为FTP的控制连接。

FTP传输数据和FTP发送控制命令不使用同一个TCP会话。当FTP控制连接建立好之后，再准备传输文件，这时会专门建立一个用于传输数据的TCP连接，称为FTP的数据连接。

主动模式：在控制连接建立好后，客户端向FTP服务器通告自己将用于建立数据连接的随机高端口（一般是控制连接的端口号N再加1），FTP服务器主动使用20端口与客户端通告的随机高端口（N+1）建立数据连接，称为主动模式（所谓“主动”，是针对服务器而言的）。

FTP主动模式工作原理如下图所示：

但主动模式存在一个问题：如果客户端位于内网防火墙之后，服务器在主动使用20号端口去连接客户端的端口时，会因为防火墙的阻止而导致连接失败（客户端主动访问外网，防火墙放行；外网访问客户端，防火墙会拦截）。为了避免这种FTP服务器主动发起连接被拒绝的场景，又有了另外一种传输模式——被动传输模式。

被动模式：客户端和FTP服务器通过控制连接进行协商，让FTP服务器打开一个指定的高端口等待客户端（一般控制连接的端口N再+1）来对其进行连接。这种服务器被动等待客户端来建立数据连接的模式就被称为被动模式（所谓“被动”，也是针对服务器而言的）。

FTP被动模式工作原理如下图所示：

延伸知识：

在使用FTP软件进行数据传输时，可以选用ASII模式和二进制模式，它的关系一般是：

下面我们通过抓包来分析FTP传输的具体流程

我们使用科来网络分析系统CSNAS捕获并分析一个主动模式下的FTP数据传输。客户端IP为192.168.111.1为客户端，192.168.111.130为FTP服务器端。

整个过程，如下图所示：

成功登陆后，开始进行操作，当要进行文件的上传、下载（会产生文件数据时），会重新建立一个新的数据连接，如下图：

客户端通过控制连接告知服务器，使用主动模式传输数据，此时，它通告服务器端，自己将打开60289号端口来建立数据连接。服务器收到通告后，用自己的20号端口向客户端的60289号端口主动建立数据连接。通报端口的具体信息可以从上图中第283号包的解码中看到，如下图：

具体的计算方法是：

用端口号参数1*256+端口参数2=60289

以上为我们在“数据包视图”中看到的信息，如果想更为直观的看到做了哪些操作，我们可以在“TCP会话视图”中找到控制连接的会话，可直观的通过会话数据流看到整个操作过程，如下图：

FTP还支持匿名登录，下面是内网IP192.168.1.100通过匿名登录访问公网FTP服务器的数据流展示（上图中因为操作过多，主动模式“PORT”的命令下拉才能看见，下图的流中操作较少，更为直观）：

关于FTP命令和响应码，我们在后面章节中具体介绍。

看完了主动模式的数据包交互，再来看看被动模式。使用科来网络分析系统CSNAS捕获并分析一个被动模式下的FTP数据传输。客户端IP为192.168.111.1为客户端，192.168.111.130为FTP服务器端。

前面控制连接的步骤和主动模式一样，就不再赘述。在建立数据连接的时候，客户端会主动告知服务器使用被动模式（PASV），并让服务器打开指定的端口，被动等待客户端来进行连接：

通告的端口号信息，需要从“进入被动模式”的数据包解码中获取，如下：

具体的计算方法是：

用端口号参数1*256+端口参数2=193*256+106=49514

在会话流中看到的被动模式操作：

从上面的分析及截图中我们可以知道，FTP传输过程中所有的操作都是通过在客户端发送命令完成的，FTP常见的命令如下表所示：

针对客户端发出的所有命令，FTP服务器会用响应码对其做出应答。FTP响应码和HTTP响应码类似，用三位数字“XYZ”表示：

第一个数字“X”不同取值的含义如下：

第二个数字“Y”不同取值的含义如下：

第三个数字“Z”根据是对XY取值的详细描述，无法列出含义。将FTP常见的应答代码列出，如下表：

上文中FTP的数据流可以看到，FTP最大的问题就在于采用明文传输，包括登陆用户名和密码都一览无余（可能经过base64编码，但仍然是明文）。

因此，FTP的安全性问题主要是避免明文传输，就有了以下两个协议：

1990年代：SSL/TLS集成（FTPS）；

2000年代：SSH隧道技术（SFTP）；

这两个协议的比较如下：

现在还有更新的替代方案，如：AS2、Rsync等。新型协议的创新之处：

这里只作简单介绍，感兴趣的读者可以自行进行更深入的探究。

例：员工想从公司的FTP服务器上下载一个文件，但使用FTP客户端无法进行下载，在自己主机上去ping公司FTP服务器是通的，telnet服务器的21号端口（FTP服务端口）也是通的，但就是无法登陆下载。现在想通过流量分析出故障原因。

分析：FTP的原理我们已经清晰，直接抓包，看看客户端和FTP服务器是否能正常建联登录，并建立数据传输连接。是否是因为网络中存在防火墙的阻断或NAT的设置导致连接不成功。

打开FTP客户端，抓包如下：

可以看到三次握手成功，FTP客户端登录成功。印证了“ping公司FTP服务器是通的，telnet服务器的21号端口（FTP服务端口）也是通的”的说法。继续向下查看数据包：

可以清晰的看到，客户端是运行在主动模式，通过PORT命令向服务器通报数据连接端口号，然后服务器尝试用20号端口和客户端的58785号端口建立数据连接，但建联失败。（可能是服务器区域有防火墙，防火墙不允许区域外的主机连接客户端）。建议客户改用被动模式，如下：

替换成被动模式后，成功登陆并下载文件，故障解决。

本篇文章我们从数据包的角度深入介绍了FTP协议，只要清楚了FTP双连接的工作原理和传输数据时采用的主动和被动模式，相信大家在以后的工作中，对FTP相关业务的处理能够驾轻就熟。后面我们还会陆续介绍更多常见应用层协议，请大家持续关注！