FTP Sicherheit

[pizzabaecker]

Wie sicher sind die FTP-Befehle von PHP ?
Es werden ja die Login-Daten gesendet.

[mrhappiness]

Unsicher.
Sehr sogar.

Denn wenn ich mit FlashFXP, WS FTP oder was es sonst noch so gibt auf einen FTP-Server zugreife, werden die Login-Daten nicht gesendet.

Ist ja auch unsinnig, der FTP-Server weiß doch sowieso, wer da kommt und zugreifen will...

[aimbot]

garnicht sicher
weil sie im klartext übertragen werden. kannst ja mal ethereal runterladen und starten. dann machst ne ftp-verbindung auf und guckst ethereal zu wie es die logindaten auflistet.

[pizzabaecker]

das ist schade

Das habe ich mir fast gedacht.
dann muss ich wohl oder über mir ein Script basteln was die Aufgaben erledigt.
Oder hat jemand eine Lösung.

Kurz Erklärt worum es geht:
Es sollen Datein bei meinen Kunden auf den Server per Script hochgeladen und runtergeladen werden.

Für einen Tip wäre ich dankbar.

[TobiaZ]

dann musste den login aber über ssl laufen lassen...

[pizzabaecker]

Idee ! ???

Ich werde heute mal folgendes Testen:
Ich werde ein "ftp-login"-script auf den Kunden-Server legen.
Ich probiere aus ob anstatt der Serveradresse auch localhost funktioniert.
Dann würden doch keine Daten übers Netz gehen.
Und wenn es geht, bleibt noch die Frage ob ich dann von meinem Server aus auch Zugriff habe.

[mrhappiness]

Re: Idee ! ???

Original geschrieben von pizzabaecker
Ich werde ein "ftp-login"-script auf den Kunden-Server legen.
Ich probiere aus ob anstatt der Serveradresse auch localhost funktioniert.

Wenn das funktioniert, dann greifst du mit den FTP-Funktionen auf den selben Server zu, auf dem auch das Skript liegt. Dann brauchst du aber kein FTP...

[pizzabaecker]

Nein, ist wohl falsch verstanden worden,
um FTP per PHP benutzen zu können, muß man
sich mit
$ftp_id=ftp_connect(wert);
$ft=ftp_login($ftp_id, wert, wert);
verbinden und einloggen.
Wenn ich nun nur diese Befehle in ein Script packe, und nur dieses Script beim Kunden auf den Server lege, und von meinem Server aus include, sollte ich von meinem Server aus Dateien hochladen können.

[mrhappiness]

Wenn du das Skript inkludierst, dann entweder per include('http:/...'); oder du liest es direkt ein.

Wenn du es per http://... inkludierst, dann sind die variablen weg, du du ja nur die fertige HTML-Ausgabe bekommst und wenn du es direkt einliest, dann hast du ja schon Zugriff auf den Server

Wozu also FTP?

[pizzabaecker]

Ich bin zu dem Schluß gekommen das die Überlegungen "wie sicher ist FTP", völlig überflüssig sind.
Warum ?
Ganz einfach:
Wieviele Internetseiten gibt es ?
Wieviele davon werden per FTP hochgeladen ?
Wieviele von denen sind nicht "gehackt" ?

Die wenigen die "gehackt" sind, sind nur Zufallstreffer.

[wahsaga]

Original geschrieben von pizzabaecker
Wieviele Internetseiten gibt es ?
Wieviele davon werden per FTP hochgeladen ?
Wieviele von denen sind nicht "gehackt" ?

Die wenigen die "gehackt" sind, sind nur Zufallstreffer.

that's cool ...

nach der logik müsste man auch keine schiffe mehr mit rettungsboten ausstatten, kann auf's anschnallen im auto verzichten, etc.

[onemorenerd]

Deine Überlegung entbehrt jeder logischen Grundlage.

Wieviele Internetseiten gibt es? Nennen wir die Zahl x.
Wieviele davon werden per FTP hochgeladen? Nennen wir es y.
Wieviele von denen sind nicht "gehackt"? y - |gehackte Seiten| = z
Es gilt nun x >> y >> 0 und y > z, also z >> 0 und damit Anzahl gehackter Seiten relativ klein.
Das rechtfertigt aber nicht den Schluss, dass die gehackten Seiten zufällig betroffen sind. Hacker suchen sich die Seiten i.d.R. gezielt aus.
Dass es nicht allzu viele gehackte Seiten gibt, könnte daran liegen, dass es einfach viel zu wenige Hacker gibt. Die müßten sich schneller als Bakterien vermehren, um überhaupt y Seiten zu schaffen, denn x und y wachsen rasend schnell.

[pizzabaecker]

Entschuldige bitte, onemorenerd,
aber du wiederspricht dich selber in deinem Beitrag.

An wahsaga: Wieviele Schiffe gehen unter, weil Menschen die nicht an Bord sind etwas manipulieren ?
Und:
Warum wurde dann FTP nicht schon längst geändert ?


Die größte gefahr liegt doch bei den Suchmaschinen,
wenn irgendwelche Scripte die Passwörter in Dateien speichern.
Wer so blööd ist solte bestraft werden.

[aimbot]

Original geschrieben von pizzabaecker
Warum wurde dann FTP nicht schon längst geändert ?

mh, ist glaub nicht ganz möglich alle paar tage n protokoll zu ändern, das weltweit und seit ner ganzen weile in Benutzung ist oder?

[wahsaga]

Original geschrieben von pizzabaecker
Wieviele Schiffe gehen unter, weil Menschen die nicht an Bord sind etwas manipulieren ?

abgesehen davon, dass jemand, der an bord wäre, ja im allgemeinen schön blöd wäre, wenn er das schiff versenkt - sowohl hemmschwelle, konsequenzen als auch strafen für das versenken eines schiffes dürften wohl deutlich höher liegen, als für das hacken einer webseite. letzteres macht auch das halbwegs erfahrene scriptkid von nebenan auch mal ganz gerne.