El protocolo FTP

El protocolo FTP funciona de la siguiente manera:

Un usuario quiere obtener un servicio. Para esto, intenta conectarse con un servidor. Para generar esa conexión se debe habilitar un puerto de entrada por el que se hará la transferencia de información. Para que el servidor pueda mandar nuevamente datos a la máquina que pidió el servicio, el usuario debe enviar un comando “port”, que incluye información de la dirección IP del cliente y el puerto que debe abrir en él para crear la comunicación. Esta conexión es luego abierta entre el cliente y el servidor y se establece la comunicación.

Ahora, ¿cómo se hace un ataque con esto? Un cracker puede, mediante un comando port, crear una conexión entre un servidor y un computador arbitrario, si modifica el comando port para ser enviado desde un computador legítimo, pero con un destino diferente al del computador usado para generar el comando. En pocas palabras, es pedirle al servidor S, que genere una conexión con un computador B, ilegítimo, a través de un comando “port” modificado, y enviado desde una máquina A, legítima. A este ataque se le llama “FTP bounce”

Este FTP bounce se puede usar en varios procedimientos que pueden dar lugar a una vulnerabilidad. Uno de ellos, usado por hackers y crackers por igual es el escaneo de puertos. Mediante una máquina ordinaria, se hace un conjunto de paquetes “port” dirigidos a otra máquina, y a cada uno de los paquetes port se le pone el puerto que quiere ser escaneado, para saber si está abierto, si se puede abrir, o si está bloqueado.

Otro uso es el llamado “bypass” de filtros. Luego de hacer un escaneo de puertos de una máquina protegida por un firewall a través de un servidor público (un servidor de acceso a cualquier usuario), se detectan los puertos abiertos y luego se genera una conexión, a través del servidor público, con cualquier máquina protegida por el firewall.

También existen bypass de filtros dinámicos, que corresponden a aplicativos de java que se bajan al pc, y crean paquetes “port” enviados al computador de destino. Estos paquetes son habilitados por el firewall, ya que fueron hechos por la máquina protegida, de una manera “aparentemente” decidida.

...