明文协议为什么要替换
FTP 与 Telnet 以明文传输凭据与数据，属于应当被替换的历史协议。风险不只是「协议老」：FTP 常见匿名访问与共享目录配置不当，Telnet 常见默认口令与弱口令，配合内网可达性就形成直接入口。替换方向是文件传输改 SFTP 或 FTPS，设备管理改 SSH 或带外管理通道。
基本信息
| 涉及协议 | FTP（21 端口）、Telnet（23 端口） |
|---|---|
| 主要风险 | 凭据明文传输、匿名访问、共享目录含敏感文件、弱口令 |
| 替换方案 | SFTP（基于 OpenSSH）、FTPS、专用文件传输平台 |
| 管理面替换 | 网络设备与带外管理的 Telnet 改为 SSH |
| 过渡措施 | 限制来源、更换强口令、启用 TLS |
| 下线流程 | 确认无依赖后停服务、关闭端口、回收账号与口令 |
协议与替换对照
| 现状 | 风险 | 替换方向 |
|---|---|---|
| FTP 明文传输 | 凭据与数据可被抓包还原 | 改用 SFTP 或 FTPS |
| 匿名 FTP | 任何人可下载共享目录内容 | 关闭匿名，改为认证账号 |
| 脚本化 FTP 传输 | 口令硬编码在脚本或配置里 | 改用密钥认证的 SFTP |
| Telnet 管理设备 | 管理口令明文传输 | 改为 SSH 登录设备 |
| 带外管理与串口服务器 | 常被遗忘的暴露面 | 收敛到管理网并启用强认证 |
匿名与配置核查
匿名与配置核查
# 检查是否允许匿名登录（授权范围内）
nmap -p 21 --script ftp-anon 192.0.2.10
# 确认监听端口
ss -lntp | grep -E ':21|:23'
# 检查 vsftpd 的匿名与写入开关
grep -E 'anonymous_enable|local_enable|write_enable' /etc/vsftpd/vsftpd.conf替换与下线步骤
替换与下线步骤
1. 盘点：列出仍在使用 FTP 与 Telnet 的系统、脚本与设备
2. 替换：文件传输改 SFTP 或 FTPS，设备管理改 SSH
3. 过渡：无法立即替换的收紧来源限制并更换强口令
4. 下线：确认无依赖后停服务、关闭端口、回收账号与口令
5. 复核：一个月后重新扫描，确认端口未被重新开放典型使用场景
- 暴露面梳理中的明文协议排查
- 老系统改造立项的范围界定
- 网络设备管理方式的替换
- 外包数据交换方式的合规检查
- 整改后的复扫确认
- 审计举证：明文协议清退记录
老设备与管理网里的 Telnet 存量比想象中多。替换清单要把网络设备与带外管理一并纳入，否则清完服务器仍然留着入口。
内网 FTP 允许匿名且共享目录含产品资料或备份文件时，访客网络里的设备就能直接下载。别因为「它是内网」就降低优先级。