資安論壇

FTP 的主動模式( active )和被動模式( passive )

FTP 是一種檔傳輸協定 (File Transfer Protocol)，它的連線模式有兩種﹕
主動模式( active )和被動模式( passive )。以下說明 FTP 的連線是怎樣建立的﹕

在 active 模式下 (一般預設的模式)﹕
1. FTP client 開啟一個隨機選擇的TCP port 呼叫 FTP server 的 port 21請求連線。當順
　利完成 Three-Way Handshake 之後，連線就成功建立，但這僅是命令通道的建立
　。
2.當兩端需要傳送資料的時候，client 透過命令通道用一個 port command 告訴 server
　，client可以用另一個TCP port 做數據通道。
3.然後 server 用 port 20 和剛才 client 所告知的 TCP port 建立數據連線。請注意：連
　線方向這是從 server 到 client 的，TCP 封包會有一個 SYN flag。
4.然後 client 會返回一個帶 ACK flag的確認封包﹐並完成另一次的 Three-Way
　Handshake 手續。這時候，數據通道才能成功建立。
5.開始數據傳送。

在 passive 模式下
1.FTP client 開啟一個隨機選擇的TCP port 呼叫 FTP server 的 port 21請求連線，並完
　成命令通道的建立。
2.當兩端需要傳送資料的時候，client 透過命令通道送一個 PASV command 給
　server，要求進入 passive 傳輸模式。
3.然後 server 像上述的正常模式之第 2 步驟那樣，挑一個TCP port ，並用命令通道
　告訴 client。
4.然後 client 用另一個TCP port 呼叫剛才 server 告知的 TCP port 來建立數據通道。此
　時封包帶 SYN flag。
5.server 確認後回應一個 ACK 封包。並完成所有交握手續﹑成功建立數據通道。
6.開始數據傳送。

在實際使用上, active mode 用來登入一些開設在主機上及沒有安裝防火牆的 FTP server，或是開設於 client side 的 FTP server！

Passive mode （簡稱 PASV）用來登入一些架設於防火牆保護下而又是開設於主機上的 FTP server！

如果您覺得太深奧而弄不清楚, 那就先用預設的 active mode 登入, 失敗改用 passive mode 登入就是了。


PS: 並不是每套 FTP 軟體都支援 passive mode 登入

這的確有給它困難點.有看不是很慬.好像都很深奧的樣子.

如果您覺得太深奧而弄不清楚, 那就先用預設的 active mode 登入, 失敗改用 passive mode 登入就是了。

謝謝 lu 的教學.

嗯…雖然還不是粉了解，但是已有了初步的認識…謝謝您的教學！

這下子就了解不少說。不然還真的不知道這是什麼呢?

謝謝您的教學，由於常常看到pasv，就是用leapftp抓東西的時候，有時要打勾，有時不能打勾才能進入。

這篇文章真有價值~~
有'搜尋'的功能真不錯~~

請教Sniffer是什麼軟體
可在哪裡找得到呢?
謝謝!

隨便找個搜尋網站 查 sniffer 就可以了..
那一個好用, 那一個難用, 我並不知道..
我只用過 sniffer pro 4.6 / WpeXp 0.7 / win2k AD 內建的..
你可以自行查查.. 對了 WPEXP 0.7 應不算個 sniffer 但很簡單 :p , 用來抓
一些小程式送出來的封包...


還有... 當看到使用 passive 模式下, 出現PASV (**,**,**,**,....
和原 ftp 的網址不同時, 應使用 active 來連...這是大部份我所遇到情況..

ftp 雖然大家都常使用
可是在設定firewall時卻常出trouble

ftp active mode和 passive mode的差別
看圖說故事可能會比較快了解
如下網址有圖例說明
http://slacksite.com/other/ftp.html

謝謝提供
最近正好在玩FTP

小弟最近有一個問題就是:

1.在主動的模式時,從公司連到自家裡linux的ftp(port:6000),可以打帳號密碼,但是data channel過不來,前題是從公司連出去的ip是不設限定的...

2.家裡的另一條線路可以成功的連線下載..

為什麼會這樣??祇要我設的port不是21,在公司就會有問題...

別地方都可以說~~小弟請求各位幫忙~~

thanks

公司通常會用private address吧，連到外面通常要經過NAT，而該機制要會認得 ftp這個協定，所以當 ftp data connection 連回來的時候，才能辨識，讓它連進來。
如果該機制無法理解 ftp data connection，那就只好用 passive了。