FTP协议之所以在文件传输场景中仍被广泛使用，一个重要原因是它的控制连接与数据连接彼此分离。控制连接承载登录、切换目录、发起传输等命令，数据连接则专门搬运文件内容。Ruby标准库中的Net::FTP封装了这两类连接的管理逻辑，开发者在几行代码内就能完成文件上传下载。但正是这种分离设计，让数据连接重用变得敏感。如果客户端或服务端为了减少握手开销而复用数据连接，攻击者一旦摸清端口分配规律，就可能抢在合法客户端之前建立连接，甚至利用控制连接中的命令注入篡改传输流程。下面从Ruby Net::FTP的默认行为出发，梳理风险来源与加固方法。

一、数据连接重用为何会放大安全风险

FTP的主动模式和被动模式都会涉及临时端口协商。主动模式下，客户端向服务器发送PORT命令，告诉服务器自己开放了哪个数据端口；被动模式下，客户端发送PASV命令，服务器返回一个IP和端口让客户端去连接。无论哪种模式，数据连接本质上都是独立于控制连接的TCP会话。多数FTP实现会在每次文件传输完成后关闭数据连接，下次传输再重新协商端口。但部分中间件、代理或自行封装的客户端会尝试复用数据连接，认为这样可以省去TCP握手和PASV交换。

问题在于，数据连接并不具备独立的身份认证。FTP服务器通常只验证控制连接上的登录凭证，而数据连接只依赖端口、源IP和时序来关联到某个会话。一旦数据连接被复用，攻击者就有更大的时间窗口去探测或预测端口。被动模式尤其危险，因为PASV响应中的端口范围通常较宽，例如从1024到65535，攻击者可以通过反复连接来观察服务器端口递增规律。如果成功抢在客户端之前连上数据端口，服务器可能把攻击者的连接当作合法传输通道，后续的RETR下载或STOR上传就会被劫持。

在Net::FTP中，即使不显式复用数据连接，如果调用retrbinary或storbinary时没有设置合理的超时与地址校验，攻击者也可能利用中间人篡改PASV响应，让客户端连接到一个由攻击者控制的地址。这看似是数据连接劫持，但根源往往是控制连接没有被保护。因此，数据连接重用与控制连接安全必须放在一起看，单独解决任何一端都不足以消除风险。

二、控制连接劫持的典型攻击路径

控制连接劫持并不一定需要攻击者直接接管TCP会话。更常见的路径包括FTP命令注入、响应伪造和会话嗅探。FTP控制连接以CRLF作为命令分隔符，如果文件名、目录名或者某些扩展参数未经处理就拼进命令中，攻击者可以注入额外的RETR、STOR、DELE等命令。例如当用户输入的文件名包含\r\nDELE important.txt时，客户端发送的可能是两条命令而不是一条。Ruby的Net::FTP虽然对内部命令做了基本编码，但通过sendcmd发送自定义命令时，如果参数来自外部输入，就需要格外小心。

响应伪造在中人攻击场景中更容易发生。由于传统FTP控制连接是明文TCP，攻击者可以在客户端发送PASV后抢先返回一个伪造的227响应，把客户端引向自己监听的端口。客户端随后建立的数据连接实际上连到了攻击者机器，但控制连接仍然连着真实服务器，这种状态不一致可以用于文件内容替换。对于Net::FTP用户来说，如果不启用TLS，所有命令、响应、账号口令都以明文传输，响应伪造的成本非常低。

还有一种容易被忽略的路径是TCP会话劫持。攻击者通过嗅探获取控制连接的序列号后，可以伪造数据包向其中插入FTP命令。对于长时间保持空闲的控制连接，这种劫持尤其隐蔽。Net::FTP默认不会在空闲时发送保活命令，如果网络路径上存在嗅探点，攻击者就有机会在合法用户离开后继续使用该会话。因此，控制连接空闲超时和命令频率监控是防御体系中的重要一环。

三、防御基础：强制TLS并严格校验响应码

第一道防线是让控制连接不再明文裸奔。Ruby Net::FTP从较新版本开始支持通过ssl: true参数直接建立FTPS连接。启用后，FTP命令和响应都会在TLS隧道中传输，攻击者无法再通过被动嗅探获取口令或注入明文命令。下面是一个最小化的FTPS下载示例：

require 'net/ftp'
ftp = Net::FTP.new('ftp.ipipp.com', ssl: true)
ftp.login('appuser', 's3cret')
ftp.passive = true
ftp.open_timeout = 5
ftp.read_timeout = 10
ftp.getbinaryfile('reports/quarterly.csv', '/tmp/quarterly.csv')
ftp.close

这段代码中，ssl: true会通过AUTH TLS协商加密，控制连接上的登录信息不再暴露。open_timeout和read_timeout分别限制TCP连接建立和读取响应的等待时间，可以降低攻击者通过拖慢响应来制造时间窗口的风险。需要注意的是，仅加密控制连接还不够，数据连接同样需要加密。Net::FTP中可以通过相关配置让数据连接也使用TLS，具体行为取决于服务器是否支持PROT P命令。生产环境应优先选择支持FTPS且强制数据通道加密的服务器。

除了TLS，响应码校验是防止控制连接被伪造响应误导的关键。FTP响应码由三位数字组成，成功、中间状态、错误都有明确含义。Net::FTP内置方法大多会检查响应码并抛出异常，但如果你调用sendcmd自定义命令，就需要自己处理。例如发送NOOP命令后应收到200：

resp = ftp.sendcmd('NOOP')
unless resp.start_with?('200')
  ftp.close
  raise "异常响应码: #{resp}"
end

对每一次状态切换前后都做响应码检查，可以避免客户端在收到伪造的150或226后继续执行错误逻辑。尤其在处理多个连续传输任务时，检查每个任务的最终响应码，能够尽早发现控制连接是否已经被重定向或干扰。

四、数据连接加固：校验对端地址与限制端口范围

即便控制连接已经加密，数据连接仍然可能因为PASV响应被篡改而连接到错误地址。一个有效的客户端侧防御是校验数据连接的对端IP是否与控制连接一致。Net::FTP内部在被动模式下会解析PASV响应并连接指定地址，但标准API没有直接暴露这个校验点。我们可以通过继承Net::FTP并覆写transfercmd方法来实现：

class SecureFTP < Net::FTP
  alias original_transfercmd transfercmd
  def transfercmd(cmd, rest_offset = nil)
    sock = original_transfercmd(cmd, rest_offset)
    control_ip = @sock.peeraddr[3]
    data_ip = sock.peeraddr[3]
    if control_ip != data_ip
      sock.close
      raise SecurityError, '数据连接对端IP与控制连接不一致'
    end
    sock
  end
end

这个子类在每次建立数据连接后，会比较控制连接socket和数据连接socket的远端IP。对于正常的FTPS会话，两者应当指向同一台服务器；如果PASV响应被恶意指向攻击者主机，校验会立即失败并关闭可疑连接。生产代码中还可以进一步校验端口是否落在预期的被动端口范围内，但该范围通常由服务器配置决定，客户端可以通过配置文件读取后判断。

服务端的端口范围收敛同样重要。如果服务器配置的PASV端口范围过于宽泛，攻击者扫描和抢占的难度会降低。运维人员应将被动端口限制在几百个甚至几十个端口内，例如50000到50100，并在防火墙中只允许业务来源IP访问这些端口。虽然客户端无法直接修改服务器配置，但在使用Net::FTP连接第三方服务时，可以把服务器端口范围作为安全评估项，避免接入那些开放超大范围且没有速率限制的FTP服务。

五、用审计与超时机制提升劫持发现能力

再严密的防御也可能出现遗漏，因此控制连接的行为审计非常重要。通过包装Net::FTP的sendcmd方法，可以记录每条命令和响应的完整内容，便于事后分析是否存在异常注入或响应码跳变。示例代码如下：

class AuditFTP < Net::FTP
  def sendcmd(cmd)
    $stderr.puts "FTP CMD: #{cmd}"
    resp = super
    $stderr.puts "FTP RESP: #{resp}"
    resp
  end
end

日志中如果突然出现非常规命令，或者响应码与命令类型不匹配，就可能意味着控制连接被劫持。日志应避免记录完整口令，但可以记录命令关键字和响应码。对于长时间运行的任务，还应该设置空闲超时机制。Net::FTP的read_timeout只能限制单次读取，若控制连接长时间空闲，攻击者有更多时间分析序列号或尝试注入。可以通过定期发送NOOP命令来维持连接并检测对端是否仍然可信，也可以在业务层设置任务级超时，超过时限强制关闭控制连接并重新登录。

在代码层面还应清理所有外部输入，尤其是文件名和路径。可以写一个简单的清理函数，将CRLF、空字节等危险字符过滤掉：

def sanitize_ftp_arg(value)
  value.gsub(/[\r\n\0]/, '')
end
remote_file = sanitize_ftp_arg(params[:file])
ftp.getbinaryfile(remote_file, "/tmp/#{File.basename(remote_file)}")

这段代码同时使用File.basename避免路径穿越，确保远程文件名不会包含../之类的片段。即使攻击者想通过文件名注入命令，也会因为CRLF被剥离而失效。综合使用TLS、响应码校验、数据连接对端校验、端口范围限制、审计日志和输入清洗，可以大幅降低Ruby Net::FTP在数据连接重用场景下面临的控制连接劫持风险。FTP协议本身的弱点无法完全消除，但通过合理的工程手段，依然能够在保持传输便利性的同时，把攻击者可利用的窗口压缩到最小。