1. java 有什么命令能够判断ftp服务的连接方式是主动连接还是被动连接
一.FTP的PORT（主动模式）和PASV（被动模式）
1. PORT（主动模式）
PORT中文称为主动模式，工作的原理： FTP客户端连接到FTP服务器的21端口，发送用户名和密码登录，登录成功后要list列表或者读取数据时，客户端随机开放一个端口（1024以上），发送 PORT命令到FTP服务器，告诉服务器客户端采用主动模式并开放端口；FTP服务器收到PORT主动模式命令和端口号后，通过服务器的20端口和客户端开放的端口连接，发送数据.
2. PASV（被动模式）
PASV是Passive的缩写，中文成为被动模式，工作原理：FTP客户端连接到FTP服务器的21端口，发送用户名和密码登录，登录成功后要list列表或者读取数据时，发送PASV命令到FTP服务器， 服务器在本地随机开放一个端口（1024以上），然后把开放的端口告诉客户端， 客户端再连接到服务器开放的端口进行数据传输。
二.两种模式的比较
从上面的运行原来看到，主动模式和被动模式的不同简单概述为： 主动模式传送数据时是“服务器”连接到“客户端”的端口；被动模式传送数据是“客户端”连接到“服务器”的端口。
主动模式需要客户端必须开放端口给服务器，很多客户端都是在防火墙内，开放端口给FTP服务器访问比较困难。
被动模式只需要服务器端开放端口给客户端连接就行了。
三.不同工作模式的网络设置
实际项目中碰到的问题是，FTP的客户端和服务器分别在不同网络，两个网络之间有至少4层的防火墙，服务器端只开放了21端口， 客户端机器没开放任何端口。FTP客户端连接采用的被动模式，结果客户端能登录成功，但是无法LIST列表和读取数据。很明显，是因为服务器端没开放被动模式下的随机端口导致。
由于被动模式下，服务器端开放的端口随机，但是防火墙要不能全部开放，解决的方案是，在ftp服务器配置被动模式下开放随机端口在 50000-60000之间（范围在ftp服务器软件设置，可以设置任意1024上的端口段），然后在防火墙设置规则，开放服务器端50000-60000之间的端口端。
主动模式下，客户端的FTP软件设置主动模式开放的端口段，在客户端的防火墙开放对应的端口段。
四.如何设置 工作模式
实时上FTP服务器一般都支持主动和被动模式，连接采用何种模式是有FTP客户端软件决定。
2. 端口扫描的最新技术有些什么
一：TCP/IP相关问题
连接端及标记
IP地址和端口被称作套接字，它代表一个TCP连接的一个连接端。为了获得TCP服务，必须在发送机的一个端口上和接收机的一个端口上建立连接。TCP连接用两个连接端来区别，也就是(连接端1，连接端2)。连接端互相发送数据包。
一个TCP数据包包括一个TCP头，后面是选项和数据。一个TCP头包含6个标志位。它们的意义分别为：
SYN: 标志位用来建立连接，让连接双方同步序列号。如果SYN=1而ACK=0，则表示该数据包为连接请求，如果SYN=1而ACK=1则表示接受连接。
FIN: 表示发送端已经没有数据要求传输了，希望释放连接。
RST: 用来复位一个连接。RST标志置位的数据包称为复位包。一般情况下，如果TCP收到的一个分段明显不是属于该主机上的任何一个连接，则向远端发送一个复位包。
URG: 为紧急数据标志。如果它为1，表示本数据包中包含紧急数据。此时紧急数据指针有效。
ACK: 为确认标志位。如果为1，表示包中的确认号时有效的。否则，包中的确认号无效。
PSH: 如果置位，接收端应尽快把数据传送给应用层。
TCP连接的建立
TCP是一个面向连接的可靠传输协议。面向连接表示两个应用端在利用TCP传送数据前必须先建立TCP连接。 TCP的可靠性通过校验和，定时器，数据序号和应答来提供。通过给每个发送的字节分配一个序号，接收端接收到数据后发送应答，TCP协议保证了数据的可靠传输。数据序号用来保证数据的顺序，剔除重复的数据。在一个TCP会话中，有两个数据流(每个连接端从另外一端接收数据，同时向对方发送数据)，因此在建立连接时，必须要为每一个数据流分配ISN(初始序号)。为了了解实现过程，我们假设客户端C希望跟服务器端S建立连接，然后分析连接建立的过程(通常称作三阶段握手)：
1： C --SYN XXà S
2： C ?-SYN YY/ACK XX+1------- S
3： C ----ACK YY+1--à S
1：C发送一个TCP包(SYN 请求)给S，其中标记SYN(同步序号)要打开。SYN请求指明了客户端希望连接的服务器端端口号和客户端的ISN(XX是一个例子)。
2：服务器端发回应答，包含自己的SYN信息ISN(YY)和对C的SYN应答，应答时返回下一个希望得到的字节序号(YY+1)。
3：C 对从S 来的SYN进行应答，数据发送开始。
一些实现细节
大部分TCP/IP实现遵循以下原则：
1：当一个SYN或者FIN数据包到达一个关闭的端口，TCP丢弃数据包同时发送一个RST数据包。
2：当一个RST数据包到达一个监听端口，RST被丢弃。
3：当一个RST数据包到达一个关闭的端口，RST被丢弃。
4：当一个包含ACK的数据包到达一个监听端口时，数据包被丢弃，同时发送一个RST数据包。
5：当一个SYN位关闭的数据包到达一个监听端口时，数据包被丢弃。
6：当一个SYN数据包到达一个监听端口时，正常的三阶段握手继续，回答一个SYN ACK数据包。
7：当一个FIN数据包到达一个监听端口时，数据包被丢弃。"FIN行为"(关闭得端口返回RST，监听端口丢弃包)，在URG和PSH标志位置位时同样要发生。所有的URG，PSH和FIN，或者没有任何标记的TCP数据包都会引起"FIN行为"。
二：全TCP连接和SYN扫描器
全TCP连接
全TCP连接是长期以来TCP端口扫描的基础。扫描主机尝试(使用三次握手)与目的机指定端口建立建立正规的连接。连接由系统调用connect()开始。对于每一个监听端口，connect()会获得成功，否则返回-1，表示端口不可访问。由于通常情况下，这不需要什么特权，所以几乎所有的用户(包括多用户环境下)都可以通过connect来实现这个技术。
这种扫描方法很容易检测出来(在日志文件中会有大量密集的连接和错误记录)。Courtney,Gabriel和TCP Wrapper监测程序通常用来进行监测。另外，TCP Wrapper可以对连接请求进行控制，所以它可以用来阻止来自不明主机的全连接扫描。
TCP SYN扫描
在这种技术中，扫描主机向目标主机的选择端口发送SYN数据段。如果应答是RST，那么说明端口是关闭的，按照设定就探听其它端口;如果应答中包含SYN和ACK，说明目标端口处于监听状态。由于所有的扫描主机都需要知道这个信息，传送一个RST给目标机从而停止建立连接。由于在SYN扫描时，全连接尚未建立，所以这种技术通常被称为半打开扫描。SYN扫描的优点在于即使日志中对扫描有所记录，但是尝试进行连接的记录也要比全扫描少得多。缺点是在大部分操作系统下，发送主机需要构造适用于这种扫描的IP包，通常情况下，构造SYN数据包需要超级用户或者授权用户访问专门的系统调用。
三：秘密扫描与间接扫描
秘密扫描技术
由于这种技术不包含标准的TCP三次握手协议的任何部分，所以无法被记录下来，从而必SYN扫描隐蔽得多。另外，FIN数据包能够通过只监测SYN包的包过滤器。
秘密扫描技术使用FIN数据包来探听端口。当一个FIN数据包到达一个关闭的端口，数据包会被丢掉，并且回返回一个RST数据包。否则，当一个FIN数据包到达一个打开的端口，数据包只是简单的丢掉(不返回RST)。
Xmas和Null扫描是秘密扫描的两个变种。Xmas扫描打开FIN，URG和PUSH标记，而Null扫描关闭所有标记。这些组合的目的是为了通过所谓的FIN标记监测器的过滤。
秘密扫描通常适用于UNIX目标主机，除过少量的应当丢弃数据包却发送reset信号的操作系统(包括CISCO，BSDI，HP/UX，MVS和IRIX)。在Windows95/NT环境下，该方法无效，因为不论目标端口是否打开，操作系统都发送RST。
跟SYN扫描类似，秘密扫描也需要自己构造IP 包。
间接扫描
间接扫描的思想是利用第三方的IP(欺骗主机)来隐藏真正扫描者的IP。由于扫描主机会对欺骗主机发送回应信息，所以必须监控欺骗主机的IP行为，从而获得原始扫描的结果。间接扫描的工作过程如下：
假定参与扫描过程的主机为扫描机，隐藏机，目标机。扫描机和目标记的角色非常明显。隐藏机是一个非常特殊的角色，在扫描机扫描目的机的时候，它不能发送任何数据包(除了与扫描有关的包)。
四：认证扫描和代理扫描
认证扫描
到目前为止，我们分析的扫描器在设计时都只有一个目的：判断一个主机中哪个端口上有进程在监听。然而，最近的几个新扫描器增加了其它的功能，能够获取监听端口的进程的特征和行为。
认证扫描是一个非常有趣的例子。利用认证协议，这种扫描器能够获取运行在某个端口上进程的用户名(userid)。认证扫描尝试与一个TCP端口建立连接，如果连接成功，扫描器发送认证请求到目的主机的113TCP端口。认证扫描同时也被成为反向认证扫描，因为即使最初的RFC建议了一种帮助服务器认证客户端的协议，然而在实际的实现中也考虑了反向应用(即客户端认证服务器)。
代理扫描
文件传输协议(FTP)支持一个非常有意思的选项：代理ftp连接。这个选项最初的目的(RFC959)是允许一个客户端同时跟两个FTP服务器建立连接，然后在服务器之间直接传输数据。然而，在大部分实现中，实际上能够使得FTP服务器发送文件到Internet的任何地方。许多攻击正是利用了这个缺陷。最近的许多扫描器利用这个弱点实现ftp代理扫描。
ftp端口扫描主要使用ftp代理服务器来扫描tcp端口。扫描步骤如下：
1：假定S是扫描机，T是扫描目标，F是一个ftp服务器，这个服务器支持代理选项，能够跟S和T建立连接。
2：S与F建立一个ftp会话，使用PORT命令声明一个选择的端口(称之为p-T)作为代理传输所需要的被动端口。
3：然后S使用一个LIST命令尝试启动一个到p-T的数据传输。
4：如果端口p-T确实在监听，传输就会成功(返回码150和226被发送回给S)。否则S回收到"425无法打开数据连接"的应答。
5：S持续使用PORT和LIST命令，直到T上所有的选择端口扫描完毕。
FTP代理扫描不但难以跟踪，而且当ftp服务器在防火墙后面的时候
五：其它扫描方法
Ping扫描
如果需要扫描一个主机上甚至整个子网上的成千上万个端口，首先判断一个主机是否开机就非常重要了。这就是Ping扫描器的目的。主要由两种方法用来实现Ping扫描。
1：真实扫描：例如发送ICMP请求包给目标IP地址，有相应的表示主机开机。
2：TCP Ping：例如发送特殊的TCP包给通常都打开且没有过滤的端口(例如80端口)。对于没有root权限的扫描者，使用标准的connect来实现。否则，ACK数据包发送给每一个需要探测的主机IP。每一个返回的RST表明相应主机开机了。另外，一种类似于SYN扫描端口80(或者类似的)也被经常使用。
安全扫描器
安全扫描器是用来自动检查一个本地或者远程主机的安全漏洞的程序。象其它端口扫描器一样，它们查询端口并记录返回结果。但是它们。它们主要要解决以下问题：
1：是否允许匿名登录。
2：是否某种网络服务需要认证。
3：是否存在已知安全漏洞。
可能SATAN是最着名的安全扫描器。1995年四月SATAN最初发布的时候，人们都认为这就是它的最终版本，认为它不但能够发现相当多的已知漏洞，而且能够针对任何很难发现的漏洞提供信息。但是，从它发布以来，安全扫描器一直在不断地发展，其实现机制也越来越复杂。
栈指纹
绝大部分安全漏洞与缺陷都与操作系统相关，因此远程操作系统探测是系统管理员关心的一个问题。
远程操作系统探测不是一个新问题。近年来，TCP/IP实现提供了主机操作系统信息服务。FTP，TELNET，HTTP和DNS服务器就是很好的例子。然而，实际上提供的信息都是不完整的，甚至有可能是错误的。最初的扫描器，依靠检测不同操作系统对TCP/IP的不同实现来识别操作系统。由于差别的有限性，现在只能最多只能识别出10余种操作系统。
最近出现的两个扫描器，QueSO和NMAP，在指纹扫描中引入了新的技术。 QueSO第一个实现了使用分离的数据库于指纹。NMAP包含了很多的操作系统探测技术，定义了一个模板数据结构来描述指纹。由于新的指纹可以很容易地以模板的形式加入，NMAP指纹数据库是不断增长的，它能识别的操作系统也越来越多。
这种使用扫描器判断远程操作系统的技术称为(TCP/IP)栈指纹技术。
另外有一种技术称为活动探测。活动探测把TCP的实现看作一个黑盒子。通过研究TCP对探测的回应，就可以发现 TCP实现的特点。TCP/IP 栈指纹技术是活动探测的一个变种，它适用于整个TCP/IP协议的实现和操作系统。栈指纹使用好几种技术来探测TCP/IP协议栈和操作系统的细微区别。这些信息用来创建一个指纹，然后跟已知的指纹进行比较，就可以判断出当前被扫描的操作系统。
栈指纹扫描包含了相当多的技术。下面是一个不太完整的清单：
1：FIN探测
2：BOGUS标记探测
3：TCP ISN 取样
4：TCP 初始窗口
5：ACK值
6：ICMP错误信息
7：ICMP信息
8：服务类型
9：TCP选项
3. 请高手介绍一下ftp的主动连接和被动连接
所谓port模式也就是主动模式。在FTP协议刚刚建立的时候，只定义了普通的连接模式，也就是port模式。
Port 模式的连接过程是：在开始一个FTP的连接时，客户端程序首先会为自己随机分配一个TCP端口，它使用这个个端口向服务器的FTP端口（默认为21）发出连接请求，服务器接受请求之后会建立一条控制链路,然后客户程序发出port命令（通常格式为PORT A, A, A, A, I，I，其中A，A，A，A为客户端IP地址，I，I为随机的一个数据连接端口号）告诉服务器它的数据通道的端口打开了。当需要传送数据时，服务器便从随机选择的一个端口向客户端的20端口发送连接请求，请求被接受之后便开始传输数据，数据链路通道也就打开了。
－－－－－－－－－－－－－－－
所谓pasv模式也就是被动模式。随着网络的不断发展，出现了防火墙。老的FTP协议在遇到防火墙的时候就束手无策了，这是因为20端口往往是防火墙的重点封堵对象，因此数据也就不能发送出去了，于是pasv模式就诞生了。
Pasv 模式的连接过程是：在开始一个FTP的连接时，客户端程序首先为自己随机分配一个TCP端口，它使用这个端口向服务器的FTP端口（默认为21）发出连接请求，服务器接受请求之后会建立一条控制链路,然后客户端程序发出PASV命令，代替原来PORT命令告诉服务器它的数据连接端口，于是服务器便为自己随机分配一个数据通道端口，并将这个端口号告诉客户端程序。当需要传送数据时，客户端程序会向服务器的数据通道端口发送连接请求，请求被接受之后便开始传输数据，数据链路通道也就打开了。
－－－－－－－－－－－－－－－
1．所谓主动和被动可以看作是以服务器端为基准，当服务器主动向客户端发送数据连接请求时，为主动模式；当客户端主动向服务器发送数据连接请求时，为被动模式。
2．无论客户端还是服务器端有防火墙，或是两边都有防火墙，只要PASV模式下两边数据通道的连接端口在防火墙的拦截之外就可以建立成功。如果防火墙将所有的端口全部堵死，则不能建立数据通道。
－－－－－－－－－－－－－－－
FTP使用中PASV模式的操作方法（注：此方法只有在无法登录和下载的情况下才可使用！！！ ）
取消 pasv 模式的方法
有许多朋友的 FTP 服务器是不支持 PASV 模式的，登入时要取消 PASV 模式才行。现将几种 FTP 下载工具的取消方法公布如下：
1.把 flashget 的 pasv 模式关掉的方法
点菜单上的“工具”－>“选项”－>“代理服务器”－>“直接连接”－>编辑－>把“ pasv 模式”前的勾勾去掉，一路确定回来。
2.把 Cutftp 的 pasv 模式关掉的方法
点菜单上的“文件”－>“站点管理”－>在“站点管理器”窗口－>“新建站点”－>填上“域名”－>“编辑”－>“常规”－>把“使用 pasv 模式”前的勾勾去掉。
3.把 FlashFXP 的 pasv 模式关掉的方法
点菜单上的“站点”－>“站点管理器”－>站点管理器窗口－>“新建站点”－>填上“域名”－>“选项”－>把“使用被动模式”前的勾勾去掉－>“应用” 即可。
4.把 NetAnts 的 pasv 模式关掉的方法
点菜单上的"选项"－>"参数设置"－>"代理"－>“直接连接”－>编辑－>把“ pasv 模式”前的勾勾去掉，一路确定回来。
－－－－－－－－－－－－－－－
相信大家都知道FTP是什么啦，但我相还有很多人不知道什么是PASV和PORT，或者你知道但不知道他们到底是什么。
下面介绍一下这两种模式吧：
PORT其实是Standard模式的另一个名字，又称为Active模式。中文意思是“主动模式。
PASV也就是Passive的简写。中文就是“被动模式。
两者之间有什么不同：
不同之处是由于PORT这个方式需要在接上TCP 21端口后，服务器通过自己的TCP 20来发出数据。并且需要建立一个新的连接来传送档案。而PORT的命令包含一些客户端没用的资料，所以有了PASv的出现。
而PASV模式就当然拥有PORT模式的优点及去掉一些PORT的缺点。PASV运行方式就是当服务器接收到PASV命令时，就会自动从端口1024到5000中随机选择，而且还会使用同一个端口来传送数据，不用建立新的连接。
4. 为什么配置RIP协议的路由器要将局域网端口设置为被动端口
在RIP路由协议中，局域网接口就是连接到一个局域网的路由器接口。由于该网络内部没有路由器设备，不需要传播路由更新信息，因此就把该接口设置为被动接口；
RIP路由协议的被动接口是只接收RIP路由更新，而不进行转发的路由器接口；
由于在局域网内部已经没有运行RIP路由协议的设备，因此将局域网接口设置为被动接口可以减少RIP路由广播的数量；
RIP路由协议的被动接口配置命令如下：R2(config-router)#passive-interface fa0/0
5. 被动端口
先说边缘端口，一般的交换机接口由关闭到转发需要一个过程，具体步骤就不说了，直白的说就是有一些延迟，而把端口变成边缘端口，转换为转发状态只需要瞬间，所以在有生成树的网络里面一般都开启边缘端口；被动端口一般配合动态路由使用，给内网或者默认路由的网络接口配置被动端口，则这些网络不会进行路由更新，节约资源。
满意请采纳。
6. 如何在IIS上设置FTP被动模式的端口范围
windows2016服务器，管理员命令行窗口：
比如限制端口范围3000-3300，一行代码（numberofports最小值255）：
netsh int ipv4 set dynamicport protocol=tcp startport=3000 numberofports=300
7. ftp被动连接端口是怎样确定的
我给你找了一些希望能有用，我也不是很懂。
被动FTP
为了解决服务器发起到客户的连接的问题，人们开发了一种不同的FTP连接方式。这就是所谓的被动方式，或者叫做PASV，当客户端通知服务器它处于被动模式时才启用。
在被动方式FTP中，命令连接和数据连接都由客户端发起，这样就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。
当开启一个 FTP连接时，客户端打开两个任意的非特权本地端口（N > 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交 PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P > 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。
对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:
1. 从任何大于1024的端口到服务器的21端口 （客户端初始化的连接）
2. 服务器的21端口到任何大于1024的端口 （服务器响应到客户端的控制端口的连接）
3. 从任何大于1024端口到服务器的大于1024端口 （客户端初始化数据连接到服务器指定的任意端口）
4. 服务器的大于1024端口到远程的大于1024的端口（服务器发送ACK响应和数据到客户端的数据端口）