FTP服务器上一般查不到明文密码，因为服务端存的是哈希或加密后的凭据，所谓“查看密码”多数场景其实是忘记密码后重置，或从客户端保存的配置里找回。先把这句话记牢，后面所有操作都围绕它展开,能少走很多弯路。
为什么FTP服务器上看不到密码：机制层面的原因
密码不是“存起来”，而是“算出来”的
FTP协议本身诞生很早，据RFC 959规范，它只负责传输认证信息，并不规定服务端怎么保存密码，真正决定密码形态的是操作系统和FTP软件，主流做法是把用户密码做单向哈希后再落库，登录时把输入的密码用同样算法算一遍，比对结果是否一致，单向意味着不可逆，所以即便你拿到哈希串,也无法还原出原始密码。
Linux下打开/etc/shadow，看到的是类似$6$...的字符串，那是SHA-512哈希；Windows把本地账户密码放在SAM数据库里，普通权限根本读不到，管理员也只能看到NTLM哈希，这类设计是安全底线,不是配置错误。
不同FTP服务端，密码存放位置差别很大
这也是很多人搜“ftp服务器怎么查看密码是什么原因”的直接诱因他们按某篇教程去找，结果路径根本对不上,常见情况如下：
| FTP服务端 | 密码存放位置 | 能否看到明文 |
|---|---|---|
| Linux vsftpd（系统账户） | /etc/shadow | 否，仅哈希 |
| Windows IIS FTP | SAM数据库或域控 | 否 |
| FileZilla Server | 自身配置文件，哈希存储 | 否 |
| Serv-U | 内置数据库，加密存储 | 否 |
| 部分虚拟用户方案 | MySQL等数据库 | 视实现而定，通常哈希 |
行业共识认为，凡是把FTP密码以明文写进配置文件的做法，都属于高危配置，所以当你翻遍目录找不到“password=xxx”时，不是教程错了,而是软件本来就没打算让你看见。
真正的“查看密码”需求，通常来自这几种场景
- 接手别人维护的服务器，不知道FTP账号密码
- 本地FTP客户端一直自动登录，换电脑后想找回密码
- 网站搬家、换服务器，需要把旧FTP凭据迁移过去
- 排查“密码明明是对的却连不上”的故障
场景不同，处理路径完全不同,下面按场景拆。
ftp服务器密码忘了怎么找回：三条可走的路
第一条路：直接重置，最稳妥也最推荐
只要能登录服务器，重置密码的成本远低于“找回”，这是运维里的常规操作,不是妥协。
- Linux系统账户：
passwd ftpuser，按提示输入两次新密码 - Windows本地账户：
net user ftpuser 新密码，或在“计算机管理本地用户和组”里右键设置密码 - FileZilla Server：打开管理界面，
Edit → Users，选中用户，在Password栏重新输入并保存 - Serv-U：管理控制台选中用户，右侧“密码”字段直接改
重置后记得同步更新所有使用该账号的客户端和脚本,否则定时任务会静默失败。
第二条路：从客户端保存的配置里找
如果只是自己电脑上“看不见了”，密码往往还在客户端里，以FileZilla客户端为例,站点管理器里的密码保存在：
- Windows：
%APPDATA%\FileZilla\sitemanager.xml - macOS/Linux：
~/.config/filezilla/sitemanager.xml
打开文件能看到<Pass encoding="base64">...</Pass>，这是Base64编码而非加密，解码即可还原，WinSCP的会话密码存在注册表HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\Sessions下,同样是可逆混淆。
这里要提醒一句：能解码恰恰说明它不安全，共用电脑上保存FTP密码,等于把钥匙插在门上。
第三条路：从系统账户体系反查
如果是域环境或统一认证，FTP账号可能压根不在FTP软件里，而是走LDAP或域控，这时该去域控制器上重置，而不是在FTP服务端折腾，业内专家指出，企业环境中FTP认证与统一身份系统对接的比例在逐年上升，排查前先确认认证源,能省掉大量无效操作。
windows ftp服务器查看用户密码的实操路径
Windows环境是搜索量最集中的一块,单独拆开讲。
IIS FTP：密码归Windows管，不归IIS管
IIS的FTP站点本身不存密码，它认证的是Windows本地用户或域用户，在IIS里看密码”这件事从原理上就不成立,正确路径是：
- 打开“服务器管理器工具计算机管理”
- 展开“本地用户和组用户”
- 右键目标账户→“设置密码”
如果站点用的是IIS管理器里的“FTP授权规则”，那只是控制谁能连,凭据仍在系统账户里。
FileZilla Server：在管理界面里改，不要去翻配置文件
老版本FileZilla Server把用户存在FileZilla Server.xml，新版本改为filezilla-server-config目录下的配置，无论哪个版本，哈希都不可逆，直接开管理界面改密码,比研究配置文件快得多。
Serv-U：内置用户和Windows用户要分清
Serv-U支持两种账户体系，如果是内置账户，在管理控制台里直接重置；如果勾选了“使用Windows认证”，那就回到系统用户管理里去处理，这一步判断错,会在错误的地方找半天。
ftp客户端保存的密码怎么查看：几个高频工具对照
很多人嘴上问“服务器密码”,实际想解决的是客户端问题。
- FileZilla：站点管理器导出时可选“导出带密码”，会生成XML，密码为Base64
- WinSCP：会话设置里密码显示为星号，需借助其自带的会话导出或注册表读取
- FlashFXP：站点数据库为加密格式，官方提供导出功能
- 浏览器：Chrome和Edge在
chrome://settings/passwords里可查看已保存的FTP凭据，需系统账户验证
需要说明的是，这些方法都要求你对本机有完全控制权，如果密码保存在公司统一管理的终端上，通常会受策略限制,这属于正常的安全设计。
几个容易踩的坑
- 把Base64当加密：Base64只是编码，任何人拿到串都能解，别拿它当安全措施
- 去数据库里找明文：多数FTP虚拟用户表存的是MD5或bcrypt哈希，找到也没用
- 用破解工具跑哈希：对复杂密码基本无效，还涉嫌违规，不如重置
- 重置后忘了改脚本：备份任务、发布脚本里的旧密码会导致连接被拒，报错信息往往只写“530 Login incorrect”，容易误判为网络问题
据近年来公开的安全事件统计，FTP凭据泄露是数据泄露的常见入口之一，看不到密码”不是障碍,而是保护。
关于ftp服务器查看密码的常见问题
问：FTP服务器管理员能看到用户的明文密码吗？
答：正常配置下不能，服务端保存的是哈希值，管理员可以重置密码，但无法还原原始密码，如果某个FTP软件宣称能显示明文，说明它用了可逆加密，这本身就是一个安全警示信号,建议评估是否继续使用。
问：ftp服务器怎么查看密码是什么原因，是不是软件版本太老？
答：版本老不是主因，即便很老的版本，密码也多为哈希存储，真正的原因通常是：你参考的教程针对的是“客户端保存的密码”，而你要操作的是“服务端账户密码”，两者不是一回事，先确认自己站在哪一侧,再选方法。
问：虚拟用户方式的FTP，密码存在MySQL里，能直接改吗？
答：可以，但不建议手写SQL，多数虚拟用户方案配套了管理命令或后台，例如pure-ftpd配合数据库时，应使用其提供的密码生成工具算出哈希再写入，直接存明文会导致认证失败，改完用ftp命令行登录验证一次,确认返回230而非530。
回到最开始那句话：FTP服务器上查不到明文密码，是设计使然，不是故障。需要“看密码”的时候，优先重置，其次从客户端配置里找，别在服务端哈希上浪费时间。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/791317.html
