O que um servidor FTP pode registrar sobre um cliente via SOCKS
Registre a tupla de conexão completa e o horário quando um servidor FTP vê uma saída de proxy em vez do cliente original.
Um servidor FTP que recebe uma conexão TCP através de um proxy SOCKS vê o par que abriu a conexão de saída do proxy. A negociação SOCKS ocorreu entre o cliente e o proxy; não é um cabeçalho de identificação extra entregue ao FTP.
Registre o IP e a porta de origem do par, o endereço e a porta de destino, o protocolo de transporte e um carimbo de tempo preciso com uma base temporal clara. Um endereço de saída compartilhado pode representar muitos clientes simultâneos, então o IP sozinho é uma chave de correlação fraca.
Correlacionar a conexão de saída com uma conexão anterior do cliente exige registros do intermediário e de qualquer tradução de endereços relevante. Esses registros podem não existir ou não estar mais disponíveis. Uma captura de pacotes do lado do destino não consegue reconstruir um mapeamento ausente.
Cabeçalhos de encaminhamento HTTP são outro mecanismo e não acompanham o FTP comum. Mesmo em HTTP, um campo declarado de cliente original precisa de procedência confiável; texto arbitrário fornecido pelo cliente não estabelece quem operou uma conexão.