Что FTP-сервер может записать о клиенте через SOCKS
Зафиксируйте полный кортеж соединения и время, когда FTP-сервер видит выход прокси, а не исходного клиента.
FTP-сервер, принимающий TCP-соединение через SOCKS-прокси, видит ту сторону, которая открыла исходящее соединение прокси. Согласование SOCKS происходило между клиентом и прокси; это не дополнительный заголовок идентификации, передаваемый в FTP.
Записывайте IP и исходный порт стороны, адрес и порт назначения, транспортный протокол и точную отметку времени с ясной временной базой. Общий выходной адрес может представлять множество одновременных клиентов, поэтому один IP — слабый ключ сопоставления.
Чтобы связать исходящее соединение с более ранним соединением клиента, нужны записи от посредника и любого соответствующего преобразования адресов. Таких записей может не быть или они могут быть уже недоступны. Перехват пакетов на стороне назначения не позволяет восстановить отсутствующее сопоставление.
Заголовки пересылки HTTP — иной механизм, и они не сопровождают обычный FTP. Даже в HTTP заявленное поле исходного клиента требует доверенного происхождения; произвольный текст, предоставленный клиентом, не доказывает, кто управлял соединением.