正文 

当前位置： 首页 > 程序 > java教程

2022-2023年度广东省职业院校学生专业技能大赛中职组“网络安全”赛项竞赛任务书（样题）

旺仔Sec 旺仔Sec     2023-03-29     210

关键词：

2022-2023 年度广东省职业院校学生专业技能大赛中职组“网络安全”赛项竞赛任务书（样题）

 一、竞赛时间

总计：210 分钟

二、竞赛阶段

竞赛阶段

任务阶段

竞赛任务

竞赛时间

分值

A 模块

A-1

登录安全加固

90 分钟

200 分

A-2

Web 安全加固(Web)

A-3

流量完整性保护与事件监控

（Web,Log）

A-4

防火墙策略

A-5

数据库加固（Linux）

A-6

服务加固 SSH\\VSFTPD（Linux）

B 模块

B-1

Web 渗透测试

400 分

B-2

内存取证

B-3

Windows 操作系统渗透测试

B-4

Linux 操作系统渗透测试

B-5

事件分析应急响应

B-6

Reverse

阶段切换

30 分钟

C 模块

C 模块

CTF 夺旗-攻击

90 分钟

200 分

D 模块

D 模块

CTF 夺旗-防御

200 分

三、竞赛任务书内容

（一）拓扑图

 

 

（二）A 模块基础设施设置/安全加固（200 分）

一、项目和任务描述：

假定你是某企业的网络安全工程师，对于企业的服务器系统，根据任务要求确保各服务正常运行，并通过综合运用登录和密码策略、流量完整性保护策略、事件监控策略、防火墙策略等多种安全策略来提升服务器系统的网络安全防御能力。

二、服务器环境说明

LOG（Linux）:用户名:root 密码：root

Web（Windows）:用户名：administrator 密码：P@ssw0rd

三、说明：

  1. 所有截图要求截图界面字体清晰，并粘贴于相应题目要求的位置；
  2. 文件名命名及保存：网络安全模块 A-XX（XX 为工位号），PDF 格式保存；
  3. 文件保存到 U 盘提交。

  1. 任务一 登录安全加固

请对服务器 Web 按要求进行相应的设置，提高服务器的安全性。1.密码策略（Web）

a.最小密码长度不少于 8 个字符，将密码长度最小值的属性配置界面截图； b.密码策略必须同时满足大小写字母、数字、特殊字符，将密码必须符合复

杂性要求的属性配置界面截图。2.登录策略（Web）

  1. 在用户登录系统时，应该有“For authorized users only”提示信息，将登录系统时系统弹出警告信息窗口截图；
  2. 一分钟内仅允许 5 次登录失败的尝试，超过 5 次，登录帐号锁定 1 分钟， 将账户锁定策略配置界面截图；
  3. 远程用户非活动会话连接超时应小于等于 5 分钟，将 RDP-Tcp 属性对应的配置界面截图。
  1. 用户安全管理(Web)
    1. 对服务器进行远程管理安全性 SSL 加固，防止敏感信息泄露被监听，将RDP-Tcp 属性对应的配置界面截图；
    2. 仅允许超级管理员账号关闭系统，将关闭系统属性的配置界面截图。

  1. 任务二  Web 安全加固(Web)

  1. 为了防止 web 中.mdb 数据库文件非法下载，请对 Web 配置文件进行安全加固，将 C:\\Windows\\System32\\inetsrv\\config\\applicationHost 配置文件中对应的部分截图；
  2. 限制目录执行权限,对 picture 和 upload 目录设置执行权限为无，将编辑功能权限的配置界面截图；
  3. 开启 IIS 的日志审计记录(日志文件保存格式为 W3C,只记录日期、时间、客户端 IP 地址、用户名、方法)，将 W3C 日志记录字段的配置界面截图；
  4. 为了减轻网站负载，设置网站最大并发连接数为 1000，将编辑网站限制的配置界面截图；
  5. 防止文件枚举漏洞枚举网络服务器根目录文件，禁止 IIS 短文件名泄露， 将配置命令截图；
  6. 关闭 IIS 的 WebDAV 功能增强网站的安全性，将警报提示信息截图。

  1. 任务三  流量完整性保护与事件监控（Web,Log）

  1. 为了防止密码在登录或者传输信息时被窃取，仅使用证书登录 SSH（Log），将/etc/ssh/sshd_config 配置文件中对应的部分截图；
  2. 将 Web 服务器开启审核策略登录事件 成功/失败;

特权使用 成功;

策略更改 成功/失败; 进程跟踪 成功/失败;

将审核策略的配置界面截图；

  1. 配置 Splunk 接收 Web 服务器，安全日志，系统日志，CPU 负载，内存，磁盘空间，网络状态。将转发器：部署成功的页面截图。

  1. 任务四 防火墙策略

所有服务器开启防火墙,为防止勒索病毒攻击对防火墙进行加固策略： 1.Windows 系统禁用 445 端口，将防火墙入站规则截图；

2.Linux 系统禁用 23 端口，将 iptables 配置命令截图； 3.Linux 系统禁止别人 ping 通，将 iptables 配置命令截图；

4.Linux 系统为确保安全禁止所有人连接 SSH 除了 172.16.1.1 这个 ip，将iptables 配置命令截图。

  1. 任务五  数据库加固（Linux）

  1. 删除默认数据库(test)；
  2. 改变默认 MySql 管理员用户为:SuperRoot;
  3. 使用 MySql 内置 MD5 加密函数加密用户 user1 的密码为(P@ssw0rd1!);
  4. 赋予 user1 用户对数据库所有表只有 select、insert、delete、update 权

限；

  1. 对忘记 mysql 数据库 SuperRoot 管理员密码进行重置操作；

  1. 任务六  服务加固  SSH\\VSFTPD（Linux）

1.SSH 服务加固

  1. SSH 禁止 root 用户远程登录。
  2. 设置 root 用户的计划任务。每天早上 7:50 自动开启 SSH 服务，22:50关闭；每周六的 7:30 重新启动 SSH 服务。
  3. 修改 SSH 服务端口为 2222。2.VSFTPD 服务加固
  1. 设置数据连接的超时时间为 2 分钟、无任何操作的超时时间为 5 分钟。
  2. 设置站点本地用户访问的最大传输速率为 1M。
  3. 禁止匿名用户登录。
  4. 关闭 ascii 模式下载，防止被用于 DoS 攻击。

（二）实操技能-B 模块（400 分）

任务一：Web 渗透测试

任务环境说明：

√ 服务器场景：Server03

√ 服务器场景操作系统：未知（关闭连接）

通过本地 PC 中的渗透测试平台 Kali 对靶机进行 WEB 渗透，找到页面内的文件上传漏洞并且尝试进行上传攻击，将文件上传成功后的页面回显字符串作为Flag 提交（如：点击超链接查看上传文件）

通过本地 PC 中的渗透测试平台 Kali 对靶机进行 WEB 渗透，找到页面内的文件上传漏洞并且尝试进行上传攻击，使用相关的渗透测试手段，获取到 WEB 权限， 使用 WHOAMI 获取 WEB 当前的用户权限，并作为 Flag 进行提交；

通过本地 PC 中的渗透测试平台 Kali 对靶机进行 WEB 渗透，找到页面内的文件上传漏洞并且尝试进行上传攻击，使用相关的渗透测试手段，获取到 WEB 权限， 使用相关指令获取到当前 linux 用户 UID 为 5 的用户，将该用户的用户名称作为Flag 进行提交；

通过本地 PC 中的渗透测试平台 Kali 对靶机进行 WEB 渗透，找到页面内的文件上传漏洞并且尝试进行上传攻击，使用相关的渗透测试手段，获取到 WEB 权限， 使用相关指令查看后台首页文件，将该文件的第二行的所有字符串作为 Flag 进行提交；

任务二：内存取证

任务环境说明：

√服务器场景：System0101

√服务器场景操作系统：未知

√FTP 账号:anonymous,密码：空

  1. 从 FTP 下载 mem.raw，利用分析工具进行分析，将最有可能的操作系统名称作为 Flag 进行提交，Flag 格式为 flagxxx；
  2. 从 FTP 下载 mem.raw，利用分析工具进行分析，将可疑进程画图中获得的信息作为 Flag 进行提交，Flag 格式为 flagxxx；
  3. 从 FTP 下载 mem.raw，利用分析工具进行分析，将将可疑进程记事本中获得的信息作为 Flag 进行提交，Flag 格式为 flagxxx；
  4. 从 FTP 下载 mem.raw，利用分析工具进行分析，将可疑进程中获得的密钥作为 Flag 进行提交，Flag 格式为 flagxxx；
  5. 从 FTP 下载 mem.raw，利用分析工具进行分析，将加密算法作为 Flag 进行提交，Flag 格式为 flagxxx；
  1. 从 FTP 下载 mem.raw，利用分析工具进行分析，将获得的获得的压缩包的文件名作为 Flag 进行提交，Flag 格式为 flagxxx；
  2. 从 FTP 下载 mem.raw，利用分析工具进行分析，将获得的压缩包内文件的内容作为 Flag 进行提交，Flag 格式为 flagxxx。

任务三：Windows 操作系统渗透

任务环境说明：

√服务器场景：Server05

√服务器场景操作系统：Windows（版本不详）（封闭靶机）

  1. 通过本地PC 中渗透测试平台Kali 对服务器场景进行系统服务及版本扫描渗透测试，并将该操作显示结果中 445 端口对应的服务版本信息字符串作为 Flag 值提交；
  2. 通过本地 PC 中渗透测试平台 Kali 对服务器场景进行渗透测试，将该场景网络连接信息中的 DNS 信息作为 Flag 值 (例如：114.114.114.114) 提交；
  3. 通过本地 PC 中渗透测试平台 Kali 对服务器场景进行渗透测试，将该场景中的当前最高账户管理员的密码作为 Flag 值提交；
  4. 通过本地 PC 中渗透测试平台 Kali 对服务器场景进行渗透测试，将该场景桌面上 111 文件夹中唯一一个后缀为.docx 文件的文件名称作为 Flag 值提交；
  5. 通过本地 PC 中渗透测试平台 Kali 对服务器场景进行渗透测试，将该场景桌面上 111 文件夹中唯一一个后缀为.docx 文件的文档内容作为 Flag 值提交；
  6. 通过本地 PC 中渗透测试平台 Kali 对服务器场景进行渗透测试，将该场景桌面上 222 文件夹中唯一一个图片中的英文单词作为 Flag 值提交；

任务四：Linux 操作系统渗透测试

任务环境说明：

  • 服务器场景：Server06
  • 服务器场景操作系统：Linux（版本不详） （关闭连接）
  1. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/var/www目录中唯一一个后缀为.bmp文件的文件名称作为Flag值提交；
  2. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/var/www目录中唯一一个后缀为.bmp的图片文件中的英文单词作为Flag值提交；
  3. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/var/vsftpd目录中唯一一个后缀为.docx文件的文件名称作为Flag值提交；
  4. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/var/vsftpd目录中唯一一个后缀为.docx文件的文件内容作为Flag值提交；
  5. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/home/guest目录中唯一一个后缀为.pdf文件的文件名称作为Flag值提交；
  6. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/home/guest目录中唯一一个后缀为.pdf文件的文件内容作为Flag值提交；
  7. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/root目录中唯一一个后缀为.txt文件的文件名称作为Flag值提交；
  8. 通过本地PC中渗透测试平台Kali对服务器场景进行渗透测试，将该场景/root目录中唯一一个后缀为.txt文件的文件内容作为Flag值提交。

任务五：事件分析应急响应

任务环境说明：

  • 服务器场景：Server2228（开放链接）
  • 用户名：root，密码：p@ssw0rd123
  1. 找出被黑客修改的系统别名，并将倒数第二个别名作为Flag值提交；
  2. 找出系统中被植入的后门用户删除掉，并将后门用户的账号作为Flag值提交（多个用户名之间以英文逗号分割，如：admin,root）；
  3. 找出黑客在admin用户家目录中添加的ssh后门，将后门的写入时间作为Flag值（提交的时间格式为：2022-01-12 08:08:18）
  4. 找出黑客篡改过的环境变量文件并还原，将文件的md5值作为Flag值提交；
  5. 找出黑客修改了bin目录下的某个文件，将该文件的格式作为Flag值提交；
  6. 找出黑客植入系统中的挖矿病毒，将矿池的钱包地址作为Flag值（提交格式为：0xa1d1fadd4fa30987b7fe4f8721b022f4b4ffc9f8）提交。

任务六：Reverse

任务环境说明：

√ 服务器场景：system09

√ 服务器场景操作系统：未知

√ FTP 账号:anonymous,密码：空

  1. 登录 FTP 服务器，对 re1.py 文件进行逆向分析，找出 flag 信息作为 Flag 值提交，；
  2. 登录 FTP 服务器，对 re2.py 文件进行逆向分析，找出 flag 信息作为 Flag 值提交；
  3. 登录 FTP 服务器，对 re3.py 文件进行逆向分析，找出 flag 信息作为 Flag 值提交；

     4.登录 FTP 服务器，分析 re4.c 文件进行逆向分析，找出 flag 信息作为 Flag 值提交；

     5.登录 FTP 服务器，分析 re5.c 文件进行逆向分析，找出 flag 信息作为 Flag 值提交；

      6.登录 FTP 服务器，分析 re6.c 文件进行逆向分析，找出 flag 信息作为 Flag 值提交。

（三）模块 C CTF 夺旗-攻击（200 分）

假定各位选手是某电子商务企业的信息安全工程师，负责企业某些服务器的安全防护，该服务器可能存在着各种问题和漏洞。你需要尽快对该服务器进行安全加固，15 分钟之后将会有其它参赛队选手对这些服务器进行渗透。

根据《赛场参数表》提供的第二阶段的信息，请使用 PC 的谷歌浏览器登录实战平台。

靶机服务器环境说明：

场景 1：HZBJ（Windows/Linux） 注意事项：

  1. 不能对裁判服务器进行攻击，警告一次后若继续攻击将判令该参赛队离场；
  2. Flag 值为每台靶机服务器的唯一性标识，每台靶机服务器仅有 1 个；
  3. 靶 机 服 务 器 的 Flag 值 存 放 在 /root/flagvalue.txt 文 件 或C:\\flagvalue.txt 文件中；
  4. 在登录自动评分系统后，提交对手靶机服务器的 Flag 值，同时需要指定对手靶机服务器的 IP 地址；
  5. 系统加固时需要保证靶机对外提供服务的可用性，服务只能更改配置，不允许更改内容；
  6. 本环节是对抗环节，不予补时。

可能的漏洞列表如下：

  1. 服务器中的漏洞可能是常规漏洞也可能是系统漏洞；
  2. 靶机服务器上的网站可能存在命令注入的漏洞，要求选手找到命令注入的相关漏洞，利用此漏洞获取一定权限;
  3. 靶机服务器上的网站可能存在文件上传漏洞，要求选手找到文件上传的相关漏洞，利用此漏洞获取一定权限;
  4. 靶机服务器上的网站可能存在文件包含漏洞，要求选手找到文件包含的相关漏洞，与别的漏洞相结合获取一定权限并进行提权;
  5. 操作系统提供的服务可能包含了远程代码执行的漏洞，要求用户找到远程代码执行的服务，并利用此漏洞获取系统权限;

  1. 操作系统提供的服务可能包含了缓冲区溢出漏洞，要求用户找到缓冲区溢出漏洞的服务，并利用此漏洞获取系统权限;
  2. 操作系统中可能存在一些系统后门，选手可以找到此后门，并利用预留的后门直接获取到系统权限。

（三）模块 D CTF 夺旗-防御（200 分）

一、项目和任务描述：

假定各位选手是某安全企业的网络安全工程师，负责若干服务器的渗透测试与安全防护，这些服务器可能存在着各种问题和漏洞。你需要尽快对这些服务器进行渗透测试与安全防护。每个参赛队拥有专属的堡垒机服务器，其他队不能访问。参赛选手通过扫描、渗透测试等手段检测自己堡垒服务器中存在的安全缺陷， 进行针对性加固，从而提升系统的安全防御性能。

请根据《赛场参数表》提供的信息，在客户端使用谷歌浏览器登录需要加固的堡垒服务器。

二、操作系统环境说明：

客户机操作系统：Windows 10/Windows7 堡垒服务器操作系统：Linux/Windows

三、漏洞情况说明：

  1. 堡垒服务器中的漏洞可能是常规漏洞也可能是系统漏洞；
  2. 堡垒服务器上的网站可能存在命令注入的漏洞，要求选手找到命令注入的相关漏洞，利用此漏洞获取一定权限;
  3. 堡垒服务器上的网站可能存在文件上传漏洞，要求选手找到文件上传的相关漏洞，利用此漏洞获取一定权限;
  4. 堡垒服务器上的网站可能存在文件包含漏洞，要求选手找到文件包含的相关漏洞，与别的漏洞相结合获取一定权限并进行提权;
  5. 操作系统提供的服务可能包含了远程代码执行的漏洞，要求用户找到远程代码执行的服务，并利用此漏洞获取系统权限;
  6. 操作系统提供的服务可能包含了缓冲区溢出漏洞，要求用户找到缓冲区溢出漏洞的服务，并利用此漏洞获取系统权限;
  7. 操作系统中可能存在一些系统后门，选手可以找到此后门，并利用预留的后门直接获取到系统权限。

四、注意事项：

  1. 每位选手需要对加固点和加固过程截图，并自行制作系统防御实施报告， 最终评分以实施报告为准;
  2. 系统加固时需要保证堡垒服务器对外提供服务的可用性；
  3. 不能对裁判服务器进行攻击，警告一次后若继续攻击将判令该参赛队离场；

  1. 本环节不予补时。二、说明：
  1. 所有截图要求截图界面、字体清晰；
  2. 文件名命名及保存：网络安全模块 D-XX（XX 为工位号），PDF 格式保存；
  3. 文件保存到 U 盘提交。

2023年广东省职业院校学生专业技能大赛中职组“网络安全”赛项竞赛任务书——a模块解析（超级详细）

 2022-2023年度广东省职业院校学生专业技能大赛                                       ... 查看详情

2022年山东省职业院校技能大赛中职组“网络搭建与应用”赛项规程

2022年山东省职业院校技能大赛中职组“网络搭建与应用”赛项规程一、赛项名称赛项名称：网络搭建与应用赛项组别：中职组赛项专业大类：电子与信息大类二、竞赛目的通过竞赛，检验参赛选手的计算机网络的... 查看详情

2021年广东省大数据技术与应用技能大赛真题测试数据(代码片段)

2021年广东省大数据技术与应用技能大赛真题测试数据前面两章讲过关于2021年广东省专业技能大赛——大数据技术与应用真题题目及解析：2021年广东省专业技能大赛——大数据技术与应用真题题目及解析（1）2021年广... 查看详情

2022年河南省高等职业教育技能大赛云计算赛项竞赛方案

...大数据和云应用开发等实际应用场景，全面考察高等职业院校学生的云计算技术基础&# 查看详情

深圳北大青鸟嘉华职业培训学校的青鸟大事件

...术A2008年4月北大青鸟荣获第十届中国特许加盟大会2007-2008年度中国优秀特许品牌，成为国内唯一一家连续两年获此殊荣的教育培训机构2008年3月国际权威调研公司IDC（国际数据公司）发布的《2007年度中国IT职业培训市场及相关市... 查看详情

职业技能大赛笔记

...项以大数据技术与应用为核心内容和工作基础，激发学生对大数据相关知识和技术的学习兴趣，提升学生的职业素养和职业技能。大赛既是对自身能力的体现也丰富了我们的阅历。二、安装Java，Sc 查看详情

山东省技能兴鲁职业技能竞赛-人工智能工程技术人员

目录山东省技能兴鲁职业技能竞赛-人工智能工程技术人员http://www.mostsd.com/page/news/informNoticeDetail.html?id=014aef9bda8e45038ab2ab408 查看详情

山东省技能兴鲁职业技能竞赛-人工智能工程技术人员

目录山东省技能兴鲁职业技能竞赛-人工智能工程技术人员http://www.mostsd.com/page/news/informNoticeDetail.html?id=014aef9bda8e45038ab2ab408 查看详情

2021年山东省职业院校技能大赛样题

                     模块A 基础设施设置与安全加固（本模块200分）一、项目和任务描述：假定你是某企业的网络安全工程师，对于企业的服务器系... 查看详情

喜讯：正月十六工作室主编的华为1+x教材入选《广东省高等职业教育质量制度报告（2021）》优秀案例

喜讯：正月十六工作室主编的华为1+X教材入选《广东省高等职业教育质量制度报告（2021）》优秀案例2021年6月3日《广东省高等职业教育质量年度报告（2021）》发布了，年报从特色亮点、抗疫行动、发展... 查看详情

大数据应用场景和大数据职业发展需要掌握的技术技能构成(代码片段)

...行业大数据政务：新型冠状病毒传播监测教育：学生综合分析物流：智慧物流保 查看详情

大数据应用场景和大数据职业发展需要掌握的技术技能构成(代码片段)

...行业大数据政务：新型冠状病毒传播监测教育：学生综合分析物流：智慧物流保 查看详情

大数据应用场景和大数据职业发展需要掌握的技术技能构成(代码片段)

...行业大数据政务：新型冠状病毒传播监测教育：学生综合分析物流：智慧物流保 查看详情

2022年度“楚怡杯”中职网络空间安全湖南省职业院校技能竞赛

2022年度“楚怡杯”湖南省职业院校技能竞赛赛项规程一、赛项名称1.赛项名称：网络安全2.赛项组别：中职组3.赛项归属：电子与信息大类二、竞赛内容1.竞赛任务本赛项由四个模块组成，每个模块根据赛题设有多个子任务。模块... 查看详情

共筑职教梦想“三维博特·弘瑞杯”3d打印大赛成功举办

...前国内有些院校已经开设了3D打印技术专业，主要集中在职业院校与模具、机械加工、数控等专业进行对接，但是大多数院校仍然对3D打印技术缺乏了解，人才培养状况与企业岗位需求存在一定的偏差。基于这样的现实，今年的... 查看详情

2022年山东省职业院校技能大赛高职组“网络系统管理”赛项模块c

ClientTASK要求能访问所有服务器，用于测试应用环境root@Client:~#hostname-f-->查看名称Client.Client.comroot@Client:~#vi/etc/hostname-->更改主机名Clientroot@Client:~#vi/etc/hosts-->更改权限域名​ 127.0.0.1 localhost​ 172.16.100.1 ​​Client.Client.com​... 查看详情

大数据在哪儿学比较好？

...该拥有哪些几类角色，如何设置岗位？同一类别的角色的专业方向又有哪些分化，不同专业的岗位对技能应该有哪些要求？如何管理大数据团队成员的职业发展路径？为此，ChinaHadoop花费了一年时间调研了先进企业内部设立的大... 查看详情

2021年全国行业职业技能竞赛暨第四届全国大学生大数据技能竞赛——职教学生组线上选拔赛(代码片段)

2021年全国行业职业技能竞赛暨第四届全国大学生大数据技能竞赛——职教学生组线上选拔赛目录2021年全国行业职业技能竞赛暨第四届全国大学生大数据技能竞赛——职教学生组线上选拔赛前言资料前提条件题目一、基础配置... 查看详情