简介这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯信息安全管理与评估赛项的官方任务书面向备赛的高职院校选手、指导教师以及信息安全实训学习者可用于还原赛场任务、开展专项训练与教学演练。资源包共1个PDF文件约287KB篇幅紧凑却完整保留了赛项时间安排、三阶段任务划分与分值分布、网络拓扑与IP地址规划表、设备初始化信息等关键内容。赛题涵盖网络平台搭建、网络安全设备配置与防护、IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护以及分组对抗中的系统加固与攻防分值从30分到300分不等贴近真实企业信息安全工程师的工作场景。已有323人学习适合用来对照赛项要求梳理知识短板、设计实验环境与模拟对抗练习。1. 从一台“装完就失联”的防火墙说起信息安全管理与评估赛项环境搭建第一次接触这套赛项环境我是在一台 DCFW 上翻的车管理口 IP 按任务书填完点保存页面直接失联串口也进不去最后只能复位重来。这套“信息安全管理与评估”赛项环境本质是把防火墙 DCFW、流控 DCFS、日志审计 DCBI、WAF、三层交换机 DCRS、堡垒服务器 DCST 和若干靶机服务器串成一张完整的企业网任何一台设备的接口、VLAN、路由配错整条链路就断。它适合要复现赛项训练环境的安全专业学生、带队的指导老师以及想系统练一遍设备配置与攻防加固的运维。装不好不是“少个功能”而是第一阶段 300 分直接归零后面攻防题连靶机都摸不到。2. 装前把环境列清设备清单、版本与 IP 规划这套环境最容易被低估的地方是它不是一个软件包而是一整套设备加靶机的组合。装之前不把清单和地址规划落到纸上后面每配一台设备都要回头翻任务书效率极低还容易把互联段和业务段搞混。我一般会先做两件事把设备初始化信息抄成一张表把 IP 地址规划按“互联段 / 业务段 / 地址池”三类分开算。2.1 设备初始化信息对照表任务书给了每台设备的默认管理地址和账号这些是复现环境的起点默认管理接口和管理 IP 不允许改改了就找不回来。先把它们整理成下面这张表贴在屏幕边上设备管理地址管理接口用户名密码防火墙 DCFWhttp://192.168.1.1ETH0adminadmin网络流控 DCFShttps://192.168.1.254:9999ETH0adminAdmin123网络日志 DCBIhttps://192.168.5.254ETH0admin123456Web 应用防火墙 WAFhttps://192.168.45.1ETH5adminadmin123堡垒服务器 DCSThttp://192.168.1.100Eth0-Eth9见 DCST 登录用户表见用户表这张表的价值在于设备一旦配乱你能靠默认管理地址从 ETH0 重新进去救。常见做法是先用一台管理 PC 直连各设备的 ETH0逐台确认能登录、能改 IP再开始接业务线。别一上来就把所有线插满那样出问题你根本不知道是哪一段断的。2.2 IP 地址规划按 2^n-2 算别拍脑袋任务书明确要求“最节省 IP 地址子网有效地址规划遵循 2^n-2 的原则”。这句话是很多新手翻车点互联段通常只需要 2 个可用地址就该用 /30服务器区、用户区按实际主机数往上取。我一般先列一张规划草表再往“赛场 IP 参数表”里填互联段设备之间点对点 DCFW - DCFS /30 可用 2 个地址 DCFS - DCRS /30 DCRS - WAF /30 WAF - DCST /30 业务段按主机数取掩码 VLAN10 服务器区 按服务器数量取 /24 或 /25 VLAN20 PC-1 用户区 VLAN30 PC-2 用户区 VLAN40 DCBI 管理段 VLAN100 直连服务器区 VLAN110 用户区DHCP 地址池 DCFW SSL 地址池、DCRS DHCP 地址池参数说明/30 掩码 255.255.255.252正好 2 个可用地址适合设备互联/24 有 254 个可用地址适合用户区。任务书里反复出现“服务器区内第二个可用地址”“第三个可用地址”这类表述意思是让你在服务器区网段里按顺序数可用地址第一个可用地址通常是网关第二个才是网管服务器。这个数法一定要统一否则后面 SNMP、syslog、RADIUS 的地址全对不上。2.3 靶机与工具版本清单第二阶段用到的靶机环境版本很老装的时候要有心理准备Windows 2003 Server 配 IIS 6.0、Redhat Linux AS5 配 Apache 2.2.23 / MySQL 5.0.22 / PHP 5.0.48、SQL Server 2005抓包用 Wireshark扫描用 Nmap 4.11 和 Acunetix。这些版本现在看都很旧但赛项就是按它们设计的别自作主张升级到新版本否则题目里的路径、页面、漏洞点可能对不上。我的做法是每台靶机装完先打快照攻防题做坏了直接回滚比修快得多。3. 第一阶段落地网络平台搭建与安全设备配置第一阶段 300 分任务一网络平台搭建 60 分任务二安全设备配置与防护 240 分。这一阶段的核心不是“会不会配”而是“配完能不能通、能不能交文档”。任务书要求 DCRS 提交 show run 配置DCFW、DCFS、WAF、DCBI 提交配置过程截图并加说明所以从第一台设备开始就要边配边截图别等最后补。3.1 先配接口和 VLAN再谈路由平台搭建的顺序我固定为WAF、DCRS、DCFW、DCFS、DCBI 逐台配名称和接口 IP然后在 DCRS 上建 VLAN 并划接口最后用静态路由打通全网。以 DCRS 为例建 VLAN 和划接口的配置大致如下# DCRS 上创建 VLAN 并命名 vlan 10 name server vlan 20 name pc1 vlan 30 name pc2 vlan 40 name dcbi vlan 100 name server-direct vlan 110 name user-dhcp exit # 将接口划入对应 VLAN以 Ethernet1/1 接 WAF 为例 interface Ethernet1/1 switchport mode access switchport access vlan 10 exit # 配置 VLAN 接口地址地址按赛场 IP 参数表填 interface Vlan10 ip address 10.10.10.1 255.255.255.0 exit逻辑说明vlan命令创建 VLAN 并命名方便后面 show run 时一眼看懂switchport access vlan把物理口划进对应 VLANinterface Vlan是三层接口配网关地址。参数上要注意接 WAF 的口划 VLAN10接 PC-1 的口划 VLAN20接 PC-2 的口划 VLAN30接 DCBI 的口划 VLAN40别把 VLAN 号和接口搞反这是最常见的失分点。静态路由是打通全网的关键。每台三层设备都要有到其他网段的路由下一跳指向互联对端。比如 DCRS 上指向 DCFW 的默认路由# DCRS 上配置默认路由下一跳为 DCFW 互联地址 ip route 0.0.0.0 0.0.0.0 10.0.0.1参数说明0.0.0.0 0.0.0.0表示默认路由所有未知目的都往 DCFW 送10.0.0.1是 DCFW 与 DCRS 互联段的对端地址实际按参数表填。配完一定要在 PC 上 ping 服务器区、ping 外网地址各验一遍别只看设备上路由表有就以为通了。3.2 DCFW 上的安全策略从 SNMP 到 SSL任务二 40 道题里DCFW 占了前 10 题覆盖 SNMP、安全域、DDoS、Web 管理、时间策略、Web 认证、端口映射、源 NAT、ARP 防护、会话与带宽限制、SSL。这些题看着杂其实都是防火墙的常规配置关键是参数别抄错。以 SNMP 和只读用户为例# DCFW 开启 SNMPcommunity 为 public仅读权限 snmp-server community public ro # 新增只读用户 dcfw1234 user dcfw1234 password dcfw1234 user dcfw1234 privilege read-only逻辑说明ro表示只读网管软件对 DCFW 没有写权限正好对应题目要求privilege read-only保证新用户只能看不能改。参数上community 名字必须是 public用户名密码都是 dcfw1234这些是题目写死的改一个字符就不得分。再比如第 6 题端口映射要求 DCST 通过公网第三个可用地址被访问且仅允许 PC-3 访问。这类题我一般先算地址再写映射和策略# 公网地址第三个可用地址映射到 DCST 内网地址 nat server dcst protocol tcp global 公网第三可用地址 80 inside DCST内网地址 80 # 仅允许 PC-3 的公网地址访问 security-policy rule name allow-pc3-dcst source-address PC3公网地址 32 destination-address 公网第三可用地址 32 service tcp 80 action permit参数说明nat server做目的地址转换把公网地址的 80 端口映射到 DCSTsource-address ... 32是主机掩码精确到单台 PC-3action permit放行。这里最容易错的是把 PC-3 的内网地址当成源地址写进去实际从互联网访问时源是 PC-3 的公网出口地址按参数表来。3.3 DCFS 与 DCBI流控、审计与日志外发DCFS 的题集中在账号权限、应用封堵、URL 过滤、带宽通道。第 17、18 题是带宽管理的难点总出口 200M子通道 100M拥塞时 PC-2 每用户最大 2M 最小 1M不拥塞可超 2MPC-1 每用户最小 2MBT 业务总流量不超 50M。这类题要分清“通道带宽”和“每用户带宽”两层先建子通道再挂用户策略。DCBI 的题偏审计旁路部署、监控接口与管理接口、邮件告警、日志发 syslog、监控 URL 和聊天记录、通过 DCRS 拿 MAC。旁路模式的关键是监控口接镜像口管理口单独配地址别把两个口接反。日志外发用 syslogcommunity 为 public目标地址是服务器区第四个可用地址。# DCBI 日志外发到 syslog 服务器示意 log-server 服务器区第四可用地址 log-server facility local0 log-server level informational参数说明facility 决定日志分类local0 是常用自定义类别level 控制发送级别informational 能覆盖大部分审计事件。实际界面里按设备表单填别硬套命令。3.4 DCRS 的加固项SSH、风暴抑制、ARP 保护、DHCPDCRS 后 8 题是设备加固包括 enable 密码、SSH 管理、关闭 Web、广播风暴抑制 400pps、SNMP 读写串、ARP 保护、端口认证、DHCP 地址池。以 SSH 和关闭 Web 为例# 开启 SSH用户名密码均为 DCN username DCN password DCN ssh-server enable # 关闭 web 管理 no web-server enable # 仅允许 console、ssh、telnet 管理 line console 0 line vty 0 4 transport input ssh telnet逻辑说明ssh-server enable开启 SSH 服务no web-server enable关掉 Web 管理transport input ssh telnet限定 vty 只接受 SSH 和 Telnetconsole 口天然可用。参数上用户名密码都是 DCN大小写敏感。DHCP 题第 33 题要求地址池 pool-vlan110DNS 为 114.114.114.114 和 8.8.8.8租期 2 天最后 20 个可用地址不动态分配ip dhcp pool pool-vlan110 network 10.110.0.0 255.255.255.0 dns-server 114.114.114.114 8.8.8.8 lease 2 # 排除最后 20 个可用地址 ip dhcp excluded-address 10.110.0.235 10.110.0.254参数说明lease 2单位是天excluded-address把末尾 20 个地址排除防止动态分配出去。这里要先把网段算清楚最后 20 个可用地址是 .235 到 .254/24 网段算错范围就白配。4. 第二阶段落地靶机加固与攻防复现第二阶段 300 分8 个任务从 IIS 加固、数据库加固到 CSRF、XSS、密码嗅探、文件包含、SQL 注入、Linux 防护。这一阶段的“安装”其实是把靶机环境跑起来、把工具装好然后按题目复现攻击和加固。每道题都要截图加文字说明文档命名格式是“第二阶段-任务X-任务名称”。4.1 IIS 与证书签发先通再加固任务一在 Windows 2003 IIS 6.0 上做。第一步是配置 Windows 防火墙放行 IIS第二步加固只允许内网网段访问第三步申请服务器证书第四步颁发一年期证书第五步启用 SSL 并用浏览器测试第六步启用客户端证书第七、八步给 PC 申请和安装 CA 证书。顺序不能乱证书没装好就开 SSL浏览器直接报错。IIS 加固要点图形界面操作按步骤截图 1. 防火墙例外中勾选 Web 服务HTTP或手动放行 80 端口 2. IIS 管理器 - 网站属性 - 目录安全性 - IP 地址和域名限制 添加拒绝访问再添加允许的内网网段 3. 目录安全性 - 服务器证书 - 新建证书填写申请信息 4. 在 CA 上颁发证书导出后安装到 IIS 5. 网站属性 - 目录安全性 - 编辑安全通信勾选要求安全通道 SSL 6. 勾选要求客户端证书浏览器访问时弹出证书选择框参数说明IP 限制里“拒绝访问”是默认规则再单独放行内网网段这样外网一律拒绝证书有效期选一年SSL 端口默认 443。测试时因为证书 CN 和访问域名不一致浏览器一定弹安全警报这个弹窗正是第 5 题要截的图别以为是配错了。4.2 MySQL 加固审计、权限与匿名用户任务二在 Redhat Linux AS5 MySQL 5.0.22 上做8 道题围绕审计、防火墙、用户权限、匿名用户、改管理员名、禁本地文件、限制跨库浏览。核心是改 mysqld 启动项和用 grant 收权。以开启审计和禁本地文件为例# 编辑 my.cnf在 [mysqld] 段加入审计与安全参数 [mysqld] log/var/log/mysql_audit.log local-infile0 safe-user-create1 # 重启 MySQL 生效 service mysqld restart逻辑说明log开启通用查询日志实现访问审计local-infile0禁止 LOAD DATA LOCAL 读取本地文件safe-user-create1限制普通用户建库。参数上日志路径要可写重启后确认日志文件生成。收权用 grant比如把任意 IP 可访问的用户限制为只允许公司 PC-- 查看所有用户及权限找 Host 为 % 的用户 SELECT user, host FROM mysql.user; -- 收回任意地址访问改为指定 PC 地址 REVOKE ALL PRIVILEGES ON *.* FROM 用户名%; GRANT ALL PRIVILEGES ON *.* TO 用户名公司PC地址 IDENTIFIED BY 密码; FLUSH PRIVILEGES;参数说明%表示任意主机是漏洞点改成具体 IP 后只能从该地址登录FLUSH PRIVILEGES让权限立即生效。匿名用户用DELETE FROM mysql.user WHERE user;删除改管理员名用UPDATE mysql.user SET useradmin WHERE userroot;改完都要 flush。4.3 CSRF、XSS、密码嗅探、文件包含工具先跑通任务三到任务六都是 Web 攻防靶机是 metas2-lab 系列工具是 Wireshark、桌面上的 csrfp / xssp / telnetp / ftpp / httpp / fileip 等自动连接程序。这些工具是赛项环境自带的装环境时确认桌面快捷方式都在Wireshark 能正常抓包。以密码嗅探为例过滤 telnet 流量Wireshark 过滤条件 telnet # 只看 telnet 协议 ftp # 只看 ftp 协议 http # 看 tomcat 8180 的登录 tcp.port 8180逻辑说明telnet 和 ftp 都是明文协议抓包后 Follow TCP Stream 就能看到用户名密码tomcat 的 8180 是 HTTP看 POST 表单里的变量名。参数上过滤条件要包含协议和端口题目明确要求“包含协议和端口”只写协议可能不得分。XSS 题里有一段 accept_cookie.php 接收 cookie要求找到存放 cookie 的文件并用ls -l列表# 在 xserver 上查找 accept_cookie.php 写入的文件 ls -l /var/www/html/ # 查看接收 cookie 的目录权限和文件 ls -l /tmp/cookie*参数说明ls -l显示权限、属主、大小和时间题目要的就是这个列表截图cookie 文件通常在脚本同目录或 /tmp 下先读脚本里的写入路径再找别瞎猜。4.4 SQL 注入与 Linux 防护sqlmap 与脚本任务七在 Windows 2003 SQL Server 2005 上做先用 Acunetix 扫注入点再手工 and 11/ and 12判断然后用 sqlmap 跑 GET、POST、登录认证三种注入。sqlmap 的基本用法# GET 型注入获取当前数据库名 sqlmap -u http://目标地址/页面?id1 --current-db # POST 型注入指定数据 sqlmap -u http://目标地址/登录页 --datauser1pass1 --dbs # 登录认证型dump 管理员密码 sqlmap -u http://目标地址/后台 --datauser1pass1 -D 库名 -T 表名 -C 密码列 --dump参数说明--current-db取当前库--dbs列所有库--dump导出指定列数据。跑之前确认目标可达、参数名和页面表单一致POST 的 data 要照抄浏览器里的提交内容。任务八 Linux 防护 9 道题涉及 SSH 禁 root、密码策略、PAM 锁定、umask、SUID/SGID 查找脚本、可写目录脚本、登录超时、syslog 备份、UID 为 0 的账号。查找 UID 为 0 的账号一行命令搞定# 查找系统中 UID 为 0 的账号 awk -F: $30 {print $1} /etc/passwd参数说明-F:以冒号分隔$30判断第三列 UID 为 0print $1输出用户名。SUID/SGID 查找脚本用find / -perm -4000 -o -perm -2000可写目录用find / -type d -perm -0002脚本要能跑出结果并截图。5. 避坑与排查这套环境最容易翻车的五个点这套环境我复现过不止一遍下面五个坑几乎每次都有人踩按“现象 → 原因 → 解决”记下来装的时候对照着排。5.1 改完管理 IP 就失联现象在 DCFW 或 DCFS 上改完管理口 IP点保存后页面打不开串口也进不去。原因管理 PC 还挂在旧网段或者改的不是 ETH0 而是业务口。解决管理 PC 网卡先改成和目标同网段确认改的是 ETH0真失联就复位设备用默认地址 192.168.1.1 重新进。我的习惯是改管理 IP 前先开一个持续 ping改完看 ping 通不通再关页面。5.2 互联段掩码用错路由不通现象设备上路由表有条目但 PC ping 不通服务器区。原因互联段用了 /24 而不是 /30两端地址不在同一子网或者下一跳写错。解决互联段统一 /30两端地址一个 .1 一个 .2逐跳 ping 互联对端先通互联再通业务。任务书要求 2^n-2 原则互联段用 /30 就是标准做法。5.3 服务器区“第 N 个可用地址”数错现象SNMP、syslog、RADIUS 的地址全配了但设备收不到数据。原因可用地址从网关后一个开始数有人把网关算成第一个整体偏移一位。解决先确定网段和网关第一个可用地址是网关第二个才是网管服务器依次往后把数出来的地址写进规划表所有题统一引用。5.4 靶机版本被升级题目对不上现象IIS 加固题找不到对应菜单或者 MySQL 参数不生效。原因装了新版本 IIS 或 MySQL界面和参数名都变了。解决严格按任务书版本装Windows 2003 IIS 6.0、MySQL 5.0.22装完打快照做坏了回滚别在旧环境上反复修。5.5 文档命名和工位信息违规现象答案交了却判无效。原因文件夹或文件名里重复出现工位信息或者文档命名格式不对。解决U 盘根目录只建一次“XX 工位”下面建“第一阶段”“第二阶段”文档按“第X阶段-任务X-任务名称”命名工位信息只在根文件夹出现一次。这条是硬规则违反按作弊处理装环境时就把目录结构建好。6. 装完怎么验证三层连通性检查与交付前自检环境装完、配置做完最后一关是验证。我一般按“设备层 → 网络层 → 业务层”三层走一遍每层都有明确的通过标准不通过就回到对应章节排。设备层验证逐台登录管理地址确认能进、能看配置。DCRS 上执行show run确认 VLAN、接口、路由都在DCFW、DCFS、WAF、DCBI 各截一张配置总览图。这一步对应任务书“提交所有设备配置文件”的要求顺手就把交付材料备齐了。网络层验证从 PC-1、PC-2、PC-3 分别 ping 服务器区、ping 互联对端、ping 外网映射地址。我习惯用一张检查表逐项打勾检查项命令/操作通过标准互联连通ping 互联对端通无丢包VLAN 内互通ping 同 VLAN 主机通跨 VLAN 路由ping 其他 VLAN 网关通外网映射从 PC-3 访问公网映射地址能打开 DCST 页面DHCPPC 设自动获取拿到 pool-vlan110 地址日志外发设备上触发事件syslog 服务器收到业务层验证按第二阶段题目逐项复现IIS 能通过 SSL 访问并弹证书框MySQL 审计日志有记录Wireshark 能抓到 telnet/ftp 明文sqlmap 能跑出库名。每项验证完立刻截图存档别等最后补补的时候往往忘了当时怎么操作的。交付前自检我固定查三样U 盘目录结构对不对、文档命名格式对不对、截图里有没有配置说明。这三样任何一样出问题前面配得再对也可能白干。从那以后我每次复现这套环境都强制先建目录、先截图、先打快照再动手配设备顺序反了就要花几倍时间返工。希望帮到你。本文还有配套的精品资源点击获取
简介这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯信息安全管理与评估赛项的官方任务书面向备赛的高职院校选手、指导教师以及信息安全实训学习者可用于还原赛场任务、开展专项训练与教学演练。资源包共1个PDF文件约287KB篇幅紧凑却完整保留了赛项时间安排、三阶段任务划分与分值分布、网络拓扑与IP地址规划表、设备初始化信息等关键内容。赛题涵盖网络平台搭建、网络安全设备配置与防护、IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护以及分组对抗中的系统加固与攻防分值从30分到300分不等贴近真实企业信息安全工程师的工作场景。已有323人学习适合用来对照赛项要求梳理知识短板、设计实验环境与模拟对抗练习。1. 从一台“装完就失联”的防火墙说起信息安全管理与评估赛项环境搭建第一次接触这套赛项环境我是在一台 DCFW 上翻的车管理口 IP 按任务书填完点保存页面直接失联串口也进不去最后只能复位重来。这套“信息安全管理与评估”赛项环境本质是把防火墙 DCFW、流控 DCFS、日志审计 DCBI、WAF、三层交换机 DCRS、堡垒服务器 DCST 和若干靶机服务器串成一张完整的企业网任何一台设备的接口、VLAN、路由配错整条链路就断。它适合要复现赛项训练环境的安全专业学生、带队的指导老师以及想系统练一遍设备配置与攻防加固的运维。装不好不是“少个功能”而是第一阶段 300 分直接归零后面攻防题连靶机都摸不到。2. 装前把环境列清设备清单、版本与 IP 规划这套环境最容易被低估的地方是它不是一个软件包而是一整套设备加靶机的组合。装之前不把清单和地址规划落到纸上后面每配一台设备都要回头翻任务书效率极低还容易把互联段和业务段搞混。我一般会先做两件事把设备初始化信息抄成一张表把 IP 地址规划按“互联段 / 业务段 / 地址池”三类分开算。2.1 设备初始化信息对照表任务书给了每台设备的默认管理地址和账号这些是复现环境的起点默认管理接口和管理 IP 不允许改改了就找不回来。先把它们整理成下面这张表贴在屏幕边上设备管理地址管理接口用户名密码防火墙 DCFWhttp://192.168.1.1ETH0adminadmin网络流控 DCFShttps://192.168.1.254:9999ETH0adminAdmin123网络日志 DCBIhttps://192.168.5.254ETH0admin123456Web 应用防火墙 WAFhttps://192.168.45.1ETH5adminadmin123堡垒服务器 DCSThttp://192.168.1.100Eth0-Eth9见 DCST 登录用户表见用户表这张表的价值在于设备一旦配乱你能靠默认管理地址从 ETH0 重新进去救。常见做法是先用一台管理 PC 直连各设备的 ETH0逐台确认能登录、能改 IP再开始接业务线。别一上来就把所有线插满那样出问题你根本不知道是哪一段断的。2.2 IP 地址规划按 2^n-2 算别拍脑袋任务书明确要求“最节省 IP 地址子网有效地址规划遵循 2^n-2 的原则”。这句话是很多新手翻车点互联段通常只需要 2 个可用地址就该用 /30服务器区、用户区按实际主机数往上取。我一般先列一张规划草表再往“赛场 IP 参数表”里填互联段设备之间点对点 DCFW - DCFS /30 可用 2 个地址 DCFS - DCRS /30 DCRS - WAF /30 WAF - DCST /30 业务段按主机数取掩码 VLAN10 服务器区 按服务器数量取 /24 或 /25 VLAN20 PC-1 用户区 VLAN30 PC-2 用户区 VLAN40 DCBI 管理段 VLAN100 直连服务器区 VLAN110 用户区DHCP 地址池 DCFW SSL 地址池、DCRS DHCP 地址池参数说明/30 掩码 255.255.255.252正好 2 个可用地址适合设备互联/24 有 254 个可用地址适合用户区。任务书里反复出现“服务器区内第二个可用地址”“第三个可用地址”这类表述意思是让你在服务器区网段里按顺序数可用地址第一个可用地址通常是网关第二个才是网管服务器。这个数法一定要统一否则后面 SNMP、syslog、RADIUS 的地址全对不上。2.3 靶机与工具版本清单第二阶段用到的靶机环境版本很老装的时候要有心理准备Windows 2003 Server 配 IIS 6.0、Redhat Linux AS5 配 Apache 2.2.23 / MySQL 5.0.22 / PHP 5.0.48、SQL Server 2005抓包用 Wireshark扫描用 Nmap 4.11 和 Acunetix。这些版本现在看都很旧但赛项就是按它们设计的别自作主张升级到新版本否则题目里的路径、页面、漏洞点可能对不上。我的做法是每台靶机装完先打快照攻防题做坏了直接回滚比修快得多。3. 第一阶段落地网络平台搭建与安全设备配置第一阶段 300 分任务一网络平台搭建 60 分任务二安全设备配置与防护 240 分。这一阶段的核心不是“会不会配”而是“配完能不能通、能不能交文档”。任务书要求 DCRS 提交 show run 配置DCFW、DCFS、WAF、DCBI 提交配置过程截图并加说明所以从第一台设备开始就要边配边截图别等最后补。3.1 先配接口和 VLAN再谈路由平台搭建的顺序我固定为WAF、DCRS、DCFW、DCFS、DCBI 逐台配名称和接口 IP然后在 DCRS 上建 VLAN 并划接口最后用静态路由打通全网。以 DCRS 为例建 VLAN 和划接口的配置大致如下# DCRS 上创建 VLAN 并命名 vlan 10 name server vlan 20 name pc1 vlan 30 name pc2 vlan 40 name dcbi vlan 100 name server-direct vlan 110 name user-dhcp exit # 将接口划入对应 VLAN以 Ethernet1/1 接 WAF 为例 interface Ethernet1/1 switchport mode access switchport access vlan 10 exit # 配置 VLAN 接口地址地址按赛场 IP 参数表填 interface Vlan10 ip address 10.10.10.1 255.255.255.0 exit逻辑说明vlan命令创建 VLAN 并命名方便后面 show run 时一眼看懂switchport access vlan把物理口划进对应 VLANinterface Vlan是三层接口配网关地址。参数上要注意接 WAF 的口划 VLAN10接 PC-1 的口划 VLAN20接 PC-2 的口划 VLAN30接 DCBI 的口划 VLAN40别把 VLAN 号和接口搞反这是最常见的失分点。静态路由是打通全网的关键。每台三层设备都要有到其他网段的路由下一跳指向互联对端。比如 DCRS 上指向 DCFW 的默认路由# DCRS 上配置默认路由下一跳为 DCFW 互联地址 ip route 0.0.0.0 0.0.0.0 10.0.0.1参数说明0.0.0.0 0.0.0.0表示默认路由所有未知目的都往 DCFW 送10.0.0.1是 DCFW 与 DCRS 互联段的对端地址实际按参数表填。配完一定要在 PC 上 ping 服务器区、ping 外网地址各验一遍别只看设备上路由表有就以为通了。3.2 DCFW 上的安全策略从 SNMP 到 SSL任务二 40 道题里DCFW 占了前 10 题覆盖 SNMP、安全域、DDoS、Web 管理、时间策略、Web 认证、端口映射、源 NAT、ARP 防护、会话与带宽限制、SSL。这些题看着杂其实都是防火墙的常规配置关键是参数别抄错。以 SNMP 和只读用户为例# DCFW 开启 SNMPcommunity 为 public仅读权限 snmp-server community public ro # 新增只读用户 dcfw1234 user dcfw1234 password dcfw1234 user dcfw1234 privilege read-only逻辑说明ro表示只读网管软件对 DCFW 没有写权限正好对应题目要求privilege read-only保证新用户只能看不能改。参数上community 名字必须是 public用户名密码都是 dcfw1234这些是题目写死的改一个字符就不得分。再比如第 6 题端口映射要求 DCST 通过公网第三个可用地址被访问且仅允许 PC-3 访问。这类题我一般先算地址再写映射和策略# 公网地址第三个可用地址映射到 DCST 内网地址 nat server dcst protocol tcp global 公网第三可用地址 80 inside DCST内网地址 80 # 仅允许 PC-3 的公网地址访问 security-policy rule name allow-pc3-dcst source-address PC3公网地址 32 destination-address 公网第三可用地址 32 service tcp 80 action permit参数说明nat server做目的地址转换把公网地址的 80 端口映射到 DCSTsource-address ... 32是主机掩码精确到单台 PC-3action permit放行。这里最容易错的是把 PC-3 的内网地址当成源地址写进去实际从互联网访问时源是 PC-3 的公网出口地址按参数表来。3.3 DCFS 与 DCBI流控、审计与日志外发DCFS 的题集中在账号权限、应用封堵、URL 过滤、带宽通道。第 17、18 题是带宽管理的难点总出口 200M子通道 100M拥塞时 PC-2 每用户最大 2M 最小 1M不拥塞可超 2MPC-1 每用户最小 2MBT 业务总流量不超 50M。这类题要分清“通道带宽”和“每用户带宽”两层先建子通道再挂用户策略。DCBI 的题偏审计旁路部署、监控接口与管理接口、邮件告警、日志发 syslog、监控 URL 和聊天记录、通过 DCRS 拿 MAC。旁路模式的关键是监控口接镜像口管理口单独配地址别把两个口接反。日志外发用 syslogcommunity 为 public目标地址是服务器区第四个可用地址。# DCBI 日志外发到 syslog 服务器示意 log-server 服务器区第四可用地址 log-server facility local0 log-server level informational参数说明facility 决定日志分类local0 是常用自定义类别level 控制发送级别informational 能覆盖大部分审计事件。实际界面里按设备表单填别硬套命令。3.4 DCRS 的加固项SSH、风暴抑制、ARP 保护、DHCPDCRS 后 8 题是设备加固包括 enable 密码、SSH 管理、关闭 Web、广播风暴抑制 400pps、SNMP 读写串、ARP 保护、端口认证、DHCP 地址池。以 SSH 和关闭 Web 为例# 开启 SSH用户名密码均为 DCN username DCN password DCN ssh-server enable # 关闭 web 管理 no web-server enable # 仅允许 console、ssh、telnet 管理 line console 0 line vty 0 4 transport input ssh telnet逻辑说明ssh-server enable开启 SSH 服务no web-server enable关掉 Web 管理transport input ssh telnet限定 vty 只接受 SSH 和 Telnetconsole 口天然可用。参数上用户名密码都是 DCN大小写敏感。DHCP 题第 33 题要求地址池 pool-vlan110DNS 为 114.114.114.114 和 8.8.8.8租期 2 天最后 20 个可用地址不动态分配ip dhcp pool pool-vlan110 network 10.110.0.0 255.255.255.0 dns-server 114.114.114.114 8.8.8.8 lease 2 # 排除最后 20 个可用地址 ip dhcp excluded-address 10.110.0.235 10.110.0.254参数说明lease 2单位是天excluded-address把末尾 20 个地址排除防止动态分配出去。这里要先把网段算清楚最后 20 个可用地址是 .235 到 .254/24 网段算错范围就白配。4. 第二阶段落地靶机加固与攻防复现第二阶段 300 分8 个任务从 IIS 加固、数据库加固到 CSRF、XSS、密码嗅探、文件包含、SQL 注入、Linux 防护。这一阶段的“安装”其实是把靶机环境跑起来、把工具装好然后按题目复现攻击和加固。每道题都要截图加文字说明文档命名格式是“第二阶段-任务X-任务名称”。4.1 IIS 与证书签发先通再加固任务一在 Windows 2003 IIS 6.0 上做。第一步是配置 Windows 防火墙放行 IIS第二步加固只允许内网网段访问第三步申请服务器证书第四步颁发一年期证书第五步启用 SSL 并用浏览器测试第六步启用客户端证书第七、八步给 PC 申请和安装 CA 证书。顺序不能乱证书没装好就开 SSL浏览器直接报错。IIS 加固要点图形界面操作按步骤截图 1. 防火墙例外中勾选 Web 服务HTTP或手动放行 80 端口 2. IIS 管理器 - 网站属性 - 目录安全性 - IP 地址和域名限制 添加拒绝访问再添加允许的内网网段 3. 目录安全性 - 服务器证书 - 新建证书填写申请信息 4. 在 CA 上颁发证书导出后安装到 IIS 5. 网站属性 - 目录安全性 - 编辑安全通信勾选要求安全通道 SSL 6. 勾选要求客户端证书浏览器访问时弹出证书选择框参数说明IP 限制里“拒绝访问”是默认规则再单独放行内网网段这样外网一律拒绝证书有效期选一年SSL 端口默认 443。测试时因为证书 CN 和访问域名不一致浏览器一定弹安全警报这个弹窗正是第 5 题要截的图别以为是配错了。4.2 MySQL 加固审计、权限与匿名用户任务二在 Redhat Linux AS5 MySQL 5.0.22 上做8 道题围绕审计、防火墙、用户权限、匿名用户、改管理员名、禁本地文件、限制跨库浏览。核心是改 mysqld 启动项和用 grant 收权。以开启审计和禁本地文件为例# 编辑 my.cnf在 [mysqld] 段加入审计与安全参数 [mysqld] log/var/log/mysql_audit.log local-infile0 safe-user-create1 # 重启 MySQL 生效 service mysqld restart逻辑说明log开启通用查询日志实现访问审计local-infile0禁止 LOAD DATA LOCAL 读取本地文件safe-user-create1限制普通用户建库。参数上日志路径要可写重启后确认日志文件生成。收权用 grant比如把任意 IP 可访问的用户限制为只允许公司 PC-- 查看所有用户及权限找 Host 为 % 的用户 SELECT user, host FROM mysql.user; -- 收回任意地址访问改为指定 PC 地址 REVOKE ALL PRIVILEGES ON *.* FROM 用户名%; GRANT ALL PRIVILEGES ON *.* TO 用户名公司PC地址 IDENTIFIED BY 密码; FLUSH PRIVILEGES;参数说明%表示任意主机是漏洞点改成具体 IP 后只能从该地址登录FLUSH PRIVILEGES让权限立即生效。匿名用户用DELETE FROM mysql.user WHERE user;删除改管理员名用UPDATE mysql.user SET useradmin WHERE userroot;改完都要 flush。4.3 CSRF、XSS、密码嗅探、文件包含工具先跑通任务三到任务六都是 Web 攻防靶机是 metas2-lab 系列工具是 Wireshark、桌面上的 csrfp / xssp / telnetp / ftpp / httpp / fileip 等自动连接程序。这些工具是赛项环境自带的装环境时确认桌面快捷方式都在Wireshark 能正常抓包。以密码嗅探为例过滤 telnet 流量Wireshark 过滤条件 telnet # 只看 telnet 协议 ftp # 只看 ftp 协议 http # 看 tomcat 8180 的登录 tcp.port 8180逻辑说明telnet 和 ftp 都是明文协议抓包后 Follow TCP Stream 就能看到用户名密码tomcat 的 8180 是 HTTP看 POST 表单里的变量名。参数上过滤条件要包含协议和端口题目明确要求“包含协议和端口”只写协议可能不得分。XSS 题里有一段 accept_cookie.php 接收 cookie要求找到存放 cookie 的文件并用ls -l列表# 在 xserver 上查找 accept_cookie.php 写入的文件 ls -l /var/www/html/ # 查看接收 cookie 的目录权限和文件 ls -l /tmp/cookie*参数说明ls -l显示权限、属主、大小和时间题目要的就是这个列表截图cookie 文件通常在脚本同目录或 /tmp 下先读脚本里的写入路径再找别瞎猜。4.4 SQL 注入与 Linux 防护sqlmap 与脚本任务七在 Windows 2003 SQL Server 2005 上做先用 Acunetix 扫注入点再手工 and 11/ and 12判断然后用 sqlmap 跑 GET、POST、登录认证三种注入。sqlmap 的基本用法# GET 型注入获取当前数据库名 sqlmap -u http://目标地址/页面?id1 --current-db # POST 型注入指定数据 sqlmap -u http://目标地址/登录页 --datauser1pass1 --dbs # 登录认证型dump 管理员密码 sqlmap -u http://目标地址/后台 --datauser1pass1 -D 库名 -T 表名 -C 密码列 --dump参数说明--current-db取当前库--dbs列所有库--dump导出指定列数据。跑之前确认目标可达、参数名和页面表单一致POST 的 data 要照抄浏览器里的提交内容。任务八 Linux 防护 9 道题涉及 SSH 禁 root、密码策略、PAM 锁定、umask、SUID/SGID 查找脚本、可写目录脚本、登录超时、syslog 备份、UID 为 0 的账号。查找 UID 为 0 的账号一行命令搞定# 查找系统中 UID 为 0 的账号 awk -F: $30 {print $1} /etc/passwd参数说明-F:以冒号分隔$30判断第三列 UID 为 0print $1输出用户名。SUID/SGID 查找脚本用find / -perm -4000 -o -perm -2000可写目录用find / -type d -perm -0002脚本要能跑出结果并截图。5. 避坑与排查这套环境最容易翻车的五个点这套环境我复现过不止一遍下面五个坑几乎每次都有人踩按“现象 → 原因 → 解决”记下来装的时候对照着排。5.1 改完管理 IP 就失联现象在 DCFW 或 DCFS 上改完管理口 IP点保存后页面打不开串口也进不去。原因管理 PC 还挂在旧网段或者改的不是 ETH0 而是业务口。解决管理 PC 网卡先改成和目标同网段确认改的是 ETH0真失联就复位设备用默认地址 192.168.1.1 重新进。我的习惯是改管理 IP 前先开一个持续 ping改完看 ping 通不通再关页面。5.2 互联段掩码用错路由不通现象设备上路由表有条目但 PC ping 不通服务器区。原因互联段用了 /24 而不是 /30两端地址不在同一子网或者下一跳写错。解决互联段统一 /30两端地址一个 .1 一个 .2逐跳 ping 互联对端先通互联再通业务。任务书要求 2^n-2 原则互联段用 /30 就是标准做法。5.3 服务器区“第 N 个可用地址”数错现象SNMP、syslog、RADIUS 的地址全配了但设备收不到数据。原因可用地址从网关后一个开始数有人把网关算成第一个整体偏移一位。解决先确定网段和网关第一个可用地址是网关第二个才是网管服务器依次往后把数出来的地址写进规划表所有题统一引用。5.4 靶机版本被升级题目对不上现象IIS 加固题找不到对应菜单或者 MySQL 参数不生效。原因装了新版本 IIS 或 MySQL界面和参数名都变了。解决严格按任务书版本装Windows 2003 IIS 6.0、MySQL 5.0.22装完打快照做坏了回滚别在旧环境上反复修。5.5 文档命名和工位信息违规现象答案交了却判无效。原因文件夹或文件名里重复出现工位信息或者文档命名格式不对。解决U 盘根目录只建一次“XX 工位”下面建“第一阶段”“第二阶段”文档按“第X阶段-任务X-任务名称”命名工位信息只在根文件夹出现一次。这条是硬规则违反按作弊处理装环境时就把目录结构建好。6. 装完怎么验证三层连通性检查与交付前自检环境装完、配置做完最后一关是验证。我一般按“设备层 → 网络层 → 业务层”三层走一遍每层都有明确的通过标准不通过就回到对应章节排。设备层验证逐台登录管理地址确认能进、能看配置。DCRS 上执行show run确认 VLAN、接口、路由都在DCFW、DCFS、WAF、DCBI 各截一张配置总览图。这一步对应任务书“提交所有设备配置文件”的要求顺手就把交付材料备齐了。网络层验证从 PC-1、PC-2、PC-3 分别 ping 服务器区、ping 互联对端、ping 外网映射地址。我习惯用一张检查表逐项打勾检查项命令/操作通过标准互联连通ping 互联对端通无丢包VLAN 内互通ping 同 VLAN 主机通跨 VLAN 路由ping 其他 VLAN 网关通外网映射从 PC-3 访问公网映射地址能打开 DCST 页面DHCPPC 设自动获取拿到 pool-vlan110 地址日志外发设备上触发事件syslog 服务器收到业务层验证按第二阶段题目逐项复现IIS 能通过 SSL 访问并弹证书框MySQL 审计日志有记录Wireshark 能抓到 telnet/ftp 明文sqlmap 能跑出库名。每项验证完立刻截图存档别等最后补补的时候往往忘了当时怎么操作的。交付前自检我固定查三样U 盘目录结构对不对、文档命名格式对不对、截图里有没有配置说明。这三样任何一样出问题前面配得再对也可能白干。从那以后我每次复现这套环境都强制先建目录、先截图、先打快照再动手配设备顺序反了就要花几倍时间返工。希望帮到你。本文还有配套的精品资源点击获取
