简介《2021年全国职业院校技能大赛网络安全竞赛试题》文档面向职业院校网络安全参赛选手、指导教师及备赛人员聚焦真实赛项环境下的系统加固与攻防任务演练可用于赛前模拟、课堂教学和技能查漏。包内为1个docx文件大小约119KB以赛题任务书和操作要求为主便于打印、批注和按模块整理。内容覆盖Windows与Linux登录安全、密码长度与用户策略、远程会话超时、MySQL数据库加固、HTTPS重定向、审核与事件监控、SSH/VSFTPD/IIS服务加固及防火墙策略并延伸至网络安全事件响应、数字取证调查和应用安全等模块含端口禁用、权限授予、日志审计等任务细节。已有961人学习适合对照真实赛项要求梳理操作要点、复盘配置思路、核对验证方法并建立系统的备赛清单。1. 网络安全技能大赛判分器只看落地状态不看你会不会说第一次做这套题的人常翻车命令敲完了、服务也重启了交卷成绩是零。这场网络安全技能大赛是结果判分机器只检查配置文件里那一行有没有改对、注册表键值在不在、端口是不是真关掉了。你在图形界面点了十下最后没落到配置文件等于没做。2021 年这套试题的骨架很清楚A 模块六项加固任务、18 条小题考的是“照做不误”B 模块内存取证、流量分析、渗透测试三组任务考的是“看得懂数据”。前者丢分多在细节后者丢分多在工具参数。下面按考点拆每条命令都指清楚它改的是哪个文件、哪个参数、生效要不要重启适合正在备赛的人直接拿去练。2. 登录安全加固密码策略、Banner 与超时三个必考动作A-1 任务一是整份卷子里题量最密的一段密码策略、登录提示语、会话超时、用户登录时间段、网络访问权限五个动作挤在一道大题里。它的特点是“每一步都能在图形界面里点出来但点出来不一定算分”。原因很简单裁判机器读的是配置文件和安全策略数据库你在控制面板里改完没点“应用”或者改的是本机策略而题目要的是域策略结果都是零分。这一章把五个动作落到具体文件和具体菜单路径上再配三道真题演练。先给一个判断标准凡是题目里出现“不少于”“小于等于”“仅允许”这种量化词答案一定对应一个可以填数字的参数而不是一个勾选框。看到量化词就去翻配置文件这是这类题最基本的题感。2.1 密码长度 16 位两个平台、三个参数、一处验证Windows 侧的路径是“管理工具 → 本地安全策略 → 账户策略 → 密码策略 → 密码长度最小值”填 16。这里有个容易被忽略的前提本地安全策略只对本机生效如果赛题环境里机器已经加入了域改完本机策略不会覆盖域策略下发下来的值得去“默认域策略”或者新建一条组策略对象在“计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → 密码策略”里改。判断依据是whoami /fqdn或gpresult /r看一眼当前生效的是哪条策略比闷头点菜单靠谱。Linux 侧改/etc/login.defs的PASS_MIN_LEN。注意这个参数有一个学理上的边界它只对之后新建的用户生效已经存在的账号密码不会因此变短或变长验证方式是新建一个测试用户再改密码看系统是否拒绝短密码。题目如果只要求“设置”改文件即可如果追问“如何验证”就得走新建用户这条路。# 改之前先备份参数写错还能回滚 cp /etc/login.defs /etc/login.defs.bak # 最小长度 16 位顺带把最长使用期与提醒天数一起设好 sed -i s/^#\?PASS_MIN_LEN.*/PASS_MIN_LEN\t16/ /etc/login.defs sed -i s/^#\?PASS_MAX_DAYS.*/PASS_MAX_DAYS\t90/ /etc/login.defs sed -i s/^#\?PASS_WARN_AGE.*/PASS_WARN_AGE\t7/ /etc/login.defs # 验证三行都要能看到未被注释的值 grep -E ^PASS_(MIN_LEN|MAX_DAYS|WARN_AGE) /etc/login.defs这套sed的关键在^#\?这个正则很多发行版里PASS_MIN_LEN是带#注释掉的只写s/^PASS_MIN_LEN.*/.../会匹配不到命令返回成功但文件一点没变这是赛场上最典型的“以为自己改了”。\t是制表符login.defs用制表符分隔字段用空格在某些校验脚本里会被判格式不符。改完不需要重启任何服务login.defs是每次创建用户或改密码时实时读取的。提示题目只要求最小长度时别顺手把PASS_MAX_DAYS改成一个很小的值有的环境里 root 账号密码过期会导致后续题目登不进去。2.2 登录提示语本地 tty、SSH Banner、Windows 安全选项四个落点题目要求“用户登录系统时应该有 For authorized users only 提示信息”这一句话在 Linux 上对应三个不同的文件落错地方就丢分。/etc/issue管的是本地终端tty在登录提示符之前显示的内容/etc/issue.net管的是通过网络服务部分 telnet、部分 ssh 配置显示的内容。真正让 SSH 远程登录先弹提示语的是sshd_config里的Banner指令指向的那个文件。三个位置全写上是最稳的做法因为不同的校验脚本检查的文件不一样。# 本地终端欢迎语 echo For authorized users only /etc/issue echo For authorized users only /etc/issue.net # SSH 登录前横幅先建文件再让 sshd 指向它 echo For authorized users only /etc/ssh/banner sed -i s|^#\?Banner .*|Banner /etc/ssh/banner| /etc/ssh/sshd_config # 语法检查通过再重启避免把自己关在门外 sshd -t systemctl restart sshdBanner这一行在默认配置里是#Banner none被注释掉了。用^#\?Banner匹配能同时兼容“注释状态”和“已配置状态”两种初始情况。sshd -t是语法自检任何路径写错、关键字拼错都会在这一步报出来比重启失败后再去翻日志快得多。systemctl restart sshd之后新开的连接才会看到横幅已经连上的会话不会变。Windows 侧的位置在“本地安全策略 → 本地策略 → 安全选项”两条策略要分开填“交互式登录试图登录的用户的消息标题”填标题“交互式登录试图登录的用户的消息文本”填正文。血泪经验是把 “For authorized users only” 填进了“标题”里正文留空登录框只显示一行小字标题判分脚本读正文读不到白做。2.3 用户登录时间段与“从网络访问本机”的组策略路径限制 user1 只能在工作日 9:00 到 18:00 登录命令行一行搞定# 限制登录时段M-F 表示周一到周五时间用 24 小时制 net user user1 /time:M-F,9:00-18:00 # 查看结果确认时间字段已写入 net user user1/time:后面的语法有三个硬性要求星期用英文缩写M、T、W、Th、F、Sa、Su连续区间用减号连接多个不连续区间用逗号分隔整段不能有中文标点。写成周一-周五或者用全角冒号命令会直接报语法错误。时间必须是 24 小时制9:00-18:00里的小时位可以不补零。域环境走的是另一条路打开“Active Directory 用户和计算机”双击用户 → “帐户”标签 → “登录时间” → 选中允许的时段。这里有个细节常被追问图形界面里最小的时间粒度是一小时所以 9:00 到 18:00 这种整点区间刚好能画出来如果题目要求 9:30 到 18:30就得回到命令行。“只允许管理员账号从网络访问本机”的路径是“计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配 → 从网络访问此计算机”把列表里除 Administrators 之外的组全部删除包括 Everyone、Users、Backup Operators。改完之后执行gpupdate /force让策略立即生效再用gpresult /r确认这条策略真的应用到了目标账户上。注意“拒绝从网络访问此计算机”这条策略的优先级高于“从网络访问此计算机”。如果目标账号同时出现在拒绝列表里无论怎么加白名单都访问不了排查时先看拒绝列表。2.4 真题回放三道小题的动作拆解第一题“Linux 服务器要求密码最小长度不少于 16 个字符写出修改的文件与参数。”标准答案是/etc/login.defs里的PASS_MIN_LEN。答这类题不要只写文件名要把“改哪个字段、改成什么值、改完是否需要重启”三件事一起写判分点通常就在后两项。如果题目没有指定文件/etc/pam.d/system-auth里pam_cracklib.so的minlen16也算对两个地方都改最保险。第二题“SSH 远程登录时先显示 For authorized users only写出配置动作。”得分要点是sshd_config里的Banner指令加一个实际存在的文件路径两样缺一不可。只写“修改 /etc/issue”是常见的半对答案因为/etc/issue只管本地终端SSH 连接在多数默认配置下读的是 Banner 指向的文件。写完再补一句“重启 sshd 服务”这一分才算拿全。第三题“user1 只能在周一至周五 9:00-18:00 登录写出命令行并说明域环境的差异。”命令行是net user user1 /time:M-F,9:00-18:00域环境差异是图形界面最小粒度为小时、需要域管理员权限、且改完要等策略复制。面试官或者阅卷人最想听的是“单机走 net user域里走 AD 用户属性”把这两条分开答比只背一句命令更像做过。3. 数据库与服务加固my.cnf、授权语句和 sshd_config 的改法A-2 和 A-5 两组任务放在一起看因为它们共享一个套路改配置文件里的一行然后重启服务再用一条查询或一条连接验证。区别在于 MySQL 那部分多了 SQL 语句的写法细节SSH 和 VSFTPD 那部分多了“改完连不上”的风险。这一章把 MySQL 五条、SSH 两条、VSFTPD 两条、IIS 两条拆开讲每条都给可执行的写法和验证方式。先记住一个优先级配置文件里的参数 命令行启动参数 编译默认值。所以看到“服务当前行为不对”的时候第一步永远是grep配置文件不是去猜。3.1 MySQL 五项加固从运行账户到最小权限第一项是以普通账户运行改/etc/my.cnf的[mysqld]段加usermysql。这一行的位置很关键写在[mysqld]段外面 mysqld 根本不认验证方式是ps aux | grep mysqld看进程属主是不是 mysql。第二项删默认库test第三项改管理员名第四项 MD5 加密口令第五项最小授权这四条都是 SQL 语句一起放在下面-- 先切到系统库user 表在这里 use mysql; -- 改名前先看清楚有几行rootlocalhost、root127.0.0.1、root::1 可能是三条 select user, host from user where user in (root, user1); -- 改管理员用户名只改本机那条避免把远程账号一起改掉 update user set user SuperRoot where user root and host localhost; -- 用内置 MD5 函数设置 user1 的口令 -- MySQL 5.7.6 之前字段叫 password之后叫 authentication_string update user set password md5(Pssw0rd1!) where user user1 and host localhost; -- 只给增删改查不给 drop / alter / grant grant select, insert, update, delete on testdb.* to user1localhost; -- 让权限表立即生效 flush privileges;逐段说明。第一步select不是为了好看是因为user表的主键是(user, host)组合同名用户在不同 host 下是不同的行where userroot一把梭会把三条全改掉远程管理通道可能因此断掉这就是后悔药都买不到的操作。md5(Pssw0rd1!)里的引号不能少且必须是对明文取 MD5原题面里写成md5(password)是错的那样只是把旧哈希再哈希一遍登录必然失败。字段名password在 MySQL 5.7.6 之后改成了authentication_string赛题环境版本不同就得换字段这是版本差异带来的硬坑。grant语句里的testdb.*表示库下所有表user1localhost的 host 部分不写会默认成%从本机连反而可能匹配不上。最后flush privileges是让内存里的权限表重新加载不执行的话新权限要等下次重启才生效。删除默认库那一条是drop database test;执行前先show databases;看一眼有些版本装完根本没有 test 库直接 drop 会报错报错不影响其他题但会让人慌。3.2 SSH 加固端口 2222 与禁止 root 登录两条要求都很直白风险在“改完还能不能连上”。改端口必须同步放行防火墙禁 root 登录必须提前有一个可用的普通账号否则重启 sshd 之后就是自己把自己锁在外面。# 备份配置文件 cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak # 端口从 22 改成 2222兼容“注释状态”和“已配置状态” sed -i s/^#\?Port .*/Port 2222/ /etc/ssh/sshd_config # 禁止 root 直接远程登录 sed -i s/^#\?PermitRootLogin .*/PermitRootLogin no/ /etc/ssh/sshd_config # 先做语法自检再放行新端口最后重启 sshd -t firewall-cmd --add-port2222/tcp --permanent firewall-cmd --reload systemctl restart sshd # 看运行态的实际值而不是看文件 sshd -T | grep -Ei ^(port|permitrootlogin)sshd -T这个参数值得单独说它输出的是 sshd 把主配置、Include引入的子配置、编译默认值合并之后的最终结果。很多环境里sshd_config顶部有Include /etc/ssh/sshd_config.d/*.conf子文件里的Port会覆盖主文件这时候光看主文件会得出错误结论。用sshd -T一眼看穿属于排查“明明改了却没生效”的标准动作。PermitRootLogin no生效之后root 只能从本地控制台或者已有的普通账号su上去所以改之前确认一下手上有普通账号能用。题目如果同时要求“允许特定用户登录”再加一行AllowUsers user1即可白名单的优先级高于PermitRootLogin。3.3 VSFTPD 与 IIS四个超时参数和日志字段VSFTPD 的第一条是禁止匿名用户最彻底的做法是anonymous_enableNO直接把匿名通道关掉如果题目只要求“禁止匿名上传”可以保留匿名登录但设anon_upload_enableNO两个写法在判分上通常都认写全最稳。第二条是“无任何操作的超时时间为 5 分钟”这四个参数经常被搞混参数作用题目要 5 分钟时该填connect_timeout主动模式数据连接建立超时与本题无关别乱改accept_timeout被动模式数据连接建立超时与本题无关data_connection_timeout数据连接上无数据传输的超时与本题无关idle_session_timeout控制连接上无命令操作的超时300这里要点名一个坑控制连接的空闲超时对应的是用户“挂着不操作”也就是题目说的“无任何操作”单位是秒5 分钟就是 300。有些参考材料里把这个值写成了 600那是 10 分钟跟题目要求的 5 分钟不一致照抄会直接丢分。凡是带量化词的题先做单位换算再动手改。# 关掉匿名访问同时把无操作超时设成 300 秒 sed -i s/^#\?anonymous_enable.*/anonymous_enableNO/ /etc/vsftpd/vsftpd.conf grep -q ^idle_session_timeout /etc/vsftpd/vsftpd.conf \ sed -i s/^#\?idle_session_timeout.*/idle_session_timeout300/ /etc/vsftpd/vsftpd.conf \ || echo idle_session_timeout300 /etc/vsftpd/vsftpd.conf systemctl restart vsftpd第二段用了grep -q ... ... || ...的写法参数已存在就替换不存在就追加。VSFTPD 的配置文件里很多参数默认是注释掉的甚至根本没写用“替换”一刀切会出现“没匹配到、什么都没做”的假象先判断存在性再决定替换还是追加是处理这类配置文件最省事的模式。IIS 那两条在图形界面里。“开启日志审计、格式为 W3C、只记录日期、时间、客户端 IP、用户名、方法”路径是 IIS 管理器 → 选中网站 → 日志 → 格式选 W3C → 右侧“选择字段” → 先取消全选再勾date、time、c-ip、cs-username、cs-method五项。这里的失分点在于“取消全选”这一步被跳过导致日志里多出一堆字段判分脚本比较字段列表时对不上。“最大并发连接数 1000”在网站 → 高级设置 → 限制 → 最大并发连接数里改。这个值改完是即时生效的不用重启站点改完刷新一下网站页面确认没报 503。3.4 真题回放授权语句和超时参数怎么填第一题“赋予 user1 对 testdb 库所有表只有增删改查权限写出 SQL。”答案是grant select, insert, update, delete on testdb.* to user1localhost;。这道题的判分点有三个四个权限一个不能多、一个不能少多写drop就违背“只有”、库名后面必须是.*而不是具体表名、host 部分不能漏。写完补一句flush privileges更完整。第二题“把默认管理员用户名 root 改为 SuperRoot。”很多人只写update user set userSuperRoot where userroot;能得分但不完整。加分项是加and hostlocalhost限定范围以及改完flush privileges。如果这道题后面还跟一句“改完为什么远程连不上了”答案就是“只改了 localhost 那条或者三条 root 记录全改了导致远程账号一起没了”。第三题“VSFTPD 要求无操作 5 分钟断开写出参数与取值。”答idle_session_timeout300。答 600 是没做单位换算答connect_timeout300是选错了参数——它管的是数据连接建立阶段的超时跟“挂着不操作”不是一回事。区分方法记一句话idle管人connect/accept管连接data_connection管传输。4. 流量完整性、事件监控与防火墙三处最容易跳过的配置A-3、A-4、A-6 三组任务有个共同特点答案全在图形界面或者一条 iptables 命令里看起来最简单实际上是最容易“做过但没生效”的三块。HTTP 重定向涉及模块安装和规则条件的组合审核策略涉及本地策略与高级审核策略的覆盖关系防火墙涉及规则顺序和持久化。这一章按这三块拆每块给出可复现的配置和验证方式。4.1 HTTP 重定向 HTTPSURL 重写规则怎么写题目要求“仅使用 HTTPS 协议访问网站”在 IIS 上的标准做法是装 URL Rewrite 模块然后加一条空白入站规则匹配 URL 模式填(.*)条件加一条{HTTPS}匹配模式^OFF$操作类型选“重定向”重定向 URL 填https://{HTTP_HOST}/{R:1}重定向类型选 301 或 302。图形界面点完之后最终落地的是网站根目录下的web.config把这段配置直接写进文件也是等效的而且更适合考场里快速复现configuration system.webServer rewrite rules rule nameForceHTTPS stopProcessingtrue match url(.*) / conditions !-- 只有在明文 HTTP 访问时才触发重定向 -- add input{HTTPS} pattern^OFF$ / /conditions !-- {R:1} 是 match 里第一个捕获组即原始路径 -- action typeRedirect urlhttps://{HTTP_HOST}/{R:1} redirectTypePermanent / /rule /rules /rewrite /system.webServer /configuration逐项说明。match url(.*)捕获除域名和查询串之外的整条路径{R:1}在重定向地址里回填这段路径这样/a/b.html会被转到https://域名/a/b.html而不是全跳到首页。{HTTPS}是 IIS 的服务器变量明文访问时值为OFF^OFF$用正则首尾锚定避免大小写或前后缀干扰。redirectTypePermanent对应 301题目如果要求“永久重定向”就用它只写“重定向”用 302 也能过。stopProcessingtrue表示命中这条规则后不再往下匹配防止其他规则二次改写。需要注意的是机器前面如果有反向代理或者负载均衡TLS 在代理层就终止了IIS 看到的{HTTPS}永远是OFF规则会陷入无限重定向。这种环境里判断条件要换成{HTTP_X_FORWARDED_PROTO}值等于http时才跳。赛题环境一般没有这一层但被问到“为什么浏览器报重定向次数过多”时这就是标准答案。4.2 审核策略九项哪些勾成功、哪些勾失败事件监控这一题的要求是登录事件成功/失败、特权使用成功、策略更改成功/失败、进程跟踪成功/失败。路径是gpedit.msc→ 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略九个子项里改这四项其余不动。注意“特权使用”只勾成功这是题目明确写的。这类题最容易犯的错是“全部都勾成功和失败”看起来更安全实际上违反了题面。判分脚本读的是本地安全策略数据库里每一条的AuditSuccess和AuditFailure两个布尔值多勾一个就是错。改完之后要验证用事件查看器打开“Windows 日志 → 安全”看有没有对应的事件 ID审核项典型事件 ID触发动作登录事件4624 / 4625登录成功 / 登录失败特权使用4672分配特殊特权策略更改4719审核策略变更进程跟踪4688进程创建有一个隐蔽的覆盖关系gpedit.msc里除了“审核策略”还有一个“高级审核策略配置”。两处都配置时高级审核策略优先本地审核策略会被忽略。如果改完“审核策略”发现事件日志里什么都没记就去“高级审核策略配置 → 系统审核策略 → 登录/注销”里看是不是被设成了“不审核”。这是排查“策略改了但没日志”的第一顺位。4.3 防火墙四条445、23、ICMP 与 SSH 白名单Windows 侧禁用 445 和 23 端口用 PowerShell 起两条规则最快# 445 是 SMB23 是 Telnet都是勒索病毒和弱口令扫描的常客 New-NetFirewallRule -DisplayName Block-SMB-445 -Direction Inbound -Protocol TCP -LocalPort 445 -Action Block New-NetFirewallRule -DisplayName Block-Telnet-23 -Direction Inbound -Protocol TCP -LocalPort 23 -Action Block # 确认两条规则都已启用方向是入站动作是阻止 Get-NetFirewallRule -DisplayName Block-* | Select-Object DisplayName, Enabled, Direction, Action-Direction Inbound限定只拦入站出站不受影响-Protocol TCP只针对 TCP如果题目要求把 UDP 也一起封得再加一条或者改成-Protocol Any。New-NetFirewallRule创建出来的规则默认就是启用状态不需要额外Enable-NetFirewallRule。图形界面的等价路径是“高级安全 Windows Defender 防火墙 → 入站规则 → 新建规则 → 端口”效果一样。Linux 侧四条 iptables 规则重点在顺序# 先放行已建立的连接否则回包会被下面的 DROP 干掉 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 禁用 23 端口Telnet入站 iptables -A INPUT -p tcp --dport 23 -j DROP # 只允许 172.16.1.1 访问 22其余一律丢弃ACCEPT 必须在 DROP 之前 iptables -A INPUT -s 172.16.1.1 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP # 禁 ping丢弃 ICMP 类型 8回显请求 iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP # 规则不保存重启就没了 iptables-save /etc/sysconfig/iptables-A是追加到链尾而 iptables 是按顺序逐条匹配、命中即执行所以白名单的ACCEPT必须写在DROP前面。写反了的效果是“任何人连 22 都被丢”包括那个白名单 IP而且在本地看起来规则全都存在属于典型的静默失败。想插到最前面可以用-I INPUT 1。第一条ESTABLISHED,RELATED容易被省省掉的后果是服务器发出的 SYN-ACK 回包被后面的 DROP 拦掉表现为“规则全对但网站打不开”。--icmp-type 8是回显请求只禁它别人就 ping 不通如果想连回显应答一起禁用--icmp-type any。禁 ping 还有两条不动防火墙的路子临时改echo 0 /proc/sys/net/ipv4/icmp_echo_ignore_all重启失效永久改/etc/sysctl.conf加一行net.ipv4.icmp_echo_ignore_all1再sysctl -p生效。三种方法都算对题目如果要求“重启后仍生效”就得用 sysctl 或者 iptables 持久化临时那条直接出局。4.4 真题回放规则顺序与“为什么不生效”第一题“Linux 禁止所有人通过 SSH 连接除了 172.16.1.1写出 iptables 命令。”答题顺序必须是“放行已建立连接 → 放行白名单 → 全量丢弃”。只写后两条也能工作但会被追问“已建立的连接怎么办”答上第一条就完整了。如果阅卷人追问“为什么不用-I插到第一条”答案是“白名单必须在拒绝之前用-A按书写顺序追加即可用-I反而可能插到 ESTABLISHED 规则前面顺序依然要对”。第二题“IIS 配置 HTTP 强制跳转 HTTPS说明规则的两个核心元素。”核心是匹配模式(.*)加条件{HTTPS}^OFF$动作是 301 重定向到https://{HTTP_HOST}/{R:1}。这道题的高分点在{R:1}只写https://{HTTP_HOST}会把所有路径都跳到首页属于功能实现了但体验不合格有的评分点专门扣这个。第三题“开启审核策略后事件查看器里没有 4688怎么排查”标准路径是先看“高级审核策略配置”里“进程创建”是不是被设成了“不审核”再看是不是只勾了成功没勾失败、测试时用的是失败场景。这条题考的是排障思维答“重启服务器”是最典型的零分答案。5. 易错点五类在赛场上真丢分的地方前面四章按模块讲了怎么做对。这一章反过来讲怎么做错。这五类错误有个共同特征操作者自己觉得已经完成了交卷才发现分数是零。每一条都按“错在哪、为什么错、怎么答对”三段拆。5.1 改完配置不重启服务还在跑旧内存错在哪sshd_config、vsftpd.conf、my.cnf改完直接交卷没有systemctl restart也没有reload。为什么错这些服务在启动时把配置读进内存之后不再回读文件。文件内容改了进程行为一点没变判分脚本如果连上去测行为测到的还是旧配置如果直接读文件能过但题目要求“加固后服务应符合要求”时通常测的是行为。怎么答对每改完一个服务的配置固定走“语法检查 → 重启 → 看运行态”三步。SSH 用sshd -t加sshd -TVSFTPD 用systemctl status vsftpd看有没有起失败MySQL 用ps aux | grep mysqld看启动参数里有没有带--usermysql。养成“改文件必重启、重启必验证”的习惯这一类错误就绝迹了。5.2 图形界面点了没应用或者改错了作用域错在哪本地安全策略里改完密码策略关窗口就走组策略里改完用户权限分配没执行gpupdate域环境里改的是本机策略而生效的是域策略。为什么错Windows 的安全设置分“本地策略”和“域策略”两套。机器加入域之后域策略下发的值优先级更高本机改的值被覆盖界面上看着是你改的那个数实际生效的是另一个。组策略还有刷新周期默认 90 分钟不手动刷新短时间看不到效果。怎么答对改之前先gpresult /r看清当前生效的是哪条策略改之后gpupdate /force立即刷新再gpresult /r复核。本地安全策略和组策略都改一遍成本很低能覆盖两种判分口径。5.3 Linux 参数被注释掉sed 匹配不到却返回成功错在哪sed -i s/^PASS_MIN_LEN.*/PASS_MIN_LEN 16/ /etc/login.defs执行完没有任何报错打开文件一看还是#PASS_MIN_LEN 5。为什么错sed的替换是“匹配不到就跳过”不会报错也不会提示。配置文件里大量参数默认带#注释只匹配非注释行等于什么都没做。同类问题还出现在Port 22、PermitRootLogin yes、anonymous_enableYES这些默认被注释的项上。怎么答对正则里统一加^#\?兼容注释状态改完立刻grep一次确认。更稳的做法是先cp备份改完用diff对比一眼看出到底改没改。对关键参数sshd -T、mysqld --verbose --help这类“读运行态”的命令比读文件可靠。5.4 端口和服务对应错规则封错了对象错在哪把 445 当成 RDP 端口、把 23 当成 FTP、把 3389 当成 SMB规则建得规规矩矩封的却是另一个服务。为什么错这几个端口号靠背诵记不牢紧张时容易串。题目说“禁用 23 端口”脑子里想到的是“文件传输”手就敲成了 21。怎么答对记两组就够。高危入站445 是 SMB、139 是 NetBIOS、23 是 Telnet、3389 是 RDP、21 是 FTP 控制端口、22 是 SSH。加固类题目里“禁用”的通常是 445 和 23这两个是勒索病毒和弱口令扫描的入口看到“勒索病毒”四个字就往这两个端口上想。写完规则用netstat -ano | findstr :445或者ss -lntp反查一遍确认端口确实没了监听。5.5 取证与流量题字段看错、格式写错、大小写搞混错在哪Flag{admin,password}提交成Flag{password}FTP 账号密码之间用了中文逗号时间写成14:22:08.123而题目要14:22:08内存取证里把主机名和 IP 的顺序写反。为什么错B 模块的题面把提交格式写得很死Flag{ip:主机名}里的顺序、分隔符、大小写都是判分点。做取证的时候注意力全在找数据上找到之后顺手一抄格式就变形了。怎么答对每道题先在草稿上抄一遍格式模板把值填进去再核对一遍分隔符。流量题固定用ftp、ftp.request.command、ftp-data三个过滤器账号密码在USER和PASS两条请求里时间看包的Time列下载的文件名看RETR后面跟的字符串。凡是带时间的先把 Wireshark 的显示格式调成“时间戳”而不是“秒偏移”。注意Flag 里的内容区分大小写用户名一般是小写服务名可能是大小写混合抄的时候别顺手全转小写。6. B 模块答题节奏取证、流量、渗透三条流水线怎么排B 模块三组任务的共同点是“给一个入口顺藤摸瓜”答题节奏比知识点更影响得分。我的本文还有配套的精品资源点击获取
简介《2021年全国职业院校技能大赛网络安全竞赛试题》文档面向职业院校网络安全参赛选手、指导教师及备赛人员聚焦真实赛项环境下的系统加固与攻防任务演练可用于赛前模拟、课堂教学和技能查漏。包内为1个docx文件大小约119KB以赛题任务书和操作要求为主便于打印、批注和按模块整理。内容覆盖Windows与Linux登录安全、密码长度与用户策略、远程会话超时、MySQL数据库加固、HTTPS重定向、审核与事件监控、SSH/VSFTPD/IIS服务加固及防火墙策略并延伸至网络安全事件响应、数字取证调查和应用安全等模块含端口禁用、权限授予、日志审计等任务细节。已有961人学习适合对照真实赛项要求梳理操作要点、复盘配置思路、核对验证方法并建立系统的备赛清单。1. 网络安全技能大赛判分器只看落地状态不看你会不会说第一次做这套题的人常翻车命令敲完了、服务也重启了交卷成绩是零。这场网络安全技能大赛是结果判分机器只检查配置文件里那一行有没有改对、注册表键值在不在、端口是不是真关掉了。你在图形界面点了十下最后没落到配置文件等于没做。2021 年这套试题的骨架很清楚A 模块六项加固任务、18 条小题考的是“照做不误”B 模块内存取证、流量分析、渗透测试三组任务考的是“看得懂数据”。前者丢分多在细节后者丢分多在工具参数。下面按考点拆每条命令都指清楚它改的是哪个文件、哪个参数、生效要不要重启适合正在备赛的人直接拿去练。2. 登录安全加固密码策略、Banner 与超时三个必考动作A-1 任务一是整份卷子里题量最密的一段密码策略、登录提示语、会话超时、用户登录时间段、网络访问权限五个动作挤在一道大题里。它的特点是“每一步都能在图形界面里点出来但点出来不一定算分”。原因很简单裁判机器读的是配置文件和安全策略数据库你在控制面板里改完没点“应用”或者改的是本机策略而题目要的是域策略结果都是零分。这一章把五个动作落到具体文件和具体菜单路径上再配三道真题演练。先给一个判断标准凡是题目里出现“不少于”“小于等于”“仅允许”这种量化词答案一定对应一个可以填数字的参数而不是一个勾选框。看到量化词就去翻配置文件这是这类题最基本的题感。2.1 密码长度 16 位两个平台、三个参数、一处验证Windows 侧的路径是“管理工具 → 本地安全策略 → 账户策略 → 密码策略 → 密码长度最小值”填 16。这里有个容易被忽略的前提本地安全策略只对本机生效如果赛题环境里机器已经加入了域改完本机策略不会覆盖域策略下发下来的值得去“默认域策略”或者新建一条组策略对象在“计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → 密码策略”里改。判断依据是whoami /fqdn或gpresult /r看一眼当前生效的是哪条策略比闷头点菜单靠谱。Linux 侧改/etc/login.defs的PASS_MIN_LEN。注意这个参数有一个学理上的边界它只对之后新建的用户生效已经存在的账号密码不会因此变短或变长验证方式是新建一个测试用户再改密码看系统是否拒绝短密码。题目如果只要求“设置”改文件即可如果追问“如何验证”就得走新建用户这条路。# 改之前先备份参数写错还能回滚 cp /etc/login.defs /etc/login.defs.bak # 最小长度 16 位顺带把最长使用期与提醒天数一起设好 sed -i s/^#\?PASS_MIN_LEN.*/PASS_MIN_LEN\t16/ /etc/login.defs sed -i s/^#\?PASS_MAX_DAYS.*/PASS_MAX_DAYS\t90/ /etc/login.defs sed -i s/^#\?PASS_WARN_AGE.*/PASS_WARN_AGE\t7/ /etc/login.defs # 验证三行都要能看到未被注释的值 grep -E ^PASS_(MIN_LEN|MAX_DAYS|WARN_AGE) /etc/login.defs这套sed的关键在^#\?这个正则很多发行版里PASS_MIN_LEN是带#注释掉的只写s/^PASS_MIN_LEN.*/.../会匹配不到命令返回成功但文件一点没变这是赛场上最典型的“以为自己改了”。\t是制表符login.defs用制表符分隔字段用空格在某些校验脚本里会被判格式不符。改完不需要重启任何服务login.defs是每次创建用户或改密码时实时读取的。提示题目只要求最小长度时别顺手把PASS_MAX_DAYS改成一个很小的值有的环境里 root 账号密码过期会导致后续题目登不进去。2.2 登录提示语本地 tty、SSH Banner、Windows 安全选项四个落点题目要求“用户登录系统时应该有 For authorized users only 提示信息”这一句话在 Linux 上对应三个不同的文件落错地方就丢分。/etc/issue管的是本地终端tty在登录提示符之前显示的内容/etc/issue.net管的是通过网络服务部分 telnet、部分 ssh 配置显示的内容。真正让 SSH 远程登录先弹提示语的是sshd_config里的Banner指令指向的那个文件。三个位置全写上是最稳的做法因为不同的校验脚本检查的文件不一样。# 本地终端欢迎语 echo For authorized users only /etc/issue echo For authorized users only /etc/issue.net # SSH 登录前横幅先建文件再让 sshd 指向它 echo For authorized users only /etc/ssh/banner sed -i s|^#\?Banner .*|Banner /etc/ssh/banner| /etc/ssh/sshd_config # 语法检查通过再重启避免把自己关在门外 sshd -t systemctl restart sshdBanner这一行在默认配置里是#Banner none被注释掉了。用^#\?Banner匹配能同时兼容“注释状态”和“已配置状态”两种初始情况。sshd -t是语法自检任何路径写错、关键字拼错都会在这一步报出来比重启失败后再去翻日志快得多。systemctl restart sshd之后新开的连接才会看到横幅已经连上的会话不会变。Windows 侧的位置在“本地安全策略 → 本地策略 → 安全选项”两条策略要分开填“交互式登录试图登录的用户的消息标题”填标题“交互式登录试图登录的用户的消息文本”填正文。血泪经验是把 “For authorized users only” 填进了“标题”里正文留空登录框只显示一行小字标题判分脚本读正文读不到白做。2.3 用户登录时间段与“从网络访问本机”的组策略路径限制 user1 只能在工作日 9:00 到 18:00 登录命令行一行搞定# 限制登录时段M-F 表示周一到周五时间用 24 小时制 net user user1 /time:M-F,9:00-18:00 # 查看结果确认时间字段已写入 net user user1/time:后面的语法有三个硬性要求星期用英文缩写M、T、W、Th、F、Sa、Su连续区间用减号连接多个不连续区间用逗号分隔整段不能有中文标点。写成周一-周五或者用全角冒号命令会直接报语法错误。时间必须是 24 小时制9:00-18:00里的小时位可以不补零。域环境走的是另一条路打开“Active Directory 用户和计算机”双击用户 → “帐户”标签 → “登录时间” → 选中允许的时段。这里有个细节常被追问图形界面里最小的时间粒度是一小时所以 9:00 到 18:00 这种整点区间刚好能画出来如果题目要求 9:30 到 18:30就得回到命令行。“只允许管理员账号从网络访问本机”的路径是“计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配 → 从网络访问此计算机”把列表里除 Administrators 之外的组全部删除包括 Everyone、Users、Backup Operators。改完之后执行gpupdate /force让策略立即生效再用gpresult /r确认这条策略真的应用到了目标账户上。注意“拒绝从网络访问此计算机”这条策略的优先级高于“从网络访问此计算机”。如果目标账号同时出现在拒绝列表里无论怎么加白名单都访问不了排查时先看拒绝列表。2.4 真题回放三道小题的动作拆解第一题“Linux 服务器要求密码最小长度不少于 16 个字符写出修改的文件与参数。”标准答案是/etc/login.defs里的PASS_MIN_LEN。答这类题不要只写文件名要把“改哪个字段、改成什么值、改完是否需要重启”三件事一起写判分点通常就在后两项。如果题目没有指定文件/etc/pam.d/system-auth里pam_cracklib.so的minlen16也算对两个地方都改最保险。第二题“SSH 远程登录时先显示 For authorized users only写出配置动作。”得分要点是sshd_config里的Banner指令加一个实际存在的文件路径两样缺一不可。只写“修改 /etc/issue”是常见的半对答案因为/etc/issue只管本地终端SSH 连接在多数默认配置下读的是 Banner 指向的文件。写完再补一句“重启 sshd 服务”这一分才算拿全。第三题“user1 只能在周一至周五 9:00-18:00 登录写出命令行并说明域环境的差异。”命令行是net user user1 /time:M-F,9:00-18:00域环境差异是图形界面最小粒度为小时、需要域管理员权限、且改完要等策略复制。面试官或者阅卷人最想听的是“单机走 net user域里走 AD 用户属性”把这两条分开答比只背一句命令更像做过。3. 数据库与服务加固my.cnf、授权语句和 sshd_config 的改法A-2 和 A-5 两组任务放在一起看因为它们共享一个套路改配置文件里的一行然后重启服务再用一条查询或一条连接验证。区别在于 MySQL 那部分多了 SQL 语句的写法细节SSH 和 VSFTPD 那部分多了“改完连不上”的风险。这一章把 MySQL 五条、SSH 两条、VSFTPD 两条、IIS 两条拆开讲每条都给可执行的写法和验证方式。先记住一个优先级配置文件里的参数 命令行启动参数 编译默认值。所以看到“服务当前行为不对”的时候第一步永远是grep配置文件不是去猜。3.1 MySQL 五项加固从运行账户到最小权限第一项是以普通账户运行改/etc/my.cnf的[mysqld]段加usermysql。这一行的位置很关键写在[mysqld]段外面 mysqld 根本不认验证方式是ps aux | grep mysqld看进程属主是不是 mysql。第二项删默认库test第三项改管理员名第四项 MD5 加密口令第五项最小授权这四条都是 SQL 语句一起放在下面-- 先切到系统库user 表在这里 use mysql; -- 改名前先看清楚有几行rootlocalhost、root127.0.0.1、root::1 可能是三条 select user, host from user where user in (root, user1); -- 改管理员用户名只改本机那条避免把远程账号一起改掉 update user set user SuperRoot where user root and host localhost; -- 用内置 MD5 函数设置 user1 的口令 -- MySQL 5.7.6 之前字段叫 password之后叫 authentication_string update user set password md5(Pssw0rd1!) where user user1 and host localhost; -- 只给增删改查不给 drop / alter / grant grant select, insert, update, delete on testdb.* to user1localhost; -- 让权限表立即生效 flush privileges;逐段说明。第一步select不是为了好看是因为user表的主键是(user, host)组合同名用户在不同 host 下是不同的行where userroot一把梭会把三条全改掉远程管理通道可能因此断掉这就是后悔药都买不到的操作。md5(Pssw0rd1!)里的引号不能少且必须是对明文取 MD5原题面里写成md5(password)是错的那样只是把旧哈希再哈希一遍登录必然失败。字段名password在 MySQL 5.7.6 之后改成了authentication_string赛题环境版本不同就得换字段这是版本差异带来的硬坑。grant语句里的testdb.*表示库下所有表user1localhost的 host 部分不写会默认成%从本机连反而可能匹配不上。最后flush privileges是让内存里的权限表重新加载不执行的话新权限要等下次重启才生效。删除默认库那一条是drop database test;执行前先show databases;看一眼有些版本装完根本没有 test 库直接 drop 会报错报错不影响其他题但会让人慌。3.2 SSH 加固端口 2222 与禁止 root 登录两条要求都很直白风险在“改完还能不能连上”。改端口必须同步放行防火墙禁 root 登录必须提前有一个可用的普通账号否则重启 sshd 之后就是自己把自己锁在外面。# 备份配置文件 cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak # 端口从 22 改成 2222兼容“注释状态”和“已配置状态” sed -i s/^#\?Port .*/Port 2222/ /etc/ssh/sshd_config # 禁止 root 直接远程登录 sed -i s/^#\?PermitRootLogin .*/PermitRootLogin no/ /etc/ssh/sshd_config # 先做语法自检再放行新端口最后重启 sshd -t firewall-cmd --add-port2222/tcp --permanent firewall-cmd --reload systemctl restart sshd # 看运行态的实际值而不是看文件 sshd -T | grep -Ei ^(port|permitrootlogin)sshd -T这个参数值得单独说它输出的是 sshd 把主配置、Include引入的子配置、编译默认值合并之后的最终结果。很多环境里sshd_config顶部有Include /etc/ssh/sshd_config.d/*.conf子文件里的Port会覆盖主文件这时候光看主文件会得出错误结论。用sshd -T一眼看穿属于排查“明明改了却没生效”的标准动作。PermitRootLogin no生效之后root 只能从本地控制台或者已有的普通账号su上去所以改之前确认一下手上有普通账号能用。题目如果同时要求“允许特定用户登录”再加一行AllowUsers user1即可白名单的优先级高于PermitRootLogin。3.3 VSFTPD 与 IIS四个超时参数和日志字段VSFTPD 的第一条是禁止匿名用户最彻底的做法是anonymous_enableNO直接把匿名通道关掉如果题目只要求“禁止匿名上传”可以保留匿名登录但设anon_upload_enableNO两个写法在判分上通常都认写全最稳。第二条是“无任何操作的超时时间为 5 分钟”这四个参数经常被搞混参数作用题目要 5 分钟时该填connect_timeout主动模式数据连接建立超时与本题无关别乱改accept_timeout被动模式数据连接建立超时与本题无关data_connection_timeout数据连接上无数据传输的超时与本题无关idle_session_timeout控制连接上无命令操作的超时300这里要点名一个坑控制连接的空闲超时对应的是用户“挂着不操作”也就是题目说的“无任何操作”单位是秒5 分钟就是 300。有些参考材料里把这个值写成了 600那是 10 分钟跟题目要求的 5 分钟不一致照抄会直接丢分。凡是带量化词的题先做单位换算再动手改。# 关掉匿名访问同时把无操作超时设成 300 秒 sed -i s/^#\?anonymous_enable.*/anonymous_enableNO/ /etc/vsftpd/vsftpd.conf grep -q ^idle_session_timeout /etc/vsftpd/vsftpd.conf \ sed -i s/^#\?idle_session_timeout.*/idle_session_timeout300/ /etc/vsftpd/vsftpd.conf \ || echo idle_session_timeout300 /etc/vsftpd/vsftpd.conf systemctl restart vsftpd第二段用了grep -q ... ... || ...的写法参数已存在就替换不存在就追加。VSFTPD 的配置文件里很多参数默认是注释掉的甚至根本没写用“替换”一刀切会出现“没匹配到、什么都没做”的假象先判断存在性再决定替换还是追加是处理这类配置文件最省事的模式。IIS 那两条在图形界面里。“开启日志审计、格式为 W3C、只记录日期、时间、客户端 IP、用户名、方法”路径是 IIS 管理器 → 选中网站 → 日志 → 格式选 W3C → 右侧“选择字段” → 先取消全选再勾date、time、c-ip、cs-username、cs-method五项。这里的失分点在于“取消全选”这一步被跳过导致日志里多出一堆字段判分脚本比较字段列表时对不上。“最大并发连接数 1000”在网站 → 高级设置 → 限制 → 最大并发连接数里改。这个值改完是即时生效的不用重启站点改完刷新一下网站页面确认没报 503。3.4 真题回放授权语句和超时参数怎么填第一题“赋予 user1 对 testdb 库所有表只有增删改查权限写出 SQL。”答案是grant select, insert, update, delete on testdb.* to user1localhost;。这道题的判分点有三个四个权限一个不能多、一个不能少多写drop就违背“只有”、库名后面必须是.*而不是具体表名、host 部分不能漏。写完补一句flush privileges更完整。第二题“把默认管理员用户名 root 改为 SuperRoot。”很多人只写update user set userSuperRoot where userroot;能得分但不完整。加分项是加and hostlocalhost限定范围以及改完flush privileges。如果这道题后面还跟一句“改完为什么远程连不上了”答案就是“只改了 localhost 那条或者三条 root 记录全改了导致远程账号一起没了”。第三题“VSFTPD 要求无操作 5 分钟断开写出参数与取值。”答idle_session_timeout300。答 600 是没做单位换算答connect_timeout300是选错了参数——它管的是数据连接建立阶段的超时跟“挂着不操作”不是一回事。区分方法记一句话idle管人connect/accept管连接data_connection管传输。4. 流量完整性、事件监控与防火墙三处最容易跳过的配置A-3、A-4、A-6 三组任务有个共同特点答案全在图形界面或者一条 iptables 命令里看起来最简单实际上是最容易“做过但没生效”的三块。HTTP 重定向涉及模块安装和规则条件的组合审核策略涉及本地策略与高级审核策略的覆盖关系防火墙涉及规则顺序和持久化。这一章按这三块拆每块给出可复现的配置和验证方式。4.1 HTTP 重定向 HTTPSURL 重写规则怎么写题目要求“仅使用 HTTPS 协议访问网站”在 IIS 上的标准做法是装 URL Rewrite 模块然后加一条空白入站规则匹配 URL 模式填(.*)条件加一条{HTTPS}匹配模式^OFF$操作类型选“重定向”重定向 URL 填https://{HTTP_HOST}/{R:1}重定向类型选 301 或 302。图形界面点完之后最终落地的是网站根目录下的web.config把这段配置直接写进文件也是等效的而且更适合考场里快速复现configuration system.webServer rewrite rules rule nameForceHTTPS stopProcessingtrue match url(.*) / conditions !-- 只有在明文 HTTP 访问时才触发重定向 -- add input{HTTPS} pattern^OFF$ / /conditions !-- {R:1} 是 match 里第一个捕获组即原始路径 -- action typeRedirect urlhttps://{HTTP_HOST}/{R:1} redirectTypePermanent / /rule /rules /rewrite /system.webServer /configuration逐项说明。match url(.*)捕获除域名和查询串之外的整条路径{R:1}在重定向地址里回填这段路径这样/a/b.html会被转到https://域名/a/b.html而不是全跳到首页。{HTTPS}是 IIS 的服务器变量明文访问时值为OFF^OFF$用正则首尾锚定避免大小写或前后缀干扰。redirectTypePermanent对应 301题目如果要求“永久重定向”就用它只写“重定向”用 302 也能过。stopProcessingtrue表示命中这条规则后不再往下匹配防止其他规则二次改写。需要注意的是机器前面如果有反向代理或者负载均衡TLS 在代理层就终止了IIS 看到的{HTTPS}永远是OFF规则会陷入无限重定向。这种环境里判断条件要换成{HTTP_X_FORWARDED_PROTO}值等于http时才跳。赛题环境一般没有这一层但被问到“为什么浏览器报重定向次数过多”时这就是标准答案。4.2 审核策略九项哪些勾成功、哪些勾失败事件监控这一题的要求是登录事件成功/失败、特权使用成功、策略更改成功/失败、进程跟踪成功/失败。路径是gpedit.msc→ 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略九个子项里改这四项其余不动。注意“特权使用”只勾成功这是题目明确写的。这类题最容易犯的错是“全部都勾成功和失败”看起来更安全实际上违反了题面。判分脚本读的是本地安全策略数据库里每一条的AuditSuccess和AuditFailure两个布尔值多勾一个就是错。改完之后要验证用事件查看器打开“Windows 日志 → 安全”看有没有对应的事件 ID审核项典型事件 ID触发动作登录事件4624 / 4625登录成功 / 登录失败特权使用4672分配特殊特权策略更改4719审核策略变更进程跟踪4688进程创建有一个隐蔽的覆盖关系gpedit.msc里除了“审核策略”还有一个“高级审核策略配置”。两处都配置时高级审核策略优先本地审核策略会被忽略。如果改完“审核策略”发现事件日志里什么都没记就去“高级审核策略配置 → 系统审核策略 → 登录/注销”里看是不是被设成了“不审核”。这是排查“策略改了但没日志”的第一顺位。4.3 防火墙四条445、23、ICMP 与 SSH 白名单Windows 侧禁用 445 和 23 端口用 PowerShell 起两条规则最快# 445 是 SMB23 是 Telnet都是勒索病毒和弱口令扫描的常客 New-NetFirewallRule -DisplayName Block-SMB-445 -Direction Inbound -Protocol TCP -LocalPort 445 -Action Block New-NetFirewallRule -DisplayName Block-Telnet-23 -Direction Inbound -Protocol TCP -LocalPort 23 -Action Block # 确认两条规则都已启用方向是入站动作是阻止 Get-NetFirewallRule -DisplayName Block-* | Select-Object DisplayName, Enabled, Direction, Action-Direction Inbound限定只拦入站出站不受影响-Protocol TCP只针对 TCP如果题目要求把 UDP 也一起封得再加一条或者改成-Protocol Any。New-NetFirewallRule创建出来的规则默认就是启用状态不需要额外Enable-NetFirewallRule。图形界面的等价路径是“高级安全 Windows Defender 防火墙 → 入站规则 → 新建规则 → 端口”效果一样。Linux 侧四条 iptables 规则重点在顺序# 先放行已建立的连接否则回包会被下面的 DROP 干掉 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 禁用 23 端口Telnet入站 iptables -A INPUT -p tcp --dport 23 -j DROP # 只允许 172.16.1.1 访问 22其余一律丢弃ACCEPT 必须在 DROP 之前 iptables -A INPUT -s 172.16.1.1 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP # 禁 ping丢弃 ICMP 类型 8回显请求 iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP # 规则不保存重启就没了 iptables-save /etc/sysconfig/iptables-A是追加到链尾而 iptables 是按顺序逐条匹配、命中即执行所以白名单的ACCEPT必须写在DROP前面。写反了的效果是“任何人连 22 都被丢”包括那个白名单 IP而且在本地看起来规则全都存在属于典型的静默失败。想插到最前面可以用-I INPUT 1。第一条ESTABLISHED,RELATED容易被省省掉的后果是服务器发出的 SYN-ACK 回包被后面的 DROP 拦掉表现为“规则全对但网站打不开”。--icmp-type 8是回显请求只禁它别人就 ping 不通如果想连回显应答一起禁用--icmp-type any。禁 ping 还有两条不动防火墙的路子临时改echo 0 /proc/sys/net/ipv4/icmp_echo_ignore_all重启失效永久改/etc/sysctl.conf加一行net.ipv4.icmp_echo_ignore_all1再sysctl -p生效。三种方法都算对题目如果要求“重启后仍生效”就得用 sysctl 或者 iptables 持久化临时那条直接出局。4.4 真题回放规则顺序与“为什么不生效”第一题“Linux 禁止所有人通过 SSH 连接除了 172.16.1.1写出 iptables 命令。”答题顺序必须是“放行已建立连接 → 放行白名单 → 全量丢弃”。只写后两条也能工作但会被追问“已建立的连接怎么办”答上第一条就完整了。如果阅卷人追问“为什么不用-I插到第一条”答案是“白名单必须在拒绝之前用-A按书写顺序追加即可用-I反而可能插到 ESTABLISHED 规则前面顺序依然要对”。第二题“IIS 配置 HTTP 强制跳转 HTTPS说明规则的两个核心元素。”核心是匹配模式(.*)加条件{HTTPS}^OFF$动作是 301 重定向到https://{HTTP_HOST}/{R:1}。这道题的高分点在{R:1}只写https://{HTTP_HOST}会把所有路径都跳到首页属于功能实现了但体验不合格有的评分点专门扣这个。第三题“开启审核策略后事件查看器里没有 4688怎么排查”标准路径是先看“高级审核策略配置”里“进程创建”是不是被设成了“不审核”再看是不是只勾了成功没勾失败、测试时用的是失败场景。这条题考的是排障思维答“重启服务器”是最典型的零分答案。5. 易错点五类在赛场上真丢分的地方前面四章按模块讲了怎么做对。这一章反过来讲怎么做错。这五类错误有个共同特征操作者自己觉得已经完成了交卷才发现分数是零。每一条都按“错在哪、为什么错、怎么答对”三段拆。5.1 改完配置不重启服务还在跑旧内存错在哪sshd_config、vsftpd.conf、my.cnf改完直接交卷没有systemctl restart也没有reload。为什么错这些服务在启动时把配置读进内存之后不再回读文件。文件内容改了进程行为一点没变判分脚本如果连上去测行为测到的还是旧配置如果直接读文件能过但题目要求“加固后服务应符合要求”时通常测的是行为。怎么答对每改完一个服务的配置固定走“语法检查 → 重启 → 看运行态”三步。SSH 用sshd -t加sshd -TVSFTPD 用systemctl status vsftpd看有没有起失败MySQL 用ps aux | grep mysqld看启动参数里有没有带--usermysql。养成“改文件必重启、重启必验证”的习惯这一类错误就绝迹了。5.2 图形界面点了没应用或者改错了作用域错在哪本地安全策略里改完密码策略关窗口就走组策略里改完用户权限分配没执行gpupdate域环境里改的是本机策略而生效的是域策略。为什么错Windows 的安全设置分“本地策略”和“域策略”两套。机器加入域之后域策略下发的值优先级更高本机改的值被覆盖界面上看着是你改的那个数实际生效的是另一个。组策略还有刷新周期默认 90 分钟不手动刷新短时间看不到效果。怎么答对改之前先gpresult /r看清当前生效的是哪条策略改之后gpupdate /force立即刷新再gpresult /r复核。本地安全策略和组策略都改一遍成本很低能覆盖两种判分口径。5.3 Linux 参数被注释掉sed 匹配不到却返回成功错在哪sed -i s/^PASS_MIN_LEN.*/PASS_MIN_LEN 16/ /etc/login.defs执行完没有任何报错打开文件一看还是#PASS_MIN_LEN 5。为什么错sed的替换是“匹配不到就跳过”不会报错也不会提示。配置文件里大量参数默认带#注释只匹配非注释行等于什么都没做。同类问题还出现在Port 22、PermitRootLogin yes、anonymous_enableYES这些默认被注释的项上。怎么答对正则里统一加^#\?兼容注释状态改完立刻grep一次确认。更稳的做法是先cp备份改完用diff对比一眼看出到底改没改。对关键参数sshd -T、mysqld --verbose --help这类“读运行态”的命令比读文件可靠。5.4 端口和服务对应错规则封错了对象错在哪把 445 当成 RDP 端口、把 23 当成 FTP、把 3389 当成 SMB规则建得规规矩矩封的却是另一个服务。为什么错这几个端口号靠背诵记不牢紧张时容易串。题目说“禁用 23 端口”脑子里想到的是“文件传输”手就敲成了 21。怎么答对记两组就够。高危入站445 是 SMB、139 是 NetBIOS、23 是 Telnet、3389 是 RDP、21 是 FTP 控制端口、22 是 SSH。加固类题目里“禁用”的通常是 445 和 23这两个是勒索病毒和弱口令扫描的入口看到“勒索病毒”四个字就往这两个端口上想。写完规则用netstat -ano | findstr :445或者ss -lntp反查一遍确认端口确实没了监听。5.5 取证与流量题字段看错、格式写错、大小写搞混错在哪Flag{admin,password}提交成Flag{password}FTP 账号密码之间用了中文逗号时间写成14:22:08.123而题目要14:22:08内存取证里把主机名和 IP 的顺序写反。为什么错B 模块的题面把提交格式写得很死Flag{ip:主机名}里的顺序、分隔符、大小写都是判分点。做取证的时候注意力全在找数据上找到之后顺手一抄格式就变形了。怎么答对每道题先在草稿上抄一遍格式模板把值填进去再核对一遍分隔符。流量题固定用ftp、ftp.request.command、ftp-data三个过滤器账号密码在USER和PASS两条请求里时间看包的Time列下载的文件名看RETR后面跟的字符串。凡是带时间的先把 Wireshark 的显示格式调成“时间戳”而不是“秒偏移”。注意Flag 里的内容区分大小写用户名一般是小写服务名可能是大小写混合抄的时候别顺手全转小写。6. B 模块答题节奏取证、流量、渗透三条流水线怎么排B 模块三组任务的共同点是“给一个入口顺藤摸瓜”答题节奏比知识点更影响得分。我的本文还有配套的精品资源点击获取
