2017廣西職業(yè)院校技能大賽中職組網(wǎng)絡(luò)空間安全樣題概要1講解

1、“網(wǎng)絡(luò)空間平安工程競(jìng)賽任務(wù)書樣題、賽項(xiàng)時(shí)間每場(chǎng)3小時(shí)。、賽項(xiàng)信息競(jìng)賽階段任務(wù)階段克賽任務(wù)競(jìng)賽時(shí)間分值第一階段平臺(tái)搭建與配置任務(wù)1攻防環(huán)境部署120分鐘10第二階段單兵模式系統(tǒng)滲透測(cè)試任務(wù)1SQL注入攻防30任務(wù)2XSS和CSR或防30第三階段分組對(duì)抗系統(tǒng)加固15分鐘30滲透測(cè)試45分鐘一賽項(xiàng)環(huán)境設(shè)置1.網(wǎng)絡(luò)拓?fù)鋱D干款v,小或?PCIPCIPC2PC2r.尸1單典號(hào)典靶機(jī)防景實(shí)雙平臺(tái)網(wǎng)絡(luò)3能濕牝機(jī)場(chǎng)景三、賽項(xiàng)內(nèi)容2.IP地址規(guī)劃表設(shè)備名稱接口IP地址互聯(lián)可用IP數(shù)量一層交換機(jī)Vlan10 x.x.x.x/x與PC1相連見賽場(chǎng)IP參數(shù)表Vlan20 x.x.x.x/x與PC2相連見賽場(chǎng)IP參數(shù)表P

2、C-1:實(shí)戰(zhàn)平臺(tái)管理機(jī)EthXx.x.x.x/x與交換機(jī)相連見賽場(chǎng)IP參數(shù)表PC-2:滲透測(cè)試機(jī)EthYx.x.x.x/x與交換機(jī)相連見賽場(chǎng)IP參數(shù)表效勞器場(chǎng)景無(wú)詳見賽題局部見賽場(chǎng)IP參數(shù)表備注1.賽題可用IP地址范圍見?賽場(chǎng)IP參數(shù)表?；2.具體網(wǎng)絡(luò)連接接口見?賽場(chǎng)IP參數(shù)表?-“賽場(chǎng)互聯(lián)接口參數(shù)表；3.設(shè)備互聯(lián)網(wǎng)段內(nèi)可用地址數(shù)量見?賽場(chǎng)IP參數(shù)表?；1.1 P地址分配要求，最節(jié)省IP地址，子網(wǎng)有效地址規(guī)劃遵循2n-2的原那么；5.參賽選手按照?賽場(chǎng)IP參數(shù)表?要求，自行分配IP地址段、設(shè)備互聯(lián)接口；6.將分配的IP地址段和接口填入?賽場(chǎng)IP參數(shù)表?中?賽場(chǎng)IP參數(shù)表?電子文件存于U盤階段文

3、件夾中，請(qǐng)?zhí)顚懲暾筇峤?。二第一階段任務(wù)書10分任務(wù)：網(wǎng)絡(luò)空間平安平臺(tái)搭建10分1 .根據(jù)網(wǎng)絡(luò)拓?fù)鋱D所示，設(shè)計(jì)連線，制作網(wǎng)線，做好機(jī)柜布線系統(tǒng)。2 .根據(jù)網(wǎng)絡(luò)拓?fù)鋱D所示， 按照IP地址參數(shù)表，對(duì)網(wǎng)絡(luò)設(shè)備的名稱、 各接口IP地址進(jìn) 行配置。3 .根據(jù)網(wǎng)絡(luò)拓?fù)鋱D所示，按照IP地址參數(shù)表，部署效勞器和主機(jī)。4 .據(jù)網(wǎng)絡(luò)拓?fù)鋱D所示，按照IP地址參數(shù)表，在交換機(jī)交換機(jī)上創(chuàng)立相應(yīng)的VLAN并將相應(yīng)接口劃入VLAN5 .配置三層交換機(jī)，通過(guò)Gratuitous AR稼抵御來(lái)自VLAN2瞰口的針對(duì)網(wǎng)關(guān)的ARP欺騙攻擊。6 .配置三層交換機(jī)，通過(guò)ARP Guard來(lái)抵御來(lái)自VLAN20接口的針對(duì)網(wǎng)關(guān)的ARP欺騙

4、攻擊。7 .在三層交換機(jī)的PC2所連接端口配置Port Security特性，阻止PC2發(fā)起MAC Flooding滲透測(cè)試。8 .在三層交換機(jī)上配置Access Management平安特性，阻止PC2發(fā)起ARP Spoofing滲透測(cè)試。9 .在三層交換機(jī)上配置端口環(huán)路檢測(cè)(Loopback Detection) ，防止來(lái)自任意物理接口下的單端口環(huán)路，并配置存在環(huán)路時(shí)的檢測(cè)時(shí)間間隔為50秒，不存在環(huán)路時(shí)的檢測(cè)時(shí)間間隔為20秒。10 .配置三層交換機(jī)生成樹協(xié)議平安特性，阻止PC2發(fā)起B(yǎng)PDU DOS透測(cè)試。60分)任務(wù)1: SQL注入攻防任務(wù)環(huán)境說(shuō)明：效勞器場(chǎng)景：WebServ2003效勞器

5、場(chǎng)景操作系統(tǒng)：Microsoft Windows2003 Server效勞器場(chǎng)景安裝效勞/工具1：Apache2.2；效勞器場(chǎng)景安裝效勞/工具2：Php6；效勞器場(chǎng)景安裝效勞/工具3：Microsoft SqlServer2000效勞器場(chǎng)景安裝效勞/工具4：EditPlus；1.訪問(wèn)WebServ2003效勞器場(chǎng)景，進(jìn)入login.php頁(yè)面， 分析該頁(yè)面源程序，找到提交的變量名，并將該變量名作為Flag提交；2.對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行SQL注入滲透測(cè)試，使該Web站點(diǎn)可通過(guò)任意用戶名登錄，并將登錄密碼作為Flag提交；3.進(jìn)入WebServ2003效勞器場(chǎng)景的C:AppServwww目

6、錄，找到loginAuth.php程序，使用EditPlus工具分析并修改PHPM程序，使之可以抵御SQL注入，并將彳改后的PHFW程序中的Flag提交；4.再次對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試，驗(yàn)證此次利用該注入點(diǎn)對(duì)WebServ2003效勞器場(chǎng)景進(jìn)行SQL注入滲透測(cè)試無(wú)效，并將Web頁(yè)面回顯內(nèi)容作為Flag提交；5.訪問(wèn)WebServ2003效勞器場(chǎng)景，/-Employee Information Query，分析該頁(yè)面源程序，找到提交的變量名，并將該變量名作為Flag提交；6.對(duì)該任務(wù)題目5頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試，根據(jù)輸入“%以及“_的返回結(jié)果確定是注入點(diǎn)，Web頁(yè)面回顯作為Flag

7、提交；7.通過(guò)對(duì)該任務(wù)題目5頁(yè)面注入點(diǎn)進(jìn)行SQL注入滲透測(cè)試，刪除WebServ2003效勞器場(chǎng)景的目錄下的1.txt文檔，并將注入代碼作為Flag提交;8.進(jìn)入WebServ2003效勞器場(chǎng)景的C:AppServwww目錄，找到QueryCtrl.php程序，使用EditPlus工具分析并修改PHFW程序，使之可以抵御SQL注入滲透測(cè)試，并將修改后的PHP源程序中的Flag提交；9.再次對(duì)該任務(wù)題目5頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試， 驗(yàn)證此次利用注入點(diǎn)對(duì)該WebServ2003效勞器場(chǎng)景進(jìn)行SQL注入滲透測(cè)試無(wú)效，并將Web頁(yè)面回顯內(nèi)容作為Flag提交。任務(wù)2： XSS和CSR或防任務(wù)環(huán)境說(shuō)明：效勞

8、器場(chǎng)景：WebServ2003效勞器場(chǎng)景操作系統(tǒng)：Microsoft Windows2003 Server效勞器場(chǎng)景安裝效勞/工具1：Apache2.2；效勞器場(chǎng)景安裝效勞/工具2：Php6；效勞器場(chǎng)景安裝效勞/工具3：Microsoft SqlServer2000；效勞器場(chǎng)景安裝效勞/工具4：EditPlus；1.訪問(wèn)WebServ2003效勞器場(chǎng)景，/- Employee Message Board，分析該頁(yè)面源程序，找到提交的變量名，并將該變量名作為Flag提交；2.對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行XSS滲透測(cè)試，并進(jìn)入/- EmployeeMessage Board-Display Mes

9、sage頁(yè)面，根據(jù)該頁(yè)面的顯示，確定是注入點(diǎn)，并將Web頁(yè)面回顯內(nèi)容作為Flag提交；3.對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試，使/- Employee MessageBoard-Display Message頁(yè)面的訪問(wèn)者執(zhí)行網(wǎng)站(://)中的木馬程序：://TrojanHorse.exe，并將注入代碼內(nèi)容作為Flag4 4 / 7 75 5 / 7 7提交；4.通過(guò)IIS搭建網(wǎng)站:// ,并通過(guò)PC2生成木馬程序TrojanHorse.exe,將該程序復(fù)制到網(wǎng)站:// 的WW根目錄下，并將該網(wǎng)站標(biāo)題作為Flag提

10、交；5.當(dāng)/- Employee Message Board-Display Message頁(yè)面的訪問(wèn)者執(zhí)行網(wǎng)站 :// 中的木馬程序TrojanHorse.exe以后， 訪問(wèn)者主機(jī)需要被PC-3遠(yuǎn)程控制，翻開訪問(wèn)者主機(jī)的CMD.exe命令行窗口，并將該操作結(jié)果回顯作為Flag提交；6.進(jìn)入WebServ2003效勞器場(chǎng)景的C:AppServwww目錄， 找到insert.php程序，使用EditPlus工具分析并修改PHP源程序，使之可以抵御XSS透測(cè)試， 并將修改后的PHP源程序中的Flag提交；7.再次對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試， 驗(yàn)證此次利用該注入點(diǎn)對(duì)We

11、bServ2003效勞器場(chǎng)景進(jìn)行XSS滲透測(cè)試無(wú)效，并將Web頁(yè)面回顯作為Flag提 交；8.訪問(wèn)WebServ2003效勞器場(chǎng)景，/- Shopping Hall，分析該頁(yè)面源程序，找到提交的變量名，并將該變量名作為Flag提交；9.對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試，使/- Employee MessageBoard-Display Message頁(yè)面的訪問(wèn)者向頁(yè)面ShoppingProcess.php提交參數(shù)goods=cpu&quantity=999999，查看/-PurchasedGoods.php頁(yè)面，并將注入代 碼作為Flag提交；10.進(jìn)入WebServ2003效勞器

12、場(chǎng)景的C:AppServwww目錄，找到DisplayMessage.php程序，使用EditPlus工具分析并修改PHPW程序，使之可以 抵御CSRF透測(cè)試，并將修改后的源程序中的Flag提交；11.再次對(duì)該任務(wù)題目1頁(yè)面注入點(diǎn)進(jìn)行滲透測(cè)試， 驗(yàn)證此次利用該注入點(diǎn)對(duì)WebServ2003效勞器場(chǎng)景進(jìn)行CSR喘透測(cè)試無(wú)效，并將Web頁(yè)面回顯內(nèi)容作為Flag提交；四第三階段任務(wù)書：分組對(duì)抗30分假定各位選手是某公司的系統(tǒng)管理員，負(fù)責(zé)效勞器受保護(hù)效勞器IP、管理員賬號(hào)見現(xiàn)場(chǎng)發(fā)放的參數(shù)表的維護(hù)，該效勞器可能存在著各種問(wèn)題和漏洞見漏洞列表。你需要盡快對(duì)效勞器進(jìn)行加固，十五分鐘之后將會(huì)有很多黑客對(duì)這臺(tái)效

13、勞器進(jìn)行攻擊。提示1：該題不需要保存文檔；提示2：效勞器中的漏洞可能是常規(guī)漏洞也可能是系統(tǒng)漏洞；6 6 / 7 7提示3：加固常規(guī)漏洞；提示4:對(duì)其它參賽隊(duì)系統(tǒng)進(jìn)行滲透測(cè)試，取得FLAG直并提交到裁判效勞器。十五分鐘之后，各位選手將真正進(jìn)入分組對(duì)抗環(huán)節(jié)?？记绊氈鹤⒁?：任何時(shí)候不能關(guān)閉80端口，否那么將判令停止比賽，第三階段分?jǐn)?shù)為0分；注意2：不能對(duì)裁判效勞器進(jìn)行攻擊，否那么將判令停止比賽，第三階段分?jǐn)?shù)為0分。注意3： 在加固階段 前十五分鐘， 具體聽現(xiàn)場(chǎng)裁判指令不得對(duì)任何效勞器進(jìn)行攻擊，否那么將判令攻擊者停止比賽，第三階段分?jǐn)?shù)為0分。注意4: FLAG值為每臺(tái)受保護(hù)效勞器的唯一性標(biāo)識(shí)，每臺(tái)受保護(hù)效勞器僅有一個(gè)。在這個(gè)環(huán)節(jié)里， 各位選手需要繼續(xù)保護(hù)你的效勞器免受各類黑客的攻擊，你可以繼續(xù)加固你的效勞器， 你也可以選擇攻擊其他組的保護(hù)效勞器其他效勞器網(wǎng)段見現(xiàn)場(chǎng)發(fā)放的參數(shù)表 。漏洞列表：1.靶機(jī)上的網(wǎng)站可能存在命令注入的漏洞，要求選手找到命令注入的相關(guān)漏洞，利用此漏洞獲取一定權(quán)限。2.靶機(jī)上的網(wǎng)站可能存在文件上傳漏洞，要求選手找到文件上傳的相關(guān)漏洞，利用此漏洞獲取一定權(quán)限3.靶機(jī)上的網(wǎng)站可能存在文件包含漏洞，要求選手找到文件包含的相關(guān)漏洞，與別的漏洞相