2020年度中职组“网络空间安全”赛项xx市竞赛任务书
2020年度中职组“网络空间安全”赛项
xx市竞赛任务书
一、竞赛时间
8:30-11:30，共计3小时。
二、竞赛阶段
|
竞赛阶段 |
任务阶段 |
竞赛任务 |
竞赛时间 |
分值 |
|
第一阶段单兵模式系统渗透测试 |
任务一 |
Apache安全配置 |
8:30-10:10 |
150 |
|
任务二 |
HASH算法基本使用 |
150 |
||
|
任务三 |
漏洞扫描与利用 |
200 |
||
|
任务四 |
流量分析-misc |
200 |
||
|
备战阶段 |
攻防对抗准备工作 |
10:10-10:30 |
0 |
|
|
第二阶段分组对抗 |
系统加固 |
10:30-10:45 |
300 |
|
|
渗透测试 |
10:45-11:30 |
|||
三、竞赛任务书内容
（一）拓扑图
（二）第一阶段任务书（700分）
任务一：Apache安全配置
任务环境说明：
- 服务器场景：A-Server
- 服务器场景操作系统： Linux
- 服务器用户名：root;密码：123456
- 渗透机操作系统：kali
- 渗透机用户名：root;密码：123456
- 打开服务器场景（A-Server），通过命令行清除防火墙规则。在服务器场景上查看apache版本，将查看到的服务版本字符串完整提交；
- 检测服务器场景中此版本apache是否存在显示banner信息漏洞，如果验证存在，修改配置文件将此漏洞进行加固，并重启Apache服务，将此加固项内容字符串(不包含状态)作为flag提交；
- 检测服务器场景配置是否可以浏览系统目录，如果验证存在将此漏洞在Apache配置文件中进行加固，寻找系统根目录/var/www 的配置属性，对该属性的原内容进行权限删除的方式加固，并重启Apache服务，将此加固项删减字符串作为flag提交；
- 合理配置服务器场景apache的运行账户，并在httpd.conf中寻找运行帐户，将本服务配置的账户名称作为flag提交；
- 配置服务器场景中httpd.conf，限制禁止访问的文件夹，验证是否可以访问 /var/www/data 目录下index.php,如存在在此漏洞需进行加固，将此加固后完整字符串作为flag提交；（提示：（<Directory /var/www/data>）***</Directory>*号为需要添加内容）
- 配置服务器场景中httpd.conf，限制一些特殊目录的特定ip访问，如内部接口等。修改对data 目录的配置,重新启动apache 服务。将加固项固定部分作为flag提交；
任务二：HASH算法的基本使用
任务环境说明：
- 服务器场景：A-Server
- 服务器场景操作系统：Linux
- 服务器用户名：root;密码：123456
- 渗透机操作系统：kali
- 渗透机用户名：root;密码：123456
- 通过服务器场景（A-Server），进行HASH算法的基本使用。将123456作为openssl md5 的输入参数，使用 123456进行md5计算并将内容输出到屏幕。将此命令中输出结果的命令作为flag提交；
- 通过服务器场景使用不同的加密方式对123456进行加密，对比两个加密字符串有何不同。使用SHA的加密方式，将生成的字符串最后四位当做flag进行提交；
- 通过服务器场景使用md5 校验文件是否被更改，生成文件in.txt并在文件中写入hello world，计算此文件内的MD5值，将此md5值后4位作为flag提交；
- 通过服务器场景修改文件,用vi编辑in.txt 将内容改成 hello world ya,再次通过md5进行计算，将此字符串后4位当做flag进行提交；
- 通过服务器场景对比相似字符串的加密验证，对字符串abc1进行md5计算，将此md5值的最后4位当做flag提交；
- 通过服务器场景对字符串abc12进行md5计算，对比上题的结果，验证md5加密是否存在规律，将此md5值的最后4位当做flag进行提交。
任务三：漏洞扫描与利用
任务环境说明：
- 服务器场景名：Jtest
- 服务器场景操作系统：Microsoft Windows2003 Server
- 服务器场景用户名：（用户名：administrator；密码：空）
- 渗透机场景：kali
- 渗透机用户名：root，密码：toor
- 通过本地PC中渗透测试平台Kali对服务器场景server2003以半开放式不进行ping的扫描方式并配合a，要求扫描信息输出格式为xml文件格式，从生成扫描结果获取局域网（例如172.16.101.0/24）中存活靶机，以xml格式向指定文件输出信息（使用工具NMAP，使用必须要使用的参数），并将该操作使用命令中必须要使用的参数作为FLAG提交（各参数之间用英文逗号分割，例a,b,c,d）；
- 根据第一题扫描的回显信息分析靶机操作系统版本信息，将操作系统版本信息作为FLAG提交；
- 根据第一题扫描的回显信息分析靶机服务开放端口，分析开放的服务，并将共享服务的开放状态作为FLAG提交；
- 在本地PC的渗透测试平台Kali中，使用命令初始化msf数据库，并将使用的命令作为FLAG提交；
- 在本地PC的渗透测试平台Kali中，打开msf，使用db_import将扫描结果导入到数据库中，并查看导入的数据，将查看导入的数据要使用的命令作为FLAG提交；
- 在msfconsole使用search命令搜索MS08067漏洞攻击程序，并将回显结果中的漏洞时间作为FLAG提交；
- 在msfconsole中利用MS08067漏洞攻击模块，将调用此模块的命令作为FLAG提交；
- 在上一步的基础上查看需要设置的选项，并将回显中需设置的选项名作为FLAG提交；
- 使用set命令设置目标IP（在第8步的基础上），并检测漏洞是否存在，将回显结果中最后四个单词作为FLAG提交；
- 查看可选项中存在此漏洞的系统版本，判断该靶机是否有此漏洞，若有，将存在此漏洞的系统版本序号作为FLAG提交，否则FLAG为none。
任务四：流量分析- misc
任务环境说明：
- 服务器场景名：Jtest
- 服务器场景操作系统：Microsoft Windows2003 Server
- 服务器场景用户名：（用户名：administrator；密码：空）
- 渗透机场景：kali
- 渗透机用户名：root，密码：toor
- 通过本地PC中渗透测试平台Kali访问目标靶机http://xxx.xxx.xxx.xxx:8081(xxx.xxx.xxx.xxx为靶机IP地址,例如172.16.101.1:8081)下载文件获取流量包。将流量包进行解压，获取流量包中的文件名作为Flag（形式：文件名.文件类型）提交；
- 通过本地PC中渗透测试平台Kali中利用wireshark从服务器场景Windows2003中下载的流量包进行流量包分析，使用HTTP模式下的过滤表达式过滤HTTP GET方法的流量包，过滤表达式命令作为Flag提交。
- 根据第2步回显信息从过滤出的流量包中分析，找到flag文件流量的IP地址，并将该HTTP流量包（第1步中下载的流量包）含flag信息的请求源ip作为Flag提交。
- 在渗透测试平台Kali中利用wireshark从包含flag信息的流量包中的IP数据包中找到目标信息文件，并将该文件名作为Flag（形式：文件名.文件类型）提交。
- 在渗透测试平台Kali中使用wireshark分析下载的流量包，并从包含flag信息的GET/POST请求流量中找出响应IP及响应内容，并将该flag请求的响应IP（流量包中的IP）作为flag提交。
- 使用wireshark工具分析响应流量包（第5步flag请求对应的response响应流量数据包）中的数据内容，将该响应数据中的文件名，作为Flag（形式：文件名.文件类型）提交。
- 使用wireshark工具提取流量包中内容（即第6步响应流量包中的文件内容），将该提取操作必须使用的到的wireshark功能的快捷键作为Flag提交。（xx+xx为Flag提交格式,例如ctrl+alt+F4）。
- 将第7步提取出的文件进行解压，将该文件解压后的文件内容第一行作为flag提交；
（三）第二阶段任务书（300）
各位选手是某公司的系统安全管理员，负责服务器（受保护服务器IP、管理员账号见现场发放的参数表）的维护，该服务器可能存在着各种问题和漏洞（见漏洞列表）。你需要尽快对服务器进行加固，十五分钟之后将会有很多黑客对这台服务器进行攻击。
提示：服务器中的漏洞可能是常规漏洞也可能是系统漏洞；需要加固常规漏洞；并对其它参赛队系统进行渗透测试，取得FLAG值并提交到裁判服务器。
十五分钟之后，各位选手将真正进入分组对抗环节。
注意事项：
注意1：任何时候不能人为关闭服务器常用服务端口（21、22、23、80），系统自动判定扣分。
注意2：不能对裁判服务器进行攻击，否则将判令停止比赛，第二阶段分数为0分。
注意3：在加固阶段（前十五分钟，具体听现场裁判指令）不得对任何服务器进行攻击，否则将判令攻击者停止比赛，第二阶段分数为0分。
注意4：FLAG值为每台受保护服务器的唯一性标识，每台受保护服务器仅有一个。
在渗透测试环节里，各位选手需要继续保护你的服务器免受各类黑客的攻击，你可以继续加固你的服务器，你也可以选择攻击其他组的保护服务器。
漏洞列表如下：
1. 靶机上的网站可能存在命令注入的漏洞，要求选手找到命令注入的相关漏洞，利用此漏洞获取一定权限。
2. 靶机上的网站可能存在文件上传漏洞，要求选手找到文件上传的相关漏洞，利用此漏洞获取一定权限
3. 靶机上的网站可能存在文件包含漏洞，要求选手找到文件包含的相关漏洞，与别的漏洞相结合获取一定权限并进行提权
4. 操作系统提供的服务可能包含了远程代码执行的漏洞，要求用户找到远程代码执行的服务，并利用此漏洞获取系统权限。
5. 操作系统提供的服务可能包含了缓冲区溢出漏洞，要求用户找到缓冲区溢出漏洞的服务，并利用此漏洞获取系统权限。
6. 操作系统中可能存在一些系统后门，选手可以找到此后门，并利用预留的后门直接获取到系统权限。
选手通过以上的所有漏洞点，最后得到其他选手靶机的最高权限，并获取到其他选手靶机上的FLAG值进行提交。
2020年度中职组“网络空间安全”赛项xx市竞赛任务书相关推荐
- 2023年中职组“网络空间安全”赛项XX市竞赛任务书
2023年中职组"网络空间安全"赛项 XX市竞赛任务书 一.竞赛时间 共计:180分钟 二.竞赛阶段 竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值 第一阶段单兵模式系统渗透测试 任 ...
- 2021年度中职组“网络空间安全”赛项湖南省竞赛任务书
2021年度中职组"网络空间安全"赛项 湖南省竞赛任务书 一.竞赛时间 8:30-11:30,共计3小时. 二.竞赛阶段 竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值 第一阶段单兵 ...
- 2019年度中职组“网络空间安全”赛项赣州市竞赛任务书B卷
2019年度中职组"网络空间安全"赛项 赣州市竞赛任务书 一.竞赛时间 8:30-11:30,共计3小时. 二.竞赛阶段 竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值 第一阶段单兵 ...
- 2020年中职组“网络空间安全”赛项天津市选拔赛竞赛任务书
2020年中职组"网络空间安全"赛项 天津市选拔赛竞赛任务书 一.竞赛时间 8:30-11:30,共计3小时. 二.竞赛阶段 竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值 第一阶段 ...
- 2022年江西省中职组“网络空间安全”赛项模块A解析
2022年山西省中职组"网络空间安全"赛项模块A解析 A模块基础设施设置/安全加固(200分) A-1:登录安全加固 A-2:Web安全加固(Web) A-3:流量完整性保护与事件 ...
- 2022年江西省中职组“网络空间安全”赛项模块B解析
2022年江西省中职组"网络空间安全"赛项模块B解析 模块B 网络安全事件响应.数字取证调查和应用安全(400分) B-1:系统漏洞利用与提权 B-2:Linux操作系统渗透测试 ...
- 2022年浙江省中职组“网络空间安全”赛项模块B--Linux渗透测试
2022年中职组浙江省"网络空间安全"赛项 B-2:Linux渗透测试 漏洞原理解析: 一.竞赛时间 420分钟 共计7小时 吃饭一小时 二.竞赛阶段 竞赛阶段 任务阶段 竞赛任务 ...
- 2022年江西省中职组“网络空间安全”赛项模块B-网页渗透
2022年中职组山西省"网络空间安全"赛项 B-10:网页渗透解析: 不懂私信博主!联系方式:3260344435 一.竞赛时间 420分钟 共计7小时 吃饭一小时 二.竞赛阶段 ...
- 2021中职组网络空间安全国赛CD模块分组混战镜像*
2021中职组网络空间安全国赛CD模块分组混战镜像 新规程的C,D模块环境 有想法的私信
- 2019年中职组“网络空间安全”赛项 赣州市竞赛任务书
官方靶场 订阅过的 靶场环境请私信我获取 一.竞赛时间 9:00-12:00,共计3小时. 二.竞赛阶段 竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值 第一阶段 单兵模式系统渗透测试 任务一 文件MD ...
最新文章
- GPRS、EDGE、CDMA1X、WCDMA、EVDO、EVDV速度性能大比较
- 【分享】Vue 资源典藏（UI组件、开发框架、服务端、辅助工具、应用实例、Demo示例）...
- C++(十)——模板(上)
- 软件打开时间、窗体透明度、背景色---《用delphi开发共享软件》-15.1任务管理器...
- Unity3D研究院之IOS触摸屏手势控制镜头旋转与缩放
- Android关掉多个activity,Android应用开发之Android Activity栈管理 制定关闭某一个Activity,关闭所有Activit...
- python的xlwt模块的常用方法
- php中数组下标,PHP数组介绍_php
- LeetCode:922. 按奇偶排序数组 II
- 免费json客户端解析
- Yocto Project - basic - 01 - Quick Start
- 对话框弹出的位置引发的问题showdialog
- Centos 6让SVN提交文件自动更新到nginx的WEB目录
- POJ2104 K-th Number [整体二分]
- 总结工作中常用到的linux命令大全_经典
- 大前研一：聪明人必作的十件事
- 圣诞素材网站推荐 这几个网站超多免费可商用素材
- Jenkins配置slaver节点
- 记录：rosdep update
- 2D 23.2.23