2022全国职业技能大赛“信息安全管理与评估“--应急响应日志分析解析（高职组）

2022全国职业技能大赛“信息安全管理与评估”任务书

第一阶段竞赛项目试题

先略

第二阶段竞赛项目试题

根据信息安全管理与评估技术文件要求，第二阶段为网络安全事件响应、数字取证调查和应用程序安全。本文件为信息安全管理与评估项目竞赛-第二阶段试题。

介绍：
竞赛有固定的开始和结束时间，参赛队伍必须决定如何有效的分配时间。请认真阅读以
下指引！
（1）当竞赛结束，离开时请不要关机；
（2）所有配置应当在重启后有效；
（3）除了CD-ROM/HDD/NET驱动器，请不要修改实体机的配置和虚拟机本身的硬件设置。
所需的设备、机械、装置和材料
所有测试项目都可以由参赛选手根据基础设施列表中指定的设备和软件完成。
评分方案
本项目模块分数为350分。

项目和任务描述：
随着网络和信息化水平的不断发展，网络安全事件也层出不穷，网络恶意代码传播、信
息窃取、信息篡改、远程控制等各种网络攻击行为已严重威胁到信息系统的机密性、完整性
和可用性。因此，对抗网络攻击，组织安全事件应急响应，采集电子证据等技术工作是网络
安全防护的重要部分。现在，A集团已遭受来自不明组织的非法恶意攻击，您的团队需要帮助
A集团追踪此网络攻击来源，分析恶意攻击攻击行为的证据线索，找出操作系统和应用程序中
的漏洞或者恶意代码，帮助其巩固网络安全防线。

本模块主要分为以下几个部分：
● 网络安全事件响应
● 数字取证调查
● 应用程序安全
本部分的所有工作任务素材或环境均已放置在指定的计算机上，选手的电脑中已经安装好 Office 软件并提供必要的软件工具 （Tools 工具包）。
赛题第二阶段请按裁判组专门提供的U盘中的“XXX-第2阶段-答题模板”中的要求提交答案。选手需要在U盘的根目录下建立一个名为“GWxx”的文件夹（xx用具体的工位号替代），所完成的“XXX-第2阶段-答题模板”放置在文件夹中作为比赛结果提交。

工作任务：
第一部分 网络安全事件响应(140分)

任务1：应急响应

A集团的WebServer服务器被黑客入侵，该服务器的Web应用系统被上传恶意软件，系统文
件被恶意软件破坏，您的团队需要帮助该公司追踪此网络攻击的来源，在服务器上进行全面
的检查，包括日志信息、进程信息、系统文件、恶意文件等，从而分析黑客的攻击行为，发
现系统中的漏洞，并对发现的漏洞进行修复。
本任务素材清单：Server服务器虚拟机。
受攻击的Server服务器已整体打包成虚拟机文件保存，请选手自行导入分析。
注意：Server服务器的基本配置参见附录，若题目中未明确规定，请使用默认配置。
请按要求完成该部分的工作任务。

任务 1：应急响应
1.提交攻击者的 IP 地址

这里直接查看Apache日志：less /var/log/apache2/access.log.1

这里我们发现192.168.1.7 有很大的扫描流量而且GET返回404 可以判断这个就是攻击者地址。

FLAG：192.168.1.7

2.识别攻击者使用的操作系统

上一题我我们知道了黑客IP地址，可以直接进行过滤：cat /var/log/apache2/access.log.1 | grep 192.168.1.7 | less

FLAG：Linux 86_64

3.找出攻击者资产收集所使用的平台

这里题目说的是资产收集 其实这里可以猜一下 fofa或者是shodan等

cat /var/log/apache2/access.log.1 | gerp 192.168.1.7 | grep https

4.提交攻击者目录扫描所使用的工具名称

这里第一题扫描 后面有显示工具（Web目录扫描工具）是：dirsearch

FLAG：DIRSEARCH

5 提交攻击者首次攻击成功的时间，格式：DD /MM/YY:HH:MM:SS

这里我们可以把 日志导入一个文件 方便我们搜索，这里得内容太多了大概几万条这里发现了不一样得日志很可疑，
执行了python脚本并且调用了id和whoami 说明是一个webshell 那我们可以推断攻击时间就是脚本执行访问得时间。

FLAG：24/Apr/2022:15:25:53

6 找到攻击者写入的恶意后门文件，提交文件名（完整路径）和后门密码

上一题就看到了但是这里需要绝对路径 可以find查找一下

当然是在网页下得所以是在/var/www/html下面的,传了一个1.php密码就是日志中得2022

FLAG：/var/www/html/data/avatar/1.php

7.找到攻击者隐藏在正常 web 应用代码中的恶意代码，提交该文件名（完整路径）

攻击者通过命令执行进行了反弹shell的操作 这里使用命令：grep -r -i "eval(\$_"

PS：这是一个搜索命令 就是包含这个关键字得所有都列出来

FLAG：/var/www/html/footer.php

8 识别系统中存在的恶意程序进程，提交进程名

查看定时任务：crontab -l 每次启动执行该脚本，所以答案是这个

FLAG：prism

9 找到文件系统中的恶意程序文件并提交文件名（完整路径）

上一题已经知道了：/root/.mal/prism

FLAG：/root/.mal/prism

主要是也是第一次错 不太会应急响应 已经高级的过滤规则 只能先这样把题目做出来 后面继续加油。

第二部分 数字取证调查(120分)

任务2： 网络数据包分析
A集团的网络安全监控系统发现恶意份子正在实施高级可持续攻击（APT），并抓取了部
分可疑流量包。请您根据捕捉到的流量包，搜寻出网络攻击线索，分解出隐藏的恶意程序，
并分析恶意程序的行为。
本任务素材清单：捕获的网络数据包文件。
请按要求完成该部分的工作任务。

任务 2： 网络数据包分析
1 分析并提交攻击者使用 FTP 连接目标服务器时使用的密码
2 分析并提交攻击者登入目标服务器 web 系统时使用的密码
3 分析并提交攻击者传入目标系统的文件名
4 分析并提交被攻击的服务器的计算机名称

第三部分 应用程序安全(90分)

任务3：代码审计
代码审计是指对源代码进行检查，寻找代码存在的脆弱性，这是一项需要多方面技能的
技术，作为一个高级软件开发者，代码安全作为你的日常工作中非常重要的一部分，因为大
部分代码从语法和语义上来说是正确的,你必须依赖你的知识和经验来完成工作。每个团队都
将获得一个代码列表，查看每一段代码然后回答答题卡里的问题。
本任务素材清单：答题模板上提供的代码片段。
请按要求完成该部分的工作任务。

任务 3：代码审计
1 存在脆弱性的代码行数
2 代码可能会受到的网络安全攻击类型
3 结合代码简述漏洞产生的原因

第三阶段竞赛项目试题

根据信息安全管理与评估技术文件要求，第三阶段为网络安全渗透（夺旗挑战CTF）。本
文件为信息安全管理与评估竞赛-第三阶段试题。

介绍：
夺旗挑战CTF（网络安全渗透）的目标是作为一名网络安全专业人员在一个模拟的网络环
境中实现网络安全渗透测试工作。
本模块要求参赛者作为攻击方，运用所学的信息收集、漏洞发现、漏洞利用等渗透测试
技术完成对网络的渗透测试；并且能够通过各种信息安全相关技术分析获取存在的Flag值。所需的设备、机械、装置和材料
所有测试项目都可以由参赛选手根据基础设施列表中指定的设备和软件完成。

评分方案
本测试项目模块分数为350分。
项目和任务描述：
在A集团的网络中存在几台服务器，各服务器存在着不同业务服务。在网络中存在着一定网络安全隐患，请利用你所掌握的渗透测试技术，通过信息收集、漏洞挖掘等渗透测试技术，完成指定项目的渗透测试，在测试中获取flag值。
本模块所使用到的渗透测试技术包含但不限于如下技术领域：
• 信息收集
• 逆向文件分析
• 二进制漏洞利用
• 应用服务漏洞利用
• 操作系统漏洞利用
• 杂项与密码学分析
• 系统文件分析
所有设备和服务器的IP地址请查看现场提供的设备列表。
特别提醒通过找到正确的flag值来获取得分，它的格式如下所示：flag{<flag值 >}
这种格式在某些环境中可能被隐藏甚至混淆。所以，注意一些敏感信息并利用工具把它找出来。赛题第三阶段请按裁判组专门提供的U盘中的“XXX-第3阶段-答题模板”中的要求提交答案。选手需要在U盘的根目录下建立一个名为“GWxx”的文件夹（xx用具体的工位号替代），所完成的“XXX-第3阶段-答题模板”放置在文件夹中作为比赛结果提交。
工作任务
任务1:答题系统服务器(30分)
服务器场景:web2
IP地址：
任务编号 任务描述
1答题系统存在隐藏信息，请找出隐藏信息，并将flag提交。flag
格式:flag{<flag值>}

任务2：渗透测试
C集团上新了一台新的服务器，需要您的团队对服务器进行风险评估，找出所有可能存在的漏洞，包
括但不限于敏感信息泄露、文件上传等漏洞。
本任务素材清单：Server服务器虚拟机、kali虚拟机
注意：靶机ip地址为：192.168.100.100/24，靶机为vmware桥接，请自行更改本机ip地址与其联通
1.写 出 所 有 的 任 意 文 件 下 载 漏 洞payload 并写出如何发现漏洞(注:写出所有的解题步骤并截图)（30 分）
2 题目：写出所有的敏感信息泄露漏洞并写出所有的payload(注:写出所有的解题步骤并截图)（20分）
3 题目：写出mysql数据库中的mysql库中的user表中user字段里d开头的用户名(注:写出所有的解题步骤并截图)（20分）
4 题目：写出wordpress的用户名以及密码(注:写出所有的解题步骤并截图)（30分）
5 题目：getshell并截图(注:写出所有的解题步骤并截图)（40分）
6 题目：现在拿到了一个www-data权限的webshell，接下来你会做什么操作，写出你的操作思路（20分）
请按要求完成该部分的工作任务。

任务3:Reverse(80分)
服务器场景:reverse
IP地址：自动获取
任务编号 任务描述
1登录FTP下载reverse.rar文件，用户名：ftp，密码：空解压该文件并分析程序reverse_0，请找出隐藏信息，并将flag提交。flag格式:flag{<flag值>}
2分析程序reverse_1，请找出隐藏信息，并将flag提交。flag格式:flag{<flag值>}
3分析程序reverse_2，请找出隐藏信息，并将flag提交。flag格式:flag{<flag值>}
4分析程序reverse_3，请找出隐藏信息，并将flag提交。flag格式:flag{<flag值>}

任务4:数据分析(100分)
服务器场景:ftp01
IP地址：自动获取
任务编号 任务描述
1从靶机服务器的FTP上下载capture.pcapng数据包，账号名：
ftp，密码：空，使用Wireshark分析数据包找出telnet服务器（路由器）的用户名和密码，并将密码作为Flag值提交。flag格式:flag{密码}
2使用Wireshark分析capture.pcapng数据流量包，telnet服务器是一台路由器，找出此台路由器的特权密码，并将密码作为Flag值提交。flag格式:flag{密码}
3使用Wireshark分析capture.pcapng数据流量包，telnet服务器是一台路由器，正在被192.168.181.141这台主机进行密码爆破，将此主机进行密码爆破的次数作为Flag值提交。flag格式:flag{爆破次数}
4使用Wireshark分析capture.pcapng数据流量包，ftp服务器已经传输文件结束，将登陆服务器后的第一条指令作为Flag值提交。flag格式:flag{第一条指令}
5使用Wireshark分析capture.pcapng数据流量包，ftp服务器已经传输文件结束，将建立FTP服务器的数据连接的次数作为Flag值提交。flag格式:flag{连接次数}
6使用Wireshark分析capture.pcapng数据流量包，ftp服务器已经传输文件结束，将登陆服务器后第一次使用数据连接的端口号作为Flag值提交。flag格式:flag{第一次连接端口}
7使用Wireshark分析capture.pcapng数据流量包，web服务器地址是192.168.181.250，其使用的脚本语言为php，将服务器使用php的版本号作为Flag值提交。flag格式:flag{php版本号}
8使用Wireshark分析capture.pcapng数据流量包，web服务器地址是192.168.181.250，将web服务器软件的版本号作为Flag值提交。flag格式:flag{web软件版本号}
9使用Wireshark分析capture.pcapng数据流量包，找出数据包当中所有HTTP状态码为404的报文，将这些报文的数量作为Flag值提交。flag格式:flag{报文数量}
10使用Wireshark分析capture.pcapng数据流量包，这些数据中有非常多的 ICMP 报文，其中有一个设备是路由器， IP 地址为192.168.181.25，将路由器上主动发出的ping请求的数量作为Flag值提交。flag格式:flag{请求数量}
11使用Wireshark分析capture.pcapng数据包文件，这些数据中有非常多的ICMP报文，这些报文中有大量的非正常ICMP报文，找出类型为定向的所有报文，将报文重定向的数量作为Flag值提交。flag格式:flag{重定向数量}
12使用Wireshark分析capture.pcapng数据包文件，这些数据中有ssh报文，由于ssh有加密功能，现需要将这些加密报文的算法分析出来，将ssh客户端支持的第一个算法的名称作为Flag值提交。flag格式:flag{第一个算法名称}
13使用Wireshark并分析capture.pcapng数据包文件，这些数据中有ssh报文，由于ssh有加密功能，现需要将这些加密报文的算法分析出来，将ssh服务器支持的第一个算法的密钥长度作为Flag值提交。flag格式:flag{第一个算法密钥长度}

任务5:开发测试服务器(60分)
服务器场景:web2
IP地址：
任务编号 任务描述
1开发测试服务器首页存在漏洞，请利用漏洞找出flag，并将flag提交。flag格式:flag{<flag值>}
2开发测试服务器第二个页面存在的漏洞，请利用漏洞找出flag，并将flag提交。flag格式:flag{<flag值>}
开发测试服务器第三个页面存在的漏洞，请利用漏洞找出flag， 3 并将flag提交。flag格式:flag{<flag值>}