2022年“网络安全”赛项湖南省赛选拔赛 任务书

2022年“网络安全”赛项湖南省赛选拔赛 任务书

    • 2022年“网络安全”赛项湖南省赛选拔赛 任务书
    • A模块基础设施设置/安全加固(200分)
    • B模块安全事件响应/网络安全数据取证/应用安全(400分)
    • C模块 CTF夺旗-攻击 (200分)
    • D模块 CTF夺旗-防御(200分)
    • 不懂可以私信吧博主!

2022年“网络安全”赛项湖南省赛选拔赛 任务书

A模块基础设施设置/安全加固(200分)

A-1任务一 登录安全加固(windows、linux)
请对windows、linux服务器按要求进行相应的设置,提高服务器的安全性。
1.密码策略(windows、linux)
(1)最小密码长度不少于8个字符、密码最短使用期限30天;
(2)密码策略必须同时满足大小写字母、数字、特殊字符。
2. 登录策略
(1)用户登录服务器系统时,应该有警告标题“warning”内容为“For authorized users only”提示信息。(windows)
(2)设置账户锁定阈值为 6 次错误锁定账户,锁定时间为 1 分钟,复位账户锁定计数器为 1 分钟之后。(windows)
(3)一分钟内仅允许5次登录失败的尝试,超过5次登录帐号锁定5分钟。(linux)
3.用户安全管理(Windows)
(1)在组策略中只允许管理员账号从网络访问本机。
(2)禁止发送未加密的密码到第三方 SMB 服务器;
(3)查找并删除服务器中可能存在的后门用户账户hacker。

A-2任务二 数据库加固(Linux)
1.删除默认数据库(test);
2.改变默认MySql管理员用户为:SuperRoot;
3.使用MySql内置MD5加密函数加密用户user1的密码为(P@ssw0rd1!);
4.赋予user1用户对数据库所有表只有select、insert、delete、update权限;
5. 对忘记mysql数据库SuperRoot管理员密码进行重置操作;

A-3任务三 服务加固 SSH\VSFTPD(Linux)
1.SSH 服务加固
(1)SSH 禁止 root 用户远程登录。
(2)设置 root 用户的计划任务。每天早上 7:50 自动开启 SSH 服务,22:50 关闭;每周六的 7:30 重新启动 SSH 服务。
(3)修改 SSH 服务端口为 2222。
2.VSFTPD 服务加固
(1)设置数据连接的超时时间为 2 分钟、无任何操作的超时时间为5分钟。
(2)设置站点本地用户访问的最大传输速率为1M。
(3)禁止匿名用户登录。
(4)关闭ascii模式下载,防止被用于DoS攻击。

A-4任务四 防火墙策略(Linux)
1.只允许转发来自 172.16.0.0/24 局域网段的DNS 解析请求数据包;
2.为确保安全,仅允许 172.16.10.0/24 网段内的主机通过 SSH 连接本机。
3.为防止Nmap扫描软件探测到关键信息,设置iptables防火墙策略对80、3306号端口进行流量处理;
4.为防御拒绝服务攻击,设置iptables防火墙策略对传入的流量进行过滤,限制每分钟允许3个包传入,并将瞬间流量设定为一次最多处理6个 数据包(超过上限的网络数据包将丢弃不予处理)。
5. 禁止任何机器 ping 本机。

B模块安全事件响应/网络安全数据取证/应用安全(400分)

B-1任务一:SMB信息收集
任务环境说明:
 服务器场景:Server(封闭靶机)
 用户名:administrator密码:未知
1.使用暴力破解工具对服务器的服务器信息块协议暴力破解,字典在服务器的网站的首页,将获取的密码作为flag提交;
2. 使用访问工具对服务器服务访问,将查看到最后一个共享文件名称作为flag提交;
3. 使用访问工具对服务器服务访问,将服务器中管理员桌面的文本文档里的内容作为flag提交;
4. 使用访问工具对服务器服务访问,将服务器中DNS2的地址作为flag提交;
5. 使用访问工具对服务器服务访问,将服务器中最后一个用户名作为flag提交;
6. 使用访问工具对服务器服务访问,将服务器中所有驱动器作为flag提交;

B-2任务二:数据包分析
任务环境说明:
 服务器场景:FServer0820
 服务器场景操作系统:未知(关闭连接)
 FTP用户名:infiltration密码:infiltration
1.登录FTP下载数据包文件infiltration.pacapng,找出恶意用户的IP地址,并将恶意用户的IP地址作为Flag(形式:[IP地址])提交;
2.分析出恶意用户扫描了哪些端口,并将全部的端口作为Flag(形式:[端口名1,端口名2,端口名3…,端口名n])从低到高提交;
3.恶意用户最终获得靶机的密码是什么,并将密码作为Flag(形式:[用户名]);
4.找出目的不可达的数据数量,并将目的不可达的数据数量作为Flag(形式:[数字])提交;
5.分析出恶意用户使用的最后一个一句话木马的密码是什么,并将一句话密码作为Flag(形式:[一句话密码])提交;
6.分析出被渗透主机的服务器系统OS版本全称是什么是,并将OS版本全称作为Flag(形式:[服务器系统OS版本全称])提交;

B-3任务三:SQL注入测试
任务环境说明:
 服务器场景:Server12
 服务器场景操作系统:未知(关闭链接)
 字典文件:kali系统:/桌面/dictmd5.txt
1.已知靶机存在网站系统,使用Nmap工具扫描靶机端口,并将网站服务的端口号作为Flag值(格式:Flag字符串)提交。
2.对靶机运行的网站系统进行扫描,并将后台登录页面的URL(不含host)作为Flag值提交。
3.对靶机运行的网站系统进行渗透测试,将管理员的用户名和密码作为Flag值(格式:用户名/密码)提交。
4.对靶机运行的网站系统进行渗透测试,将生成图片木马(使用提供的github.jpg以及webshell.asp,生成shell.jpg。)需要使用的命令作为Flag值提交。(系统:Windows7文件:/桌面/题目所需脚本/ShopXP系统SQL注入)
5.对靶机运行的网站系统进行渗透测试,将靶机Web目录下的唯一一个gif文件名作为Flag值提交。

B-4任务四:应用服务漏洞扫描与利用
任务环境说明:
 服务器场景:Server15
 服务器场景操作系统:未知(关闭链接)
1.使用命令nmap探测目标靶机的服务版本信息,将需要使用的参数作为FLAG进行提交;
2.通过上述端口访问靶机系统并探测隐藏的页面,将找到的敏感文件、目录名作为FLAG(形式:[敏感文件或目录1,敏感文件或目录2…,敏感文件或目录n])提交;
3.通过上述敏感文件或目录下载可利用的私钥和认证关键字文件,将私钥文件名和认证关键字文件名作为FLAG(形式:[私钥文件名,认证关键字文件名])进行提交;
4.查找认证关键字文件中用于登录靶机服务器的用户名,将用户名作为FLAG提交;
5.使用该用户名及私钥登录靶机服务器,将服务器返回信息的第一行结尾的最后一个英文单词作为FLAG提交;
6.将私钥文件进行格式转换后进行解密,将成功解密出的密码作为FLAG提交;
7.利用靶机服务器上的溢出程序进行提权,将接收用户输入的缓冲区的大小作为FLAG提交;
8.成功提权后将获得到的靶机/root下的唯一.txt文件的文件名作为FLAG(形式:[文件名])提交;
9.利用上述漏洞源码后将获得到的靶机/root下的唯一.txt文件的文件内容作为FLAG(形式:[文件内容])提交。

B-5任务五:网页渗透
任务环境说明:
 服务器场景:Server20
 服务器场景操作系统:未知(封闭靶机)
 用户名:未知 密码:未知
1.访问服务器的网站主页,猜测后台数据库中本网页中应用的库名称长度,将长度作为flag提交;
2.访问服务器的网站主页,猜测后台数据库中本网页中应用的库名称,将名称作为flag提交;
3.访问服务器的网站主页,猜测后台数据库中本页面中应用的表名称长度,将表名称长度作为flag提交;
4.访问服务器的网站主页,猜测后台数据库中本网页中应用的表名称,将名称作为flag提交
5.访问服务器的网站主页,猜测后台数据库中本页面中第二个应用的字段名称,将名作为flag提交。
6.访问服务器的网站主页,猜测后台数据库中本页面中ID为1的用户名,将用户名作为flag提交。

C模块 CTF夺旗-攻击 (200分)

一、项目和任务描述:
假定你是某企业的网络安全渗透测试工程师,负责企业某些服务器的安全防护,为了更好的寻找企业网络中可能存在的各种问题和漏洞。你尝试利用各种攻击手段,攻击特定靶机,以便了解最新的攻击手段和技术,了解网络黑客的心态,从而改善您的防御策略。
请根据《赛场参数表》提供的信息,在客户端使用谷歌浏览器登录答题平台。
二、操作系统环境说明:
客户机操作系统:Windows 10/Windows7
靶机服务器操作系统:Linux/Windows
三、漏洞情况说明:
1.服务器中的漏洞可能是常规漏洞也可能是系统漏洞;
2.靶机服务器上的网站可能存在命令注入的漏洞,要求选手找到命令注入的相关漏洞,利用此漏洞获取一定权限;
3.靶机服务器上的网站可能存在文件上传漏洞,要求选手找到文件上传的相关漏洞,利用此漏洞获取一定权限;
4.靶机服务器上的网站可能存在文件包含漏洞,要求选手找到文件包含的相关漏洞,与别的漏洞相结合获取一定权限并进行提权;
5.操作系统提供的服务可能包含了远程代码执行的漏洞,要求用户找到远程代码执行的服务,并利用此漏洞获取系统权限;
6.操作系统提供的服务可能包含了缓冲区溢出漏洞,要求用户找到缓冲区溢出漏洞的服务,并利用此漏洞获取系统权限;
7.操作系统中可能存在一些系统后门,选手可以找到此后门,并利用预留的后门直接获取到系统权限。
四、注意事项:
1.不能对裁判服务器进行攻击,警告一次后若继续攻击将判令该参赛队离场;
2.flag值为每台靶机服务器的唯一性标识,每台靶机服务器仅有1个;
3.选手攻入靶机后不得对靶机进行关闭端口、修改密码、重启或者关闭靶机、删除或者修改flag、建立不必要的文件等操作;
4.在登录自动评分系统后,提交靶机服务器的flag值,同时需要指定靶机服务器的IP地址;
5.赛场根据难度不同设有不同基础分值的靶机,对于每个靶机服务器,前三个获得flag值的参赛队在基础分上进行加分,本阶段每个队伍的总分均计入阶段得分,具体加分规则参照赛场评分标准;
6.本环节不予补时。

D模块 CTF夺旗-防御(200分)

一、项目和任务描述:
假定各位选手是某安全企业的网络安全工程师,负责若干服务器的渗透测试与安全防护,这些服务器可能存在着各种问题和漏洞。你需要尽快对这些服务器进行渗透测试与安全防护。每个参赛队拥有专属的堡垒机服务器,其他队不能访问。参赛选手通过扫描、渗透测试等手段检测自己堡垒服务器中存在的安全缺陷,进行针对性加固,从而提升系统的安全防御性能。
请根据《赛场参数表》提供的信息,在客户端使用谷歌浏览器登录答题平台。
二、操作系统环境说明:
客户机操作系统:Windows 10/Windows7
堡垒服务器操作系统:Linux/Windows
三、漏洞情况说明:
1.堡垒服务器中的漏洞可能是常规漏洞也可能是系统漏洞;
2.堡垒服务器上的网站可能存在命令注入的漏洞,要求选手找到命令注入的相关漏洞,利用此漏洞获取一定权限;
3.堡垒服务器上的网站可能存在文件上传漏洞,要求选手找到文件上传的相关漏洞,利用此漏洞获取一定权限;
4.堡垒服务器上的网站可能存在文件包含漏洞,要求选手找到文件包含的相关漏洞,与别的漏洞相结合获取一定权限并进行提权;
5.操作系统提供的服务可能包含了远程代码执行的漏洞,要求用户找到远程代码执行的服务,并利用此漏洞获取系统权限;
6.操作系统提供的服务可能包含了缓冲区溢出漏洞,要求用户找到缓冲区溢出漏洞的服务,并利用此漏洞获取系统权限;
7.操作系统中可能存在一些系统后门,选手可以找到此后门,并利用预留的后门直接获取到系统权限。
四、注意事项:
1.每位选手需要对加固点和加固过程截图,并自行制作系统防御实施报告,最终评分以实施报告为准;
2.系统加固时需要保证堡垒服务器对外提供服务的可用性;
3.不能对裁判服务器进行攻击,警告一次后若继续攻击将判令该参赛队离场;
4.本环节不予补时。
二、说明:
1.所有截图要求截图界面、字体清晰;
2.文件名命名及保存:网络安全模块D-XX(XX为工位号),PDF格式保存;
3.文件保存到U盘提交。

不懂可以私信吧博主!

需要环境 主页有微信 欢迎大家交流学习!

你可能感兴趣的:(网络空间安全,web安全,服务器,数据库)