2019年全国职业院校技能大赛中职组“网络空间安全”赛卷十

2019年全国职业院校技能大赛中职组

“网络空间安全”赛卷十

一、竞赛阶段

二、拓扑图

PC机环境：

物理机：Windows7；

虚拟机1：Ubuntu Linux 32bit（用户名：root；密码：123456）,安装工具集：Backtrack5,安装开发环境：Python3；

虚拟机2：Kali1.0（用户名：root；密码：toor）；

虚拟机3：Kali2.0（用户名：root；密码：toor）；

虚拟机4：WindowsXP（用户名：administrator；密码：123456）。

三、竞赛任务书

（一）第一阶段任务书（700分）

任务1. Wireshark数据包分析（100分）

任务环境说明：

✓服务器场景：PYsystem20191

✓服务器场景操作系统：Windows（版本不详）

1.使用Wireshark查看并分析PYsystem20191桌面下的capture

2.pcap 数据包文件，通过分析数据包capture2.pcap，找到黑客攻击Web服务器的数据包，并将黑客使用的IP地址作为Flag值（例如：192.168.10.1）提交；（9分）

2.使用Wireshark查看并分析PYsystem20191桌面下的capture2.pcap 数据包文件，通过设置过滤规则，要求只显示三次握手协议过程中的RST包以及实施攻击的源IP地址，将该过滤规则作为Flag值（存在两个过滤规则时，使用and连接，提交的答案中不包含空格，例如tcp.ack and ip.dst == 172.16.1.1

则Flag为tcp.ackandip.dst==172.16.1.1）提交；（17分）

3.继续分析数据包capture2.pcap，找到黑客扫描Web服务器的数据包，将Web服务器没有被防火墙过滤掉的开放端口号作为Flag值（若有多个端口，提交时按照端口号数字的大小排序并用英文逗号分隔，例如：

77,88,99,166,1888）提交；（15分）

4.继续分析数据包capture2.pcap，找到黑客攻击Web服务器的数据包，将Web服务器Nginx服务的版本号作为Flag值提交；（15分）

5.继续分析数据包capture2.pcap，找到黑客攻击Web服务器的数据包，将该服务器网站数据库的库名作为Flag值提交；（13分）

6.继续分析数据包capture2.pcap，找出黑客成功登录网站后台管理页

面所使用的用户名和密码，将使用的用户名和密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；（13分）

7.继续分析数据包capture2.pcap，找出黑客开始使用sqlmap发起sql

注入攻击的时间，将发起sql注入攻击的时间作为Flag值（例如：16:35:14）提交；（9分）

8.继续分析数据包capture2.pcap，找出黑客结束使用sqlmap的时间，

将结束使用sqlmap的时间作为Flag值（例如：16:35:14）提交。（9分）任务2. 漏洞扫描与利用（100分）

任务环境说明：

✓服务器场景：PYsystem20191

✓服务器场景操作系统：Windows（版本不详）

1.通过本地PC中渗透测试平台Kali

2.0对服务器场景PYsystem20191以

半开放式不进行ping的扫描方式，要求扫描信息输出格式为xml文件格式，从生成扫描结果获取局域网（例如172.16.101.0/24）中存活靶机，以xml格式

向指定文件输出信息（使用工具Nmap，使用必须要使用的参数），并将以xml

格式向指定文件输出信息必须要使用的参数作为Flag值提交；（13分）

2.根据第1题扫描的回显信息分析靶机服务开放端口，分析开放的服务，并将共享服务（445/tcp）的开放状态作为Flag值提交；（11分）

3.在本地PC的渗透测试平台Kali2.0中，使用命令初始化MSF数据库，

并将使用的命令作为Flag值提交；（13分）

4.在本地PC的渗透测试平台Kali2.0中，打开MSF，使用db_import将

扫描结果导入到数据库中，并查看导入的数据，将查看该数据要使用的命令作

为Flag值提交；（15分）

5.在msfconsole使用search命令搜索MS17010漏洞利用模块，并将回

显结果中的漏洞公开时间作为Flag值提交；（17分）

6.在msfconsole中利用MS17010漏洞攻击模块，将调用此模块的命令作

为Flag值提交；（9分）

7.在上一步的基础上查看需要设置的选项，并将回显中必须设置的选项

名作为Flag值提交；（11分）

8.使用set命令设置目标IP（在第7题的基础上），并检测漏洞是否存在，将回显结果中最后一个单词作为Flag值提交。（11分）

任务3. Web渗透测试（100分）

任务环境说明：

✓服务器场景：PYsystem20192（用户名：root；密码：123456）

✓服务器场景操作系统：PYsystem20192（版本不详）

1.通过本地PC中渗透测试平台Kali1.0对服务器场景PYsystem20192进

行Web渗透测试（使用工具w3af的对目标Web服务器进行审计），在w3af的命令行界面下，使用命令列出所有用于审计的插件，将该操作使用的命令作为

Flag值提交；（9分）

2.通过本地PC中渗透测试平台Kali1.0对服务器场景PYsystem20192进