简介这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯信息安全管理与评估赛项的官方任务书面向备赛的高职院校选手、指导教师以及信息安全实训学习者可用于还原赛场任务、开展专项训练与教学演练。资源包共1个PDF文件约287KB篇幅紧凑却完整保留了赛项时间安排、三阶段任务划分与分值分布、网络拓扑与IP地址规划表、设备初始化信息等核心内容。任务覆盖网络平台搭建、网络安全设备配置与防护、IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护以及分组对抗中的系统加固与攻防分值从30分到300分不等能帮助读者理解竞赛评分逻辑与任务边界。目前已有323人学习适合作为赛题复盘、课堂案例与实训任务设计的参考底稿。1. 信息安全管理与评估赛项先看清 1000 分怎么分布再决定练什么信息安全管理与评估这类赛项最反直觉的一点是很多人一上来就抱着工具练命令结果第一阶段 300 分丢得莫名其妙。真正拉开差距的不是会不会敲命令而是知不知道分在哪、文档怎么交、哪些操作必须截图。这份任务书总分 1000 分分三个阶段第一阶段平台搭建与配置 300 分第二阶段系统安全攻防及运维安全管控 300 分第三阶段分组对抗 400 分。前两阶段要交操作文档第三阶段看现场要求。换句话说这是一场“动手 留痕 对抗”的综合考试适合已经有一定网络与系统基础、想通过真题摸清考点分布的备考者。下面按考点模块拆开讲每章都落到能直接背、直接练的层面。2. 第一阶段考点网络平台搭建与安全设备配置的 300 分怎么拿第一阶段是整个赛项的地基300 分里任务一网络平台搭建 60 分任务二网络安全设备配置与防护 240 分。这一阶段的评分逻辑很直接设备配没配对、截图全不全、文档命名对不对。很多考生栽的不是技术而是“做了但没交对”。先把这一阶段的考点结构和答题套路吃透后面两阶段才有稳定心态。2.1 网络平台搭建IP 规划与 VLAN 划分的固定套路任务一只有 7 道题但每道题都踩在“最节省 IP 地址”这个要求上。题目明确写了子网有效地址规划遵循 2^n-2 原则选手要自己分配 IP 地址段、设备互联接口并填入“赛场 IP 参数表”。这类题通常这么答先按拓扑图数清每个网段需要多少可用地址向上取到 2^n-2 能满足的最小 n再划子网。设备侧要配的是 WAF、DCRS、DCFW、DCFS、DCBI 五台设备的名称和各接口 IPDCRS 上还要建 VLAN 并把接口划进去最后用静态路由打通全网。答题时最容易忽略的是提交要求DCRS 要提供 show run 配置文件保存到 WORDDCFW、DCFS、WAF、DCBI 要提交配置过程截图并加配置说明。也就是说你配得再对截图里没写清楚“这是在配哪个接口的哪个地址”阅卷就可能不给分。建议每配完一台设备立刻截图、立刻写一句说明不要攒到最后。下面是一段 DCRS 上建 VLAN 并划接口的典型配置思路命令按通用三层交换机语法写实际以赛场设备为准# 进入全局配置模式 enable configure terminal # 创建业务 VLAN vlan 10 name server_zone vlan 20 name user_pc1 vlan 30 name user_pc2 vlan 40 name dcbi_zone vlan 100 name direct_server vlan 110 name direct_user exit # 将接口划入对应 VLAN以 VLAN20 为例 interface ethernet 1/1 switchport mode access switchport access vlan 20 exit # 配置 VLAN 接口地址地址按赛场 IP 参数表填写 interface vlan 20 ip address x.x.x.x 255.255.255.0 no shutdown exit这段配置的关键点在三个地方VLAN 号要和拓扑图、IP 规划表一一对应接口划入 VLAN 前要确认接口模式是 accessVLAN 接口地址必须落在“赛场 IP 参数表”给定的可用范围内。参数怎么改只改 VLAN 号和 ip address 两处其余结构不动。失败时先看show vlan确认接口有没有真的进 VLAN再看show ip interface brief确认 VLAN 接口是否 up。静态路由部分通常是ip route 0.0.0.0 0.0.0.0 下一跳或按网段写明细写完后用 ping 逐段验证别等全部配完再测。2.2 安全设备配置DCFW、DCFS、DCBI、WAF 的高频题型任务二 240 分、40 道题平均每题 6 分题量非常大。按设备拆开看DCFW 占前 10 题考的是 SNMP、安全域、DDoS 防护、管理权限、时间策略、WEB 认证、地址映射、源 NAT、ARP 防护、会话与带宽限制、SSL VPNDCFS 占第 11 到 18 题考账户权限、应用控制、URL 过滤、协议端口封禁、主机列表用户名显示、地址段封禁、带宽通道DCBI 占第 19 到 26 题考账户、旁路部署、邮件告警、日志外发、URL 监控、即时聊天监控、邮件监控、MAC 地址获取DCRS 占第 27 到 33 题考 enable 密码、SSH 管理、广播风暴抑制、SNMP、ARP 保护与 MAC 访问控制、用户认证、DHCPWAF 占第 34 到 40 题考服务器发布与日志外发、告警方式、WEB 攻击防护、CC 防护、IP 封禁、安全评估、敏感字段过滤。这类题的答题套路高度一致先定位设备再定位功能菜单配完截图截图里带说明。以第 6 题为例要求 DCST 通过互联网被访问公网地址用第三个可用地址且仅允许 PC-3 访问。面试官最想听的是你有没有“先映射、再限制源”的顺序意识先做目的 NAT 把公网地址映射到 DCST 内网地址再在安全策略里只放行 PC-3 的源地址最后验证。顺序反了策略可能被默认拒绝规则挡住。再看第 33 题 DHCP 配置要求地址池名 pool-vlan110、DNS 为两个指定地址、租期 2 天、网段最后 20 个可用地址不能动态分配。这道题的失分点几乎全在“排除地址”上很多人只配了地址池忘了排除。通用思路如下# 在 DCRS 上配置 DHCP 地址池 ip dhcp pool pool-vlan110 network x.x.x.x 255.255.255.0 default-router x.x.x.x dns-server 114.114.114.114 8.8.8.8 lease 2 exit # 排除网段最后 20 个可用地址按实际网段换算起止地址 ip dhcp excluded-address x.x.x.起 x.x.x.止参数说明network 写 VLAN110 网段default-router 写网关lease 单位是天excluded-address 的起止要按 2^n-2 算出的可用地址范围取最后 20 个。失败时用show ip dhcp binding看分配结果用show ip dhcp pool确认排除段是否生效。这类题不复杂但 6 分一道错三道就是 18 分血泪经验就是“配完一定回读一遍题目要求”。提示第一阶段所有文档命名格式是“第 X 阶段”-“任务 X”-“任务名称”且工位信息只允许在根目录文件夹名里出现一次其他文件夹或文件名再出现就按作弊处理。这个细节每年都有人翻车。3. 第二阶段考点系统攻防与运维管控的八类任务拆解第二阶段 300 分八个任务IIS 安全加固与证书签发 30 分、数据库攻防与加固 40 分、CSRF 攻击 40 分、XSS 攻击 40 分、密码嗅探 40 分、文件包含攻击 40 分、SQL 注入攻击 40 分、Linux 操作系统安全防护 30 分。这一阶段的特点是“每一步都要截图 文字说明”评分看的是过程完整性不是只看最终结果。下面挑分值高、套路最固定的几类讲透。3.1 数据库攻防与加固审计、权限、匿名用户三件事数据库任务 8 道题 40 分核心围绕 MySQL 的启动项加固和权限管理。第 1 题要求所有访问能被审计通过对 mysqld 启动项加固实现第 7 题禁止本地文件存取第 8 题限制一般用户浏览其他用户数据库同样落在启动项。这类题的答题思路是找到 my.cnf 或启动脚本加审计与安全相关参数重启服务截图配置文件改动处。第 3、4 题是一组连环题先查出能从任何 IP 访问的用户再用 grants 命令把它限制为只能从公司 PC 访问。这考的是mysql.user表里 host 字段为%的记录。答题时先执行查询把结果截屏再用 GRANT/REVOKE 改 host改完再查一次证明生效。第 5 题查匿名用户并删除第 6 题把 root 改名 admin 防列举。这一组题面试官最想听的是“先发现、再加固、再验证”的闭环而不是直接上来就改。-- 查看所有用户及 host定位可从任意 IP 访问的账号 SELECT user, host FROM mysql.user; -- 将某用户限制为只能从指定内网地址访问 -- 先收回原权限再按新 host 重新授权 REVOKE ALL PRIVILEGES ON *.* FROM someuser%; GRANT ALL PRIVILEGES ON *.* TO someuserx.x.x.x IDENTIFIED BY 密码; FLUSH PRIVILEGES; -- 查找并删除匿名用户 SELECT user, host FROM mysql.user WHERE user ; DROP USER localhost;参数说明%表示任意主机改成具体 IP 就限定了来源FLUSH PRIVILEGES让权限表立即生效匿名用户判断条件是 user 为空字符串。失败时先看SELECT user, host FROM mysql.user确认改动是否落库再看服务是否重启成功。第 2 题防火墙只允许端口项规则里不要带源地址这是“只包含端口项”的字面要求很多人画蛇添足加了源地址反而丢分。3.2 CSRF、XSS、密码嗅探、文件包含四类 Web 攻击的固定答题链这四类任务各 40 分题型结构惊人地相似先分析页面源程序找提交变量名再用抓包或注入获取凭据最后验证攻击效果。以 CSRF 为例第 1 题分析登录页面源程序找变量名第 2 题启动抓包设定过滤条件第 3 题从监听数据里分析出用户名密码第 4 题登录后分析引用变量名第 5 题修改恶意程序 test.php 使登录密码变为指定值第 6 题执行攻击第 7 题用检查程序测试返回结果。整条链就是“找入口 → 抓数据 → 取凭据 → 改程序 → 验证”。XSS 任务的链条是先做简单注入弹窗确认漏洞存在再读 accept_cookie.php 找到存放 cookie 的文件并用ls -l列表然后注入窃取 cookie 的代码把访问者 cookie 上传到接收端最后通过修改 PC 的 cookie 绕过登录直接进入指定页面。密码嗅探任务则是用 Wireshark 分别过滤 telnet、ftp、http 协议配合自动连接程序抓取明文凭据再分析 tomcat 8180 管理页面的提交方法和变量名。文件包含任务先用页面源程序找变量名抓包取凭据登录再用文件包含漏洞读取 passwd 文件最后按社会工程学原理破解 test1、test2、test3 的密码。这四类题共同的易错点是“截图不含关键信息”。比如 XSS 第 5 题明确要求截屏中必须包括自动浏览程序的用户名否则无效文件包含第 4 题要求截屏必须包含 URL。答题时每做一步先想“这道题要证明什么”截图就把那个证据框进去。抓包题的过滤条件也要写对题目说“包含协议和端口”就同时写协议和端口只写协议会被扣分。3.3 SQL 注入与 Linux 安全防护工具链与配置项的双线考法SQL 注入任务 6 题 40 分考的是从扫描到利用的完整流程先用扫描器识别注入点和 URL再手工用 and 11与 and 12比对确认注入点然后用 sqlmap 分别做 GET 型、POST 型、登录认证型注入最后 dump 管理员加密密码并破解登录。这类题的答题思路是“先证明存在、再证明可利用、最后证明能拿到权限”。sqlmap 的常用参数要熟-u指定 URL--data提交 POST 数据--dbs列数据库--dump导出数据。每一步的输出都要截图尤其是数据库名、表名、密码字段。Linux 安全防护 9 题 30 分全是配置文件改动禁 root 直接 SSH 登录、密码最小长度 8 位、错误登录 10 次锁定 10 分钟、umask 设为 027、自编脚本找 SUID/SGID 文件、找所有人可写目录、登录超时 10 分钟、syslog 日志外发、创建 UID 为 0 的账号并用一行命令查出所有 UID 为 0 的账号。最后一题的一行命令是高频考点# 查找系统中所有 UID 为 0 的账号含后门账号 awk -F: $30 {print $1} /etc/passwd参数说明-F:以冒号为分隔符$3是第三列即 UID条件为 0 时打印第一列用户名。这道题考的是“你能不能发现别人留的后门”答题时先创建 UID 为 0 的账号再用这条命令把它查出来两张截图一前一后形成证据链。自编脚本题不要写太复杂用 find 加权限位判断即可关键是脚本能跑、结果能截屏。注意第二阶段每个任务单独一个 WORD 文档命名同样是“第 X 阶段”-“任务 X”-“任务名称”文档里要标题号、按顺序答题、关键步骤截屏加文字说明。文档结构乱是这一阶段最常见的隐性失分。4. 第三阶段考点分组对抗 400 分的加固与攻防节奏第三阶段 400 分系统加固 100 分、系统攻防 300 分时间只有 45 分钟加固加 45 分钟对抗。这一阶段的规则比技术更致命任何时候不能关闭 80 端口否则停止比赛、第三阶段 0 分不能攻击裁判服务器否则同样 0 分服务器 FLAG 被他人取得并提交立刻结束比赛离场。换句话说这是一场“守住自己 适度进攻”的博弈先保证不违规、不丢 FLAG再谈拿分。4.1 十五分钟加固窗口先堵高危漏洞再谈其他题目给了一份漏洞列表包括 SQL 注入、跨站、表单提权、COOKIE 漏洞等加固常规漏洞取得 KEY 提交到裁判服务器加固系统漏洞取得 FLAG 提交。这类题的答题顺序通常是先处理能直接导致 FLAG 泄露的高危漏洞再处理一般漏洞。SQL 注入和跨站是 Web 层最常见的入口优先检查参数过滤和输出编码表单提权和 COOKIE 漏洞往往和会话管理相关检查权限校验和 cookie 属性。十五分钟很短不可能把所有漏洞都修完。面试官最想听的是你的优先级判断哪些漏洞一旦被利用就直接丢 FLAG哪些可以放到对抗阶段边打边补。答题时把加固动作和 KEY 获取对应起来每修一个漏洞就提交一次 KEY别攒着。系统漏洞的 FLAG 获取通常需要更深的权限放在常规漏洞之后处理。4.2 对抗阶段的攻防取舍守得住比打得多更重要进入对抗环节后你可以继续加固自己的服务器也可以攻击其他组的保护服务器。这里有一个反直觉的策略攻击收益不确定但丢 FLAG 的代价是直接出局。所以合理的节奏是先用一部分时间确认自己的 80 端口正常、关键服务可用、FLAG 未被取走再考虑对外攻击。攻击时也要注意不能碰裁判服务器网段要按现场参数表确认清楚打错目标直接 0 分。这类对抗题没有标准答案但有一条通用原则任何操作前先问“这个动作会不会让我违规出局”。关闭 80 端口、攻击裁判服务器、改错目标网段这三件事任意一件发生400 分就没了。把这条原则当成黑匣子里的红线每次动手前过一遍。5. 易错点复盘五类最容易丢分的题和改法5.1 文档命名与工位信息错一个字就按作弊处理错在哪文件夹或文件名里重复出现工位信息或者文档命名格式不对。为什么错任务书明确只允许根目录“xx 工位”文件夹体现一次工位信息其他位置再出现按作弊处理文档命名要求“第 X 阶段”-“任务 X”-“任务名称”。怎么答对建文件夹时只建一层工位目录下面直接放“第一阶段”“第二阶段”文档名严格套格式交卷前逐个文件核对一遍。5.2 IP 规划不按 2^n-2地址浪费或不够用错在哪子网划大导致地址浪费或划小导致可用地址不够。为什么错题目要求最节省 IP 地址且有效地址规划遵循 2^n-2 原则阅卷会核对规划表。怎么答对先数每个网段需要的可用地址数加 2 后向上取 2 的幂反推前缀长度再填表。填完用计算器复核每个网段的起止地址。5.3 截图缺关键证据做了但证明不了错在哪XSS 题截屏没带自动浏览程序用户名文件包含题截屏没带 URL配置题截图没写说明。为什么错评分看的是截图里的证据不是你的操作过程。怎么答对每道题先读一遍“截屏必须包含什么”截图时把那个元素框进画面配置类截图旁边加一句“正在配置某设备某接口某地址”。5.4 安全设备策略顺序反了先限制后映射导致访问不通错在哪做目的 NAT 和源地址限制时顺序颠倒策略被默认规则挡住。为什么错安全设备策略匹配有先后映射和放行的逻辑顺序影响结果。怎么答对先做地址映射再写放行策略最后用指定源实际访问验证一次不通就查策略命中计数。5.5 对抗阶段碰红线关 80 端口或打裁判服务器错在哪加固时顺手关了 80 端口或扫描时扫到裁判服务器网段。为什么错任务书明确这两种行为直接判停止比赛、第三阶段 0 分。怎么答对加固前确认 80 端口保持开启攻击前对照现场参数表确认目标网段拿不准就不打。6. 考场答题节奏把 1000 分拆成可执行的时间块这场赛项 9:00 到 13:00 共 6 小时含赛题发放、收卷和午餐时间中场 13:30 到 14:00 收卷第三阶段 14:00 开始。时间看着充裕但前两阶段题量大、截图多真正能用来“想”的时间很少。我的建议是把时间切成块第一阶段平台搭建控制在 90 分钟内因为它是后面所有题的基础安全设备配置 40 道题按每题 3 到 4 分钟推进配完立刻截图写说明第二阶段八类任务按分值分配40 分的任务给 25 到 30 分钟30 分的给 20 分钟留出 20 分钟统一检查文档命名和截图完整性。下面这张表是我按任务书分值整理的答题优先级可以直接拿来当考场检查清单阶段任务分值建议用时交卷要点第一阶段网络平台搭建6090 分钟show run 存 WORD配置截图加说明第一阶段安全设备配置与防护240150 分钟每题截图按题号顺序第二阶段IIS 加固与证书3020 分钟申请与颁发过程都要截屏第二阶段数据库攻防与加固4030 分钟发现、加固、验证三段截图第二阶段CSRF/XSS/嗅探/文件包含各 40各 25 分钟截图含变量名、凭据、URL第二阶段SQL 注入4030 分钟扫描、手工确认、工具利用全留痕第二阶段Linux 安全防护3020 分钟配置文件改动前后对比第三阶段系统加固10015 分钟先高危后一般KEY 及时提交第三阶段系统攻防30045 分钟守 80 端口不碰裁判服务器这张表不是让你死卡时间而是让你在某个任务卡住时知道“该不该继续耗”。比如安全设备某道题配了 5 分钟还不通先截图记录当前状态、写一句“已尝试某配置未生效”跳到下一题最后回头补。考场上的后悔药就是“先拿能拿的分”。从那以后我每次带人练这套题都强制走一遍“读题圈关键词 → 配完立刻截图 → 文档命名核对”的流程哪怕时间再紧也不省这一步。希望帮到你。本文还有配套的精品资源点击获取
