一、竞赛项目简介：

“网络安全”竞赛共分A:理论技能与职业素养；B:网络安全事件响应、数字取证调查和应用安全；C:CTF 夺旗-攻击；D:CTF 夺旗-防御等四个模块。竞赛时间安排和分值权重。

二、竞赛注意事项

1.竞赛期间禁止携带和使用移动存储设备、计算器、通信工具及参考资料。
2.请根据大赛所提供的竞赛环境，检查所列的硬件设备、软件清单、材料清单是否齐全，计算机设备是否能正常使用。
3.在进行任何操作之前，请阅读每个部分的所有任务。各任务之间可能存在一定关联。
4.操作过程中需要及时按照答题要求保存相关结果。竞赛结束后，所有设备保持运行状态，评判以最后提交的成果为最终依据。
5.竞赛完成后，竞赛设备、软件和赛题请保留在座位上，禁止将竞赛所用的所有物品(包括试卷等)带离赛场。
6.禁止在提交资料上填写与竞赛无关的标记，如违反规定，可视为0分。

模块A: 理论技能与职业素养

一、单选题（每题2分，共70分）

1、应急事件响应和恢复措施的目标是（ ）。
A、保证信息安全
B、最小化事件的影响
C、找出事件的责任人
D、加强组织内部的监管

2、下列数据类型不属于静态数据提取的数据类型（ ）。
A、系统日志
B、系统进程
C、网络数据包
D、文件元数据

3、安全评估的方法不包括（ ）。
A、风险评估
B、威胁建模
C、减少漏洞
D、渗透测试

4、以下不属于入侵监测系统的是（ ） 。
A、 AAFID系统
B、 SNORT系统
C、 IETF系统
D、 NETEYE系统

5、通过TCP序号猜测，攻击者可以实施下列哪一种攻击？（ ）
A、 端口扫描攻击
B、 ARP欺骗攻击
C、 网络监听攻击
D、 TCP会话劫持攻击

6、下面不是数据库的基本安全机制的是（ ） 。
A、 用户认证
B、 用户授权
C、 审计功能
D、 电磁屏蔽

7、假设创建了名为f的实例，如何在f中调用类的add_food函数？（ ）
A、 f(add_food())
B、 f.[add_food()]
C、 f.add_food
D、 f.add_food()

8、aspx 的网站配置文件一般存放在哪个文件里？（ ）
A、 conn.asp
B、 config.php
C、 web.config
D、 index.aspx

9、一个基于特征的IDS应用程序需要下列选项中的哪一项来对一个攻击做出反应？（ ）
A、 正确配置的DNS
B、 正确配置的规则
C、 特征库
D、 日志

10、完成数据库应用系统的设计并进行实施后，数据库系统进入运行维护阶段。下列工作中不属于数据库运行维护工作的是（ ） 。
A、 恢复数据库数据以核查问题
B、 为了保证安全，定期修改数据库用户的密码
C、 更换数据库服务器以提高应用系统运行速度
D、 使用开发人员提供的SQL语句易始化数据库中的表

11、以下不属入侵检测中要收集的信息的是（ ） 。
A、 系统和网络日志文件
B、 目录和文件的内容
C、 程序执行中不期望的行为
D、 物理形式的入侵信息

12、POP3服务器使用的监听端口是？（ ）
A、 TCP的25端口
B、 TCP的110端口
C、 UDP的25端口
D、 UDP的110端口

13、目标计算机与网关通信失败，更会导致通信重定向的攻击形式是？（ ）
A、 病毒
B、 木马
C、 DOS
D、 ARP欺骗

14、________的目的是发现目标系统中存在的安全隐患，分析所使用的安全机制是否能够保证系统的机密性、完整性和可用性。（ ）
A、 漏洞分析
B、 入侵检测
C、 安全评估
D、 端口扫描

15、以下哪一项描述不正确？（ ）
A、 ARP是地址解析协议
B、 TCP/IP传输层协议有TCP和UDP
C、 UDP协议提供的是可靠传输
D、 IP协议位于TCP/IP网际层

16、如果想在类中创建私有方法，下面哪个命名是正确的？（ ）
A、 _add_one
B、 add_one
C、 add_one
D、 add_one

17、MD5的主循环有（ ） 轮。
A、 3
B、 4
C、 5
D、 8

18、根据网络安全应急处理流程，应急启动后，应该进行哪一步（ ） 。
A、 归类&定级
B、 应急处置
C、 信息通报
D、 后期处理

19、( )是一种架构在公用通信基础设施上的专用数据通信网络，利用 IPSec 等网络层安全协议和建立在 PKI 上的加密与签名技术来获得私有性。（ ）
A、 SET
B、 DDN
C、 VPN
D、 PKIX

20、假设系统中有n个用户，他们使用对称加密体制实现保密通信，那么系统中共需要管理（ n(n-1)/2）个密钥，每个用户需要保存（ ） 个密钥。
A、 n-1
B、 2n
C、 Cn2
D、 n！

21、什么是数据库安全的第一道保障（ ）
A、 操作系统的安全
B、 数据库管理系统层次
C、 网络系统的安全
D、 数据库管理员

22、下列方法中不能用来进行DNS欺骗的是？（ ）
A、 缓存感染
B、 DNS信息劫持
C、 DNS重定向
D、 路由重定向

23、下列选项哪列不属于网络安全机制？（ ）
A、 加密机制
B、 数据签名机制
C、 解密机制
D、 认证机制

24、部署大中型 IPSEC VPN 时，从安全性和维护成本考虑，建议采取什么样的技术手段提供设备间的身份验证。（ ）
A、 预共享密钥
B、 数字证书
C、 路由协议验证
D、 802.1x

25、现今非常流行的SQL（数据库语言）注入攻击属于下列哪一项漏洞的利用？（ ）
A、 域名服务的欺骗漏洞
B、 邮件服务器的编程漏洞
C、 WWW服务的编程漏洞
D、 FTP服务的编程漏洞

26、维吉利亚(Vigenere)密码是古典密码体制比较有代表性的一种密码，其密码体制采用的是（ ）
A、 置换密码
B、 单表代换密码
C、 多表代换密码
D、 序列密码

27、如果VPN网络需要运行动态路由协议并提供私网数据加密,通常采用什么技术手段实现（ ） 。
A、 GRE
B、 GRE+IPSEC
C、 L2TP
D、 L2TP+IPSEC

28、过滤所依据的信息来源不包括？（ ）
A、 IP包头
B、 TCP包头
C、 UDP包头
D、 IGMP包头

29、bind9的日志默认保存在？（ ）
A、 /var/log/named.log
B、 /var/log/named/named.log
C、 /var/named/data/named.run
D、 /var/log/data/named.run

30、一个完整的密码体制，不包括以下（ ）要素。
A、 明文空间
B、 密文空间
C、 数字签名
D、 密钥空间

31、Linux系统中，添加用户的命令是？（ ）
A、 net user test /add
B、 user add test
C、 useradd test
D、 test useradd

32、以下关于正则表达式，说法错误的是？（ ）
A、 ‘root’表示匹配包含root字符串的内容
B、 ‘.’表示匹配任意字符
C、 [0-9]表示匹配数字
D、 ‘^root’表示取反

33、将用户user123修改为管理员权限命令是 （ ） 。
A、 net user localgroup administrators user123 /add
B、 net use localgroup administrators user123 /add
C、 net localgroup administrators user123 /add
D、 net localgroup administrator user123 /add

34、VIM模式切换的说法中，正确的是？（ ）
A、 命令模式通过i命令进入输入模式
B、 输入模式通过:切换到末行模式
C、 命令模式通过ESC键进入末行模式
D、 末行模式通过i进入输入模式

35、在常见的安全扫描工具中，以下（ ） 主要用来分析Web站点的漏洞，可以针对数千种常见的网页漏洞或安全风险进行检测。
A、 SuperScan
B、 Fluxay（流光）
C、 Wikto
D、 MBSA

二、多选题（每题3分，共30分）

1、在动态易失数据提取及固定过程中，为了提高数据准确性，以下( )技术不对数据传输造成影响
A、数据库触发器
B、数据加密技术
C、数据压缩校验
D、网络延迟

2、在应急响应流程中，以下( )方法适合收集信息。
A、监控系统
B、系统日志分析
C、询问用户
D、随机抽样调查
E、发布公告

3、关于函数中变量的定义，哪些说法是正确的?( )
A、即使函数外已经定义了这个变量，函数内部仍然可以定义
B、如果一个函数已经定义了name变量，那么其他的函数就不能再定义
C、函数可以直接引用函数外部定义过的变量
D、函数内部只能定义一个变量

4、下面标准可用于评估数据库的安全级别的有( )
A、TCSEC
B、IFTSEC
C、CC DBMS.PP
D、GB17859-1999

5、安全的网络通信必须考虑以下哪些方面?( )
A、加密算法
B、用于加密算法的秘密信息
C、秘密信息的分布和共享
D、使用加密算法和秘密信息以获得安全服务所需的协议

6、RC4加密算法被广泛应用，包括( )
A、SSL/TLSB、
B、WEP协议
C、WPA协议
D、数字签名

7、VIM的工作模式，包括哪些?( )
A、命令模式
B、输入模式
C、高亮模式
D、底行模式

8、在反杀伤链中，情报可以分为那几个层次?( )
A、 战斗
B、战略
C、战区
D、战术

9、场地安全主要考虑的因素有( )
A、场地选址
B、场地防火
C、场地防水防潮
D、场地温度控制
E、场地电源供应

10、火灾自动报警、自动灭火系统部署应注意( )
A、避开可能招致电磁干扰的区域或设备
B、具有不间断的专用消防电源
C、留备用电源
D、具有自动和手动两种触发装置

模块B: 网络安全事件响应、数字取证调查和应用安全

一、项目和任务描述
假定你是某网络安全技术支持团队成员，某企业的服务器系统被黑客攻击，你的团队前来帮助企业进行调查并追踪本次网络攻击的源头，分析黑客的攻击方式，发现系统漏洞，提交网络安全事件响应报告，修复系统漏洞，删除黑客在系统中创建的后门，并帮助系统恢复正常运行。

二、服务环境说明
操作系统：Windows/Linux

三、具体任务

任务一:应急响应

某集团的WebServer服务器被黑客入侵，该服务器的Web应用系统被上传恶意软件，系统文件被恶意软件破坏，您的团队需要帮助该公司追踪此网络攻击的来源，在服务器上进行全面的检查，包括日志信息、进程信息、系统文件、恶意文件等，从而分析黑客的攻击行为，发现系统中的漏洞，并对发现的漏洞进行修复。
注意：WebServer服务器的账号名:root，密码:123456。
请按要求完成该部分的工作任务。
1.提交攻击者的两个内网IP地址;
2.提交黑客得到mysql服务的root账号密码的时间(格式：dd/MM/yyyy:hh:mm:ss);
3.查找黑客在WEB应用文件中写入的恶意代码，提交文件绝对路径;
4.分析攻击者的提权手法，提交攻击者通过哪一个指令成功提权;
5.恶意程序对外连接的目的ip地址;

任务二:操作系统取证

某集团某服务器系统感染恶意程序,导致系统关键文件被破坏,请分析A集团提供的内存镜像，找到镜像中的恶意软件，分析恶意软件行为。
相关素材在FTP服务器file目录下，服务器地址为:172.16.1.110，使用匿名登录，文件名为C221.zip。
素材解压密码：a823e88f-0700-4a1f-b91b3
请按要求完成该部分的工作任务。
1.提交内存镜像创建的时间,格式:2024-01-01 01:01:01;
2.提交攻击者的IP地址和连接端口号,格式:ip:port;
3.提交系统执行的第一个命令;
4.提交系统存在的flag文件内容;
5.提交桌面上的敏感文件的秘密内容;
6.提交内存中恶意进程的PID;
7.提交恶意进程的文件名(含路径）;

任务三:网络数据包分析

某集团的网络安全监控系统发现恶意份子正在实施高级可持续攻击（APT），并抓取了部分可疑流量包。请您根据捕捉到的流量包，搜寻出网络攻击线索，分解出隐藏的恶意程序，并分析恶意程序的行为。
相关素材在FTP服务器file目录下，服务器地址为:172.16.1.110，使用匿名登录，文件名为C222.zip。
素材解压密码：b823e88f-0700-4a1f-b91b4
请按要求完成该部分的工作任务。
1.提交恶意程序传输协议(只提交一个协议，两个以上视为无效）;
2.恶意程序加载的dll文件名称;
3.解密恶意程序传输内容;
4.分析恶意程序行为;

任务四:代码审计

代码审计是指对源代码进行检查，寻找代码存在的脆弱性，这是一项需要多方面技能的技术，作为一个高级软件开发者，代码安全作为你的日常工作中非常重要的一部分，因为大部分代码从语法和语义上来说是正确的,你必须依赖你的知识和经验来完成工作。每个团队都将获得一个代码列表，查看每一段代码然后回答答题卡里的问题。
相关素材在FTP服务器file目录下，服务器地址为:172.16.1.110，使用匿名登录，文件名为C223.zip。
素材解压密码：c823e88f-0700-4a1f-b91b5
请按要求完成该部分的工作任务。
1.存在脆弱性的代码行数;
2.代码可能会受到的网络安全攻击类型;
3.解释怎么才能使代码变得安全;
4.提供针对脆弱性代码的安全加固代码(注意：无需重写整个代码。只写受影响的行就足够。);

模块C:CTF 夺旗-攻击

一、项目和任务描述：
作为某企业的网络安全渗透测试工程师，你的任务是保护企业服务器的安全，并通过攻击手段发现潜在问题和漏洞。为了更好的了解最新的攻击手段和黑客心态，并改善你们的防御策略，你需要尝试利用各种攻击手段攻击特定的靶机。
请根据《赛场参数表》提供的信息，在客户端使用谷歌浏览器登录比赛平台。

二、操作系统环境说明：
客户机操作系统：Windows 10
攻击机操作系统：Kali Linux
靶机服务器操作系统：Linux/Windows

三、漏洞情况说明：
1.服务器中的漏洞可能是常规漏洞也可能是系统漏洞；
2.靶机服务器上的网站可能存在命令注入的漏洞，要求选手找到命令注入的相关漏洞，利用此漏洞获取一定权限;
3.靶机服务器上的网站可能存在文件上传漏洞，要求选手找到文件上传的相关漏洞，利用此漏洞获取一定权限;
4.靶机服务器上的网站可能存在文件包含漏洞，要求选手找到文件包含的相关漏洞，与别的漏洞相结合获取一定权限并进行提权;
5.操作系统提供的服务可能包含了远程代码执行的漏洞，要求用户找到远程代码执行的服务，并利用此漏洞获取系统权限;
6.操作系统提供的服务可能包含了缓冲区溢出漏洞，要求用户找到缓冲区溢出漏洞的服务，并利用此漏洞获取系统权限;
7.操作系统中可能存在一些系统后门，选手可以找到此后门，并利用预留的后门直接获取到系统权限。

四、注意事项：
1.不能对裁判服务器进行攻击，警告一次后若继续攻击将判令该参赛队离场；
2.Flag值为每台靶机服务器的唯一性标识，每台靶机服务器仅4 / 6有1个；
3.选手攻入靶机后不得对靶机进行关闭端口、修改密码、重启或者关闭靶机、删除或者修改Flag、建立不必要的文件等操作；
4.在登录自动评分系统后，提交靶机服务器的Flag值，同时需要指定靶机服务器的IP地址；
5.赛场根据难度不同设有不同基础分值的靶机，对于每个靶机服务器，前三个获得Flag值的参赛队在基础分上进行加分，本阶段每个队伍的总分均计入阶段得分，具体加分规则参照赛场评分标准；
6.本环节不予补时。

模块D:CTF 夺旗-防御

一、项目和任务描述：
假定各位选手是某安全企业的网络安全工程师，负责若干服务器的渗透测试与安全防护，这些服务器可能存在着各种问题和漏洞。你需要尽快对这些服务器进行渗透测试与安全防护。每个参赛队访问专属的堡垒机服务器，其他队不能访问。参赛选手通过扫描、渗透测试等手段检测自己堡垒服务器中存在的安全缺陷，进行针对性加固，从而提升系统的安全防御性能。
每位选手按照发现需要加固点、实施加固和检验加固成效等步骤实施系统防御。完成防护工作后，每队选手需要按照实施步骤必要文字说明配以关键过程或者关键操作结果截图的形式，自行制作系统防御实施报告。实施报告以 word 文档的形式书写,以 PDF 格式保存，以“赛位号+模块 D”作为文件名，PDF 格式文档为此模块评分唯一依据。
请根据《赛场参数表》提供的信息，在客户端使用谷歌浏览器。
登录需要加固的堡垒服务器。

二、操作系统环境说明：
客户机操作系统：Windows 10
攻击机操作系统：Kali Linux
堡垒服务器操作系统：Linux/Windows

三、漏洞情况说明：
1.服务器中的漏洞可能是常规漏洞也可能是系统漏洞；
2.服务器上的网站可能存在命令注入的漏洞，要求选手找到命令注入的相关漏洞，利用此漏洞获取一定权限;
3.服务器上的网站可能存在文件上传漏洞，要求选手找到文件上传的相关漏洞，利用此漏洞获取一定权限;
4.服务器上的网站可能存在文件包含漏洞，要求选手找到文件包含的相关漏洞，与别的漏洞相结合获取一定权限并进行提权;
5.服务器提供的服务可能包含了远程代码执行的漏洞，要求用户找到远程代码执行的服务，并利用此漏洞获取系统权限;
6.服务器提供的服务可能包含了缓冲区溢出漏洞，要求用户找到缓冲区溢出漏洞的服务，并利用此漏洞获取系统权限;
7.服务器中可能存在一些系统后门，选手可以找到此后门，并利用预留的后门直接获取到系统权限。

四、注意事项：
1.系统加固时需要保证堡垒服务器对外提供服务的可用性；
2.不能对裁判服务器进行攻击，警告一次后若继续攻击将判令该参赛队离场；
3.本环节不予补时。