广西职业院校技能大赛中职组《网络空间安全》样题
中职组“网络空间安全赛项”竞赛题-A
2019年山东省职业院校技能大赛中职组“网络空间安全”赛项竞赛题-A卷一、竞赛时间8:30-11:30，共计3小时。
二、竞赛阶段三、竞赛任务书内容（一）拓扑图（二）第一阶段任务书（700分）任务一：暴力破解任务环境说明：✓服务器场景名称：sql008✓服务器场景操作系统：Microsoft Windows2008 Server✓服务器场景用户名：administrator；密码：未知1.使用渗透机场景kali中工具扫描服务器场景，将iis的版本号作为flag提交；2.使用渗透机场景windows7访问服务器场景，并下载某文件夹下的web目录下的username.txt和wxl_pass_burp.txt，并将username.txt中的用户数量作为flag提交；3.使用渗透机场景windows7访问服务器中的暴力破解首页，并将首页的flag提交；4.使用渗透机场景windows7访问服务器场景web暴力破解页面（结合1、2题），进入基于表单的暴力破解进行账号密码的爆破，将爆破后返回的flag提交；5.使用渗透机场景windows7访问服务器场景web暴力破解页面（结合1、2题），进入验证码绕过（on server）进行账号密码的爆破，将爆破后返回的flag提交；6.使用渗透机场景windows7访问服务器场景web暴力破解页面（结合1、2题），进入验证码绕过（on client）进行账号密码的爆破，将爆破后返回的flag提交；任务二：Linux操作系统渗透测试任务环境说明：✓服务器场景：Linux2020✓服务器场景操作系统：Linux（版本不详）1.通过本地PC中渗透测试平台Kali2.0对服务器场景Linux2020进行系统服务及版本扫描渗透测试，并将该操作显示结果中21端口对应的服务版本信息字符串作为Flag值提交；2.通过本地PC中渗透测试平台Kali2.0对服务器场景Linux2020进行渗透测试，将该场景/var/www目录中唯一一个后缀为.bmp文件的文件名称作为Flag值提交；3.通过本地PC中渗透测试平台Kali2.0对服务器场景Linux2020进行渗透测试，将该场景/var/www目录中唯一一个后缀为.bmp的图片文件中的英文单词作为Flag值提交；。
ZZ-2018065全国职业院校技能大赛中职组“网络空间安全”赛卷一
2018年全国职业院校技能大赛中职组“网络空间安全”赛卷一一、竞赛阶段二、拓扑图PC机环境：物理机：Windows7；虚拟机1：Ubuntu Linux 32bit（用户名：root；密码：toor）,安装工具集：Backtrack5,安装开发环境：Python3；虚拟机2：Kali（用户名：root；密码：toor）；虚拟机3：WindowsXP（用户名：administrator；密码：123456）。
三、竞赛任务书（一）第一阶段任务书（700分）任务1. ARP扫描渗透测试（100分）任务环境说明：✓服务器场景：server2003（用户名：administrator；密码：空）✓服务器场景操作系统：Windows server20031.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作使用命令中固定不变的字符串作为Flag提交；（16分）2.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作结果的最后1行，从左边数第2个数字作为Flag提交；（17分）3. 通过本地PC中渗透测试平台BT5对服务器场景server2003行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），并将工具Metasploit 中arp_sweep模块存放路径字符串作为Flag（形式：字符串1/字符串2/字符串3/…/字符串n）提交；（16分）4. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的最后1行的最后1个单词作为Flag提交；（17分）5. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的第1行出现的IP地址右边的第1个单词作为Flag提交；（16分）6. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块的运行命令字符串作为Flag提交；（18分）任务2. 漏洞扫描与利用（100分）任务环境说明：✓服务器场景：server2003（用户名：administrator；密码：空）✓服务器场景操作系统：Windows server20031.通过本地PC中渗透测试平台Kali对服务器场景server2003以半开放式不进行ping的扫描方式并配合a，要求扫描信息输出格式为xml文件格式，从生成扫描结果获取局域网（例如172.16.101.0/24）中存活靶机，以xml格式向指定文件输出信息（使用工具NMAP，使用必须要使用的参数），并将该操作使用命令中必须要使用的参数作为FLAG提交；（12分）2.根据第一题扫描的回显信息分析靶机操作系统版本信息，将操作系统版本信息作为FLAG提交；（9分）3.根据第一题扫描的回显信息分析靶机服务开放端口，分析开放的服务，并将共享服务的开放状态作为FLAG提交；（9分）4.在本地PC的渗透测试平台Kali中，使用命令初始化msf数据库，并将使用的命令作为FLAG提交；（10分）5.在本地PC的渗透测试平台Kali中，打开msf，使用db_import将扫描结果导入到数据库中，并查看导入的数据，将查看导入的数据要使用的命令作为FLAG提交；（10分）6.在msfconsole使用search命令搜索MS08067漏洞攻击程序，并将回显结果中的漏洞时间作为FLAG提交；（10分）7.在msfconsole中利用MS08067漏洞攻击模块，将调用此模块的命令作为FLAG提交；（10分）8.在上一步的基础上查看需要设置的选项，并将回显中需设置的选项名作为FLAG提交；（10分）9.使用set命令设置目标IP（在第8步的基础上），并检测漏洞是否存在，将回显结果中最后四个单词作为FLAG提交；（13分）10.查看可选项中存在此漏洞的系统版本，判断该靶机是否有此漏洞，若有，将存在此漏洞的系统版本序号作为FLAG提交，否则FLAG为none。
中职组“网络空间安全赛项”竞赛题-E
2019年山东省职业院校技能大赛中职组“网络空间安全”赛项竞赛题-E卷一、竞赛时间8:30-11:30，共计3小时。
二、竞赛阶段三、竞赛任务书内容（一）拓扑图（二）第一阶段任务书（700分）任务一：数据分析与取证任务环境说明：✓服务器场景：PC20201✓服务器用户名：administrator密码：1234561.某公司网络系统存在异常，猜测可能有黑客对公司的服务器实施了一系列的扫描和攻击，使用Wireshark抓包分析软件查看并分析PC20201服务器C:\Users\Public\Documents路径下的dump.pcapng数据包文件，找到黑客的IP地址，并将黑客的IP地址作为Flag值（如：172.16.1.1）提交；2.继续分析数据包文件dump.pcapng分析出黑客通过工具对目标服务器的哪些服务进行了密码暴力枚举渗透测试，将服务对应的端口依照从小到大的顺序依次排列作为Flag值（如：77/88/99/166/1888）提交；3.继续分析数据包文件dump.pcapng，找出黑客已经获取到目标服务器的基本信息，请将黑客获取到的目标服务器主机名作为Flag值提交；4.黑客扫描后可能直接对目标服务器的某个服务实施了攻击，继续查看数据包文件dump.pcapng分析出黑客成功破解了哪个服务的密码，并将该服务的版本号作为Flag值(如：5.1.10)提交；5.继续分析数据包文件dump.pcapng，黑客通过数据库写入了木马,将写入的木马名称作为Flag值提交（名称不包含后缀）；6.继续分析数据包文件dump.pcapng，黑客通过数据库写入了木马,将黑客写入的一句话木马的连接密码作为Flag值提交；7.继续分析数据包文件dump.pcapng，找出黑客连接一句话木马后查看了什么文件，将黑客查看的文件名称作为Flag值提交；8.继续分析数据包文件dump.pcapng，黑客可能找到异常用户后再次对目标服务器的某个服务进行了密码暴力枚举渗透，成功破解出服务的密码后登录到服务器中下载了一张图片，将图片文件中的英文单词作为Flag值提交。
2017年广西职业院校技能大赛中职组网络空间安全赛项
“2017年广西职业院校技能大赛”中职组网络空间安全赛项任务书一、竞赛时间A组：9:00-12:00B组：14:00-17:00每组竞赛时间共计3小时，含赛题发放、收卷时间。
二、竞赛阶段简介B组参考以上时间区间开展。
三、竞赛任务（一）竞赛拓扑图（二）第一阶段任务1.根据网络拓扑图所示，配置交换机的管理VLAN为VLAN88；2.根据网络拓扑图所示，配置交换机管理VLAN的IP地址为88.88.88.X/24。
（X为参赛选手编号）；3.据网络拓扑图所示，配置交换机telnet服务，交换机Telnet用户名：gxskills；密码： （选手自行设定并填写，注意字体工整）；4.根据《赛场参数表》，配置交换机上连实战平台网络接口为Trunk；5.根据《赛场参数表》，配置交换机实战平台管理VLAN为VLAN80，并将PC1所连接口划入该VLAN；6.根据网络拓扑图所示，在第二阶段开始时按照《赛场参数表》配置交换机渗透测试VLAN，并将PC2所连接口划入该VLAN；7.根据网络拓扑图所示，在第三阶段开始时按照《赛场参数表》配置交换机渗透测试VLAN，并预备将PC2所连接口划入该VLAN。
（三）第二阶段任务请使用谷歌浏览器登录服务器192.168.XX.YY，根据《赛场参数表》提供的用户名和密码登录，登录后点击“闯关关卡”，左侧有第二阶段的任务列表。
点击右侧的“网络靶机”，进入虚拟机完成任务，找到FLAG值，填入空框内，点击“提交任务”按钮。
提示：所有FLAG中包含的字符全部是英文字符。
虚拟机：Backtrack5（用户名：root；密码：toor）虚拟机：Windows XP（用户名：administrator；密码：123456）任务1.Web应用程序SQL Inject安全攻防任务环境说明：服务器场景：WebServ2003（用户名：administrator；密码：空） 服务器场景操作系统：Microsoft Windows2003 Server服务器场景安装服务/工具1：Apache2.2；服务器场景安装服务/工具2：Php6；服务器场景安装服务/工具3：Microsoft SqlServer2000；服务器场景安装服务/工具4：EditPlus；1.进入WebServ2003服务器场景，分析源文件login.php，找到提交的变量名，并将全部的变量名作为Flag（形式：[变量名1&变量名2&变量名3…&变量名n]）提交。
ZZ-2018065全国职业院校技能大赛中职组“网络空间安全”赛卷一
2018年全国职业院校技能大赛中职组“网络空间安全”赛卷一一、竞赛阶段二、拓扑图PC机环境：物理机：Windows7；虚拟机1：Ubuntu Linux 32bit（用户名：root；密码：toor）,安装工具集：Backtrack5,安装开发环境：Python3；虚拟机2：Kali（用户名：root；密码：toor）；虚拟机3：WindowsXP（用户名：administrator；密码：123456）。
三、竞赛任务书（一）第一阶段任务书（700分）任务1. ARP扫描渗透测试（100分）任务环境说明：✓服务器场景：server2003（用户名：administrator；密码：空）✓服务器场景操作系统：Windows server20031.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作使用命令中固定不变的字符串作为Flag提交；（16分）2.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作结果的最后1行，从左边数第2个数字作为Flag提交；（17分）3. 通过本地PC中渗透测试平台BT5对服务器场景server2003行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），并将工具Metasploit 中arp_sweep模块存放路径字符串作为Flag（形式：字符串1/字符串2/字符串3/…/字符串n）提交；（16分）4. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的最后1行的最后1个单词作为Flag提交；（17分）5. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的第1行出现的IP地址右边的第1个单词作为Flag提交；（16分）6. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块的运行命令字符串作为Flag提交；（18分）任务2. 漏洞扫描与利用（100分）任务环境说明：✓服务器场景：server2003（用户名：administrator；密码：空）✓服务器场景操作系统：Windows server20031.通过本地PC中渗透测试平台Kali对服务器场景server2003以半开放式不进行ping的扫描方式并配合a，要求扫描信息输出格式为xml文件格式，从生成扫描结果获取局域网（例如172.16.101.0/24）中存活靶机，以xml格式向指定文件输出信息（使用工具NMAP，使用必须要使用的参数），并将该操作使用命令中必须要使用的参数作为FLAG提交；（12分）2.根据第一题扫描的回显信息分析靶机操作系统版本信息，将操作系统版本信息作为FLAG提交；（9分）3.根据第一题扫描的回显信息分析靶机服务开放端口，分析开放的服务，并将共享服务的开放状态作为FLAG提交；（9分）4.在本地PC的渗透测试平台Kali中，使用命令初始化msf数据库，并将使用的命令作为FLAG提交；（10分）5.在本地PC的渗透测试平台Kali中，打开msf，使用db_import将扫描结果导入到数据库中，并查看导入的数据，将查看导入的数据要使用的命令作为FLAG提交；（10分）6.在msfconsole使用search命令搜索MS08067漏洞攻击程序，并将回显结果中的漏洞时间作为FLAG提交；（10分）7.在msfconsole中利用MS08067漏洞攻击模块，将调用此模块的命令作为FLAG提交；（10分）8.在上一步的基础上查看需要设置的选项，并将回显中需设置的选项名作为FLAG提交；（10分）9.使用set命令设置目标IP（在第8步的基础上），并检测漏洞是否存在，将回显结果中最后四个单词作为FLAG提交；（13分）10.查看可选项中存在此漏洞的系统版本，判断该靶机是否有此漏洞，若有，将存在此漏洞的系统版本序号作为FLAG提交，否则FLAG为none。
2021年技能大赛：网络安全试题(1)
2021年全国职业院校技能大赛（中职组）网络安全竞赛试题（1）（总分100分）赛题说明一、竞赛项目简介“网络安全”竞赛共分A. 基础设施设置与安全加固；B. 网络安全事件响应、数字取证调查和应用安全；C. CTF夺旗-攻击；D. CTF 夺旗-防御等四个模块。
根据比赛实际情况，竞赛赛场实际使用赛题参数、表述及环境可能有适当修改，具体情况以实际比赛发放赛题为准。
竞赛时间安排和分值权重见表1。
表1 竞赛时间安排与分值权重二、竞赛注意事项1.比赛期间禁止携带和使用移动存储设备、计算器、通信工具及参考资料。
2.请根据大赛所提供的比赛环境，检查所列的硬件设备、软件清单、材料清单是否齐全，计算机设备是否能正常使用。
3.在进行任何操作之前，请阅读每个部分的所有任务。
各任务之间可能存在一定关联。
4.操作过程中需要及时按照答题要求保存相关结果。
比赛结束后，所有设备保持运行状态，评判以最后提交的成果为最终依据。
5.比赛完成后，比赛设备、软件和赛题请保留在座位上，禁止将比赛所用的所有物品（包括试卷等）带离赛场。
6.禁止在提交资料上填写与竞赛无关的标记，如违反规定，可视为0分。
竞赛内容模块A 基础设施设置与安全加固（本模块20分）一、项目和任务描述：假定你是某企业的网络安全工程师，对于企业的服务器系统，根据任务要求确保各服务正常运行，并通过综合运用登录和密码策略、数据库安全策略、流量完整性保护策略、事件监控策略、防火墙策略等多种安全策略来提升服务器系统的网络安全防御能力。
本模块要求对具体任务的操作截图并加以相应的文字说明,以word文档的形式书写,以PDF格式保存,以赛位号作为文件名.二、服务器环境说明Windows 用户名：administrator，密码：123456Linux 用户名：root，密码：123456三、具体任务（每个任务得分以电子答题卡为准）A-1任务一登录安全加固（Windows, Linux）请对服务器Windows、Linux按要求进行相应的设置，提高服务器的安全性。
2023年广西职业院校技能大赛 信息安全管理与评估 样题
2023年广西职业院校技能大赛信息安全管理与评估样题(中英文版)英文文档：Title: 2023 Guangxi Vocational College Skills Competition: Information Security Management and Assessment Sample Questions The 2023 Guangxi Vocational College Skills Competition is an event designed to showcase the talent and expertise of students in the field of information security management and assessment.The competition aims to test the students" ability to identify and mitigate potential security threats, as well as their knowledge of relevant laws and regulations.This document provides a sample of the types of questions that may be included in the competition.1.What is the primary goal of an information security management system?2.In the context of information security, what does the term "vulnerability" refer to? two common types of cyber attacks.4.What is the purpose of a firewall?5.What are the main components of an incident response plan?6.According to the General Data Protection Regulation (GDPR), what are the requirements for data breach notification?7.What is the difference between symmetric and asymmetricencryption? two important legal considerations for information security professionals.9.What is the process of risk assessment?10.What is the main objective of an information security policy?中文文档：标题：2023年广西职业院校技能大赛：信息安全管理与评估样题2023年广西职业院校技能大赛是一项旨在展示学生在信息安全管理与评估领域才能和专长的赛事。
中职组“网络空间安全赛项”竞赛题-D
2019年山东省职业院校技能大赛中职组“网络空间安全”赛项竞赛题-D卷一、竞赛时间8:30-11:30，共计3小时。
二、竞赛阶段三、竞赛任务书内容（一）拓扑图（二）第一阶段任务书（700分）任务一：漏洞扫描与利用任务环境说明：✓服务器场景：Windows2020✓服务器场景操作系统：Windows（版本不详）1.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行系统服务及版本扫描渗透测试，并将该操作显示结果中3389端口对应的服务版本信息字符串作为Flag值提交；2.在msfconsole中用search命令搜索 MS12020 RDP拒绝访问攻击模块，并将回显结果中的漏洞披露时间作为Flag值（如：2012-10-16）提交；3.在msfconsole中利用 MS12020 RDP拒绝访问漏洞辅助扫描模块，将调用此模块的命令作为Flag值提交；4.在第3题的基础上查看需要设置的选项，并将回显中必须要设置的选项名作为Flag值提交；5.使用set命令设置目标IP（在第4题的基础上），并检测漏洞是否存在，运行此模块将回显结果中最后四个单词作为Flag值提交；6.在msfconsole中利用MS12020 RDP拒绝访问攻击模块，将调用此模块的命令作为Flag值提交；7.使用set命令设置目标IP（在第6题的基础上），使用MS12020拒绝访问攻击模块，运行此模块将回显结果中倒数第一行的最后一个单词作为Flag值提交；8.进入靶机关闭远程桌面服务，再次运行MS12020拒绝访问攻击模块，运行此模块将回显结果中倒数第二行的最后一个单词作为Flag值提交。
任务二：使用msfvenom生成木马进行渗透测试任务环境说明：✓服务器场景：XP-jcst（用户名：未知；密码：未知）✓服务器场景操作系统：未知✓渗透机场景：kali（用户名：root；密码：toor）✓渗透机场景操作系统：Kali Linux1.打开kali攻击机，统计木马生成工具msfvenom的Windows平台相关payload的个数，。
ZZ-2018065全国职业院校技能大赛中职组“网络空间安全”赛卷三
2018年全国职业院校技能大赛中职组“网络空间安全”赛卷三一、竞赛阶段二、拓扑图PC机环境：物理机：Windows7；虚拟机1：Ubuntu Linux 32bit（用户名：root；密码：toor）,安装工具集：Backtrack5,安装开发环境：Python3；虚拟机2：Kali（用户名：root；密码：toor）；虚拟机3：WindowsXP（用户名：administrator；密码：123456）。
三、竞赛任务书（一）第一阶段任务书（700分）任务1.ARP扫描渗透测试（100分）任务环境说明：✓服务器场景：server2003（用户名：administrator；密码：空）✓服务器场景操作系统：Windows server20031.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作使用命令中固定不变的字符串作为Flag提交；（16分）2.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作结果的最后1行，从左边数第2个数字作为Flag提交；（17分）3. 通过本地PC中渗透测试平台BT5对服务器场景server2003行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），并将工具Metasploit 中arp_sweep模块存放路径字符串作为Flag（形式：字符串1/字符串2/字符串3/…/字符串n）提交；（16分）4. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的最后1行的最后1个单词作为Flag提交；（17分）5. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的第1行出现的IP地址右边的第1个单词作为Flag提交；（16分）6. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块的运行命令字符串作为Flag提交。
中职组网络空间安全大赛样题
中职组⽹络空间安全⼤赛样题⽹络空间安全⼤赛赛项规程⼀、赛项名称赛项名称：⽹络空间安全中职学⽣组⼆、竞赛内容重点考核参赛选⼿⽹络系统安全策略部署、信息保护、⽹络安全运维管理的综合实践能⼒，具体包括：1.参赛选⼿能够在赛项提供的服务器上配置各种协议和服务，实现⽹络系统的运⾏，并根据⽹络业务需求配置各种安全策略，以满⾜应⽤需求。
2.参赛选⼿能够根据⼤赛提供的赛项要求，实施⽹络空间安全防护操作。
3.参赛选⼿能够根据⽹络实际运⾏中⾯临的安全威胁，确定安全策略并部署实施，防范并制⽌⽹络恶意⼊侵和攻击⾏为。
4. 参赛选⼿通过分组混合对抗的形式，能够实时防护⾃⼰服务器，抵御外界的攻击，同时能够对⽬标进⾏渗透和攻击。
5.竞赛总时长为3个⼩时，各竞赛阶段安排如下：序号内容模块具体内容说明第⼀阶段单兵模式系统渗透测试密码学和VPN密码学、IPSec VPN、IKE：PreSharedKey（预共享密钥认证）、IKE：PKI（公钥架构认证）、SSL VPN等。
操作系统渗透测试及加固Windows操作系统渗透测试及加固、Linux操作系统渗透测试及加固等。
Web应⽤渗透测试及加固SQL Injection（SQL注⼊）漏洞渗透测试及加固、Command Injection（命令注⼊）漏洞渗透测试及加固、File Upload（⽂件上传）漏洞渗透测试及加固、DirectoryTraversing（⽬录穿越）漏洞渗透测试及加固、XSS（Cross Site Script）漏洞渗透测试及加固、CSRF（Cross Site RequestForgeries）漏洞渗透测试及加固、SessionHijacking（会话劫持）漏洞渗透测试及加固⽹络安全数据分析能够利⽤⽇志收集和分析⼯具对⽹络流量收集监控，维护⽹络安全。
常⽤渗透扫描⼯具使⽤与脚本语⾔应⽤能够利⽤如Nmap、Nessus、metasploit等常⽤渗透扫描⼯具进⾏信息收集及系统渗透；熟悉shell，Python等脚本语⾔的应⽤。
中职组“网络空间安全赛项”竞赛题-C
2019年山东省职业院校技能大赛中职组“网络空间安全”赛项竞赛题-C卷一、竞赛时间8:30-11:30，共计3小时。
二、竞赛阶段三、竞赛任务书内容（一）拓扑图（二）第一阶段任务书（700分）任务一：Windows操作系统渗透测试任务环境说明：✓服务器场景：Windows2020✓服务器场景操作系统：Windows（版本不详）1.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行系统服务及版本扫描渗透测试，并将该操作显示结果中8080端口对应的服务版本信息字符串作为Flag值提交；2.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行渗透测试，将该场景网络连接信息中的DNS信息作为Flag值 (例如：114.114.114.114) 提交；3.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行渗透测试，将该场景中的当前最高账户管理员的密码作为Flag值提交；4.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行渗透测试，将该场景桌面上111文件夹中唯一一个后缀为.docx文件的文件名称作为Flag值提交；5.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行渗透测试，将该场景桌面上111文件夹中唯一一个后缀为.docx文件的文档内容作为Flag值提交；6.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行渗透测试，将该场景桌面上222文件夹中唯一一个图片中的英文单词作为Flag值提交；7.通过本地PC中渗透测试平台Kali2.0对服务器场景Windows2020进行渗透测试，将该场景中回收站内文件的文档内容作为Flag值提交。
任务二：网页注入任务环境说明：✓服务器场景名称：web08✓服务器场景操作系统：Microsoft Windows2008 Server✓服务器环境：phpstudy✓服务器场景用户名：administrator；密码：未知（关闭链接）✓渗透机场景：kali✓渗透机用户名：root，密码：toor。
2021年全国职业院校技能大赛中职组“网络空间安全”赛项第八套
2021年全国职业院校技能大赛中职组“网络空间安全”赛卷八一、竞赛阶段竞赛阶段任务阶段竞赛任务竞赛时间分值第一阶段单兵模式系统渗透测试任务1Wireshark数据包分析100分钟100任务2文件上传渗透测试100任务3Web渗透测试100任务4Windows操作系统渗透测试100任务5Linux操作系统渗透测试100任务6网络协议栈渗透测试100任务7系统综合渗透测试及安全加固100备战阶段攻防对抗准备工作20分钟0第二阶段分组对抗系统加固：15分钟60分钟300渗透测试：45分钟二、拓扑图/ 比击机厢者\ 1…;水击机烤景实施干白耳外PC机环境:物理机：Windows7；虚拟机1: Ubuntu Linux 32bit （用户名：「00七密码：123456），安装工具集：Backtrack5,安装开发环境：Python3；虚拟机2： Kali1.0 （用户名：「。
华密码：toor）；虚拟机3： Kali2.0 （用户名：「。
华密码：toor）；虚拟机4： WindowsXP （用户名：administrator;密码：123456）。
三、竞赛任务书（一）第一阶段任务书（700分）任务1. Wireshark数据包分析（100分）任务环境说明：✓服务器场景：PYsystem20191✓服务器场景操作系统：Windows （版本不详）1.使用Wireshark 查看并分析PYsystem20191 桌面下的capture4.pcap 数据包文件，找出黑客获取到的可成功登录目标服务器FTP的账号密码，并将黑客获取到的账号密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；（9 分）2.继续分析数据包capture4.pcap，找出黑客使用获取到的账号密码登录FTP 的时间，并将黑客登录FTP的时间作为Flag值（例如：14:22:08）提交；（13分）3.继续分析数据包capture4.pcap，找出黑客连接FTP服务器时获取到的FTP 服务版本号，并将获取到的FTP服务版本号作为Flag值提交；（15分）4.继续分析数据包capture4.pcap,找出黑客成功登录FTP服务器后执行的第一条命令，并将执行的命令作为Flag值提交；（11分）5.继续分析数据包capture4.pcap，找出黑客成功登录FTP服务器后下载的关键文件，并将下载的文件名称作为Flag值提交；（13分）6.继续分析数据包capture4.pcap，找出黑客暴力破解目标服务器Telnet服务并成功获取到的用户名与密码，并将获取到的用户名与密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；（9 分）7.继续分析数据包capture4.pcap，找出黑客在服务器网站根目录下添加的文件，并将该文件的文件名称作为Flag值提交；（13分）8.继续分析数据包capture4.pcap，找出黑客在服务器系统中添加的用户，并将添加的用户名与密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交。
ZZ-2018065全国职业院校技能大赛中职组“网络空间安全”赛卷四
2018年全国职业院校技能大赛中职组“网络空间安全”赛卷四一、竞赛阶段二、拓扑图PC机环境：物理机：Windows7；虚拟机1：Ubuntu Linux 32bit（用户名：root；密码：toor）,安装工具集：Backtrack5,安装开发环境：Python3；虚拟机2：Kali（用户名：root；密码：toor）；虚拟机3：WindowsXP（用户名：administrator；密码：123456）。
三、竞赛任务书（一）第一阶段任务书（700分）任务1. ARP扫描渗透测试（100分）任务环境说明：✓服务器场景：server2003（用户名：administrator；密码：空）✓服务器场景操作系统：Windows server20031.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作使用命令中固定不变的字符串作为Flag提交；（16分）2.通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具arping，发送请求数据包数量为5个），并将该操作结果的最后1行，从左边数第2个数字作为Flag提交；（17分）3. 通过本地PC中渗透测试平台BT5对服务器场景server2003行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），并将工具Metasploit 中arp_sweep模块存放路径字符串作为Flag（形式：字符串1/字符串2/字符串3/…/字符串n）提交；（16分）4. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的最后1行的最后1个单词作为Flag提交；（17分）5. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块运行显示结果的第1行出现的IP地址右边的第1个单词作为Flag提交；（16分）6. 通过本地PC中渗透测试平台BT5对服务器场景server2003进行ARP 扫描渗透测试（使用工具Metasploit中arp_sweep模块），假设目标服务器场景CentOS5.5在线，请将工具Metasploit中arp_sweep模块的运行命令字符串作为Flag提交。
2021年技能大赛：网络安全试题(3)
2021年全国职业院校技能大赛（中职组）网络安全竞赛试题（3）（总分100分）赛题说明一、竞赛项目简介“网络安全”竞赛共分A. 基础设施设置与安全加固；B. 网络安全事件响应、数字取证调查和应用安全；C. CTF夺旗-攻击；D. CTF 夺旗-防御等四个模块。
根据比赛实际情况，竞赛赛场实际使用赛题参数、表述及环境可能有适当修改，具体情况以实际比赛发放赛题为准。
竞赛时间安排和分值权重见表1。
表1 竞赛时间安排与分值权重二、竞赛注意事项1.比赛期间禁止携带和使用移动存储设备、计算器、通信工具及参考资料。
2.请根据大赛所提供的比赛环境，检查所列的硬件设备、软件清单、材料清单是否齐全，计算机设备是否能正常使用。
3.在进行任何操作之前，请阅读每个部分的所有任务。
各任务之间可能存在一定关联。
4.操作过程中需要及时按照答题要求保存相关结果。
比赛结束后，所有设备保持运行状态，评判以最后提交的成果为最终依据。
5.比赛完成后，比赛设备、软件和赛题请保留在座位上，禁止将比赛所用的所有物品（包括试卷等）带离赛场。
6.禁止在提交资料上填写与竞赛无关的标记，如违反规定，可视为0分。
竞赛内容模块A 基础设施设置与安全加固（本模块20分）一、项目和任务描述：假定你是某企业的网络安全工程师，对于企业的服务器系统，根据任务要求确保各服务正常运行，并通过综合运用登录和密码策略、数据库安全策略、流量完整性保护策略、事件监控策略、防火墙策略等多种安全策略来提升服务器系统的网络安全防御能力。
本模块要求对具体任务的操作截图并加以相应的文字说明,以word文档的形式书写,以PDF格式保存,以赛位号作为文件名.二、服务器环境说明Windows 用户名：administrator，密码：123456Linux 用户名：root，密码：123456三、具体任务（每个任务得分以电子答题卡为准）A-1任务一登录安全加固（Windows, Linux）请对服务器Windows、Linux按要求进行相应的设置，提高服务器的安全性。
职业院校技能大赛中职组《网络安全》赛项样题
职业院校技能大赛中职组《网络安全》赛项样题一、竞赛项目简介“网络安全”竞赛共分A.基础设施设置与安全加固；B.网络安全事件响应、数字取证调查和应用安全；C.CTF夺旗-攻击；D.CTF夺旗-防御等四个模块。
竞赛时间安排和分值权重见表1。
二、竞赛注意事项1.竞赛期间禁止携带和使用移动存储设备、计算器、通信工具及参考资料。
2.请根据大赛所提供的竞赛环境，检查所列的硬件设备、软件清单、材料清单是否齐全，计算机设备是否能正常使用。
3.在进行任何操作之前，请阅读每个部分的所有任务。
各任务之间可能存在一定关联。
4.操作过程中需要及时按照答题要求保存相关结果。
竞赛结束后,所有设备保持运行状态，评判以最后提交的成果为最终依据。
5.竞赛完成后，竞赛设备、软件和赛题请保留在座位上，禁止将竞赛所用的所有物品(包括试卷等)带离赛场。
6.禁止在提交资料上填写与竞赛无关的标记，如违反规定，可视为O分。
模块A基础设施设置与安全加固(本模块共200分)一、项目和任务描述假定你是某企业的网络安全工程师，对于企业的服务器系统，根据任务要求确保各服务正常运行，并通过综合运用登录和密码策略、数据库安全策略、流量完整性保护策略、事件监控策略、防火墙策略等多种安全策略来提升服务器系统的网络安全防御能力。
本模块要求对具体任务的操作截图并加以相应的文字说明，并以Word文档的形式书写，以PDF格式保存，并以赛位号作为文件名.二、服务器环境说明IDS：入侵检测系统服务器(Snort),操作系统为Linux1.OG：日志服务器(SPIUnk),操作系统为LinuxWeb：IIS服务器，操作系统为WindowsData：数据库服务器(MySq1),操作系统为LinUX三、具体任务任务一登录安全加固1.密码策略(IDS,LOG,Web,Data)a.最小密码长度不少于12个字符；2.登录策略(IDS,LOG,Web,Data)a.在用户登录系统时，应该有"Forauthorizedusersonly”提示信息；3.用户权限分配(WEB)a.禁止来宾账户登录和访问；任务二数据库加固(Data)1.以普通帐户安全运行mysqld,禁止mysql以管理员帐号权限运行；4.删除默认数据库(test)；任务三Web安全加固(Web)1.删除默认站点；5.限制目录执行权限,对图片或者上传目录设置执行权限为无;任务四流量完整性保护(Web,Data)1.HTTP重定向HTTPS,仅使用HTTPS协议访问网站(Web)；6.防止密码被窃取，仅使用证书登录SSH(Data)o任务五事件监控7.Web服务器开启审核策略：登录事件成功/失败；特权使用成功；策略更改成功/失败；进程跟踪成功/失败；模块B网络安全事件、数字取证调查和应用安全(本模块共400分)一、项目和任务描述：假定你是某网络安全技术支持团队成员，某企业的服务器系统被黑客攻击，你的团队前来帮助企业进行调查并追踪本次网络攻击的源头，分析黑客的攻击方式，发现系统漏洞，提交网络安全事件响应报告，修复系统漏洞，删除黑客在系统中创建的后门，并帮助系统恢复正常运行。
网络空间安全国赛试题A
2017年全国职业院校技能大赛中职组“网络空间安全”赛项国赛赛卷一、竞赛阶段简介二、拓扑图渗透测试实战平台网络混战靶机场景三、竞赛任务书（一）第一阶段任务书请使用谷歌浏览器登录服务器，根据《赛场参数表》提供的用户名密码登录，登录后点击“闯关关卡”，左侧有本阶段的三个任务列表。
点击右侧的“网络靶机”，进入虚机完成任务，找到FLAG值，填入空框内，点击“提交任务”按钮。
提示：FLAG中包含的字符是英文字符，注意英文字符大小写区分。
虚拟机1:UbuntuLinux32bit（用户名：root;密码：toor）;虚拟机1安装工具集：Backtrack5；虚拟机1安装开发环境：Python;虚拟机2:WindowsXP（用户名：administrator；密码：123456）。
任务1.Linux 操作系统服务渗透测试及安全加固任务环境说明：✓服务器场景：（用户名：root；密码：123456）✓服务器场景操作系统：✓服务器场景操作系统安装服务：HTTP✓服务器场景操作系统安装服务：FTP✓服务器场景操作系统安装服务：SSH✓服务器场景操作系统安装开发环境：GCC✓服务器场景操作系统安装开发环境：Python1•在服务器场景上通过Linux命令行开启HTTP服务，并将开启该服务命令字符串作为Flag值提交；2.通过PC2中渗透测试平台对服务器场景进行操作系统扫描渗透测试（使用工具NMAP，使用必须要使用的参数），并将该操作使用命令中必须要使用的参数作为Flag提交；3.通过PC2中渗透测试平台对服务器场景进行操作系统扫描渗透测试（使用工具NMAP，使用必须要使用的参数），并将该操作显示结果“OSDetails:”之后的字符串作为Flag提交；4.通过PC2中渗透测试平台对服务器场景进行系统服务及版本号扫描渗透测试（使用工具NMAP，使用必须要使用的参数），并将该操作使用命令中必须要使用的参数作为Flag 提交；5.通过PC2中渗透测试平台对服务器场景进行系统服务及版本号扫描渗透测试（使用工具NMAP，使用必须要使用的参数），并将该操作显示结果的HTTP服务版本信息字符串作为Flag提交；6•在服务器场景上通过Linux命令行关闭HTTP服务，并将关闭该服务命令字符串作为Flag值提交；7.再次通过PC2中渗透测试平台对服务器场景进行系统服务及版本号扫描渗透测试（使用工具NMAP，使用必须要使用的参数），并将该操作显示结果的第2项服务的PORT信息字符串作为Flag提交。
2022中职组网络空间安全A模块
2022中职组⽹络空间安全A模块A-1任务⼀登录安全加固1.密码策略（Windows，Linux）主要是针对windows和Linux的系统加固，类似于运维的题⽬a.设置最短密码长度为15；这⾥并没有说明具体是Windows还是Linux，默认就是全部设置WindowsWin + R -> secpol.msc -> 账户策略 -> 密码策略 -> 密码长度最⼩值这⾥Windows server 2008只能设置最⼩值为14Linuxvim /etc/login.defs找到PASS_MIN_LEN，修改改为15b.⼀分钟内仅允许4次登录失败，超过4次，登录帐号锁定1分钟。
WindowsWin + R -> secpol.msc -> 账户策略 -> 密码策略 -> 账户锁定策略这⾥我们设置为5，由于在⼀次国赛模拟题答案中，说的超过五次登录失败，其中答案设置为6。
Linuxvim /etc/pam.d/login在⾸⾏添加auth required pam.tally2.so deny=5 unlock_time=602.⽤户安全管理a.设置user1⽤户只能在上班时间（周⼀⾄周五的9:00~18:00可以登录，将user1的登录时间配置界⾯截图；net user user1 /time:Monday-Friday,09:00-18:00net user user1查看b.在组策略中只允许管理员账号从⽹络访问本机；Win + R -> secpol.msc -> 本地策略 -> ⽤户权限分配c.设置操作系统中的关键⽬录（system32、hosts、Program Files、Perflogs）的权限为最优状态，即仅允许管理员⽤户进⾏读取及运⾏。
⾸先找到hosts⽂件的位置,C:\Windows\System32\drivers\etc右键hosts⽂件属性 -> 安全 -> ⾼级 -> 所有者将所有者改为管理员组⾼级 -> 权限 -> 更改权限将包括可从该对象的⽗项继承的权限取消勾选弹出窗⼝，点击删除点击添加，将Administrators组加⼊，设置权限为读取和运⾏剩下的system32、ProgramFiles、Perflogs设置⽅法都⼀样A-2任务⼆数据库安全策略3.以普通帐户mysql安全运⾏mysql服务，禁⽌mysql以管理员帐号权限运⾏；这⾥并没有说明mysql服务的操作系统，但是配置参数都是⼀样的vim /etc/f在mysqld下⽅添加user=mysql，其实这个默认就有4.删除默认数据库(test)；登录mysql,执⾏命令drop dataabse test;5.改变默认mysql管理员⽤户为:SuperRoot；update er set user='SuperRoot' where user='root';6.使⽤mysql内置MD5加密函数加密⽤户user1的密码为(P@ssw0rd1!)。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
“网络空间安全”项目竞赛任务书（样题）一、赛项时间每场3小时。
二、赛项信息竞赛阶段任务阶段竞赛任务竞赛时间分值第一阶段平台搭建与配置任务1 攻防环境部署120分钟10第二阶段单兵模式系统渗透测试任务1 SQL注入攻防30任务2 XSS和CSRF攻防30 第三阶段分组对抗系统加固15分钟30渗透测试45分钟三、赛项内容（一）赛项环境设置1.网络拓扑图2.IP地址规划表（二）第一阶段任务书（10分）任务：网络空间安全平台搭建（10分）1.根据网络拓扑图所示，设计连线，制作网线，做好机柜布线系统。
2.根据网络拓扑图所示，按照IP地址参数表，对网络设备的名称、各接口IP地址进行配置。
3.根据网络拓扑图所示，按照IP地址参数表，部署服务器和主机。
4.据网络拓扑图所示，按照IP地址参数表，在交换机交换机上创建相应的VLAN，并将相应接口划入VLAN。
5.配置三层交换机，通过Gratuitous ARP来抵御来自VLAN20接口的针对网关的ARP欺骗攻击。
6.配置三层交换机，通过ARP Guard来抵御来自VLAN20接口的针对网关的ARP欺骗攻击。
7.在三层交换机的PC2所连接端口配置Port Security特性，阻止PC2发起MACFlooding渗透测试。
8.在三层交换机上配置Access Management安全特性，阻止PC2发起ARP Spoofing渗透测试。
9.在三层交换机上配置端口环路检测（Loopback Detection），防止来自任意物理接口下的单端口环路，并配置存在环路时的检测时间间隔为50秒，不存在环路时的检测时间间隔为20秒。
10.配置三层交换机生成树协议安全特性，阻止PC2发起BPDU DOS渗透测试。
（三）第二阶段任务书（60分）任务1：SQL注入攻防任务环境说明：服务器场景：WebServ2003服务器场景操作系统：Microsoft Windows2003 Server服务器场景安装服务/工具1：Apache2.2；服务器场景安装服务/工具2：Php6；服务器场景安装服务/工具3：Microsoft SqlServer2000；服务器场景安装服务/工具4：EditPlus；1. 访问WebServ2003服务器场景，进入login.php页面，分析该页面源程序，找到提交的变量名，并将该变量名作为Flag提交；2. 对该任务题目1页面注入点进行SQL注入渗透测试，使该Web站点可通过任意用户名登录，并将登录密码作为Flag提交；3. 进入WebServ2003服务器场景的C:\AppServ\www目录，找到loginAuth.php程序，使用EditPlus工具分析并修改PHP源程序，使之可以抵御SQL注入，并将修改后的PHP源程序中的Flag提交；4. 再次对该任务题目1页面注入点进行渗透测试，验证此次利用该注入点对WebServ2003服务器场景进行SQL注入渗透测试无效，并将Web页面回显内容作为Flag提交；5. 访问WebServ2003服务器场景，"/"->"Employee Information Query"，分析该页面源程序，找到提交的变量名，并将该变量名作为Flag提交；6. 对该任务题目5页面注入点进行渗透测试，根据输入“%”以及“_”的返回结果确定是注入点，Web页面回显作为Flag提交；7. 通过对该任务题目5页面注入点进行SQL注入渗透测试，删除WebServ2003服务器场景的C:\目录下的1.txt文档，并将注入代码作为Flag提交；8. 进入WebServ2003服务器场景的C:\AppServ\www目录，找到QueryCtrl.php程序，使用EditPlus工具分析并修改PHP源程序，使之可以抵御SQL注入渗透测试，并将修改后的PHP源程序中的Flag提交；9. 再次对该任务题目5页面注入点进行渗透测试，验证此次利用注入点对该WebServ2003服务器场景进行SQL注入渗透测试无效，并将Web页面回显内容作为Flag提交。
任务2：XSS和CSRF攻防任务环境说明：服务器场景：WebServ2003服务器场景操作系统：Microsoft Windows2003 Server服务器场景安装服务/工具1：Apache2.2；服务器场景安装服务/工具2：Php6；服务器场景安装服务/工具3：Microsoft SqlServer2000；服务器场景安装服务/工具4：EditPlus；1. 访问WebServ2003服务器场景，"/"->" Employee Message Board"，分析该页面源程序，找到提交的变量名，并将该变量名作为Flag提交；2. 对该任务题目1页面注入点进行XSS渗透测试，并进入"/"->" Employee Message Board"->"Display Message"页面，根据该页面的显示，确定是注入点，并将Web页面回显内容作为Flag提交；3. 对该任务题目1页面注入点进行渗透测试，使"/"->" Employee Message Board"->"Display Message"页面的访问者执行网站（）中的木马程序：，并将注入代码内容作为Flag提交；4. 通过IIS搭建网站（），并通过PC2生成木马程序TrojanHorse.exe，将该程序复制到网站（）的WWW根目录下，并将该网站标题作为Flag提交；5. 当"/"->" Employee Message Board"->"Display Message"页面的访问者执行网站（）中的木马程序TrojanHorse.exe以后，访问者主机需要被PC-3远程控制，打开访问者主机的CMD.exe命令行窗口，并将该操作结果回显作为Flag提交；6. 进入WebServ2003服务器场景的C:\AppServ\www目录，找到insert.php程序，使用EditPlus工具分析并修改PHP源程序，使之可以抵御XSS渗透测试，并将修改后的PHP源程序中的Flag提交；7. 再次对该任务题目1页面注入点进行渗透测试，验证此次利用该注入点对WebServ2003服务器场景进行XSS渗透测试无效，并将Web页面回显作为Flag提交；8. 访问WebServ2003服务器场景，"/"->" Shopping Hall"，分析该页面源程序，找到提交的变量名，并将该变量名作为Flag提交；9. 对该任务题目1页面注入点进行渗透测试，使"/"->" Employee MessageBoard"->"Display Message"页面的访问者向页面ShoppingProcess.php提交参数goods=cpu&quantity=999999，查看"/"->"PurchasedGoods.php页面，并将注入代码作为Flag提交；10. 进入WebServ2003服务器场景的C:\AppServ\www目录，找到DisplayMessage.php程序，使用EditPlus工具分析并修改PHP源程序，使之可以抵御CSRF渗透测试，并将修改后的源程序中的Flag提交；11. 再次对该任务题目1页面注入点进行渗透测试，验证此次利用该注入点对WebServ2003服务器场景进行CSRF渗透测试无效，并将Web页面回显内容作为Flag提交；（四）第三阶段任务书：分组对抗（30分）假定各位选手是某公司的系统管理员，负责服务器（受保护服务器IP、管理员账号见现场发放的参数表）的维护，该服务器可能存在着各种问题和漏洞（见漏洞列表）。
你需要尽快对服务器进行加固，十五分钟之后将会有很多黑客对这台服务器进行攻击。
提示1：该题不需要保存文档；提示2：服务器中的漏洞可能是常规漏洞也可能是系统漏洞；提示3：加固常规漏洞；提示4：对其它参赛队系统进行渗透测试，取得FLAG值并提交到裁判服务器。
十五分钟之后，各位选手将真正进入分组对抗环节。
注意事项：注意1：任何时候不能关闭80端口，否则将判令停止比赛，第三阶段分数为0分；注意2：不能对裁判服务器进行攻击，否则将判令停止比赛，第三阶段分数为0分。
注意3：在加固阶段（前十五分钟，具体听现场裁判指令）不得对任何服务器进行攻击，否则将判令攻击者停止比赛，第三阶段分数为0分。
注意4：FLAG值为每台受保护服务器的唯一性标识，每台受保护服务器仅有一个。
在这个环节里，各位选手需要继续保护你的服务器免受各类黑客的攻击，你可以继续加固你的服务器，你也可以选择攻击其他组的保护服务器（其他服务器网段见现场发放的参数表）。
漏洞列表：1. 靶机上的网站可能存在命令注入的漏洞，要求选手找到命令注入的相关漏洞，利用此漏洞获取一定权限。
2. 靶机上的网站可能存在文件上传漏洞，要求选手找到文件上传的相关漏洞，利用此漏洞获取一定权限3. 靶机上的网站可能存在文件包含漏洞，要求选手找到文件包含的相关漏洞，与别的漏洞相结合获取一定权限并进行提权4. 操作系统提供的服务包含了远程代码执行的漏洞，要求用户找到远程代码执行的服务，并利用此漏洞获取系统权限。
5. 操作系统提供的服务可能包含了缓冲区溢出漏洞，要求用户找到缓冲区溢出漏洞的服务，并利用此漏洞获取系统权限。
6. 操作系统中可能存在一些系统后门，选手可以找到此后门，并利用预留的后门直接获取到系统权限。
选手通过以上的所有漏洞点，最后得到其他选手靶机的最高权限，并获取到其他选手靶机上的FLAG值进行提交。