简介这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯“信息安全管理与评估”赛项的官方任务书面向备赛选手、指导教师以及信息安全实训学习者可用于还原赛题环境、开展分阶段攻防演练与教学复盘。资源包共1个PDF文件约287KB完整呈现赛项时间安排、三阶段任务划分与分值分布以及网络拓扑图、IP地址规划表、设备初始化信息等基础环境说明。内容覆盖平台搭建与设备配置、IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护以及分组对抗中的系统加固与攻防实战并附有文档提交与工位目录规范。已有322人学习适合按任务书逐项搭建实验环境、对照练习配置与攻防操作理解竞赛评分逻辑与答题文档组织方式。1. 一份十年前的赛题任务书为什么今天还值得拆翻到这份 2015 年高职组“信息安全管理与评估”赛项任务书时我第一反应是六个小时、三个阶段、一千分这套题的设计密度放到今天的安服岗前培训里依然够用。它不是一份简单的比赛题目而是一条完整的“建网—加固—攻防”链路第一阶段在 DCFW、DCFS、WAF、DCBI、DCRS 五类设备上做平台搭建与策略配置第二阶段在 IIS、MySQL、Linux 上做加固同时用 CSRF、XSS、密码嗅探、文件包含、SQL 注入五个方向做攻击复现第三阶段直接进入分组对抗。对做信息安全管理与评估的从业者来说这份任务书的价值在于它把“设备配置能力”和“攻防验证能力”压在同一套拓扑里逼着你既要会配策略也要会证明策略真的生效。适合谁刚接手安全设备运维、想系统过一遍策略配置逻辑的人以及准备做内网加固和渗透验证联动练习的团队。下面我按“先看懂拓扑和评分逻辑再动手配最后说坑”的顺序拆。2. 先把拓扑和 IP 规划吃透五类设备怎么串成一条链路这份任务书最容易让人翻车的地方不是某个具体命令而是开局那张网络拓扑图和 IP 地址规划表。很多人拿到题就开始敲配置结果 VLAN 划错、接口对不上、地址池算错后面 240 分的设备配置题全部连锁失分。所以第一步不是配设备是把拓扑关系和地址规划在纸上推一遍。2.1 设备角色与流量路径从任务书给出的规划表看链路是分层的DCFW防火墙在最外侧一个接口接 PC-3一个接口接 DCFS网络流控系统同时还有 SSL VPN 地址池DCFS 往下接 DCRS三层交换机DCRS 再分叉出多个 VLAN——VLAN 2 接 DCFSVLAN 10 接 WAFVLAN 20 和 VLAN 30 分别是 PC-1、PC-2 所在用户区VLAN 40 接 DCBI网络日志系统VLAN 100 直连服务器区VLAN 110 直连用户区。WAF 再往下接 DCST堡垒服务器服务器场景 1 到 5 都挂在 DCST 里。这条链路的设计意图很清楚外网流量先过防火墙做访问控制和 NAT再过流控做带宽与应用识别然后到三层交换机做 VLAN 间路由服务器区前面再挡一道 WAF。DCBI 旁路挂在 DCRS 上做日志审计。理解了这个顺序后面每道配置题你都能判断“这条策略应该落在哪台设备上”而不是靠背题。2.2 IP 地址规划2^n-2 原则怎么落地任务书明确要求“最节省 IP 地址子网有效地址规划遵循 2^n-2 的原则”并且要选手自己把分配的地址段和接口填进“赛场 IP 参数表”。这是第一阶段任务一60 分的核心。实操上我一般这样推先数每个网段需要多少可用地址。比如服务器区要放网管服务器、邮件服务器、日志服务器、RADIUS 服务器、syslog 服务器、WAF 后面的网站服务器再加上设备管理地址至少 8 个以上那就取 2^4-214 的 /28或者留余量取 /27。用户区按 PC 数量取 /24 或 /25。互联段DCFW 到 DCFS、DCFS 到 DCRS、DCRS 到 WAF只需要 2 个地址理论上 /30 就够但要注意任务书里“设备互联网段内可用地址数量见赛场 IP 参数表”不能自己拍脑袋。一个容易忽略的点题目里反复出现“服务器区内第二个可用地址”“第三个可用地址”“第四个可用地址”“第五个可用地址”“第六个可用地址”这些是给 SNMP 网管、邮件服务器、日志服务器、RADIUS、syslog 预留的固定位置。你在规划服务器区网段时必须保证这些“第 N 个可用地址”落在同一个子网里否则后面 30 多道配置题里引用的地址会互相打架。我的做法是先列出服务器区所有“第 N 个可用地址”的用途清单反推出子网大小再填参数表。2.3 设备初始化信息与不可改项任务书给了默认管理地址DCFW 是 http://192.168.1.1ETH0admin/adminDCFS 是 https://192.168.1.254:9999admin/Admin123DCBI 是 https://192.168.5.254admin/123456WAF 是 https://192.168.45.1ETH5admin/admin123DCST 是 http://192.168.1.100Eth0-Eth9账号见登录用户表。并且明确“所有设备的默认管理接口、管理 IP 地址不允许修改”。这条约束看着不起眼实际是个隐形坑你在配接口 IP 时如果顺手把 ETH0 的管理地址改掉设备直接失联后面所有截图题都做不了。正确做法是管理口保持原样业务接口按规划表配管理流量走带外或者单独管理 VLAN。这一点在真实项目里也一样——管理面和生产面混在一起是运维事故的高发区。3. 第一阶段设备配置从接口地址到策略落地第一阶段 300 分任务一网络平台搭建 60 分任务二网络安全设备配置与防护 240 分。任务二有 40 道小题每题 6 分覆盖 DCFW、DCFS、DCBI、DCRS、WAF 五类设备。这一章挑几类高频且容易配错的策略讲透其余按同样思路推。3.1 DCFW 上的访问控制与 NATDCFW 的题集中在安全域、DDoS 防护、管理权限、时间策略、WEB 认证、服务器映射、源 NAT、ARP 防护、会话与带宽限制、SSL VPN。以第 6 题“使 DCST 可以通过互联网被访问公网地址用第三个可用地址且仅允许 PC-3 访问”为例这是典型的服务器映射加源地址限制# 在 DCFW 上配置目的 NAT服务器映射 # 假设公网接口为 eth1公网第三个可用地址为 203.0.113.3 # DCST 内网地址为 192.168.100.10 nat server dcst_pub protocol tcp global 203.0.113.3 80 inside 192.168.100.10 80 # 配置安全策略仅允许 PC-3 的地址访问该映射 # PC-3 地址假设为 198.51.100.10 security-policy rule name allow_pc3_to_dcst source-zone untrust destination-zone dmz source-address 198.51.100.10 32 destination-address 192.168.100.10 32 service http action permit rule name deny_other_to_dcst source-zone untrust destination-zone dmz destination-address 192.168.100.10 32 action deny逻辑说明第一条做目的地址转换把公网地址的 80 端口映射到 DCST 的内网 80第二条和第三条做策略控制先放行 PC-3 的源地址再兜底拒绝其他源。参数上要注意global后面跟的是公网地址和端口inside后面是内网真实地址和端口源地址掩码写 32 表示单主机。这里最容易错的是策略顺序——如果 deny 规则放在 permit 前面PC-3 也会被拒所以规则匹配顺序必须是从具体到宽泛。第 7 题“内网所有用户网段和服务器区都能通过外网接口访问互联网但 PC-1 只能通过固定公网地址的第四个可用地址访问”是源 NAT 的变体大部分网段走接口地址做 Easy IPPC-1 单独做 NAT 池绑定。配置时先写一条针对 PC-1 所在网段的 NAT 策略引用固定地址池再写一条默认的接口 NAT匹配顺序同样是具体优先。第 9 题“限制每个用户最大会话数 1000、上网带宽最大 5M”属于资源限制类配置不同厂商命令差异大但思路一致在策略或用户维度挂会话上限和带宽策略。这里要提醒的是会话数和带宽限制通常作用在新建连接和流量转发路径上配完必须用实际流量验证光看配置回显不算数。3.2 DCFS 上的应用识别与带宽通道DCFS 的题量最大从第 11 题到第 18 题涉及账户权限、时间策略禁迅雷、URL 大文件下载限制、UDP 端口封禁、主机列表显示用户名、网段末 10 地址禁网、子带宽通道、BT 流量限制。这类流控设备的配置逻辑是“对象定义 策略引用”。以第 12 题“2015 年 7 月 1 日到 7 月 10 日工作日禁止 PC-1 访问迅雷”为例步骤是先定义时间对象起止日期加工作日再定义应用对象迅雷然后写一条拒绝策略引用这两个对象和 PC-1 的源地址。第 13 题“URL 路径中大于 10M 的 *.mp3 不能被下载”需要文件类型识别加大小阈值配置时注意单位是 MB 还是字节不同版本界面不一样填错一个数量级就变成全禁或全放。第 17、18 题是带宽通道的经典考法总出口 200M子通道 100M拥塞时每用户最大 2M 最小 1M不拥塞时可超 2M另一题要求每用户最小 2M且 BT 业务总流量不超过 50M。这里的关键概念是“保证带宽”和“最大带宽”的区别——最小带宽是拥塞时的保底最大带宽是上限不拥塞时是否可超取决于是否启用弹性。配置时先建总通道再建子通道最后在子通道里挂用户网段和应用的带宽策略。验证方法是制造拥塞后看实际速率而不是只看策略列表。3.3 DCRS 上的 VLAN、SSH、风暴抑制与 DHCPDCRS 的题从第 27 到 33 题覆盖 enable 密码、SSH 管理、广播风暴抑制、SNMP、ARP 防护与 MAC 阻断、802.1x 认证、DHCP Server。以第 33 题 DHCP 为例# DCRS 上为 VLAN110 配置 DHCP Server service dhcp ip dhcp pool pool-vlan110 network 192.168.110.0 255.255.255.0 default-router 192.168.110.1 dns-server 114.114.114.114 8.8.8.8 lease 2 # 排除网段最后 20 个可用地址 ip dhcp excluded-address 192.168.110.235 192.168.110.254逻辑说明network声明地址池网段default-router是网关dns-server按题目要求给两个 DNSlease 2是 2 天租期。排除地址要算准“最后 20 个可用地址”的起止——/24 网段可用地址是 .1 到 .254最后 20 个就是 .235 到 .254。参数上最容易错的是把网络地址或广播地址算进可用范围或者排除区间写反。第 31 题“Ethernet1/15-17 开启 ARP 保护防止网关欺骗Ethernet1/19 上使某 MAC 不能访问另一 MAC”是端口安全加 ACL 的组合。ARP 保护通常在接入端口上启用配合 DHCP Snooping 绑定表MAC 阻断用二层 ACL 匹配源和目的 MAC。这里要注意 ARP 保护开启后如果绑定表没建好正常用户也会断网所以顺序是先建绑定再开保护。3.4 WAF 与 DCBI 的日志、告警与审计WAF 的题从第 34 到 40 题包括网站服务器发布、syslog 外发、邮件短信告警、常见 WEB 攻击防护、CC 防护10 秒 3000 次、IP 黑名单、网站安全评估、敏感字段过滤。第 37 题的 CC 防护阈值“10 秒钟超过 3000 次请求”要填在频率限制策略里注意时间窗口和次数是两个独立参数填错窗口会导致误封正常用户。DCBI 的题从第 19 到 26 题核心是旁路部署、监控接口与管理接口、邮件告警、syslog 外发、URL 监控、即时聊天监控、邮件收发监控、通过交换机获取 MAC。旁路模式的关键是监控口接镜像流量管理口单独配地址两个口不能混。第 26 题“通过 DCRS 获得内网 PC 的 MAC 并在日志中显示”需要交换机侧开 SNMP 或被 DCBI 读取 ARP 表配置时要确认 SNMP community 和访问权限对得上。4. 第二阶段攻防复现五个方向的最小验证路径第二阶段 300 分八个任务前两个是加固IIS 30 分、MySQL 40 分后六个是攻击复现CSRF、XSS、密码嗅探、文件包含、SQL 注入各 40 分Linux 加固 30 分。这一阶段的评分逻辑是“截图加文字说明”所以每一步操作都要留下可验证的证据。下面挑三个方向讲最小验证路径。4.1 IIS 加固与证书签发任务一有 8 道小题从防火墙放行 IIS、限制内网网段访问、申请服务器证书、颁发一年期证书、启用 SSL、启用客户端证书、为 PC 申请 CA 证书、安装 CA 证书。这条链路本质是把 HTTP 升级到双向 TLS。实操顺序不能乱先配 Windows 防火墙放行 80/443再在 IIS 里限制 IP 网段然后走证书申请流程。证书部分容易翻车的是“CN 和 IIS 域名不一致导致警报弹窗”——题目明确要求把这个警报窗口截屏说明出题人就是要你看到证书主机名不匹配的告警。所以申请证书时 CN 填什么、访问时用什么地址要故意保持不一致才能复现这个现象。客户端证书环节则要在服务器上启用“要求客户端证书”再用 PC 浏览器访问才会弹出选择证书的窗口。4.2 MySQL 加固的六条硬规则任务二 8 道小题核心是审计、防火墙、权限收敛、匿名用户、改管理员名、禁本地文件、限制跨库浏览。以第 3、4 题“找到可从任何 IP 访问的用户并限制为只能从公司 PC 访问”为例-- 查看所有用户及来源主机 SELECT user, host FROM mysql.user; -- 假设发现 appuser% 可从任意地址访问 -- 先删除宽泛授权再按具体主机重新授权 REVOKE ALL PRIVILEGES ON *.* FROM appuser%; DROP USER appuser%; CREATE USER appuser192.168.20.10 IDENTIFIED BY 强密码; GRANT SELECT, INSERT, UPDATE ON appdb.* TO appuser192.168.20.10; FLUSH PRIVILEGES;逻辑说明host字段为%就是任意地址这是最常见的过度授权。加固时不能只改 host 不重建用户因为 MySQL 的用户标识是 userhost 组合直接改表容易出问题规范做法是删旧建新再授权。第 6 题“把 root 改为 admin”用RENAME USER rootlocalhost TO adminlocalhost改完要同步更新应用连接配置否则应用直接连不上。第 7、8 题禁本地文件和限制跨库浏览都是在 mysqld 启动项里加--local-infile0和--skip-show-database改完重启生效。4.3 SQL 注入的 GET、POST、登录认证三种形态任务七 6 道小题从扫描器识别、手工判断、sqlmap 跑 GET、跑 POST、跑登录认证型、最后 MD5 破解。这条链路是渗透测试的标准流程。手工判断注入点用 and 11和 and 12对比返回差异这是最原始但最可靠的方法。sqlmap 跑 GET 型# GET 型注入获取当前数据库名 sqlmap -u http://target/news.php?id1 --current-db --batch # POST 型注入指定数据参数 sqlmap -u http://target/login.php --datauseradminpass1 --dbs --batch # 登录认证型先注册账号拿到会话再对后台 URL 注入 sqlmap -u http://target/admin.php?id1 --cookiePHPSESSIDxxxx --dump -T users --batch参数说明--current-db取当前库--dbs列所有库--data指定 POST 体--cookie带会话--dump -T users导出指定表。这里要注意的是登录认证型注入必须保持会话有效cookie 过期后 sqlmap 会拿到登录页而不是注入结果表现为“跑出来全是空”。第 6 题 MD5 破解用在线库或字典跑属于取证收尾。5. 避坑与排查这套题里最容易翻车的五个点5.1 工位文件夹命名违规被判作弊现象第一阶段文档提交后被告知违规甚至按作弊处理。原因任务书明确“只允许在根目录下的‘xx 工位’文件夹中体现一次工位信息不允许在其他文件夹名称或文件名称中再次体现”。很多人在“第一阶段-任务二-网络安全设备配置与防护.doc”里又写了一遍工位号直接踩线。解决U 盘根目录建“08 工位”下面建“第一阶段”“第二阶段”文档名严格按“第 X 阶段-任务 X-任务名称”格式任何文件名里不再出现工位号。5.2 改了管理口地址导致设备失联现象配完接口地址后 Web 管理页面打不开后续截图题全部做不了。原因把 ETH0 的管理 IP 改成了业务地址而任务书规定“所有设备的默认管理接口、管理 IP 地址不允许修改”。解决管理口保持出厂地址业务配置只动业务接口如果必须调整先确认带外管理通道可用。这个坑在真实设备上线时同样致命。5.3 服务器区“第 N 个可用地址”算错现象SNMP 网管、邮件服务器、日志服务器地址互相冲突或者 RADIUS 配完认证不通。原因规划子网时没把“第 N 个可用地址”统一到同一网段或者把网络地址当成了第一个可用地址。解决先列用途清单按 2^n-2 反推子网大小明确第一个可用地址是网络地址加 1逐个核对。5.4 策略顺序导致放行变拒绝现象DCFW 上配了允许 PC-3 访问 DCST 的策略但实际访问不通。原因兜底 deny 规则排在 permit 前面或者安全域方向写反。解决策略匹配从上到下具体规则在前、宽泛规则在后配完用display security-policy类命令核对顺序再用实际源地址发起访问验证。5.5 抓包过滤条件写错导致抓不到密码现象密码嗅探任务里 Wireshark 开了半天过滤 telnet 却看不到登录过程。原因过滤表达式只写了协议没写端口或者抓包网卡选错抓的是管理口不是业务口。解决telnet 用tcp.port 23ftp 用tcp.port 21http 用tcp.port 8080并配合目标地址抓包前先确认流量路径经过哪块网卡必要时用ip.addr 目标IP先缩小范围再叠加协议过滤。6. 第三阶段分组对抗15 分钟加固窗口怎么用第三阶段 400 分系统加固 100 分、系统攻防 300 分。规则很硬15 分钟后进入对抗服务器 FLAG 被他人取得并提交到裁判服务器就立即出局任何时候不能关 80 端口不能攻击裁判服务器违反直接判 0。漏洞列表给了 SQL 注入、跨站、表单提权、COOKIE 等方向加固常规漏洞拿 KEY加固系统漏洞拿 FLAG。这 15 分钟的分配我一般这样切前 3 分钟做资产确认确认受保护服务器的 IP、管理员账号、开放端口特别是 80 端口必须活着中间 8 分钟按漏洞列表逐项加固SQL 注入优先做参数化或 WAF 规则兜底XSS 做输出编码表单提权收紧文件上传和权限COOKIE 加 HttpOnly最后 4 分钟做验证和留证用攻击视角自测一遍确认 KEY 拿不到、FLAG 取不走。这里有个血泪经验很多人一上来就大改配置结果把 80 端口搞挂直接判 0。所以任何加固动作之前先确认不会影响 80 端口的监听和访问改完立刻用浏览器或 curl 验证一次。另一个后悔药是备份——改任何配置文件前先cp一份带时间戳的副本改崩了能秒回滚。对抗阶段的心态也要摆正防守方永远是被动的你不可能堵住所有漏洞但你可以让攻击成本高于收益。把明显的高危口子堵上把日志和告警打开把 KEY 和 FLAG 的存放位置做权限隔离剩下的交给时间。从那以后我每次做加固演练都强制先跑一遍“80 端口存活检查 配置备份 攻击视角自测”这三步再动任何一行配置。希望这套拆解帮到你拿到任务书后先别急着敲命令把拓扑和地址规划在纸上推一遍后面会顺很多。本文还有配套的精品资源点击获取