企业官网建设流程全解析

简介：这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯“信息安全管理与评估”赛项的官方任务书，面向备赛选手、指导教师及信息安全实训学习者，可用于还原真实竞赛流程、开展赛题复盘与专项训练。资源包共1个PDF文件，约287KB，内容完整呈现赛项时间安排、三阶段任务划分与分值分布，并给出网络拓扑图、IP地址规划表、设备初始化信息等环境参数。任务覆盖网络平台搭建、网络安全设备配置与防护、IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护以及分组对抗中的系统加固与攻防，读者可据此梳理竞赛考点、理解评分逻辑并组织模拟演练。目前已有322人学习，适合作为信息安全竞赛入门与强化阶段的参考材料。

1. 信息安全管理与评估赛项：6小时300分，先看清分值再动手

信息安全管理与评估这个赛项，很多人一上来就扎进设备配置，结果第一阶段还没做完，时间已经过去一半。真正拉开差距的不是谁命令敲得快，而是谁先看清分值分布。这场竞赛分三个阶段：第一阶段平台搭建与网络安全设备配置共300分，第二阶段系统安全攻防及运维安全管控300分，第三阶段分组对抗400分。前两个阶段要提交操作文档，第三阶段看现场要求。换句话说，前两阶段是“做对+写清楚”，第三阶段是“守住+打进去”。适合已经有一定网络设备和攻防基础、但缺乏完整赛题节奏感的备考者。这一篇把任务书里的高频考点、真题答法和失分点拆开讲，你照着练就能少走弯路。

2. 第一阶段高频考点：网络平台搭建与安全设备配置的答题模板

第一阶段300分，任务一网络平台搭建60分，任务二网络安全设备配置与防护240分。分值差距摆在这里，任务二才是重头戏。但任务一是地基，IP规划错了，后面所有设备配置全部翻车。这一章把两个任务的考点拆开，逐题给答题思路。

2.1 网络平台搭建：IP规划与VLAN划分的固定套路

任务一有7道题，核心就三件事：设备命名与接口IP配置、VLAN创建与接口划入、静态路由打通全网。题目要求对WAF、DCRS、DCFW、DCFS、DCBI五台设备分别配置名称和接口IP，然后在DCRS上创建VLAN并划接口，最后用静态路由实现全网络互连。

这类题通常这么答：先看拓扑图和IP地址规划表，把每台设备的接口和对应网段列成一张表，再动手。IP地址分配要求“最节省IP地址”，子网有效地址规划遵循2n-2原则，意思是每个互联段用最小的子网掩码满足可用地址数。比如两个设备互联只需要2个可用地址，就用/30的掩码。这一步如果算错，后面所有设备的接口IP全错，属于连锁翻车。

答题时注意提交格式：DCRS要求提供show run配置文件保存到WORD文档，DCFW、DCFS、WAF、DCBI需要提交配置过程截图存入WORD文档，截图里要加配置说明。文件名格式是“第一阶段-任务一-网络平台搭建.doc”。很多考生配置做对了，但截图没加说明或者文件名写错，直接丢分。

提示：只允许在U盘根目录下的“xx工位”文件夹中体现一次工位信息，其他文件夹或文件名里再出现工位信息按作弊处理。这个细节每年都有人踩坑。

2.2 网络安全设备配置与防护：DCFW、DCFS、DCBI、DCRS、WAF五类设备逐题拆解

任务二共40道题，每题6分，覆盖五台设备。题量大、设备多，但题型高度重复。下面按设备分类，把高频考法和答题思路讲清楚。

DCFW防火墙部分（第1到10题）考的是：SNMP只读配置、安全域划分与DDoS防护、HTTP管理访问限制与只读用户创建、时间段访问控制、WEB认证与超时断连、公网地址映射与源地址限制、源NAT与固定公网地址、ARP包速率限制、会话数与带宽限制、SSL VPN地址池配置。

以第1题为例：配置SNMP，网管服务器在服务器区第二个可用地址，community为public，网管软件对DCFW没有写权限。答题思路是先在DCFW上启用SNMP功能，设置community字符串为public，权限设为只读（ro），然后指定网管服务器地址。关键点是“没有写权限”对应只读权限，不要配成读写。截图时要包含community配置和权限设置两处。

第6题考公网地址映射：使DCST可以通过互联网被访问，公网地址用第三个可用地址，且仅允许PC-3通过互联网访问。这类题通常这么答：先配NAT映射，把公网第三个可用地址映射到DCST的内网地址，再配安全策略，源地址限定为PC-3的地址，目的地址为映射后的公网地址，服务端口按题目要求开放。面试官最想听的是你有没有把“映射”和“访问控制”分开说，只做映射不做源限制就是半对。

DCFS网络流控系统部分（第11到18题）考的是：非admin只读账户创建、时间段应用封堵、URL文件大小与格式过滤、UDP端口封堵、主机列表用户名显示、网段末段地址封禁、带宽通道与每用户带宽限制、最小带宽保障与BT流量上限。

第17题是带宽管理的典型题：总出口200M，创建子带宽通道100M，拥塞时PC-2所在网段每用户最大2M最小1M，不拥塞时可以超出2M。答题思路是先建总带宽通道200M，再建子通道100M，在子通道下配每用户带宽限制，最大带宽设2M、最小带宽设1M，拥塞时的超限策略选“允许超出”或按设备实际选项配置。这类题的失分点在于把“最大”和“最小”配反，或者忘了子通道要挂在总通道下面。

DCBI网络日志系统部分（第19到26题）考的是：只读账户、旁路部署与监控接口配置、邮件告警、日志外发SNMP、URL关键字监控与邮件告警、即时聊天记录监控、邮件收发记录监控、通过交换机获取MAC地址。

第20题旁路模式部署是高频考点：设备部署方式选旁路，配置监控接口和管理接口。答题时注意监控接口接交换机镜像口，管理接口配管理IP，两个接口不要搞混。截图要能看出“旁路模式”这个选项被选中。

DCRS三层交换机部分（第27到33题）考的是：enable密码、SSH管理并关闭web、广播风暴抑制、SNMP只读读写字符串、ARP保护与MAC访问控制、基于用户模式的802.1x认证、DHCP Server地址池配置。

第33题DHCP配置是必练题：VLAN110用户通过DHCP获取IP，地址池名pool-vlan110，DNS为114.114.114.114和8.8.8.8，租期2天，网段最后20个可用地址不能动态分配。答题思路是创建地址池、配network和mask、配dns-list两个地址、配lease 2、用排除地址命令把最后20个地址排除。代码块示例如下（以通用CLI语法示意）：

# 创建DHCP地址池并配置基础参数 ip dhcp pool pool-vlan110 network 192.168.110.0 255.255.255.0 dns-server 114.114.114.114 8.8.8.8 lease 2 # 排除网段最后20个可用地址，防止动态分配 ip dhcp excluded-address 192.168.110.235 192.168.110.254

这段配置的逻辑是：先建池再配网络参数，最后排除保留地址。参数说明：network后面跟网段和掩码，dns-server可以跟多个，lease单位是天，excluded-address的范围要根据实际网段算，不能照抄。失败时先看地址池有没有绑定到VLAN接口，再看排除地址有没有落在池范围内。

WAF web应用防火墙部分（第34到40题）考的是：网站服务器接入与syslog外发、邮件短信告警、常见WEB攻击防护、CC攻击防护、源IP封禁、网站安全评估、敏感字段过滤。

第37题CC防护：防止某源IP短时间内大量请求，确认值是10秒超过3000次。答题思路是开启CC防护功能，阈值设为10秒3000次，动作选阻断或告警。这类题的关键是把“时间窗口”和“次数”两个参数都填对，只填一个就是失分。

3. 第二阶段高频考点：系统攻防与运维管控的真题答法

第二阶段300分，八个任务：IIS安全加固与证书签发30分、数据库攻防与加固40分、CSRF攻击40分、XSS攻击40分、密码嗅探40分、文件包含攻击40分、SQL注入攻击40分、Linux操作系统安全防护30分。这一阶段的特点是每道题都要截图加文字说明，操作对了但文档不规范照样丢分。

3.1 IIS安全加固与证书签发：从防火墙放行到客户端证书的完整链路

任务一8道题，考的是Windows防火墙放行IIS、IIS访问限制、服务器证书申请与颁发、SSL启用、客户端证书启用、PC端CA证书申请安装。

第2题加固IIS使Web服务只能被内网用户网段访问，答题思路是在IIS管理器里配IP地址和域名限制，选“拒绝”然后添加允许的内网网段。截图要包含限制规则列表。第5题启用SSL后浏览器访问会有证书警报，因为CN和域名不一致，题目要求把警报窗口截屏。这个截图很多人漏掉，觉得警报不重要，但题目明确要求了。

第6到8题是客户端证书链路：IIS启用客户端证书要求、PC申请CA证书、颁发、安装、再访问测试。这类题通常这么答：先在CA上给PC申请证书并颁发，再在PC上安装证书到“个人”存储区，最后用浏览器访问Web服务，弹出选择证书窗口时选刚装的证书。截图要覆盖申请、颁发、安装、访问四个环节，缺一不可。

3.2 数据库攻防与加固：MySQL审计、权限收敛与启动项加固

任务二8道题，考的是MySQL审计启动项加固、防火墙只放行端口、查看任意IP可访问用户、用grant限制来源、删除匿名用户、改默认管理员名、禁止本地文件存取、限制跨库浏览。

第3题和第4题是一对：先查出可以从任何IP访问的用户，再用grant命令限定只能从公司PC访问。答题思路是先执行查询用户和host的命令，找到host为%的用户，然后用grant重新授权指定host，最后flush privileges。截图要包含查询结果和grant执行过程。

第6题把root改为admin，答题思路是用rename user命令或直接更新mysql.user表，改完flush privileges。注意改完之后要用新用户名登录验证，截图里要有登录成功的画面。

第7题禁止MySQL本地文件存取，答题思路是在mysqld启动项里加--local-infile=0参数，重启服务后验证。第8题限制一般用户浏览其他数据库，在启动项加--skip-show-database。这两题都是改启动项，截图要能看到配置文件里加的参数行。

3.3 CSRF与XSS攻击：从源码分析到攻击验证的答题链条

CSRF任务7道题，XSS任务5道题，两者套路相似：先分析页面源程序找提交变量名，再用抓包工具监听获取用户名密码，然后构造或修改攻击程序，最后执行攻击并验证。

CSRF第1题分析登录页面源程序找提交变量名，答题思路是右键查看源码，找到form标签里的input name属性，截图要包含变量名那一行。第2题启动抓包程序并设过滤条件包含协议和端口，过滤条件要写清楚，比如http and port 80。第3题从监听数据中分析用户名密码，截图要能看清请求报文里的账号字段。

XSS第2题要求找到accept_cookie.php接收cookie后存放的文件，用ls -l列表并截图。答题思路是先读php源码，看file_put_contents或fopen写的是哪个路径，再用ls -l列出该文件。第3题注入窃取cookie的代码，把访问者的cookie上传到xserver。这类题的答题模板是：先确认注入点，再构造带document.cookie的脚本标签，提交后等自动浏览程序触发，最后在xserver上查看接收文件内容。

第5题通过修改PC的cookie不输入用户名密码直接进入页面，答题思路是用浏览器开发者工具或cookie编辑插件，把登录后的session cookie值复制过去，刷新页面验证免登录。截图要求包含自动浏览程序的用户名，所以要在页面里找到用户名显示的位置一起截进去。

3.4 密码嗅探与文件包含：抓包分析加漏洞利用的组合题

密码嗅探任务7道题，考的是telnet、ftp、tomcat三种服务的密码抓取。套路统一：设wireshark过滤条件、启动自动连接程序、捕获用户名密码、截图。

第1题过滤条件设为telnet，启动telnetp程序每分钟访问一次，截图要包含过滤栏和抓到的包。第2题从抓包结果里找telnet的用户名和密码，telnet是明文协议，直接在TCP流里跟一下就能看到。第5题分析tomcat的/admin页面源码，指出用户名和密码的提交方法和变量名，答题时要说清楚是GET还是POST，变量名是什么，截图包含form标签。

文件包含任务6道题，考的是源码分析找变量名、抓包获取账号密码、利用文件包含漏洞读passwd、社会工程学破解弱密码、命令执行获取网络连接信息。

第4题通过文件包含漏洞获得passwd文件，答题思路是找到include或require的参数，把路径改成../../../../etc/passwd，URL里要能看到这个参数，截图必须包含完整URL。第5题根据用户名列表用社会工程学原理破解test1、test2、test3的密码，这类题通常这么答：先看用户名有没有规律，再试常见弱密码组合，比如用户名加123、用户名加生日格式、admin加数字等，截图要包含尝试过程和成功结果。

3.5 SQL注入与Linux安全防护：工具使用加配置加固的双线考法

SQL注入任务6道题，考的是扫描器识别注入点、手工判断注入点、sqlmap跑GET型注入、POST型注入、登录认证型注入dump密码、md5破解后登录。

第3题用sqlmap获得当前数据库名称，命令示例如下：

# 对GET型注入点跑sqlmap，获取当前数据库名 sqlmap -u "http://target/page.php?id=1" --current-db --batch # 参数说明：-u指定注入URL，--current-db取当前库名，--batch自动确认不交互

这段命令的逻辑是先确认注入点可用，再取库名。--batch是为了避免交互卡住，比赛时时间紧，能自动确认就自动确认。失败时先看URL有没有被WAF拦，再看sqlmap的level和risk参数要不要调高。

第4题POST型注入，需要加--data参数把POST体带上，同时用--dbs列出所有数据库和个数。第5题登录认证型注入，先注册任意账号，再对后台指定URL跑sqlmap，用--dump拿到admin的加密密码。第6题对拿到的md5值做破解，可以用在线工具或本地字典，破解成功后用admin登录截图。

Linux安全防护任务9道题，考的是禁止root直接SSH登录、密码最小长度8位、错误登录10次锁定10分钟、umask设为027、自编脚本找SUID/SGID文件、自编脚本找所有人可写目录、登录超时10分钟、syslog日志外发、创建UID为0的账号并用一行命令查找。

第5题自编脚本找SUID和SGID文件，脚本示例如下：

#!/bin/bash # 查找系统中所有SUID和SGID权限的文件 find / -perm -4000 -o -perm -2000 2>/dev/null # -perm -4000匹配SUID，-perm -2000匹配SGID，2>/dev/null屏蔽权限报错

这段脚本的核心是find的-perm参数，-4000表示至少包含SUID位，-2000表示至少包含SGID位，用-o连接两个条件。2>/dev/null是把无权限访问的报错丢掉，不然输出全是Permission denied。第9题创建UID为0的账号后用一行命令查找，命令是awk -F: '$3==0{print $1}' /etc/passwd，按冒号分隔取第三列为0的行打印第一列。

4. 第三阶段分组对抗：15分钟加固窗口与400分攻防节奏

第三阶段400分，系统加固100分、系统攻防300分。规则很直接：15分钟内对受保护服务器做加固，加固常规漏洞拿KEY提交裁判服务器，加固系统漏洞拿FLAG提交。15分钟后进入攻防对抗，你可以继续加固，也可以攻击其他组的服务器。如果自己的FLAG被别人拿到并提交，比赛立即结束。

这一阶段最关键的认知是：加固窗口只有15分钟，不可能把所有漏洞都补完。答题策略是先扫一遍漏洞列表，按“利用难度低、被攻击概率高”排序，优先补SQL注入、XSS、表单提权、COOKIE漏洞这类常规Web漏洞，因为对手最容易上手。系统漏洞加固拿FLAG分值更高，但耗时更长，要根据剩余时间决定做几个。

两个红线必须记住：任何时候不能关闭80端口，否则第三阶段0分；不能攻击裁判服务器，否则第三阶段0分。这两条不是技术问题，是规则问题，每年都有人因为关了Web服务或者扫了不该扫的地址直接出局。

攻防环节的节奏建议：前5分钟确认自己的KEY和FLAG都提交了，中间5分钟检查80端口和关键服务是否正常，剩余时间再考虑攻击其他组。攻击时优先找没加固的常见漏洞，不要死磕一个目标。这类比赛的血泪经验是：守得住比打得狠更重要，自己的FLAG丢了直接结束，攻击别人只是加分。

5. 易错点：五类最容易丢分的题和纠正答法

5.1 易错点一：IP地址规划算错子网掩码

错在哪：互联段用/24掩码，浪费地址，违反“最节省IP地址”要求。为什么错：题目明确写了遵循2n-2原则，互联段2个可用地址就该用/30。怎么答对：先列互联关系表，每段算可用地址数，选最小满足的掩码，填完IP参数表再动手配设备。

5.2 易错点二：截图没有配置说明或文件名格式错

错在哪：配置做对了，但截图只有命令没有文字说明，或者文件名写成“任务一.doc”。为什么错：题目要求截图加配置说明，文件名格式是“第X阶段-任务X-任务名称”。怎么答对：每张截图下面加一两句说明配了什么、关键参数是什么，文件名严格按格式写，提交前逐个核对。

5.3 易错点三：SNMP权限配成读写

错在哪：题目要求网管软件对设备没有写权限，考生配了读写community。为什么错：没看清“没有写权限”对应只读。怎么答对：看到“没有写权限”“仅查询”就配只读，看到“统一管理”“读写字串”才配读写，截图里把权限字段露出来。

5.4 易错点四：带宽限制最大最小配反

错在哪：拥塞时每用户最大2M最小1M，考生把最大配成1M最小配成2M。为什么错：对“最大带宽”和“最小带宽保障”的概念混淆。怎么答对：最大带宽是上限，最小带宽是保障值，最小不能大于最大。配完读一遍配置，确认max和min的数值关系。

5.5 易错点五：第三阶段关了80端口或扫了裁判服务器

错在哪：加固时为了安全把Web服务停了，或者攻击时扫了裁判服务器地址。为什么错：没注意规则红线。怎么答对：加固前先确认80端口必须保留，攻击目标只选其他组的受保护服务器，裁判服务器地址单独记下来避开。

6. 答题节奏：6小时怎么分配，附考场检查清单

这场竞赛6小时含赛题发放、收卷和午餐时间，实际动手时间比想象中紧。我的建议是：第一阶段控制在2小时以内，任务一30分钟、任务二90分钟；第二阶段2小时，八个任务按分值分配，40分的任务每个不超过20分钟，30分的每个不超过15分钟；第三阶段按现场节奏走，加固窗口15分钟必须出结果。

考场检查清单我每次都会强制走一遍：U盘根目录工位文件夹建了没有、第一阶段和第二阶段子文件夹建了没有、文件名格式对不对、截图有没有配置说明、DCRS的show run有没有存进WORD、IP参数表有没有填完放进第一阶段文件夹、第三阶段80端口还开着没有、裁判服务器地址有没有误碰。这套清单看起来琐碎，但血泪经验告诉我，丢分最多的不是不会配，而是会配但没交对。

从那以后我每次带人练这个赛项，都要求他们在提交前把清单逐项打勾，不允许凭记忆检查。希望帮到你。

本文还有配套的精品资源，点击获取