企业官网建设流程全解析

简介：这份2021年全国职业院校技能大赛网络安全竞赛试题文档，面向职业院校参赛选手、指导教师及网络安全实训人员，围绕服务器与Web环境的安全加固、攻击排查和取证响应等典型竞赛场景编写。内容覆盖Windows与Linux登录安全加固、MySQL数据库权限与账户加固、HTTP到HTTPS重定向、审核策略与事件监控，以及SSH、VSFTPD、IIS服务加固和防火墙端口封禁、ICMP限制等任务，并延伸到网络安全事件响应、数字取证调查与应用安全模块。压缩包仅含1个docx文件，大小约119KB，结构紧凑，便于按任务检索和打印学习。已有961人学习，可作为赛前梳理任务清单、课堂实训命题和加固操作自查的参考，帮助读者理解赛题要求、定位关键配置项并积累排错思路。

1. 十六位密码只是开胃菜：这场网络安全技能大赛的分数长什么样

网络安全技能大赛里有一种题，看起来最简单，扣分却最狠——不是拿 shell，不是逆向，而是把一台 Windows 的最小密码长度改成 16 位。改完不验证、不截图、不重启服务，分就没了。这场竞赛考的不是谁工具多，而是谁能在有限时间里把一套标准动作做完整：加固、取证、分析、提交 Flag。模块 A 拼配置准确度和路径记忆，模块 B 拼取证工具链的熟练度和对内存、流量的敏感度。适合已经摸过 Linux 命令、知道 Wireshark 能抓包，但一上赛场就手忙脚乱的人。下面按考点顺序拆，先给拿分动作，再讲真题怎么答，最后说哪些地方最容易翻车。

2. 主机与账户加固：密码策略、登录横幅、会话超时三处必拿分

模块 A 的第一道大题通常就是登录安全加固，Windows 和 Linux 双平台各来一遍。这一块的评分点特别碎：改哪个文件、写哪个字段、改完要不要重启、要不要截图，每一环都是独立得分项。很多人栽的不是不会，而是路径记混、参数单位搞错、改完没验证。把这一章的动作练成肌肉记忆，等于先把最容易拿的分锁死。

2.1 十六位密码：Windows 与 Linux 两条操作路径

Windows 走图形界面：管理工具 → 本地安全策略 → 账户策略 → 密码策略 → 密码长度最小值，直接填 16。给域环境做的话，得在组策略里改默认域策略，改完用gpupdate /force刷新，再执行net accounts看“最小密码长度”那一行是不是 16。这一步验证动作千万别省，赛场上有人的策略改了但没应用，交卷时截图是空的。

Linux 走配置文件：/etc/login.defs里的PASS_MIN_LEN字段。注意这个字段只在部分发行版对新建用户生效，如果题干还要求“已有用户也生效”，得配合 PAM 的 pwquality 一起改。答题时先改文件再验证：

# 备份原文件，赛场上改错能回滚 cp /etc/login.defs /etc/login.defs.bak # 把 PASS_MIN_LEN 改成 16，注意去掉行首注释 sed -i 's/^PASS_MIN_LEN.*/PASS_MIN_LEN\t16/' /etc/login.defs # 验证：输出应为 PASS_MIN_LEN 16 grep -E '^PASS_MIN_LEN' /etc/login.defs

sed那行的^PASS_MIN_LEN是锚定行首，避免误伤注释行；\t是制表符，跟原文件风格保持一致。改完立刻grep一次，是因为评分脚本读的就是这个字段的最终值，中间过程不算分。如果题目要求截图，截的是包含文件名和字段值的完整终端窗口，不是只截一行输出。

2.2 登录横幅：/etc/issue、SSH Banner 与 Windows 消息标题

题干里那句“For authorized users only”，本地登录和远程登录是两个不同的落点。本地终端登录看的是/etc/issue，SSH 远程登录看的是 sshd 的Banner指令。只改一个，另一半分就丢了，这是最常见的漏项。

# 本地登录欢迎语：直接覆盖写入 echo "For authorized users only" > /etc/issue # 远程 SSH 登录横幅：先建文件，再让 sshd 指向它 echo "For authorized users only" > /etc/ssh/banner # 确保 sshd 能读到，权限别开太大 chmod 644 /etc/ssh/banner # 在 sshd_config 中启用 Banner，注意去掉行首注释 sed -i 's|^#\?Banner.*|Banner /etc/ssh/banner|' /etc/ssh/sshd_config # 改完必须重启服务，否则配置不生效 systemctl restart sshd

chmod 644是血泪经验：banner 文件权限过松，sshd 会拒绝加载，登录时横幅直接消失，你改了半天等于没改。改完用另一台机器ssh过去看提示，或者sshd -t检查语法。Windows 这边路径是本地安全策略 → 本地策略 → 安全选项 → “交互式登录：试图登录的用户的消息标题”。赛题原文里常被写成“交换式登录”，找的时候按“交互式登录”搜，别被错别字带偏。

2.3 会话超时五分钟：ClientAliveInterval 与 RDP 会话设置

“远程用户非活动会话连接超时应小于等于 5 分钟”这句话，Linux 侧对应 sshd 的两个参数组合，不是一个参数拍脑袋填 5。ClientAliveInterval是服务端多久发一次探测，单位秒；ClientAliveCountMax是探测几次没回应就断开。两者相乘才是实际超时时间。

# 每 60 秒探测一次，连续 5 次无响应则断开，合计 300 秒 sed -i 's|^#\?ClientAliveInterval.*|ClientAliveInterval 60|' /etc/ssh/sshd_config sed -i 's|^#\?ClientAliveCountMax.*|ClientAliveCountMax 5|' /etc/ssh/sshd_config systemctl restart sshd

60 × 5 = 300 秒，正好 5 分钟，卡在“小于等于”的边界上。也可以写ClientAliveInterval 300配ClientAliveCountMax 0，但 0 在部分版本里含义是“永不超时”，风险更大，赛场上优先用前一种。Windows 侧在管理工具 → 远程桌面服务 → 远程桌面会话主机设置，双击 RDP-Tcp，切到“会话”标签，把“活动但空闲的会话”和“结束已断开的会话”都设成 5 分钟，两处都要改，只改一处同样是半分。

2.4 用户登录时间限制：net user 与域账户两条路

“user1 只能在周一至周五 9:00~18:00 登录”这题，单机环境和域环境是两套做法。单机直接一条命令：

# M-F 表示周一到周五，时间段用 24 小时制，命令不区分大小写 net user "user1" /time:M-F,9:00-18:00 # 验证：查看输出的“允许的登录时间”一行 net user "user1"

域用户则是双击账户，在用户属性对话框点“帐户”标签，再点“登录时间”，在网格里涂选周一到周五的 9 点到 18 点。这里有个坑：域环境登录时间的最小单位是小时，9:00~18:00 正好是整点，能精确命中；如果题干给的是 9:30，就得在报告里说明按小时取整的处理方式。答题时把配置界面截图放进答题文档，单机环境截图net user的回显也算有效证据。

2.5 真题演练：三道加固题的标准答法

第一题：“在 Linux 下将最小密码长度设置为不少于 16 个字符，写出操作。”标准答法分三步：改/etc/login.defs的PASS_MIN_LEN为 16，执行grep验证并截图，口头补一句“若需对已有用户生效，同步调整 PAM 的 pwquality 配置”。只写第一步的答案在评分表上通常只拿一半，因为缺验证动作。

第二题：“配置 SSH 登录提示信息为 For authorized users only。”答法要区分本地与远程：/etc/issue管本地终端，/etc/ssh/banner加sshd_config的Banner指令管远程，改完systemctl restart sshd，再用实际 SSH 连接验证。很多人只写 banner 文件，漏掉 sshd_config 里的那行引用，配置文件没被读取，等于白写。

第三题：“远程非活动会话超时不超过 5 分钟。”Linux 答ClientAliveInterval 60与ClientAliveCountMax 5，并说明 60×5=300 秒；Windows 答 RDP-Tcp 会话标签下两处均设为 5 分钟。答题时把“为什么是相乘”写出来，比只报参数更能体现理解，也更容易在步骤分上拿满。

3. 服务、数据库与流量完整性：SSH/VSFTPD/IIS/MySQL的配置清单

模块 A 后半段从“账户层”下沉到“服务层”，考的是你对每个服务配置文件里那几个关键指令的熟悉程度。这一块的题有个共同特征：命令都不长，但参数值一旦写错就是零分，而且改完不重启服务的扣分非常普遍。下面按服务逐个拆，每个都给出可复现的改法和验证方式。

3.1 SSH 改端口 2222 与禁止 root 远程登录

两道题在同一个配置文件里，建议一次改完再统一重启，减少重启次数也减少出错概率。端口改完记得同步防火墙和 SELinux，否则服务起不来你还以为是配置写错了。

# 1. 改端口：把注释掉的 Port 22 改成 2222 sed -i 's|^#\?Port .*|Port 2222|' /etc/ssh/sshd_config # 2. 禁止 root 远程登录 sed -i 's|^#\?PermitRootLogin.*|PermitRootLogin no|' /etc/ssh/sshd_config # 3. 语法检查，比直接重启安全 sshd -t # 4. 重启并验证监听端口 systemctl restart sshd ss -lntp | grep 2222

sshd -t是后悔药，语法有错它会直接报行号，避免重启失败把远程连接搞断。ss -lntp的四个参数分别是显示 socket、只显示监听、不解析服务名、显示进程，输出里出现 2222 才算真的生效。如果服务起不来，先看journalctl -u sshd -n 20，十有八九是 SELinux 没放行新端口，用semanage port -a -t ssh_port_t -p tcp 2222补一条。

3.2 VSFTPD 禁止匿名与四个超时参数

VSFTPD 的题面通常两问：禁止匿名用户上传、设置无操作超时 5 分钟。第一问的关键不是只写anonymous_enable=NO，题干说的是“上传”，严格做法是关匿名访问并确保write_enable与匿名上传相关项都不放行。

# 禁止匿名登录，从根上断掉匿名上传 sed -i 's|^#\?anonymous_enable.*|anonymous_enable=NO|' /etc/vsftpd/vsftpd.conf # 无命令操作超时：5 分钟 = 300 秒 sed -i 's|^#\?idle_session_timeout.*|idle_session_timeout=300|' /etc/vsftpd/vsftpd.conf # 数据连接无数据超时同样收敛到 300 秒 sed -i 's|^#\?data_connection_timeout.*|data_connection_timeout=300|' /etc/vsftpd/vsftpd.conf systemctl restart vsftpd

赛题参考里给的idle_session_timeout=600是 10 分钟，和题干“5 分钟”对不上。考场上以题干为准，300 才是正确答案，这一点属于典型的“参考值陷阱”。connect_timeout和accept_timeout管的是主动、被动模式的连接建立时长，和“无操作超时”不是一回事，题目没要求就别乱改，改多了反而可能影响其他评分点。

3.3 IIS 日志字段、并发连接数与 HTTP 转 HTTPS

IIS 这块三道小题，全是界面操作，考的是你有没有点进正确的层级。日志审计在“网站 → 日志设置”，格式选 W3C，然后点“选择字段”，只勾日期、时间、客户端 IP 地址、用户名、方法五项，其余全部取消。并发连接数在“网站 → 高级设置 → 最大并发连接数”，填 1000。

HTTP 重定向 HTTPS 需要 URL 重写模块。规则逻辑是：匹配所有 URL，条件判断{HTTPS}等于OFF，动作选重定向，目标写https://{HTTP_HOST}/{R:1}，状态码 301。等价配置片段如下：

<rule name="Redirect to HTTPS" stopProcessing="true"> <match url="(.*)" /> <conditions> <!-- 只有当前是 HTTP 才跳转，避免 HTTPS 请求被反复重定向 --> <add input="{HTTPS}" pattern="^OFF$" /> </conditions> <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" /> </rule>

{R:1}是第一个捕获组，也就是原始路径，少了它所有请求都会跳到首页。redirectType="Permanent"对应 301。配置完用浏览器访问http://地址，看是否自动跳到https://www.test.com，并确认证书匹配题干给的域名。这一步验证不做，评分时打不开就是零分。

3.4 MySQL 加固五连：普通账户、删 test 库、改管理员、MD5、最小权限

数据库加固是整张卷子里命令最密集的一段，五道小题连着做，一步错后面全乱。核心原则：先改运行账户，再动库和用户，最后授权并刷新权限。

# 1. 以普通账户 mysql 运行服务：在 /etc/my.cnf 的 [mysqld] 段落下加 # user=mysql # 2. 删除默认测试库 mysql -u root -p -e "DROP DATABASE IF EXISTS test;"

-- 3. 把默认管理员 root 改名为 SuperRoot UPDATE mysql.user SET user='SuperRoot' WHERE user='root'; -- 4. 用内置 MD5 函数加密 user1 的密码 -- 注意：是对新密码明文做 MD5，不是对原字段再加密一次 UPDATE mysql.user SET password=MD5('P@ssw0rd1!') WHERE user='user1'; -- 5. 只给 user1 对 testdb 所有表的增删改查权限 GRANT SELECT,INSERT,DELETE,UPDATE ON testdb.* TO 'user1'@'localhost'; -- 改完用户表必须刷新，否则权限不生效 FLUSH PRIVILEGES;

第 4 步是最容易翻车的地方，写成MD5(password)是把旧哈希又加密一遍，登录必然失败，正确写法是对明文密码做MD5()。第 5 步的testdb.*表示库下所有表，权限列表里没有DROP和GRANT，这就是“最小权限”的评分依据，多给一个权限都可能扣分。执行完用SHOW GRANTS FOR 'user1'@'localhost';回显验证，比凭记忆可靠。

3.5 审核策略：登录事件、特权使用、策略更改、进程跟踪

事件监控题在组策略里做，路径是gpedit.msc→ 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略。四项要求各不相同，成功和失败的勾选不能凭感觉：

题干写“特权使用 成功”，就只勾成功，多勾失败属于配置偏离，严格的评分脚本会判错。改完在命令行跑auditpol /get /category:*核对，或者打开事件查看器的安全日志确认有新事件产生。这一步验证能救回不少“以为改了其实没应用”的分。

4. 模块B取证三任务：内存取证、流量分析、渗透测试的固定套路

模块 B 换了场景：给你一台被攻击的服务器，让你追溯源头、提交 Flag。这一模块的题不像加固题有标准路径，但套路极其固定——内存题靠 volatility 的插件组合，流量题靠 Wireshark 的过滤表达式，渗透题靠 MSF 的命令序列。掌握这三条流水线，比背一百个命令有用。

4.1 内存取证：hashdump、矿池地址、注册服务

内存取证题只给一个 IP，其余全靠镜像分析。五道小题的解题链条是这样的：先用hashdump把用户哈希提出来，再用字典或彩虹表破 6 位密码；IP 和主机名用系统信息插件；浏览器关键词查历史记录结构；矿池地址看网络连接；服务名查注册表或服务列表。

# 识别镜像的操作系统版本，选对 profile 后面才不会全错 volatility -f memory.img imageinfo # 提取用户哈希，输出格式为 用户名:UID:LM哈希:NT哈希::: volatility -f memory.img --profile=Win7SP1x64 hashdump # 查看网络连接，找 ESTABLISHED 状态里指向外部 IP:端口的可疑连接 volatility -f memory.img --profile=Win7SP1x64 netscan # 列出注册表中的服务项，找名称可疑、启动类型为自动的服务 volatility -f memory.img --profile=Win7SP1x64 svcscan

imageinfo给出的建议 profile 直接决定后面所有插件能不能跑通，选错就是一堆空结果。hashdump出来的 NT 哈希拿去离线破解，6 位纯数字或小写字母的密码几秒就出。netscan里挖矿进程的连接通常指向境外 IP 加非常规端口，那个ip:端口就是 Flag。svcscan输出很长，按服务名排序找非系统自带项，恶意服务往往伪装成看似正常的名字但二进制路径在临时目录。

4.2 流量分析：FTP 凭据、登录时间、第一条命令、下载文件

流量题给一个 pcapng，五问层层递进，其实是一条时间线：找到凭据 → 看登录时间 → 看第一条命令 → 看下载了什么文件 → 看文件内容。全程围绕 FTP 协议，因为 FTP 是明文传输，凭据和命令都躺在包里。

在 Wireshark 里依次用这些过滤器：ftp看登录交互，ftp.request.command只看客户端发出的命令，ftp-data看数据传输。找到USER和PASS两个包，用户名密码就出来了，按题干要求用英文逗号拼接。登录时间看USER命令包的时间戳，格式按题干给的时:分:秒截取。第一条命令是登录成功后客户端发的第一个ftp.request.command，通常是SYST或PWD，别错看成登录前的。

下载文件那两问要多一步：在ftp-data过滤结果里找到RETR之后的传输包，右键“追踪 TCP 流”，把载荷导出成原始二进制，文件头能看出类型。文件内容如果是文本直接读，如果是压缩包先解压再读。这一步导出对象的功能在“文件 → 导出对象 → FTP-DATA”里也能做，比手工拼流更稳。

4.3 渗透测试：Nmap -oX、msfdb init、hosts、search CVE、check

渗透题的五个 Flag 全是命令本身或命令回显，考的是你对工具链的熟练度而不是攻击结果。按顺序记：

# 1. 扫描并把结果输出为 xml，-oX 就是题目要的参数 nmap -sV -oX result.xml 192.168.1.10 # 2. 初始化 MSF 数据库，第一次用必须先跑 msfdb init # 3. 进入控制台，导入扫描结果并查看主机列表 msfconsole -q msf6 > db_import /root/result.xml msf6 > hosts # 4. 搜索指定漏洞模块，回显里有公开时间（Disclosure Date） msf6 > search cve-2019-0708 # 5. 调用模块检测靶机是否存在漏洞，看回显最后一个单词 msf6 > use exploit/windows/rdp/cve_2019_0708_bluekeep_rce msf6 > set RHOSTS 192.168.1.10 msf6 > check

第 1 题的答案是-oX这个参数本身，别写成整个命令。第 3 题的答案是hosts，不是db_import。第 4 题要在 search 回显的表格里找Disclosure Date那一列的日期，格式补成YYYY-MM-DD。第 5 题check的返回通常是The target is vulnerable.或The target appears to be safe.，题干要“最后一个单词”，就去掉句号取vulnerable或safe。这些细节看着琐碎，但每一条都是一个独立得分点。

4.4 Flag 提交格式与常见翻车点

Flag 格式是Flag{Xxxx123}，提交括号里的内容，不提交Flag{}本身。三个高频翻车点：大小写混了，比如把SuperRoot写成superroot；分隔符用了中文逗号，FTP 凭据题要求英文逗号；多加了空格，从终端复制时尾部空格肉眼看不见。提交前把答案粘到纯文本框里过一遍，能过滤掉大半格式错误。

5. 易错点复盘：五类“做完了但没分”的操作

这一章列的五个坑，都是我在模拟评分时反复见到的：考生出来说全做完了，成绩单上却大片空白。共同点是操作动作做了，但没做到评分点要的那个状态上。每一条按“错在哪、为什么错、怎么答对”拆开说。

5.1 改完配置不重启服务，进程还在用旧配置

错在哪：sshd_config、vsftpd.conf、my.cnf都改对了，但没执行systemctl restart，服务进程读取的还是启动时的旧配置，验证时端口没变、横幅没出、匿名还能登。

为什么错：Linux 服务只在启动时加载一次配置文件，改文件不等于改运行时状态。考场上一紧张就容易把“保存文件”当成“完成配置”。

怎么答对：每改完一个服务的配置文件，固定动作是systemctl restart 服务名加一条验证命令。SSH 用ss -lntp | grep 2222，VSFTPD 用systemctl status vsftpd，MySQL 用systemctl restart mysqld后重新登录。重启前先sshd -t做语法检查，避免重启失败把远程连接搞断。

5.2 超时参数单位搞混，5 分钟填成 5

错在哪：题目说“超时应小于等于 5 分钟”，考生在ClientAliveInterval里直接填 5，或者在 RDP 界面里填 300。前者 5 秒就断，后者变成 300 分钟。

为什么错：Linux 的 sshd 参数单位是秒，Windows 的会话界面单位是分钟，两个平台单位相反，凭手感填必错。

怎么答对：先确认单位再填值。Linux 侧用ClientAliveInterval 60配ClientAliveCountMax 5，相乘等于 300 秒；Windows 侧直接在界面填 5。答题时把换算过程写进答案，既是自检也是给评分人看的依据。

5.3 密码加密写成 MD5(password)，把旧哈希又加密一遍

错在哪：MySQL 题要求“用内置 MD5 函数加密 user1 的密码为 P@ssw0rd1!”，考生写UPDATE user SET password=MD5(password) WHERE user='user1';，结果登录失败。

为什么错：password字段里存的是旧哈希，对哈希再做 MD5 得到的是哈希的哈希，和明文密码对不上。题目要的是对明文加密。

怎么答对：UPDATE mysql.user SET password=MD5('P@ssw0rd1!') WHERE user='user1';，改完必须FLUSH PRIVILEGES;。改完用新密码实际登录一次验证，别只看命令执行成功。

5.4 iptables 规则顺序写反，把自己也挡在外面

错在哪：“禁止所有人通过 SSH 连接，除了 172.16.1.1”这题，考生先写DROP再写ACCEPT，结果白名单 IP 也被丢包，远程连接直接断。

为什么错：iptables 按顺序匹配，命中即停。先 DROP 掉所有 22 端口流量，后面的 ACCEPT 永远轮不到。

怎么答对：白名单规则必须在前。先iptables -A INPUT -s 172.16.1.1 -p tcp --dport 22 -j ACCEPT，再iptables -A INPUT -p tcp --dport 22 -j DROP。改之前先iptables -L -n --line-numbers看清现有规则，避免和默认策略打架。永久生效还要iptables-save > /etc/sysconfig/iptables，只写运行时规则重启就没了。

5.5 匿名上传只关 anonymous_enable，忘了写权限链

错在哪：“vsftpd 禁止匿名用户上传”，考生只改anonymous_enable=NO，觉得匿名都关了肯定不能上传。但题干如果还要求保留匿名下载，这么改就把功能全关了；如果只改这一项而write_enable和anon_upload_enable仍是 YES，目录权限没动，匿名用户换个方式照样能写。

为什么错：FTP 的上传能力由“匿名开关 + 写开关 + 匿名上传开关 + 目录权限”四层叠加决定，只关一层不构成闭环。

怎么答对：先看题干是“禁止匿名访问”还是“禁止匿名上传”。前者anonymous_enable=NO一步到位；后者保留匿名读，关掉anon_upload_enable和anon_mkdir_write_enable，同时检查上传目录属主不是ftp。改完用匿名账号实际登录试传一次，传不上去才算过。

6. 上机答题节奏：从读题到提交 Flag 的一套检查动作

赛场时间通常不够你把每道题都做两遍，所以节奏比技术更决定成败。我习惯把整场切成四段：前十分钟只读题和标注，把所有题目按“会做 / 要查 / 不会”三类打标，顺手把每题的得分点数量写在旁边；接着按模块顺序做，先扫一遍所有会做的，把稳的分全部落袋；然后回头啃要查的，最后才碰不会的。这个顺序能保证你在任何时间点交卷都不至于大片空白。

读题时养成圈参数的习惯。“不少于 16 个字符”“小于等于 5 分钟”“只记录日期、时间、客户端 IP 地址、用户名、方法”，这些限定词就是评分点，漏一个扣一项。凡是题干出现“截图”两个字，操作完立刻截，别等最后统一补，赛场上一切换虚拟机就容易忘。

提交环节单独说一句。Flag 是逐字符比对的，抄的时候用复制粘贴，别手打；提交前把答案粘到纯文本框里看一眼首尾有没有空格；模块 B 的格式题（用户名,密码、ip:主机名、ip:端口）分隔符是英文半角，中英文输入法切换要养成肌肉记忆。

从那以后我每次进赛场，第一件事不是打开工具，而是在草稿纸上画一张四段节奏表，把“重启服务、验证、截图、核对格式”四个动作写死在每一题后面，做完一项划掉一项。这套动作救回过我好几次本来要丢的分。希望帮到你。

本文还有配套的精品资源，点击获取