2025年珠澳琴职业技能大赛暨“深合杯”职业技能竞赛-网络与信息安全管理员决赛技...

更新时间：试题数量：购买人数：提供作者：

有效期：个月

章节介绍：共有个章节

收藏

我的练习

我的错题
(0道)

我的收藏
(0道)

我的斩题
(0道)

我的笔记
(0道)

专项练习

顺序练习 练习进度 0 / 0

随机练习 自定义设置练习量

模拟考试 仿真模拟

题型练习 按题型分类练习

易错题 精选高频易错题

学习资料 考试学习相关信息

搜索

题库预览

请排查服务器的系统用户配置信息，定位并提交由攻击者新增的恶意用户名。要排查服务器中攻击者新增的恶意用户，核心思路是围绕Linux系统用户配置的核心文件、默认用户特征、异常用户行为痕迹展开，通过“特征对比+异常筛查”定位恶意用户。所有用户信息均存储在系统固定配置文件中，需优先核查以下核心文件（均位于/etc/目录下）： /etc/passwd存储所有用户的基础信息（用户名、UID、GID、家目录、登录Shell等），所有用户可读 <此处为passwd文件内容> 正常系统用户（如bin、daemon）UID通常<1000，普通用户UID≥1000；若某用户UID=0（与root权限相同）但用户名不是root，大概率是恶意用户（攻击者可能通过修改UID伪装root权限）。

经初步判断，攻击者已为root账户植入SSH后门程序，请对服务器的系统文件展开排查，确定并提交该后门所指向的主机名称。要排查root账户的SSH后门并定位其指向的主机名称，核心是围绕SSH服务的配置文件、授权文件、启动脚本及隐藏的恶意关联文件展开——攻击者植入SSH后门时，必然会在系统中留下“连接外部主机”的配置（如主机名、IP对应的域名）。攻击者常通过authorized_keys实现root免密登录需重点排查：查看authorized_keys异常公钥：执行命令：cat/root/ssh/authorized_keys 正常公钥会有清晰注释；若某条公钥注释为空，或包含陌生主机标识（如ssh-rsa AAAAB3...hack@bad-domain），则bad-domain即为后门主机名； <此处为root用户的authorized_keys内容>

除root账户外，攻击者还为某普通用户配置了SSH后门，请通过排查服务器系统文件，找到并提交该后门对应的主机名称。 <此处为/home/ubuntu/.ssh/authorized_keys内容>

请对服务器系统文件进行详细核查，找出攻击者为哪个普通用户赋予了特殊权限（该权限可使其在特定条件下以root身份执行操作），并提交该普通用户的名称。要排查攻击者为哪个普通用户赋予了“特定条件下以root身份操作”的特殊权限，需聚焦Linux系统中普通用户获取root权限的核心机制（sudo配置、SUID文件、特权组关联等）。优先核查sudo配置文件（最常见的特权赋予方式），sudo是普通用户获取root权限的最直接途径，攻击者常修改sudoers文件为目标用户配置特权查看/etc/sudoers主文件，关注格式为用户名主机=（运行身份）可执行命令的条目，例如：若存在hackuser ALL=(ALL)NOPASSWD:/bin/bash：表示普通用户hackuser可通过sudo /bin/bash直接获取root shell（无需密码）；若存在testuser ALL=(ALL)ALL：表示testuser可执行任意命令（通过sudo任意命令获取root权限）。普通用户的UID通常≥1000，排除root（UID=0）和系统用户（UID<1000），筛选出符合“普通用户”特征的条目。 <此处为sudoers内容>

请剖析已保存的网络流量数据，找出并提交首次对该服务器发起端口扫描行为的恶意IP地址。 TCP SYN扫描是最常见的端口扫描方式：攻击者向目标服务器的多个端口发送仅含SYN标志位的数据包（tcp.flags=0x0002，即SYN=1，其他标志位为0），通过服务器的响应（SYN-ACK表示端口开放，RST表示关闭）判断端口状态。扫描行为的关键特征：同一源IP在短时间内（通常几秒到几分钟）向服务器的多个不同端口发送SYN包（正常业务连接通常只访问固定端口，如80、443）。 <此处为Wireshark抓包分析图>

请继续分析留存的网络流量数据，定位并提交首次对服务器进行网站目录扫描的恶意IP地址。要定位首次对服务器进行网站目录扫描的恶意IP地址，核心是抓住目录扫描的HTTP/HTTPS层流量特征（短时间内对同一Web端口发送大量不同URI请求）网站目录扫描（又称“路径扫描”）是攻击者通过向服务器的Web服务端口（通常为80/HTTP、443/HTTPS、8080/8443等）发送大量不同URI路径的请求，探测网站是否存在敏感目录（如/admin）、后台入口（如/login.php）或遗留文件（如/backup.sql）通过http.request查看所有的http请求报文，对结果进行快速分析，定位恶意IP地址。 <此处为Burp Suite抓包分析图>

某日，某单位的网络与信息安全管理员在安全防护设备中监测到异常网络连接，该连接指向内网服务器。目前运维团队已对受影响的服务器执行紧急下线操作，并完成磁盘镜像留存。相关网络流量数据存储于/root/wireshark.pcap路径下。请结合现有环境，对本次网络安全事件开展全面分析与溯源，梳理攻击者的完整攻击链路，排查系统存在的安全弱点，并完成以下任务：【缺少答案，请补充】

请排查服务器的系统用户配置信息，定位并提交由攻击者新增的恶意用户名。

经初步判断，攻击者已为root账户植入SSH后门程序，请对服务器的系统文件展开排查，确定并提交该后门所指向的主机名称。

除root账户外，攻击者还为某普通用户配置了SSH后门，请通过排查服务器系统文件，找到并提交该后门对应的主机名称。

请对服务器系统文件进行详细核查，找出攻击者为哪个普通用户赋予了特殊权限（该权限可使其在特定条件下以root身份执行操作），并提交该普通用户的名称。

请剖析已保存的网络流量数据，找出并提交首次对该服务器发起端口扫描行为的恶意IP地址。

请继续分析留存的网络流量数据，定位并提交首次对服务器进行网站目录扫描的恶意IP地址。

基于对流量文件的分析，统计并提交该攻击者针对服务器发起的端口扫描总次数。

找到攻击者在扫描中第一个访问到的响应码为200的URI。（如/user/admin/login）

找到攻击者从Web页面中获取的后台账号密码信息，并提交账户/密码的值。（如username/password）

找到攻击者在网页端进行RCE时传递命令给了哪个参数。

找到攻击者第一次尝试下载文件时的URL。（如：http://11.22.33.44:1234/download）

查找攻击者通过命令执行漏洞成功下载的文件名称。

查找攻击者在测试服务器网络连通性并尝试外带数据时用于解析的域名地址。

1 2