2024年甘肃省职业院校技能大赛信息安全管理与评估样题三模块二

竞赛需要完成三个阶段的任务，分别完成三个模块，总分共计 1000分。三个模块内容和分值分别是：
1.第一阶段：模块一网络平台搭建与设备安全防护（180 分钟，300 分）。
2.第二阶段：模块二网络安全事件响应、数字取证调查、应用程序安全（180 分钟，300 分）。
3.第三阶段：模块三网络安全渗透、理论技能与职业素养（180分钟，400 分）。

模块二网络安全事件响应、数字取证调查、应用程序安全

一、竞赛内容

第二阶段竞赛内容包括：网络安全事件响应、数字取证调查和应用程序安全。

竞赛阶段	任务阶段	竞赛任务	竞赛时间	分值
第二阶段	任务1网络安全事件响应	应急响应	XX:XX	100
第二阶段	任务2数字取证调查	计算机单机取证	XX:XX	100
第二阶段	任务3应用程序安全	代码审计	XX:XX	100
总分				300

二、竞赛时长

本阶段竞赛时长为180分钟，共300分。

三、注意事项

1.本部分的所有工作任务素材或环境均已放置在指定的计算机上，参赛选手完成后，填写在电脑桌面上"信息安全管理与评估竞赛-第二阶段答题卷"中。
2.选手的电脑中已经安装好Office软件并提供必要的软件工具
（Tools工具包）。

【 特别提醒 】
竞赛有固定的开始和结束时间，选手必须决定如何有效的分配时间。请阅读以下指引！

1.当竞赛结束， 离开时请不要关机 ；
2.所有配置应当在重启后有效；
3.除了CD-ROM/HDD/NET驱动器，请不要修改实体机的配置和虚拟机本身的硬件设置。

第二阶段任务书

任务描述

随着网络和信息化水平的不断发展，网络安全事件也层出不穷，网络恶意代码传播、信息窃取、信息篡改、远程控制等各种网络攻击行为已严重威胁到信息系统的机密性、完整性和可用性。因此，对抗网络攻击，组织安全事件应急响应，采集电子证据等技术工作是网络安全防护的重要部分。现在，A集团已遭受来自不明组织的非法恶意攻击，您的团队需要帮助A集团追踪此网络攻击来源，分析恶意攻击行为的证据线索，找出操作系统和应用程序中的漏洞或者恶意代码，帮助其巩固网络安全防线。

本模块主要分为以下几个部分：

网络安全事件响应；数字取证调查；应用程序安全。

第一部分网络安全事件响应

任务1应急响应（100分）

A集团的WebServer服务器被黑客入侵，该服务器的Web应用系统被上传恶意软件，系统文件被恶意软件破坏，您的团队需要帮助该公司追踪此网络攻击的来源，在服务器上进行全面的检查，包括日志信息、进程信息、系统文件、恶意文件等，从而分析黑客的攻击行为，和残留的关键证据信息。

本任务素材清单： Server 服务器虚拟机
受攻击的Server服务器已整体打包成虚拟机文件保存，请选手自行导入分析。
虚拟机用户名：root，密码：123456，若题目中未明确规定，请使用默认配置。
请按要求完成该部分工作任务，答案有多项内容的请用换行分隔。

任务 1 应急响应
序号	任务要求	答案
1	提交攻击者的两个内网IP地址
2	提交网站管理员用户的用户名与密码
3	提交黑客得到MySQL服务的root账号密码的时间（格式：dd/MM/yyyy:hh:mm:ss）
4	查找黑客在Web应用文件中写入的恶意代码，提交文件绝对路径
5	查找黑客在Web应用文件中写入的恶意代码，提交代码的最简形式（格式：<?php xxxx?>）
6	分析攻击者的提权手法，提交攻击者通过哪一个指令成功提权
7	服务器内与动态恶意程序相关的三个文件绝对路径
8	恶意程序对外连接的目的IP地址

第二部分数字取证调查

任务2计算机单机取证（100分）

对给定取证镜像文件进行分析，搜寻证据关键字（线索关键字为"evidence 1"“evidence 2”……“evidence 10”，有文本形式也有图片形式，不区分大小写），请提取和固定比赛要求的标的证据文件，并按样例的格式要求填写相关信息，证据文件在总文件数中所占比例不低于15%。取证的信息可能隐藏在正常的、已删除的或受损的文件中，您可能需要运用编码转换技术、加解密技术、隐写技术、数据恢复技术，还需要熟悉常用的文件格式（如办公文档、压缩文档、图片等）。

本任务素材清单：取证镜像文件

请根据赛题环境及现场答题卡任务要求提交正确答案。

任务 2 计算机单机取证
证据编号	原始文件名（不包含路径）	镜像中原文件 Hash 码（ MD5 ，不区分大小写）
evidence 1
evidence 2
evidence 3
evidence 4
evidence 5
evidence 6
evidence 7
evidence 8
evidence 9
evidence 10