信息安全管理与评估赛项环境搭建：从设备配置到攻防复现的完整指南

简介：这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯信息安全管理与评估赛项的官方任务书，面向备赛的高职院校选手、指导教师以及信息安全实训学习者，可用于还原赛场任务、开展专项训练与教学演练。资源包共1个PDF文件，约287KB，篇幅紧凑却完整保留了赛项时间安排、三阶段任务划分与分值分布、网络拓扑与IP地址规划表、设备初始化信息等关键内容。赛题涵盖网络平台搭建、网络安全设备配置与防护、IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护以及分组对抗中的系统加固与攻防，分值从30分到300分不等，贴近真实企业信息安全工程师的工作场景。已有323人学习，适合用来对照赛项要求梳理知识短板、设计实验环境与模拟对抗练习。

1. 从一台“装完就失联”的防火墙说起：信息安全管理与评估赛项环境搭建

第一次接触这套赛项环境，我是在一台 DCFW 上翻的车：管理口 IP 按任务书填完，点保存，页面直接失联，串口也进不去，最后只能复位重来。这套“信息安全管理与评估”赛项环境，本质是把防火墙 DCFW、流控 DCFS、日志审计 DCBI、WAF、三层交换机 DCRS、堡垒服务器 DCST 和若干靶机服务器串成一张完整的企业网，任何一台设备的接口、VLAN、路由配错，整条链路就断。它适合要复现赛项训练环境的安全专业学生、带队的指导老师，以及想系统练一遍设备配置与攻防加固的运维。装不好不是“少个功能”，而是第一阶段 300 分直接归零，后面攻防题连靶机都摸不到。

2. 装前把环境列清：设备清单、版本与 IP 规划

这套环境最容易被低估的地方，是它不是一个软件包，而是一整套设备加靶机的组合。装之前不把清单和地址规划落到纸上，后面每配一台设备都要回头翻任务书，效率极低，还容易把互联段和业务段搞混。我一般会先做两件事：把设备初始化信息抄成一张表，把 IP 地址规划按“互联段 / 业务段 / 地址池”三类分开算。

2.1 设备初始化信息对照表

任务书给了每台设备的默认管理地址和账号，这些是复现环境的起点，默认管理接口和管理 IP 不允许改，改了就找不回来。先把它们整理成下面这张表，贴在屏幕边上：

这张表的价值在于：设备一旦配乱，你能靠默认管理地址从 ETH0 重新进去救。常见做法是先用一台管理 PC 直连各设备的 ETH0，逐台确认能登录、能改 IP，再开始接业务线。别一上来就把所有线插满，那样出问题你根本不知道是哪一段断的。

2.2 IP 地址规划：按 2^n-2 算，别拍脑袋

任务书明确要求“最节省 IP 地址，子网有效地址规划遵循 2^n-2 的原则”。这句话是很多新手翻车点：互联段通常只需要 2 个可用地址，就该用 /30；服务器区、用户区按实际主机数往上取。我一般先列一张规划草表，再往“赛场 IP 参数表”里填：

互联段（设备之间点对点）： DCFW <-> DCFS /30 可用 2 个地址 DCFS <-> DCRS /30 DCRS <-> WAF /30 WAF <-> DCST /30 业务段（按主机数取掩码）： VLAN10 服务器区 按服务器数量取 /24 或 /25 VLAN20 PC-1 用户区 VLAN30 PC-2 用户区 VLAN40 DCBI 管理段 VLAN100 直连服务器区 VLAN110 用户区（DHCP） 地址池： DCFW SSL 地址池、DCRS DHCP 地址池

参数说明：/30 掩码 255.255.255.252，正好 2 个可用地址，适合设备互联；/24 有 254 个可用地址，适合用户区。任务书里反复出现“服务器区内第二个可用地址”“第三个可用地址”这类表述，意思是让你在服务器区网段里按顺序数可用地址，第一个可用地址通常是网关，第二个才是网管服务器。这个数法一定要统一，否则后面 SNMP、syslog、RADIUS 的地址全对不上。

2.3 靶机与工具版本清单

第二阶段用到的靶机环境版本很老，装的时候要有心理准备：Windows 2003 Server 配 IIS 6.0、Redhat Linux AS5 配 Apache 2.2.23 / MySQL 5.0.22 / PHP 5.0.48、SQL Server 2005，抓包用 Wireshark，扫描用 Nmap 4.11 和 Acunetix。这些版本现在看都很旧，但赛项就是按它们设计的，别自作主张升级到新版本，否则题目里的路径、页面、漏洞点可能对不上。我的做法是每台靶机装完先打快照，攻防题做坏了直接回滚，比修快得多。

3. 第一阶段落地：网络平台搭建与安全设备配置

第一阶段 300 分，任务一网络平台搭建 60 分，任务二安全设备配置与防护 240 分。这一阶段的核心不是“会不会配”，而是“配完能不能通、能不能交文档”。任务书要求 DCRS 提交 show run 配置，DCFW、DCFS、WAF、DCBI 提交配置过程截图并加说明，所以从第一台设备开始就要边配边截图，别等最后补。

3.1 先配接口和 VLAN，再谈路由

平台搭建的顺序我固定为：WAF、DCRS、DCFW、DCFS、DCBI 逐台配名称和接口 IP，然后在 DCRS 上建 VLAN 并划接口，最后用静态路由打通全网。以 DCRS 为例，建 VLAN 和划接口的配置大致如下：

# DCRS 上创建 VLAN 并命名 vlan 10 name server vlan 20 name pc1 vlan 30 name pc2 vlan 40 name dcbi vlan 100 name server-direct vlan 110 name user-dhcp exit # 将接口划入对应 VLAN（以 Ethernet1/1 接 WAF 为例） interface Ethernet1/1 switchport mode access switchport access vlan 10 exit # 配置 VLAN 接口地址（地址按赛场 IP 参数表填） interface Vlan10 ip address 10.10.10.1 255.255.255.0 exit

逻辑说明：vlan命令创建 VLAN 并命名，方便后面 show run 时一眼看懂；switchport access vlan把物理口划进对应 VLAN；interface Vlan是三层接口，配网关地址。参数上要注意，接 WAF 的口划 VLAN10，接 PC-1 的口划 VLAN20，接 PC-2 的口划 VLAN30，接 DCBI 的口划 VLAN40，别把 VLAN 号和接口搞反，这是最常见的失分点。

静态路由是打通全网的关键。每台三层设备都要有到其他网段的路由，下一跳指向互联对端。比如 DCRS 上指向 DCFW 的默认路由：

# DCRS 上配置默认路由，下一跳为 DCFW 互联地址 ip route 0.0.0.0 0.0.0.0 10.0.0.1

参数说明：0.0.0.0 0.0.0.0表示默认路由，所有未知目的都往 DCFW 送；10.0.0.1是 DCFW 与 DCRS 互联段的对端地址，实际按参数表填。配完一定要在 PC 上 ping 服务器区、ping 外网地址各验一遍，别只看设备上路由表有就以为通了。

3.2 DCFW 上的安全策略：从 SNMP 到 SSL

任务二 40 道题里，DCFW 占了前 10 题，覆盖 SNMP、安全域、DDoS、Web 管理、时间策略、Web 认证、端口映射、源 NAT、ARP 防护、会话与带宽限制、SSL。这些题看着杂，其实都是防火墙的常规配置，关键是参数别抄错。以 SNMP 和只读用户为例：

# DCFW 开启 SNMP，community 为 public，仅读权限 snmp-server community public ro # 新增只读用户 dcfw1234 user dcfw1234 password dcfw1234 user dcfw1234 privilege read-only

逻辑说明：ro表示只读，网管软件对 DCFW 没有写权限，正好对应题目要求；privilege read-only保证新用户只能看不能改。参数上，community 名字必须是 public，用户名密码都是 dcfw1234，这些是题目写死的，改一个字符就不得分。

再比如第 6 题端口映射，要求 DCST 通过公网第三个可用地址被访问，且仅允许 PC-3 访问。这类题我一般先算地址，再写映射和策略：

# 公网地址第三个可用地址映射到 DCST 内网地址 nat server dcst protocol tcp global 公网第三可用地址 80 inside DCST内网地址 80 # 仅允许 PC-3 的公网地址访问 security-policy rule name allow-pc3-dcst source-address PC3公网地址 32 destination-address 公网第三可用地址 32 service tcp 80 action permit

参数说明：nat server做目的地址转换，把公网地址的 80 端口映射到 DCST；source-address ... 32是主机掩码，精确到单台 PC-3；action permit放行。这里最容易错的是把 PC-3 的内网地址当成源地址写进去，实际从互联网访问时源是 PC-3 的公网出口地址，按参数表来。

3.3 DCFS 与 DCBI：流控、审计与日志外发

DCFS 的题集中在账号权限、应用封堵、URL 过滤、带宽通道。第 17、18 题是带宽管理的难点：总出口 200M，子通道 100M，拥塞时 PC-2 每用户最大 2M 最小 1M，不拥塞可超 2M；PC-1 每用户最小 2M，BT 业务总流量不超 50M。这类题要分清“通道带宽”和“每用户带宽”两层，先建子通道再挂用户策略。

DCBI 的题偏审计：旁路部署、监控接口与管理接口、邮件告警、日志发 syslog、监控 URL 和聊天记录、通过 DCRS 拿 MAC。旁路模式的关键是监控口接镜像口，管理口单独配地址，别把两个口接反。日志外发用 syslog，community 为 public，目标地址是服务器区第四个可用地址。

# DCBI 日志外发到 syslog 服务器（示意） log-server 服务器区第四可用地址 log-server facility local0 log-server level informational

参数说明：facility 决定日志分类，local0 是常用自定义类别；level 控制发送级别，informational 能覆盖大部分审计事件。实际界面里按设备表单填，别硬套命令。

3.4 DCRS 的加固项：SSH、风暴抑制、ARP 保护、DHCP

DCRS 后 8 题是设备加固，包括 enable 密码、SSH 管理、关闭 Web、广播风暴抑制 400pps、SNMP 读写串、ARP 保护、端口认证、DHCP 地址池。以 SSH 和关闭 Web 为例：

# 开启 SSH，用户名密码均为 DCN username DCN password DCN ssh-server enable # 关闭 web 管理 no web-server enable # 仅允许 console、ssh、telnet 管理 line console 0 line vty 0 4 transport input ssh telnet

逻辑说明：ssh-server enable开启 SSH 服务；no web-server enable关掉 Web 管理；transport input ssh telnet限定 vty 只接受 SSH 和 Telnet，console 口天然可用。参数上用户名密码都是 DCN，大小写敏感。

DHCP 题（第 33 题）要求地址池 pool-vlan110，DNS 为 114.114.114.114 和 8.8.8.8，租期 2 天，最后 20 个可用地址不动态分配：

ip dhcp pool pool-vlan110 network 10.110.0.0 255.255.255.0 dns-server 114.114.114.114 8.8.8.8 lease 2 # 排除最后 20 个可用地址 ip dhcp excluded-address 10.110.0.235 10.110.0.254

参数说明：lease 2单位是天；excluded-address把末尾 20 个地址排除，防止动态分配出去。这里要先把网段算清楚，最后 20 个可用地址是 .235 到 .254（/24 网段），算错范围就白配。

4. 第二阶段落地：靶机加固与攻防复现

第二阶段 300 分，8 个任务，从 IIS 加固、数据库加固到 CSRF、XSS、密码嗅探、文件包含、SQL 注入、Linux 防护。这一阶段的“安装”其实是把靶机环境跑起来、把工具装好，然后按题目复现攻击和加固。每道题都要截图加文字说明，文档命名格式是“第二阶段-任务X-任务名称”。

4.1 IIS 与证书签发：先通再加固

任务一在 Windows 2003 + IIS 6.0 上做。第一步是配置 Windows 防火墙放行 IIS，第二步加固只允许内网网段访问，第三步申请服务器证书，第四步颁发一年期证书，第五步启用 SSL 并用浏览器测试，第六步启用客户端证书，第七、八步给 PC 申请和安装 CA 证书。顺序不能乱，证书没装好就开 SSL，浏览器直接报错。

IIS 加固要点（图形界面操作，按步骤截图）： 1. 防火墙例外中勾选 Web 服务（HTTP），或手动放行 80 端口 2. IIS 管理器 -> 网站属性 -> 目录安全性 -> IP 地址和域名限制 添加拒绝访问，再添加允许的内网网段 3. 目录安全性 -> 服务器证书 -> 新建证书，填写申请信息 4. 在 CA 上颁发证书，导出后安装到 IIS 5. 网站属性 -> 目录安全性 -> 编辑安全通信，勾选要求安全通道 SSL 6. 勾选要求客户端证书，浏览器访问时弹出证书选择框

参数说明：IP 限制里“拒绝访问”是默认规则，再单独放行内网网段，这样外网一律拒绝；证书有效期选一年；SSL 端口默认 443。测试时因为证书 CN 和访问域名不一致，浏览器一定弹安全警报，这个弹窗正是第 5 题要截的图，别以为是配错了。

4.2 MySQL 加固：审计、权限与匿名用户

任务二在 Redhat Linux AS5 + MySQL 5.0.22 上做，8 道题围绕审计、防火墙、用户权限、匿名用户、改管理员名、禁本地文件、限制跨库浏览。核心是改 mysqld 启动项和用 grant 收权。以开启审计和禁本地文件为例：

# 编辑 my.cnf，在 [mysqld] 段加入审计与安全参数 [mysqld] log=/var/log/mysql_audit.log local-infile=0 safe-user-create=1 # 重启 MySQL 生效 service mysqld restart

逻辑说明：log开启通用查询日志，实现访问审计；local-infile=0禁止 LOAD DATA LOCAL 读取本地文件；safe-user-create=1限制普通用户建库。参数上日志路径要可写，重启后确认日志文件生成。

收权用 grant，比如把任意 IP 可访问的用户限制为只允许公司 PC：

-- 查看所有用户及权限，找 Host 为 % 的用户 SELECT user, host FROM mysql.user; -- 收回任意地址访问，改为指定 PC 地址 REVOKE ALL PRIVILEGES ON *.* FROM '用户名'@'%'; GRANT ALL PRIVILEGES ON *.* TO '用户名'@'公司PC地址' IDENTIFIED BY '密码'; FLUSH PRIVILEGES;

参数说明：'%'表示任意主机，是漏洞点；改成具体 IP 后只能从该地址登录；FLUSH PRIVILEGES让权限立即生效。匿名用户用DELETE FROM mysql.user WHERE user='';删除，改管理员名用UPDATE mysql.user SET user='admin' WHERE user='root';，改完都要 flush。

4.3 CSRF、XSS、密码嗅探、文件包含：工具先跑通

任务三到任务六都是 Web 攻防，靶机是 metas2-lab 系列，工具是 Wireshark、桌面上的 csrfp / xssp / telnetp / ftpp / httpp / fileip 等自动连接程序。这些工具是赛项环境自带的，装环境时确认桌面快捷方式都在，Wireshark 能正常抓包。以密码嗅探为例，过滤 telnet 流量：

Wireshark 过滤条件： telnet # 只看 telnet 协议 ftp # 只看 ftp 协议 http # 看 tomcat 8180 的登录 tcp.port == 8180

逻辑说明：telnet 和 ftp 都是明文协议，抓包后 Follow TCP Stream 就能看到用户名密码；tomcat 的 8180 是 HTTP，看 POST 表单里的变量名。参数上过滤条件要包含协议和端口，题目明确要求“包含协议和端口”，只写协议可能不得分。

XSS 题里有一段 accept_cookie.php 接收 cookie，要求找到存放 cookie 的文件并用ls -l列表：

# 在 xserver 上查找 accept_cookie.php 写入的文件 ls -l /var/www/html/ # 查看接收 cookie 的目录权限和文件 ls -l /tmp/cookie*

参数说明：ls -l显示权限、属主、大小和时间，题目要的就是这个列表截图；cookie 文件通常在脚本同目录或 /tmp 下，先读脚本里的写入路径再找，别瞎猜。

4.4 SQL 注入与 Linux 防护：sqlmap 与脚本

任务七在 Windows 2003 + SQL Server 2005 上做，先用 Acunetix 扫注入点，再手工' and 1=1/' and 1=2判断，然后用 sqlmap 跑 GET、POST、登录认证三种注入。sqlmap 的基本用法：

# GET 型注入，获取当前数据库名 sqlmap -u "http://目标地址/页面?id=1" --current-db # POST 型注入，指定数据 sqlmap -u "http://目标地址/登录页" --data="user=1&pass=1" --dbs # 登录认证型，dump 管理员密码 sqlmap -u "http://目标地址/后台" --data="user=1&pass=1" -D 库名 -T 表名 -C 密码列 --dump

参数说明：--current-db取当前库；--dbs列所有库；--dump导出指定列数据。跑之前确认目标可达、参数名和页面表单一致，POST 的 data 要照抄浏览器里的提交内容。

任务八 Linux 防护 9 道题，涉及 SSH 禁 root、密码策略、PAM 锁定、umask、SUID/SGID 查找脚本、可写目录脚本、登录超时、syslog 备份、UID 为 0 的账号。查找 UID 为 0 的账号一行命令搞定：

# 查找系统中 UID 为 0 的账号 awk -F: '$3==0 {print $1}' /etc/passwd

参数说明：-F:以冒号分隔，$3==0判断第三列 UID 为 0，print $1输出用户名。SUID/SGID 查找脚本用find / -perm -4000 -o -perm -2000，可写目录用find / -type d -perm -0002，脚本要能跑出结果并截图。

5. 避坑与排查：这套环境最容易翻车的五个点

这套环境我复现过不止一遍，下面五个坑几乎每次都有人踩，按“现象 → 原因 → 解决”记下来，装的时候对照着排。

5.1 改完管理 IP 就失联

现象：在 DCFW 或 DCFS 上改完管理口 IP，点保存后页面打不开，串口也进不去。原因：管理 PC 还挂在旧网段，或者改的不是 ETH0 而是业务口。解决：管理 PC 网卡先改成和目标同网段，确认改的是 ETH0；真失联就复位设备，用默认地址 192.168.1.1 重新进。我的习惯是改管理 IP 前先开一个持续 ping，改完看 ping 通不通再关页面。

5.2 互联段掩码用错，路由不通

现象：设备上路由表有条目，但 PC ping 不通服务器区。原因：互联段用了 /24 而不是 /30，两端地址不在同一子网，或者下一跳写错。解决：互联段统一 /30，两端地址一个 .1 一个 .2；逐跳 ping 互联对端，先通互联再通业务。任务书要求 2^n-2 原则，互联段用 /30 就是标准做法。

5.3 服务器区“第 N 个可用地址”数错

现象：SNMP、syslog、RADIUS 的地址全配了，但设备收不到数据。原因：可用地址从网关后一个开始数，有人把网关算成第一个，整体偏移一位。解决：先确定网段和网关，第一个可用地址是网关，第二个才是网管服务器，依次往后；把数出来的地址写进规划表，所有题统一引用。

5.4 靶机版本被升级，题目对不上

现象：IIS 加固题找不到对应菜单，或者 MySQL 参数不生效。原因：装了新版本 IIS 或 MySQL，界面和参数名都变了。解决：严格按任务书版本装，Windows 2003 + IIS 6.0、MySQL 5.0.22，装完打快照；做坏了回滚，别在旧环境上反复修。

5.5 文档命名和工位信息违规

现象：答案交了却判无效。原因：文件夹或文件名里重复出现工位信息，或者文档命名格式不对。解决：U 盘根目录只建一次“XX 工位”，下面建“第一阶段”“第二阶段”；文档按“第X阶段-任务X-任务名称”命名，工位信息只在根文件夹出现一次。这条是硬规则，违反按作弊处理，装环境时就把目录结构建好。

6. 装完怎么验证：三层连通性检查与交付前自检

环境装完、配置做完，最后一关是验证。我一般按“设备层 → 网络层 → 业务层”三层走一遍，每层都有明确的通过标准，不通过就回到对应章节排。

设备层验证：逐台登录管理地址，确认能进、能看配置。DCRS 上执行show run确认 VLAN、接口、路由都在；DCFW、DCFS、WAF、DCBI 各截一张配置总览图。这一步对应任务书“提交所有设备配置文件”的要求，顺手就把交付材料备齐了。

网络层验证：从 PC-1、PC-2、PC-3 分别 ping 服务器区、ping 互联对端、ping 外网映射地址。我习惯用一张检查表逐项打勾：

业务层验证：按第二阶段题目逐项复现，IIS 能通过 SSL 访问并弹证书框，MySQL 审计日志有记录，Wireshark 能抓到 telnet/ftp 明文，sqlmap 能跑出库名。每项验证完立刻截图存档，别等最后补，补的时候往往忘了当时怎么操作的。

交付前自检我固定查三样：U 盘目录结构对不对、文档命名格式对不对、截图里有没有配置说明。这三样任何一样出问题，前面配得再对也可能白干。从那以后我每次复现这套环境，都强制先建目录、先截图、先打快照，再动手配设备，顺序反了就要花几倍时间返工。希望帮到你。

本文还有配套的精品资源，点击获取