简介：这份PDF是2015年全国职业院校技能大赛高职组“神州数码”杯“信息安全管理与评估”赛项的官方任务书，面向备赛选手、指导教师及信息安全实训学习者，可用于还原赛题环境、开展分阶段攻防演练与教学复盘。压缩包内仅含1个PDF文件，约287KB，完整呈现赛项时间安排、三阶段任务划分与分值分布，以及网络拓扑图、IP地址规划表、设备初始化信息等基础资料。内容覆盖平台搭建与配置、系统安全攻防及运维安全管控、分组对抗三大阶段，涉及IIS安全加固与证书签发、数据库攻防、CSRF与XSS攻击、密码嗅探、文件包含、SQL注入、Linux系统安全防护等典型考点，并明确文档提交与工位目录规范。已有322人学习，适合按任务书逐项复现实验、梳理攻防思路与查漏补缺。
1. 从一台“装完就失联”的防火墙说起
2015 年那套“信息安全管理与评估”赛项环境，我前后复现过三遍，每次卡住的地方都不一样。第一次是 DCFW 管理口 IP 改完，浏览器再也打不开 192.168.1.1；第二次是 DCRS 的 VLAN 划完，PC-1 能 ping 通网关却上不了网；第三次最离谱，WAF 的 syslog 配好了，日志服务器一条没收到，查了半天是 UDP 514 被上游设备拦了。这套环境涉及防火墙、流控、日志审计、WAF、三层交换、堡垒机六类设备，外加 IIS、MySQL、Apache、SQL Server 多个靶场，装不好不是“少个功能”，而是整条链路断在某个你没想到的接口上。下面这份笔记按“先列环境、再逐台装、最后验证跑通”的顺序写，适合要复现这套赛项环境做练习或教学的开发者，也适合第一次接触多设备联调、想看清每步参数怎么来的新手。
2. 环境清单与版本锁定：六类设备、五个靶场先对齐
2.1 设备角色与默认管理入口
这套环境的第一原则是：所有设备的默认管理接口和管理 IP 不允许改。很多人上来就把 DCFW 的 ETH0 改成业务网段地址，结果管理面直接失联，只能复位重来。先把默认入口列清楚，装的时候照着填，别自作主张。
| 设备 | 默认管理地址 | 管理接口 | 默认账号/密码 |
|---|---|---|---|
| 防火墙 DCFW | http://192.168.1.1 | ETH0 | admin/admin |
| 网络流控 DCFS | https://192.168.1.254:9999 | ETH0 | admin/Admin123 |
| 网络日志 DCBI | https://192.168.5.254 | ETH0 | admin/123456 |
| Web 应用防火墙 WAF | https://192.168.45.1 | ETH5 | admin/admin123 |
| 堡垒服务器 DCST | http://192.168.1.100 | Eth0-Eth9 | 参见 DCST 登录用户表 |
这张表是后面所有配置的起点。我一般会先把五台设备的管理口单独接一台管理交换机，PC-3 也挂上去，确保 192.168.1.0/24、192.168.5.0/24、192.168.45.0/24 三个管理网段在装业务配置之前是通的。业务口全部先不接线，等管理面确认能登录、能截图，再动业务接口。这个顺序能省掉大量“配到一半失联”的返工。
2.2 靶场系统与软件版本对照
第二阶段用到的服务器场景都在 DCST 里，版本是写死的，装的时候别升级。Windows 侧是 2003 Server 加 IIS 6.0，Linux 侧是 Redhat Linux AS5 加 Apache 2.2.23、MySQL 5.0.22、PHP 5.0.48，SQL 注入靶场单独一台 Windows 2003 加 SQL Server 2005。抓包机是 win-wireshark，Windows 2003 Server 加 Wireshark。
| 场景 | 操作系统 | 关键服务/工具版本 |
|---|---|---|
| IIS 靶场 | Windows 2003 Server | IIS 6.0（Web + FTP） |
| MySQL 靶场 xserver-mysql | Redhat Linux AS5 | Apache 2.2.23 / MySQL 5.0.22 / PHP 5.0.48 / Nmap 4.11 |
| CSRF、XSS、文件包含靶场 | Redhat Linux AS5 | 同上，另加 telnet 0.17-39-el5 |
| 密码嗅探靶场 | Redhat Linux AS5 | 同上，另加 Vsftpd 2.0.5 |
| SQL 注入靶场 | Windows 2003 Server | SQL Server 2005 |
| 抓包机 win-wireshark | Windows 2003 Server | Wireshark |
这些版本现在看都很老，但复现赛项环境就得按原版本走。常见做法是把每个靶场做成独立虚拟机快照，装完一个打一个快照，后面哪个场景配坏了直接回滚，比在一台机器上反复重装省时间。我一般会在快照命名里带上日期和“装完未配”字样，避免回滚到半成品状态。
2.3 IP 规划：按 2n-2 原则先算再填
赛项要求“最节省 IP 地址，子网有效地址规划遵循 2n-2 原则”，并且要把分配结果填进“赛场 IP 参数表”存到 U 盘第一阶段文件夹。这一步不是形式主义，后面 DCFW 的地址池、DCRS 的 DHCP、WAF 的服务器地址全依赖这张表。
装之前先把每个互联段和用户段的主机数算出来，向上取到 2 的幂再减 2。比如某用户段需要 50 个可用地址，2^6-2=62 够用，掩码就是 /26。填表时接口名和 IP 要一一对应，DCFW 的 EthX 对 PC-3、对 DCFS，DCRS 的 Vlan 2 对 DCFS、Vlan 10 对 WAF、Vlan 20 和 Vlan 30 对用户区、Vlan 40 对 DCBI、Vlan 100 直连服务器区、Vlan 110 直连用户区，一个都不能漏。这张表填错一个段，后面静态路由就会有一条不通，排查起来非常费劲。
3. 第一阶段落地：五台设备命名、接口与静态路由
3.1 设备命名与接口 IP 配置顺序
第一阶段任务一要求对 WAF、DCRS、DCFW、DCFS、DCBI 分别配置名称和各接口 IP。顺序上我建议先 DCRS 后 DCFW，因为 DCRS 是三层核心，VLAN 接口地址定了，DCFW 和内网对接的地址才有参照。每台设备配完立刻截图，截图里要能看到设备名和接口地址，后面交文档直接能用。
以 DCRS 为例，创建 VLAN 并配接口地址的配置大致如下（具体地址按赛场 IP 参数表填）：
# DCRS 上创建业务 VLAN 并配置三层接口地址 vlan 2 vlan 10 vlan 20 vlan 30 vlan 40 vlan 100 vlan 110 exit interface vlan 2 ip address 10.0.2.1 255.255.255.0 # 与 DCFS 互联段，按参数表替换 interface vlan 10 ip address 10.0.10.1 255.255.255.0 # 与 WAF 互联段 interface vlan 20 ip address 10.0.20.1 255.255.255.0 # PC-1 用户区网关 interface vlan 30 ip address 10.0.30.1 255.255.255.0 # PC-2 用户区网关 interface vlan 40 ip address 10.0.40.1 255.255.255.0 # 与 DCBI 互联段 interface vlan 100 ip address 10.0.100.1 255.255.255.0 # 服务器区网关 interface vlan 110 ip address 10.0.110.1 255.255.255.0 # 直连用户区 exit这段配置的逻辑是：先建 VLAN，再给每个 VLAN 配一个三层地址作为该网段网关。参数里最容易错的是掩码，按 2n-2 算出来的段如果写成 /24，地址就浪费了，虽然能通但不符合赛项要求。另一个坑是 VLAN 建了但物理接口没划进去，PC 接上去拿不到地址，现象是“网关 ping 得通、终端上不了网”，本质是接入层没放行。
3.2 静态路由打通全网
任务一第 7 题要求“采用静态路由的方式，全网络互连”。DCRS 作为核心，需要一条默认路由指向 DCFW 的内网接口；DCFW 需要回程路由指向 DCRS 的各业务网段；DCFS、DCBI、WAF 各自指向 DCRS 的互联地址。
# DCRS 默认路由指向 DCFW 内网接口 ip route 0.0.0.0 0.0.0.0 10.0.2.254 # DCFW 回程路由指向 DCRS 各网段（示例） ip route 10.0.20.0 255.255.255.0 10.0.2.1 ip route 10.0.30.0 255.255.255.0 10.0.2.1 ip route 10.0.100.0 255.255.255.0 10.0.2.1参数说明：下一跳必须是直连可达的地址，写错一个字节就是“路由表里有但流量不通”。我一般配完会在 DCRS 上show ip route看一遍，再在 PC-1 上 tracert 服务器区地址，确认每一跳都对得上。静态路由没有协议自动收敛，全靠手工核对，这一步偷懒后面一定翻车。
3.3 配置文档的归档规范
第一阶段要求把 DCRS 的show run存进 WORD，DCFW、DCFS、WAF、DCBI 提交配置过程截图并加说明。U 盘根目录建“xx 工位”文件夹，下面建“第一阶段”“第二阶段”，工位信息只允许在根文件夹名里出现一次，其他文件名再带工位号按作弊处理。
这个规范看着琐碎，但装的时候就要养成习惯：每配完一台设备，立刻把截图按“第一阶段-任务一-设备名”命名存好，WORD 里按题号顺序贴。我见过有人最后十分钟才整理文档，结果截图缺了配置说明，白丢分。文档命名格式是“第 X 阶段”-“任务 X”-“任务名称”，扩展名 doc 或 docx 都行，别用别的格式。
4. 第二阶段落地：IIS、MySQL 与 Linux 加固的装法
4.1 IIS 6.0 证书签发与 SSL 启用
IIS 靶场是 Windows 2003 Server 加 IIS 6.0，任务要求配防火墙放行 Web、限制只允许内网网段访问、申请并颁发一年期服务器证书、启用 SSL、再启用客户端证书。装的时候先在“控制面板-添加或删除程序-Windows 组件”里确认 IIS 和证书服务都装了，证书服务没装的话后面申请证书那步直接卡死。
# 在 IIS 服务器上放行 443 和 80（Windows 防火墙命令行方式） netsh firewall add portopening TCP 80 "IIS-HTTP" netsh firewall add portopening TCP 443 "IIS-HTTPS" # 查看证书服务是否安装 certutil -pingnetsh firewall是 2003 上的老写法，现在看很原始，但赛项环境就是这个版本，用高级防火墙界面反而容易点错。证书申请走 IIS 管理器里的“目录安全性-服务器证书-新建证书”，颁发一年期是在证书颁发机构里操作。启用 SSL 后浏览器访问会弹证书警告，因为 CN 和 IIS 域名不一致，这个弹窗本身就是要截的图，别以为是配错了。
客户端证书那步容易漏：启用“要求客户端证书”之后，PC 端要先申请 CA 证书并安装，否则访问直接 403。现象是“服务器端配好了，浏览器打不开”，原因就是客户端没证书。解决顺序是先给 PC 申请并安装 CA 证书，再回头测 Web 访问。
4.2 MySQL 5.0.22 审计与权限加固
MySQL 靶场在 Redhat Linux AS5 上，任务要求通过 mysqld 启动项加固实现访问审计、防火墙只放行端口、找出任意 IP 可访问用户并限制、删除匿名用户、把 root 改名 admin、禁止本地文件存取、限制普通用户浏览他人库。
# 编辑 mysqld 启动参数，开启通用查询日志做审计 vi /etc/my.cnf # 在 [mysqld] 段加入 # general_log = 1 # general_log_file = /var/log/mysql_general.log # local-infile = 0 # skip-show-database # 防火墙只放行 3306 端口 iptables -A INPUT -p tcp --dport 3306 -j ACCEPT iptables -A INPUT -p tcp --dport 3306 -j DROP参数说明：general_log打开后所有语句都落盘，审计能过但性能会降，赛项环境无所谓；local-infile=0对应“禁止本地文件存取”；skip-show-database让普通用户看不到别的库。改完要重启 mysqld 并show variables like 'general_log'确认生效。找任意 IP 用户用select user,host from mysql.user;，host 是%的就是，用grant改成指定网段。匿名用户是 user 为空的那几行，delete from mysql.user where user='';删掉再flush privileges;。root 改名用update mysql.user set user='admin' where user='root';，改完记得用新名字登录验证，别把自己锁在外面。
4.3 Linux 安全防护九项配置
Linux 防护任务有九小题，覆盖 SSH 禁 root、密码最小长度 8、错误登录 10 次锁 10 分钟、umask 027、SUID/SGID 查找脚本、全员可写目录查找、登录超时 10 分钟、syslog 远程备份、UID 为 0 账号排查。
# 禁止 root 直接 SSH 登录 sed -i 's/^#PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config service sshd restart # 密码最小长度 8 sed -i 's/^password.*pam_unix.so.*/password requisite pam_cracklib.so minlen=8/' /etc/pam.d/system-auth # 错误登录 10 次锁定 10 分钟 # 在 /etc/pam.d/system-auth 的 auth 段加入 # auth required pam_tally2.so deny=10 unlock_time=600 # 登录超时 10 分钟 echo 'export TMOUT=600' >> /etc/profilepam_tally2那行要加在 auth 段靠前位置，加错段不生效。umask 027 要落到至少三个配置文件，常见是/etc/profile、/etc/bashrc、/etc/login.defs，每个文件里加umask 027。SUID/SGID 查找脚本一行就够：find / -perm -4000 -o -perm -2000 2>/dev/null。全员可写目录用find / -type d -perm -0002 2>/dev/null。UID 为 0 的账号排查用awk -F: '$3==0{print $1}' /etc/passwd，创建 UID 0 账号后再跑这条，能同时看到 root 和新建的那个。syslog 远程备份改/etc/syslog.conf，加authpriv.* @日志服务器IP和mail.* @日志服务器IP，改完重启 syslog 服务。
5. 避坑排查：五条装环境时真踩过的记录
5.1 DCFW 改管理口后失联
现象：把 DCFW 的 ETH0 地址改成业务网段后，浏览器再也打不开管理页面。原因：默认管理接口和管理 IP 不允许修改，改了之后管理面不在原网段，PC-3 找不到它。解决：复位设备，管理口保持 192.168.1.1 不动，业务配置全部走其他 EthX 接口。这条是硬规则，别抱侥幸。
5.2 DCRS 的 VLAN 建了但终端拿不到地址
现象：PC-1 接在 Vlan 20 的接入口上，网关能 ping 通，但 PC 拿不到 IP。原因：VLAN 建了、三层地址配了，但物理接口没划进 VLAN，或者接入口还是默认 VLAN 1。解决：进接口视图switchport access vlan 20，再show vlan确认端口归属。DHCP 场景还要确认地址池绑定的 VLAN 和接口一致。
5.3 WAF 的 syslog 日志服务器收不到
现象：WAF 上配了 syslog 指向服务器区第六个可用地址 UDP 514，日志服务器一条没收到。原因：中间 DCRS 或 DCFW 没放行 UDP 514，或者日志服务器本机防火墙没开。解决：先在日志服务器上tcpdump -i any udp port 514看有没有包到，没有就查路径上的 ACL；有包但没落盘就查 syslog 服务配置。这个排查顺序能快速定位是网络还是服务问题。
5.4 MySQL 改 root 名后登不进去
现象：update mysql.user set user='admin' where user='root';执行完，再用 root 登录失败。原因：改名后旧用户名不存在，必须用 admin 登录，且要flush privileges;让权限表生效。解决：改名前先开一个保留会话别退出，改名后在新会话用 admin 验证，确认能登再关旧会话。这是典型的“没有后悔药”操作，留后路很重要。
5.5 IIS 启用客户端证书后浏览器 403
现象：IIS 上勾了“要求客户端证书”，浏览器访问直接 403，没有任何提示。原因：PC 端还没申请并安装 CA 证书，客户端拿不出证书。解决：先在 PC 上走证书申请流程，安装 CA 证书后再访问。顺序反了就会以为是服务器配错，其实是客户端缺证书。
6. 装完怎么验证：从管理面到业务面的四层检查
装完不等于跑通，我一般按四层往下验。第一层管理面：五台设备的默认管理地址逐个登录，确认账号密码没被改、页面能打开。第二层互联：在 DCRS 上show ip route看静态路由齐全，在 DCFW 上 ping 各业务网段网关，在 PC-1 上 tracert 服务器区地址，每一跳都要对得上 IP 规划表。第三层服务：IIS 的 80/443 能访问、MySQL 的 3306 能连、WAF 的 8080 后端能通、DCBI 的监控接口有流量。第四层日志与告警：WAF 的 syslog 在日志服务器上能查到、DCBI 的邮件告警能发出、DCFS 的流控策略命中计数在涨。
# 互联验证：从 PC-1 逐跳确认路径 tracert 10.0.100.10 # 服务验证：MySQL 端口连通性 telnet 10.0.100.20 3306 # 日志验证：日志服务器上抓 syslog tcpdump -i any udp port 514 -c 10验证时最容易忽略的是“策略命中计数”。DCFS 上配了禁迅雷、限带宽、禁 UDP 7633，如果计数器一直是 0，要么策略没生效，要么流量根本没经过它。我一般会主动造一条匹配流量，看计数涨不涨，涨了才算真配上了。另一个习惯是每验完一层就在 IP 参数表上打个勾，最后整张表全勾完，文档也齐了。
从那以后我每次复现这套环境，都强制先跑一遍管理面登录和静态路由核对，再动任何业务配置。这套环境的坑大多不在命令本身，而在“顺序”和“默认值”上——管理口不能改、VLAN 要划口、证书要先客户端后服务器、改名要留会话。把这些顺序固定下来，装起来就顺了。希望帮到你。
本文还有配套的精品资源，点击获取
