2024年江苏省职业院校技能大赛信息安全管理与评估 第三阶段学生组（样卷）
竞赛项目赛题
本文件为信息安全管理与评估项目竞赛-第三阶段样题，内容包括：网络安全渗透、理论技能与职业素养。
本次比赛时间为180分钟。
介绍
GeekSec专注技能竞赛，包含网络建设与运维和信息安全管理与评估两大赛项，及各大CTF，基于两大赛项提供全面的系统性培X，拥有完整的培X体系。团队拥有国赛选手、大厂在职专家等专业人才担任讲师，培X效果显著，通过培X帮助各大院校备赛学生取得各省 国家级奖项，获各大院校一致好评。
网络安全渗透的目标是作为一名网络安全专业人员在一个模拟的网络环境中实现网络安全渗透测试工作。 本模块要求参赛者作为攻击方，运用所学的信息收集、漏洞发现、漏洞利用等技术完成对网络的渗透测试；并且能够通过各种信息安全相关技术分析获取存在的flag值。
所需的设施设备和材料
所有测试项目都可以由参赛选手根据基础设施列表中指定的设备和软件完成。
评分方案
本测试项目模块分数为400分，其中，网络安全渗透300分，理论技能与职业素养100分。
项目和任务描述
在A集团的网络中存在几台服务器，各服务器存在着不同业务服务。在网络中存在着一定网络安全隐患，请通过信息收集、漏洞挖掘等渗透测试技术，完成指定项目的渗透测试，在测试中获取flag值。
网络环境参考样例请查看附录A。
本模块所使用到的渗透测试技术包含但不限于如下技术领域：
• 数据库攻击
• 枚举攻击
• 权限提升攻击
• 基于应用系统的攻击
• 基于操作系统的攻击
• 逆向分析
• 密码学分析
• 隐写分析
所有设备和服务器的IP地址请查看现场提供的设备列表。
特别提醒
通过找到正确的flag值来获取得分，flag统一格式如下所示： flag{<flag值 >}
这种格式在某些环境中可能被隐藏甚至混淆。所以，注意一些敏感信息并利用工具把它找出来。
注：部分flag可能非统一格式，若存在此情况将会在题目描述中
明确指出flag格式，请注意审题。
一、商城购物系统（45分）
| 任务编号 | 任务描述 | 答案 | 分值 |
| 任务一 | 请对商城购物系统进行黑盒测试，利用漏洞找到flag1，并将flag1提交。flag1格式flag1{<flag值>} |
| 任务二 | 请对商城购物系统进行黑盒测试，利用漏洞找到flag2，并将flag2提交。flag2格式flag2{<flag值>} |
| 任务三 | 请对商城购物系统进行黑盒测试，利用漏洞找到flag3，并将flag3提交。flag3格式flag3{<flag值>} |
二、人力资源管理系统（45分）
| 任务编号 | 任务描述 | 答案 | 分值 |
| 任务四 | 请对人力资源管理系统进行黑盒测试，利用漏洞找到flag1，并将flag1提交。flag1格式flag1{<flag值>} |
| 任务五 | 请对人力资源管理系统进行黑盒测试，利用漏洞找到flag2，并将flag2提交。flag2格式flag2{<flag值>} |
三、FTP服务器（150分）
四、存储服务器二进制程序分析（30分）
| 任务编号 | 任务描述 | 答案 | 分值 |
| 任务十四 | 存储服务器10000端口存在漏洞，获取FTP服务器上task14目录下的文件进行分析，请利用漏洞找到flag，并将flag提交。flag格式flag{<flag值>} |
五、大数据服务器逆向程序分析（30分）
| 任务编号 | 任务描述 | 答案 | 分值 |
| 任务十五 | 大数据服务器10001端口存在漏洞，获取FTP服务器上task15目录下的文件进行分析，请利用漏洞找到flag，并将flag提交。flag格式flag{<flag值>} |
