河南省信息安全对抗大赛赛后总结

Posted 2020-09-27

这篇总结仅以我个人参加2017年的比赛的感悟和观点所写，不知道适用不适用下年，不管怎么样吧，也算是给下届的学生一个经验吧，希望下届的成绩比我们的更加优异。

 

一，            比赛的用到的环境

 

比赛时长是12个小时，大致分为三个阶段，第一阶段就是60道选择题（每人20道），第二阶段就9道关卡题（就是ctf题，每人三道），第三阶段就是对抗阶段，私有高地和公有高地都是网站，只不过私有的相对于公有的容易一些，而且公有的是没人守护的，私有的有人防护（必须攻下自己的私有阵地才能进行防护）。

 

上外网的时间是三个小时（给三个账户，一个账户是一个小时，可以访问谷歌）。

 

 

二，            比赛的技巧

 

1，  选择题直接去百度就行，没啥技巧可言，不百度的都是傻子；而且选择题一会就会关闭，但是时间足够你百度写完的。除非你真的特别慢了。

2，  Ctf题是持续一天时间，在短时间内没人能做出来，可以在比赛的前期找到一个高手，比赛的时候把附件下载下来，然后用QQ发出去，让高手做，然后把flag在发给你（高手不好找，看你运气了，如果没有外援，没有几个队能做出来）。你上网时间留出来半小时，到下午在在登录QQ，看看高手把flag解出来没。

3，  攻防题，持续到直到有一个队写出来脚本的时候结束。当你做完选择题一会的时候，攻防题就会开放，你必须在最短的时间内拿下自己的私有阵地，如果一旦被别的队拿下，你就永远也不可能拿下了，因为你的一旦被拿下，你的网站很快就会被删除，你就不知道漏洞在哪了，你也没法去攻击别人，所以你必须在最短的时间拿下自己的私有阵地，这个任何人都帮不了你，只有靠你平时的积累，打站的能力。我们这次是上传一个一句话木马，然后菜刀连接，获取flag。拿下自己的私有阵地以后一定要自己的网站删除，防止别人来攻击。把自己的保护起来以后，在去攻击别人，攻击别人的方法和拿自己的私有阵地一样，切记拿下之后并且提交flag以后，把他网站带漏洞的地方删除，你要像保护自己的私有阵地一样保护他，过30分钟以后还可以再拿一下flag，如果你拿下以后直接走了，那么这个就会被别人拿走，30分钟后你也攻不进来了（我们刚开始不懂，就是攻击一个换一个，后来才明白过来。但是后面的好多都被别的队占了，我们得到的就少了。）。

4，  在攻防题的时候，即使拿下了自己的私有阵地，网站也被删除了，也不能大意，放下自己网站几个小时不管不问，因为靶机很有可能会重置（我们的两个flag就是这样失去的，重置的时候我们正高兴的拿别人的网站，结果失去了两个flag）。

 

 

三，            我对这种比赛的看法

1，  可以说是这是一种无组织无纪律无规则的比赛，规则上写的清清楚楚，不能带手机，你们带手机也就罢了。还用手机发射WiFi是几个意思？也没人管没人问。

2，  比赛时间过长，12个小时，到了晚上，那真是没法说，而且遵守规则的同学又没网，还怎么玩？

3，  主办方对竞赛的重视度严重不足，郑州大学啊，场地的空调竟然是坏的，还好你们的水准备的充足，饭准备的不错，虽然我没吃多少。

4，  以上都算了，但是到了最后你们给我们队少加了一项的分，让我们的名次瞬间排到了最后，本来还想得个奖，高高兴兴的回家呢，结果弄个这事，真是气人。

 

 

四，            和信息安全管理与评估一起来看。

1，  我认为信息安全管理与评估到信息安全对抗赛我们提高不是多高的技术，而是经验，是因为有了信息安全管理与评估比赛时候的经验，才在信息安全对抗赛上获取这样的成绩（虽然没获得名次，但是也不怪我们，是主办方没把成绩加上），如果不是最后用手机发射WiFi然后他们把CTF的题发出去，请外援，在我觉得拿个一等奖也是有可能的（这个也是没办法的事，应该有很多队都发出去了，但是最后得到flag的队也就十到二十个这样，毕竟逆向比较难，不是谁都能搞出来）。

2，  在信息安全管理与评估比赛中的防御方法完全可以使用哪个python写的防御脚本，但是我建议最好在用shell写一个，防止万一没有python环境。

3，  在信息安全管理与评估的准备的时候，最好能把第二阶段自己打架环境进行玩玩，要想获得一个好的名次，对抗阶段一定要做好，要想做好要有经验。可以到网上下载一些靶机打打玩玩。

 

 

 

---