比赛官网：https://apps.ifaceyun.com/confer/responweb/index.php?id=678_386366理论题库：2021年新华三医疗大赛-预赛题库.docx ==> 2021h3cns.xlsx比赛手册：2021“新华三杯”医疗网络安全竞技大赛初赛竞赛说明和操作文档.docx

入口：https://ke.qq.com/course/3648431

题目分值设置：

题目类型：日志分析、流量分析、内存分析、安全配置与加固、漏洞修复、木马查杀与分析、应急响应等

时间：2021-08-27 09:00-12:00入口：http://ccsc-h3c.com/

分析数据包，找到被黑客访问过的机密文件内容附件：3c1f77731fba3d7a494fb76018eab31a.zip

wireshark 打开，在 分组字节流 中查找 flag

不法分子通过漏洞获取了机构的某台服务器上数据库中的机密内容，先需要你通过对攻击日志进行分析，获取被黑客窃取的机密内容附件：76e80ac34150e93ed16a44d183617c9e.zip

打开是 http 请求日志先进行 URL 解码，看出是 sqlmap 注入前面是在爆数据库、表名后面在爆 flag（102, 108, 97, 103 刚好是 flag 的 ASCII 码 ）

靶机IP：39.104.201.242端口：24577,51509题目描述：

注意：在应急响应过程中不要损坏业务功能，并且不要随意删除靶机中的其他文件，否则可能会导致检测不成功。

mobaxterm 连上去，找到程序目录 /app 打开 admin.php ，发现一句话木马 ，删除 php 文件等待几分钟cat /tmp/secret 出现 flag

时间：2021-08-29 09:00-12:00入口：http://ccsc-h3c.com/

某网站被黑客盗走了机密文件，需要通过对捕获的流量进行分析，明确哪些机密文件已经被泄露，并及时进行修改。193db73bc070213532025a55a166ff67.zip

wireshark 打开，查看 http 请求，发现 /secret_his.zip 定位到这个请求，查看 http 响应，导出分组字节流保存为 zip 文件打开 zip 文件中的表格，发现：flag{2021_h0spital}

某网站被黑客入侵 网站管理员在服务器上的流量包中发现了蛛丝马迹，你能找到它吗d375253e1c221a89cca97f286ca19718.zip

wireshark 打开，注意到 evil 敏感词筛选包含 evil.me 的 DNS 解析请求 dns.qry.name contains evil.me 发现二级域名都是不同的一串字符，注意到第一个是 504b 开头，这是 zip 的十六进制头全选列表复制 as plain text，用正则表达式 \S+(?=.evil.me\n) 提取二级域名字符串将结果拼接在一起得到

010editor 中 ctrl-shift-v 粘贴十六进制文本，保存为 zip 文件打开有 flag.txt 并且需要密码，确认不是伪加密，用 archpr 或 ziperello 爆破，密码：Ap3l打开 flag.txt ：flag{496d8981f449e45f6e39e1faa0b1ab8a}

某网站前台存在注入，被黑客入侵，请对日志分析出黑客获得的管理员密码。14c3374f882795ac67dc640527e27830.zip

附件是 web 服务器请求日志，先进行 URL 解码，看出是 SQL 注入日志找到爆破 password 的部分，看出是二分法猜 ASCII 码，逐位分析，675 代表前面逻辑正确，678 代表逻辑错误最后得到：110, 103, 106, 102, 100, 115, 85, 98, 100, 75, 0 0 需要舍弃编写程序求 passwd：ngjfdsUbdK

● 某用户在日常使用操作系统时播放了一段视频，随后该用户的杀毒软件检测到了vlc.exe的程序异常，根据杀毒软件日志，在该程序0x02640000位置检测到了异常写入操作，请你根据该内存dump找出样本的外联地址和其发送的数据注：实际环境中的VLC不存在本题所述安全漏洞，情节均为虚构● 提交字符串为flag{md5(远端地址+发送内容)}，例如样本外联地址www.baidu.com，发送内容为111，则根据规则md5(www.baidu.com+111)得到字符串flag{b50c46546e4cc081eaa8a287960eee2c}124ba597e183e827bf97c34592437a40.zip

2cy内存分析_Writeup.pdf

靶机IP：39.99.35.30端口：5541,21487机构的某台服务器由于中间件配置错误导致存在目录穿越漏洞，现需要你找到此漏洞，并通过对中间件配置文件中的错误配置进行修正。另外，题目中的两个端口，一个为ssh服务端口，一个为Web服务端口，具体请自行分析判断。● ssh账号：nguser，口令：toor● ngxin服务重启命令：sudo /etc/init.d/nginx restart● 靶机中存在自动检测脚本，脚本每5分钟运行一次，选手可以到/tmp/secret文件中查看修复结果。如：Result：Fail（表示失败），Result：Success（表示成功，并会给出flag字符串）注意：只需要针对存在错误配置的文件进行修改，但是不能损坏功能，并且不要随意删除靶机中的其他文件或者文件配置内容，否则可能会导致检测不成功。

ssh 登录服务器打开 /etc/nginx/conf.d/nginx.conf /home/ 的 / 会导致目录穿越漏洞，需要去掉重启nginx：sudo /etc/init.d/nginx restart 等待结果：cat /tmp/secret ，flag{c3ba9d817d}

靶机IP：39.99.35.30端口：55308某机构的服务器被植入了恶意软件，选手需要登录到此服务器中找到此恶意软件，并分析出恶意软件的外联IP地址与域名信息；● 注意此恶意原件源于真实环境中的恶意软件，修改了一些已知的有害的代码，保留一些网络通信的功能。选手在做题的时候请务必将恶意软件在虚拟机中运行，运行前做好快照，解题完毕后恢复快照；● 使用ssh登陆，用户名为root，密码为SP3EGsuk，ssh服务端口见此题的端口；● flag压缩包在靶机根目录下,flag压缩包密码由两部分组成，格式为：外联IP地址+域名,例如:127.0.0.1+baidu.com （注意密码包括中间的+号）flag.zip

top 发现：virus_unetstat 发现：100.123.41.234

flag 密码：100.123.41.234+right.flag.com

靶机IP：39.99.35.30端口：10206机构的某台服务器被黑客攻击并在主页面上留下“Hacked”字符，另外黑客把服务器的密码也都进行了修改。目前，运维人员无法通过正常的方式进入到服务其中，但是运维人员捕获到了一部分黑客访问服务器的流量，现在需要你通过分析此流量获取进入服务器的方式，进入服务器后需要完成以下两个操作以完成应急响应：1、将主页面的“Hacked”字符修改为“Fixed”字符；2、将服务器上黑客留下的webshell文件删除(注意：直接删除此文件即可；另外在删除黑客的webshell之前，一定要获得其他的进入服务器的方式，否则此webshell被删除可能导致无法看到/tmp/secret文件中的flag内容)● 靶机中存在自动检测脚本，脚本每5分钟运行一次，选手可以到/tmp/secret文件中查看修复结果。如：Result：Fail（表示失败），Result：Success（表示成功，并会给出flag字符串）注意：在应急响应过程中不要损坏业务功能，并且不要随意删除靶机中的其他文件，否则可能会导致检测不成功。b398709c9cbf8f42f1e46190758ff1a3.zip

wireshark 打开，查看 http 请求，发现 /evil.php 查找分组信息包含 evil.php 的包，发现 webshell 的密码：token 蚁剑连接服务器，编辑 /index.php ，将 Hacked 字符修改为 Fixed 删除 /evil.php ，增加新的一句话木马，连接服务器等待 flag

靶机IP：39.99.35.30端口：31781,23287在运维中，自动化漏洞检测平台提出严重预警，说明你所负责的网站存在漏洞，请你找到并修复。另外说明：1.使用ssh登录进行修复，用户名密码均为test，ssh和web端口号见靶机描述。2.靶机中存在自动检测脚本，脚本每30分钟运行一次，测试结果写入在/tmp/check，如果修复成功则返回本题所需的“答案”否则返回sorry，结果中的时间收到时区等多方因素影响仅供参考。3.请不要修改任何与漏洞无关的文件，也不好使用任何非法工具，平台会对与修复漏洞本身无关的东西进行检测，一经发现按照违规处理取消。

Writeup 模板：战队名+Writeup.docx

若有收获，就点个赞吧

0 人点赞