1. 什么是AWD线下攻防赛AWDAttack With Defense攻防赛是一种结合攻击与防守的网络安全竞赛形式。与传统的CTFCapture The Flag比赛不同AWD更贴近真实攻防场景参赛队伍需要在保护自己服务器不被攻破的同时尝试攻击其他队伍的服务器获取flag。我第一次参加AWD比赛是在2018年的某次省级网络安全竞赛当时我们团队三个人面对这种实时对抗模式完全手忙脚乱。比赛开始不到10分钟我们的Web服务就被植入了后门整个比赛过程就是在不断救火。这种惨痛经历让我深刻认识到AWD比赛不仅考验技术实力更是对团队协作和应急响应能力的全面检验。2. AWD比赛的典型环境搭建2.1 常见比赛拓扑结构大多数AWD比赛采用类似下面的网络架构[参赛队A] ←→ [中心交换机] ←→ [参赛队B] ↑ ↑ ↑ Flag服务器 计分系统 Web漏洞环境每支队伍会获得1-3台Linux服务器通常Ubuntu/CentOS1个Web应用常见如Discuz、WordPress等特定端口服务如SSH、FTP统一的初始密码需要第一时间修改2.2 比赛中的重要服务根据我的参赛经验这些服务最常出现攻防点服务类型常见漏洞防守重点Web应用SQL注入、文件上传、RCEWAF规则、权限控制SSH服务弱密码、暴力破解密钥登录、fail2ban数据库未授权访问、注入权限隔离、备份机制系统层提权漏洞、后门补丁更新、进程监控3. 赛前准备必须掌握的技能清单3.1 攻击技能树信息收集使用nmap进行端口扫描nmap -sV -Pn 目标IP目录爆破工具dirsearch、gobuster指纹识别WhatWeb、Wappalyzer漏洞利用SQL注入sqlmap自动化利用文件上传绕过前端验证、Content-Type欺骗RCE漏洞命令注入、反序列化利用权限维持WebShell管理蚁剑、冰蝎后门植入crontab定时任务、.ssh/authorized_keys隐藏进程nohup、screen3.2 防守技能树系统加固# 修改默认SSH端口 sudo sed -i s/#Port 22/Port 2222/ /etc/ssh/sshd_config # 禁用root远程登录 echo PermitRootLogin no /etc/ssh/sshd_config # 安装fail2ban防爆破 sudo apt install fail2banWeb防护Nginx/Apache配置安全头使用ModSecurity添加自定义规则定期检查网站目录文件完整性监控预警# 实时监控系统进程 watch -n 1 ps aux | grep -v grep # 检查异常网络连接 netstat -antp | grep ESTABLISHED4. 比赛中的实战策略4.1 开局黄金5分钟比赛开始后的前5分钟至关重要我通常会按这个顺序操作修改所有默认密码SSH密码、数据库密码、Web后台密码使用passwd命令修改系统账户密码备份关键文件tar -zcvf backup.tar.gz /var/www/html /etc/nginx关闭非必要服务systemctl stop vsftpd systemctl disable vsftpd建立监控机制# 监控网站目录文件变化 watch -n 1 ls -la /var/www/html | grep -v cache\|log4.2 攻防节奏控制根据多次参赛经验我总结出这样的时间分配建议比赛阶段时间占比重点工作0-15分钟30%系统加固、漏洞修复15-30分钟20%攻击尝试、获取flag30分钟后50%持续监控、应急响应重要提示不要一开始就全力攻击先确保自己的服务稳定。我见过太多队伍因为专注攻击而忽略防守最后被反向攻破。5. 常见攻防场景与应对方案5.1 WebShell查杀与防护攻击手法通过文件上传漏洞植入WebShell利用文件包含执行恶意代码防御方案// 在php.ini中禁用危险函数 disable_functions exec,passthru,shell_exec,system查杀技巧# 查找最近修改的php文件 find /var/www/html -name *.php -mtime -1 # 检查文件内容特征 grep -r eval( /var/www/html5.2 不死马处理方案不死马是AWD比赛中最让人头疼的后门形式它会通过crontab定时恢复监控自身文件并自动修复多进程互相守护根除步骤# 1. 停止所有php进程 killall -9 php # 2. 删除恶意文件 find /var/www/html -name *.php -exec rm -f {} \; # 3. 清理crontab crontab -r5.3 数据库安全加固常见问题默认空密码允许远程连接敏感表未加密加固命令-- 修改root密码 ALTER USER rootlocalhost IDENTIFIED BY 新密码; -- 删除匿名账户 DELETE FROM mysql.user WHERE User; -- 禁止文件导出 SET GLOBAL secure_file_priv /tmp;6. 团队协作与工具链6.1 团队分工建议根据我们团队的经验这种分工效率最高防守专员负责系统加固监控异常行为漏洞修复攻击手研究漏洞利用编写自动化脚本获取flag提交指挥员协调攻防节奏决策资源分配处理突发情况6.2 实用工具推荐防守工具Lynis系统安全审计Chkrootkitrootkit检测Rkhunter后门扫描攻击工具SQLMap自动化SQL注入Metasploit漏洞利用框架Cobalt Strike红队协作平台监控工具Glances实时系统监控GoAccessWeb日志分析Osquery端点检测7. 赛后复盘与提升建议每次比赛后我们团队都会做这些复盘工作攻击路径分析检查被攻破的入口点重现攻击者利用链防守漏洞总结哪些防护措施失效了应急响应是否及时工具脚本优化自动化脚本的改进空间常用命令封装成快捷方式知识库更新记录新发现的漏洞利用方式补充防守checklist我强烈建议建立一个本地知识库内容可以包括常见漏洞修复方案应急响应流程工具使用手册比赛经验记录8. 给新手的实用建议结合我带新人的经验这些建议能帮你少走弯路不要依赖图形界面比赛环境通常只有命令行提前熟悉vim、nano等编辑器建立自己的工具包# 我常用的工具目录结构 ~/tools/ ├── exploit/ # 漏洞利用脚本 ├── scanner/ # 扫描工具 └── defense/ # 防守脚本学会快速文档检索提前收藏关键文档如Linux命令大全使用cheat.sh快速查询命令用法保持冷静心态被攻击时不要慌乱按照预案逐步排查及时与队友沟通情况最后分享一个真实案例在某次比赛中我们发现系统每隔5分钟就会重新被植入后门经过层层排查最终发现攻击者利用了sudoers文件的配置漏洞。这个经历让我明白在AWD比赛中细节决定成败每一个配置项都可能是攻防的关键点。