CCF 网络安全运维赛道实操WP

不知道为啥根本没几个人打

被入侵的数据库

2026年二月初，国内某科技企业的互联网资产监控平台发出紧急警报：业务系统遭未知攻击者入侵，造成了数据库等敏感信息泄露。企业安全部门立即从Web应用服务器提取了相关中间件日志（access.log）。
请下载日志文件并进行分析，确定攻击者入侵的数据库名称，并将其作为flag提交。flag格式为flag{数据库名称}
alt text

flag{login_db}

系统后门用户分析

某日凌晨，某重点单位网络安全设备突然触发告警，检测到内网流量异常。安全团队紧急响应，发现一台核心服务器疑似被攻击者横向渗透，并通过加密隧道进行通信和数据传输。但幸运的是，安全设备完整捕获了攻击过程的流量（文件：流量分析.pcapng）。
你作为网络安全专家被紧急调派参与此次事件调查溯源，经过对流量包的分析，还原了攻击路径，定位了攻击者手法并固定了关键证据。请将你获得的关键证据中，攻击者添加的后门用户名称作为flag。flag格式为：flag{后门用户名称}
alt text

flag{hacker-gg}

shiro攻击！

某日凌晨，某重点单位网络安全设备突然触发告警，检测到内网流量异常。安全团队紧急响应，发现一台核心服务器疑似被攻击者渗透。但幸运的是，安全设备完整捕获了攻击过程的流量，开发人员确认，确认该系统使用了该组件的默认密钥（90F1FE6C8C64E43D9D799888C5C69A68），你作为专家被紧急调派参与此次事件调查，请分析攻击流量包，确认攻击者攻击时用的恶意类的名称。flag格式为flag{恶意类名称}。（提示：前32位十六进制位为IV）
这个是一个一个测出来的
alt text

flag{Test105692713192100}

远程命令执行

某重点单位网络安全设备突然触发告警，检测到内网流量异常。安全团队紧急响应，发现一台核心服务器疑似被攻击者获取权限。安全设备完整捕获了攻击过程的流量（文件：流量分析.pcapng）。
你作为专家被紧急调派参与此次事件调查，请分析攻击流量包，还原攻击路径，定位攻击者手法与关键证据，完成以下几个问题。

1、攻击者利用了哪个java组件的漏洞。
2、添加的后门用户名称是什么。

flag字母小写。用:分割。如：flag{shiro:user}
我找到的是flag{fastjson:hacker-007}，但是不知道为什么答案就是不对
alt text

alt text

C2远控

某公司技术人员在日常运维过程中发现其一台关键业务终端疑似遭受网络攻击，系统中检测到异常活动痕迹。为防止证据灭失，技术人员已第一时间对涉案主机的内存和硬盘进行了完整镜像取证，并完成电子数据固定工作。目前，原始镜像文件已保存完毕，具备进一步分析条件。现需要对该主机的磁盘镜像与内存镜像进行深入分析，还原攻击路径，提取黑客操作痕迹，并形成完整的证据链，以协助后续溯源与处置工作。
找出外联地址和木马路径，用:分割（如：flag{127.0.0.1:C:\Windows\exec.exe}）
这名字就很可疑
alt text

找路径
这前面再加个c:
alt text

但是交上去不对，猜测后缀是exe，提交就对了
flag{192.168.103.250:C:\Users\win7\Downloads\agent.x64.exe}

深夜的异常登录

2026年某日凌晨，运维人员发现一台核心服务器 CPU 使用率异常升高。检查系统日志发现大量 SSH 失败记录，且有多条来自不同 IP 的成功登录。进一步查看审计日志，发现其中某次用户登录执行了可疑命令。分析附件中的 combined.log，其中包含认证日志、防火墙日志和审计日志。攻击者成功登录后，使用了混淆手法执行恶意命令。请找出攻击者的真实 IP、下载的恶意脚本文件名以及赋予的执行权限，并按指定格式提交。
flag格式为：flag{IP_脚本名_权限}（例如 flag{192.168.5.231_test.sh_644}）
先搜索accepted，然后能搜出来一些内容，一直翻，发现这里十六进制前面带echo，感觉是代码执行
alt text

转一下就可以看到代码信息，这里就有了脚本名和权限
alt text

再看ip地址，这个中间的是内网地址，不考虑，再往上找到第一个外网地址，输入就是对的
alt text

flag{203.0.113.88_update.sh_755}

Sql注入的应急排查

某企业安全团队日常运维过程中发现 WAF 告警，显示其业务系统遭受大量 SQL 注入扫描。尽管大部分扫描被拦截，但运维人员进一步分析发现数据库服务器存在异常的 DNS 查询记录。结合 Web 访问日志，怀疑攻击者可能利用某种技术绕过了检测并将数据库敏感信息外传。请分析附件中的 access.log，找出攻击者用于接收数据的域名。
【Flag格式】flag{abc.xyz.cn}
搜select就可以搜出来
alt text