从攻防队员到平台管理员：手把手教你用Python定制AWD比赛的Check脚本和计分板

从攻防队员到平台管理员Python定制AWD比赛的Check脚本与计分板实战指南在网络安全竞赛领域AWDAttack With Defence模式因其对抗性强、实战性高的特点已成为检验选手综合能力的重要平台。不同于传统CTF的解题模式AWD要求参赛者同时具备攻击、防御和系统运维的多维技能。本文将聚焦于一个常被忽视但至关重要的环节——比赛平台的后台定制特别是如何通过Python脚本实现自动化检查机制以及如何打造专业级可视化计分系统。1. AWD竞赛机制深度解析理解AWD平台的运行原理是进行定制开发的前提。典型比赛包含以下核心要素多环境对抗每支队伍维护多台服务器通常3-5台包含Web服务、数据库等组件动态flag机制根目录下的flag文件定期刷新通常5-10分钟/轮双维度评分# 简化版计分逻辑示例 def calculate_score(attacker, victim): base_points 100 # 单次攻击基础分 stolen_flag get_flag(victim) if verify_flag(stolen_flag): deduct_points(victim, base_points) award_points(attacker, base_points / team_count)关键参数对比参数项常规设置可调整范围Flag刷新间隔300秒60-600秒服务检查频率120秒30-300秒宕机扣分比例本轮flag值的100%50%-200%攻击得分分配均分固定值/动态权重注意实际比赛中建议首次检查延迟设置为比赛时长的10%如30分钟准备期避免因环境未就绪导致的误判2. Check脚本开发实战2.1 基础检查框架构建标准check脚本需要实现三类核心检查服务存活检测HTTP状态码、TCP端口响应漏洞修复验证特定路径访问、参数过滤测试Flag完整性校验文件存在性、内容格式检查class AdvancedChecker: def __init__(self, team_ip, port80): self.target fhttp://{team_ip}:{port} self.timeout 3 # 超时设置(秒) def check_service(self): try: resp requests.get(self.target, timeoutself.timeout) return resp.status_code 200 except Exception as e: log_error(fService check failed: {str(e)}) return False def verify_patch(self): # 检测SQL注入修复示例 test_cases [ (/user?id1, SQL syntax), (/search?qscript, alert() ] for path, danger_str in test_cases: resp requests.get(self.target path) if danger_str in resp.text: return False return True2.2 动态规则引擎设计通过JSON配置文件实现可插拔的检查规则{ web_checks: [ { name: SQLi防护检测, method: GET, path: /search?q1, expect_not_contain: [error,warning] }, { name: XSS防护验证, method: POST, path: /comment, data: {content: scripttest/script}, expect_status: 403 } ] }对应加载逻辑def load_checks(config_file): with open(config_file) as f: rules json.load(f) for check in rules[web_checks]: if check[method] GET: resp requests.get(self.target check[path]) else: resp requests.post(self.target check[path], datacheck.get(data)) if expect_not_contain in check: if any(s in resp.text for s in check[expect_not_contain]): return False3. 计分板系统升级方案3.1 数据流架构优化传统计分板的性能瓶颈通常出现在高频率数据更新时。改进方案采用[Check Server] → [Redis Cache] ← [Web Frontend] ↓ [MySQL Archive]关键配置参数组件推荐配置作用Redis最大内存1GB实时分数缓存MySQLinnodb_buffer_pool_size2G历史数据存储PHP-FPMpm.max_children50并发处理能力3.2 可视化增强实践使用ECharts实现动态数据展示div idscoreTrend stylewidth:100%;height:400px;/div script let chart echarts.init(document.getElementById(scoreTrend)); setInterval(() { fetch(/api/scores).then(res res.json()).then(data { chart.setOption({ series: [{ type: line, data: data.map(team team.score) }] }); }); }, 5000); /script4. 运维管理高级技巧4.1 批量操作自动化使用Python Fabric库实现多主机管理from fabric import Connection def mass_deploy(): teams [ {host:team1, ip:192.168.1.101, ssh_port:2201}, {host:team2, ip:192.168.1.102, ssh_port:2202} ] for team in teams: conn Connection( hostteam[ip], portteam[ssh_port], userctf, connect_kwargs{password:default_pass} ) conn.put(patch.tar.gz, remote/tmp/) conn.run(tar -xzf /tmp/patch.tar.gz -C /var/www/)4.2 安全加固清单必做防护措施修改所有默认SSH端口原2200-2300范围易被扫描设置Docker容器资源限制docker update --cpus 1 --memory 1g team1_web启用实时监控告警def monitor_services(): while True: for team in active_teams: if not check_alive(team): send_alert(f{team} service down!) time.sleep(60)在真实比赛环境中我们曾遇到因未限制容器资源导致某队通过耗尽CPU拖慢整个平台的情况。后来通过添加--cpuset-cpus参数将各队容器绑定到特定CPU核心彻底解决了这类问题。