拓冰网站定制 
简介网络攻防不仅是单点漏洞利用的炫技更是从信息收集、漏洞利用、抓包取证到防御加固的完整闭环。针对网络安全课程设计、渗透测试实训等场景利用虚拟机搭建隔离靶场配合Nmap、Metasploit、Wireshark等工具可以复现攻击路径并留下可审计的流量证据。通过快照、日志分析和iptables封禁等操作构建攻防有来有回的可视化对抗流程并以结构化报告呈现实验证据链。本文围绕网络攻防课程设计中的环境搭建、工具选型、证据归档与答辩自检提供一套可落地的工程实践方法。1. 网络攻防课程设计报告比漏洞利用更值钱的是攻防闭环很多学生在交《网络攻防课程设计报告.doc》时把大半篇幅写在“什么叫做漏洞”“防火墙简介”上真正做过实验的证据却只有几张黑乎乎的截图。答辩时老师问一句“这条攻击路径是怎么绕通的”当场答不上来。网络攻防课程设计的本质不是秀某个漏洞利用得有多炫而是让读者顺着你的报告能把一次从信息收集到防御加固的完整闭环重新走一遍。这份文档适合网络空间安全专业的课程设计、实训作品集也适合转行者用来自证动手能力。报告里最值钱的内容永远是“可复现”三个字。2. 先把阵地搭起来攻防靶场的隔离设计、模板机与工具选型写报告的第一步不是打开 Word而是先把攻防环境搭成“可复现”的样子。很多人在共享机房或者自己的笔记本上直接做实验IP 是动态的工具版本没记录漏洞利用打到一半系统崩了最后只能靠脑补写报告。真正的课程设计应该把靶场隔离在本地虚拟机里让每次攻击和防御都留下能被回放的现场。攻防实验天然会改变系统状态漏洞利用可能写入恶意文件端口扫描会留下大量连接日志封禁规则甚至会把管理通道断掉。如果不做环境隔离和基线快照任何一次翻车都要从重装系统开始而报告里的“实验环境”章节也就只能胡编。下面这套三虚拟机结构是我在本地做过多次的稳定方案兼顾了攻击方的操作空间、靶机的可控性和证据采集的完整性。2.1 三台虚拟机组成的靶场网段、IP 和主机角色最常见的课程设计靶场由三台机器组成攻击机、靶机、审计机。它们在同一个仅主机网段内通信物理机和外部网络都碰不到它们。把攻防流量限制在虚拟网卡里既是安全边界也是后续抓包取证的前提。角色建议系统IP 规划在报告里的作用攻击机Kali Linux192.168.56.2执行扫描、漏洞利用、生成攻击指令靶机Metasploitable2 或 UbuntuWeb 服务192.168.56.3提供有漏洞的服务承担被攻击角色审计机Ubuntu 最小化安装192.168.56.4部署抓包工具和日志收集承担防御视角为什么要单独放一台审计机因为攻击机和靶机在激烈对抗时系统本身已经被破坏日志未必可信。真正的证据要放在第三台机器上用 tcpdump 或者 Wireshark 旁路抓包这样报告里的流量特征才有说服力。网络模式建议选用 Host-Only而不是桥接模式。桥接模式会把你模拟的攻击流量直接暴露到宿舍或办公网里一旦扫描到别人的真实设备性质就完全变了。Host-Only 模式下的虚拟网卡由 VirtualBox 或 VMware 自行创建攻击机与靶机之间完全可控。我一般会用命令行方式创建和配置仅主机网卡这样配置过程本身也能写进报告的“环境准备”小节# 创建仅主机虚拟网卡 VBoxManage hostonlyif create # 固定网段避免 DHCP 分配导致 IP 漂移 VBoxManage hostonlyif ipconfig vboxnet0 --ip 192.168.56.1 --netmask 255.255.255.0 # 为攻击机和靶机绑定同一块仅主机网卡 VBoxManage modifyvm kali-attacker --hostonlyadapter1 vboxnet0 VBoxManage modifyvm metasploitable-target --hostonlyadapter1 vboxnet0上述命令的核心逻辑是先创建一张虚拟网卡再把虚拟机绑定上去。固定 192.168.56.0/24 网段是因为 VirtualBox 默认的 192.168.56.0/24 段和常见宿舍路由器网段冲突较少后续抓包和写报告都不用改 IP。如果你用的是 VMware对应配置在工作站里叫“仅主机模式”操作路径不同但原理一样虚拟网段固定、物理网络隔离、三台机器在同一广播域。2.2 快照与基线给“翻车”留好后悔药攻防实验里最常见的翻车不是漏洞利用失败而是利用成功后为了让演示效果更完整乱改了一通系统配置导致靶机再也起不来。想要重来却没有原始环境只能重新下载镜像、重新配置服务一个下午就没了。快照就是这种情况下唯一的后悔药。# 在干净状态下打三个基线快照 VBoxManage snapshot kali-attacker take baseline-clean VBoxManage snapshot metasploitable-target take target-original VBoxManage snapshot audit-server take audit-clean # 核对虚拟机状态 VBoxManage snapshot metasploitable-target list我在每个实验阶段前都会打一次快照扫描前打一个漏洞利用前打一个做防御加固前再打一个。快照命名用“阶段状态”的方式比如“after-exploit”“before-firewall”。这些快照不占多少磁盘空间却能让你在实验中途放心大胆地试错反正错了就回滚。报告中也可以顺带写一句“每个关键阶段前均保留虚拟机快照”这句话会显著提升实验可信度。除了快照还要从第一天就开始记录基线信息。把系统版本、内核、IP 配置、工具版本写进同一个文本文件作为报告的附录素材date env_baseline.txt uname -a env_baseline.txt ip a env_baseline.txt ip route env_baseline.txt nmap --version | head -1 env_baseline.txt msfconsole --version env_baseline.txt cat env_baseline.txt这段命令输出的不是摆设它能帮你回答答辩老师最常问的第一个问题“你这个实验是在什么环境里跑的”环境基线清楚后面所有攻击和防御结论才有坐标系。如果连靶机操作系统版本都说不清那漏洞利用成功与否都很难被信服。2.3 工具选型及版本记录课程设计不需要装一堆花哨工具够用、能记录、版本稳定才是关键。我常用的组合是 Nmap 做信息收集、Metasploit 做漏洞利用、Wireshark 和 tshark 做流量分析、iptables 和 auth.log 做防御处置。这些工具在 Kali 系统里基本都预装了但版本每年都在变而漏洞利用模块对版本非常敏感。工具在本实验中的用途报告里建议写的位置Nmap端口扫描、服务识别、漏洞探测信息收集章节Metasploit漏洞利用、payload 交互漏洞利用章节Wireshark / tshark攻击流量留证、协议分析抓包取证章节iptables / ufw封禁攻击源、做防御对照防御加固章节script终端会话记录全文证据附录记录版本的命令很简单但很多人就是会漏掉msfconsole --version nmap --version tshark --version把这些输出重定向到同一个文件里后续写报告时直接引用。不要小看这一步漏洞利用模块的适配性、抓包过滤器语法的兼容性都和版本直接相关。版本不一致导致的利用失败在答辩时说不清楚写文档时更说不清楚。提前把自己的工具版本固定下来相当于实验从一开始就进了“控制变量”的状态。3. 攻防闭环信息收集、漏洞利用、抓包取证、防御封禁课程设计报告能不能站住脚取决于有没有形成一条完整链路。所谓闭环就是攻击方的每个动作都能在防御方留下可追踪的记录而防御方的每个处置又都能对应到攻击行为。只扫描不打点报告像半成品只打点不防御报告像攻击教程。最容易被扣分的恰恰是那种“我用 Metasploit 拿到了 shell”就草草收场的报告因为没有任何后续也没有任何对抗痕迹。下面我用一台 Metasploitable2 靶机作为例子把一条完整的攻防链路拆成四段讲解。整个过程都发生在本地虚拟机的仅主机网段里不需要任何外网资源也不会触碰真实系统。3.1 信息收集Nmap 扫描结果归档与输出字段说明信息收集是整条链路的第一环也是最容易做得“看起来像做过但实际没做”的一环。很多人扫完端口就截图从来不看输出里每个字段的含义。报告里堆一张几十行端口的截图除了证明 nmap 会跑之外没有任何价值。正确做法是把扫描结果保存成结构化文件再提炼成报告表格。# 先做主机发现确认靶机在线 nmap -sn 192.168.56.0/24 # 全端口、服务版本、系统指纹扫描结果分三种格式归档 nmap -sS -sV -O -p- -T4 -oA scan_target_$(date %Y%m%d) 192.168.56.3参数说明-sS是半开 SYN 扫描速度快且不容易在靶机上留下完整连接记录但仍会被 IDS 抓到特征后面抓包会看到-sV探测服务版本-O尝试识别操作系统-p-扫描全部 65535 个端口-T4是激进但可控的时间模板-oA同时输出.nmap、.gnmap、.xml三种格式xml格式后续还能用来生成拓扑或导入其他工具。扫描完成后用 grep 把开放端口提取出来grep -E ^[0-9]/tcp.*open scan_target_*.nmap以 Metasploitable2 为例常见结果里会包含 21/tcp vsftpd 2.3.4、22/tcp OpenSSH、23/tcp telnet 等端口。拿到这份列表后不要整段贴进报告而是整理成一张小表端口号、服务、版本、初步判定的可利用点。把目标锁定在 21 端口的 vsftpd 2.3.4 后就可以进入下一环了。3.2 漏洞利用Metasploit 打通 vsftpd 后门vsftpd 2.3.4 存在一个著名的后门漏洞在某个特定版本中恶意代码被打包进了服务端攻击者向 21 端口发送包含特定字符的 FTP 登录请求后会在 6200 端口弹出一个交互 shell。这个漏洞极其适合课程设计因为它触发条件简单、结果直观、在本地靶机上非常稳定。msfconsole -q msf6 search vsftpd msf6 use exploit/unix/ftp/vsftpd_234_backdoor msf6 exploit(unix/ftp/vsftpd_234_backdoor) set RHOSTS 192.168.56.3 msf6 exploit(unix/ftp/vsftpd_234_backdoor) set RPORT 21 msf6 exploit(unix/ftp/vsftpd_234_backdoor) run参数说明RHOSTS是靶机 IPRPORT是 FTP 服务端口默认 21 不需要额外修改。这个模块的 payload 默认是cmd/unix/interact利用成功后直接返回一个交互式 shell不需要额外反弹连接对新手最友好。拿到 shell 后我建议立即做两件事第一执行id、uname -a、ifconfig确认当前权限和系统状态第二把整个交互过程用script命令记录到文件作为报告证据。攻击阶段最容易犯的错是拿到 shell 后过于兴奋连续敲命令把终端刷屏回头截图都看不清哪条命令是成功的关键操作。如果需要提权常见手法是查可写的 sudo 配置或者 SUID 文件sudo -l find / -perm -4000 -type f 2/dev/null如果靶机换成 DVWA 或 Juice Shop漏洞利用环节可以改成 SQL 注入或命令注入但报告链路是完全一样的发现漏洞口、构造利用、取得执行权限、记录过程。课程设计真正要练的是你能不能把这个过程用代码、截图和日志完整串起来。3.3 抓包取证让攻击流量成为可审计的证据很多人的报告里只有命令回显没有网络流量证据这是一个很大的漏洞。因为防御方视角下攻击者干了什么并不完全靠终端命令体现而是靠网络流量里的特征。抓包取证要做在攻击过程中而不是攻击结束后补抓。在审计机上提前开启抓包tcpdump -i eth0 -w attack_traffic_$(date %Y%m%d_%H%M%S).pcap host 192.168.56.2 and host 192.168.56.3 -s 0参数说明-i eth0指定审计机连接虚拟网卡的接口-w保存原始数据包过滤表达式限制只抓攻击机和靶机之间的流量-s 0表示不截断数据包保留完整内容。如果不过滤抓包文件会在扫描阶段迅速膨胀最后反而找不到关键报文。攻击结束后用 tshark 从 pcap 里提取关键流量tshark -r attack_traffic_20260601.pcap -Y ftp.request.command -T fields -e frame.time -e ip.src -e ip.dst -e ftp.request.command这段命令从保存的抓包文件中过滤 FTP 请求命令并输出时间、源 IP、目的 IP、命令字段。你会看到攻击者与靶机之间的 USER、PASS 交互序列这就是漏洞利用触发前后的流量特征。同理扫描阶段也可以过滤 SYN 包tshark -r attack_traffic_20260601.pcap -Y tcp.flags.syn1 and tcp.flags.ack0 | head -20这些过滤结果出来后报告里要做的不是贴满屏数据包而是挑出 3 到 5 条有代表性的记录标注攻击者 IP、靶机 IP、协议特征和发生时间。流量证据是答辩时最能让老师信服的东西因为它无法事后编造。3.4 防御段封禁攻击源、加固口令与日志审计有攻击就必须有防御否则报告只能叫“漏洞利用实验”不叫“网络攻防课程设计”。防御段要和攻击段一一对应扫描被发现了怎么处置漏洞利用被检测到后怎么封堵口令爆破被记录后怎么加固。我在审计机上用 iptables 做封禁示范# 封禁攻击机 IP阻断后续扫描和利用 iptables -A INPUT -s 192.168.56.2 -j DROP # 查看规则是否生效 iptables -L INPUT -n | grep 192.168.56.2参数说明-A INPUT追加到入方向规则链-s指定来源 IP-j DROP直接丢弃该来源的数据包。封禁后立刻从攻击机再执行一次nmap -sS 192.168.56.3你会发现端口扫描超时或显示 filtered这就形成了“攻击前畅通、防御后失效”的对照结果。日志审计方面最实用的命令是统计 SSH 爆破来源和失败次数# 查看最近被拒绝的登录记录 lastb | head -20 # 统计认证失败日志中的来源 IP 次数 grep Failed password /var/log/auth.log | awk {print $(NF-3)} | sort | uniq -c | sort -nr | headawk 语句的$(NF-3)取的是日志行中倒数第 4 个字段也就是来源 IP。统计结果里如果有攻击机的 IP 重复出现就说明爆破或扫描行为已经被记录在案。这个数字可以直接写进报告的“防御效果”小节。除了封禁再加一条加固建议修改 sshd_config 禁用 root 远程登录、关闭不用的 telnet 服务并把整改前后的配置状态截图保存。整个防御段要传达的核心逻辑是攻击者在明处操作防守方不是被动的而是能通过日志和流量看到攻击痕迹并采取阻断措施。课程设计报告的评分点往往就在这个“攻防有来有回”的过程里。4. 把实验写进《网络攻防课程设计报告》目录框架、证据归档与答辩说服逻辑实验做到 60 分报告写得好能拉到 80 分实验做到 80 分报告写得乱也可能被压到 60 分。网络攻防课程设计报告不是实验日志的堆积它是一门“如何让别人相信你做过了”的技术活。评审通常只有十几分钟翻阅时间他们看的是链路是否完整、证据是否连续、结论是否可信。很多学生喜欢把报告写成教科书第一章写网络攻防发展史第二章写漏洞类型第三章才开始说自己的实验。这样做等于把最值钱的证据藏在最后面评审翻不到就没了。正确做法是把实验证据前置背景知识压缩到最简。下面这几条是我反复调整后认为最稳妥的目录框架和证据规范。4.1 报告目录框架与每章要回答的问题章节核心内容要回答的问题摘要攻防过程、主要发现、整改结论这篇报告做了什么结果是什么实验环境虚拟机列表、IP 规划、工具版本实验在哪里跑的能不能复现攻击路径设计从信息收集到权限获取的步骤你的攻击方案是什么为什么这样选实验过程与证据命令、输出、截图、抓包、时间戳每一步是怎么执行的证据在哪防御与整改日志分析、封禁规则、加固配置防守方看到了什么如何处置的收获与不足对失败的复盘、可改进的方向哪些地方没做好后续怎么做这个框架里的“实验过程与证据”是绝对主体篇幅至少占全报告的一半。每一条攻击步骤都要配套对应的证据文件最好是命令回显、时间戳、抓包三条同时出现。例如漏洞利用步骤贴命令之后紧接着贴 shell 回显再贴审计机上抓到的 FTP 连接序列三样一配合可信度立刻上来了。4.2 用 script 命令和 ImageMagick 给证据盖时间戳答辩时被质疑最多的问题就是“这些截图是不是事后补的”。为了让证据有可信的时间线我在做实验时就养成了给终端会话和时间戳打点的习惯。Linux 自带的script命令可以把整个终端会话记录成文件包括所有命令和输出script -q attack_session_20260601.log # 开始实验所有命令回显都会写入上述文件 # 实验结束后输入 exit 退出记录 exit-q参数是安静模式不输出多余的开始提示。生成的 attack_session 文件可以直接作为附录提交里面每一行命令都有先后顺序答辩时老师如果要查顺着文件就能看到整个操作过程。截图方面我习惯用 ImageMagick 的 convert 命令给截图打上时间水印convert scan_result.png -fill white -undercolor #00000080 \ -gravity SouthEast -annotate 1010 $(date %Y-%m-%d %H:%M:%S) \ scan_result_stamped.png这条命令在截图右下角叠加一个带半透明背景的时间字符串。原因是终端截图本身没有时间域事后整理时很容易搞混是哪一轮扫描的结果。打了水印后每张截图在报告里的位置就不会错答辩时也能指着水印说“这是我在 6 月 1 日 14:32 跑出来的结果”。4.3 截图与数据表化不贴黑屏贴结论评审和答辩老师不会逐行看你的终端输出他们更愿意看提炼后的结构化内容。一个让我印象深刻的教训是很多学生的报告里塞了 20 多张全屏截图看起来篇幅很长实际有效信息密度极低。正确做法是用表格把关键信息抽取出来原始截图只留 3 到 5 张最有代表性的。时间源 IP目的 IP协议特征字段对应攻击阶段14:31:02192.168.56.2192.168.56.3TCPSYN 扫描信息收集14:35:18192.168.56.2192.168.56.3FTPUSER 后门触发漏洞利用14:36:40192.168.56.3192.168.56.2TCP6200 端口交互权限获取这种表一两张胜过十页截图。每一条记录都对应一个攻击阶段评审顺着表格就能快速理解整条链路。原始扫描结果和抓包文件放在附录里作为可追溯的底层数据。4.4 课程设计报告最常见的三个误区第一个误区是选题过大。有人课程设计题目写“企业内部网络渗透测试”但实际实验只有一台 Kali 打一台虚拟机过程和题目极不相称。答辩被问“那域控呢”“那横向移动呢”就当场卡住。课程设计不是论文题目越小、链路越细越好做扎实。第二个误区是隐藏失败过程。我见过不少报告只写成功不写失败。实际上实验中第一次漏洞利用多半会失败失败后你怎么判断原因、调整参数、重新尝试恰恰是评分老师想看的内容。把自己踩坑的过程写进去例如“第一次利用超时检查发现靶机 vsftpd 服务未启动重启服务后利用成功”比伪造一个完美过程可信得多。第三个误区是工具版本与环境参数缺失。报告中只写“用 nmap 扫描”却不写版本、不写网段、不写系统镜像版本等于把复现路径打断了。把 2.3 节记录的版本信息和 2.1 节的 IP 规划表原样放进报告只需要半页纸但对可信度提升是决定性的。5. 避坑指南网络不通、利用失败、证据对不上的排查清单下面这几条是我在带课程设计和帮人改报告过程中反复看到的高频事故每一条都对应一个具体的排查动作。遇到问题先按顺序检查不要急着重装系统或者重跑一遍攻击。5.1 虚拟机内网时通时不通Nmap 提示 “Host seems down”现象攻击机 ping 靶机偶尔通偶尔不通nmap 扫描直接提示主机不可达但靶机系统明明正常启动。原因最常见的是虚拟网卡 IP 漂移。VirtualBox 的 host-only 网段如果没固定重启后可能被 DHCP 分配到别的网段还有一种情况是物理机的无线网卡抢占了 192.168.56.1 这个地址。解决按 2.1 节里的命令重新固定 host-only 网卡的网段或者把虚拟机的网卡 MAC 地址固定下来绑定静态 IP。排查命令是分别在攻击机和靶机上执行ip a看两台机器的 IP 是否还在同一网段。如果网段不一致手动ip addr add 192.168.56.3/24 dev eth0临时改回来再把配置文件写成静态 IP。5.2 漏洞利用“翻车”vsftpd 后门模块超时或连接被拒绝现象Metasploit 执行 run 之后一直卡在等待连接或者直接提示 Connection Refused。原因多半不是工具问题而是靶机上的漏洞服务根本没有启动。Metasploitable2 里 vsftpd 2.3.4 默认启动了但如果你用的是自装 Ubuntu 再手动安装 vsftpd版本可能不是 2.3.4或者服务被防火墙挡住了。还有一重原因是我见过很多次的攻击机和靶机不在同一网段扫描出的“开放端口”是另一台机器的。解决先回到靶机上执行systemctl status vsftpd或者service vsftpd status确认服务活着再执行nmap -p 21 192.168.56.3确认从攻击机看端口是 open。如果端口是 filtered检查靶机 iptables 默认策略是不是把入站 DROP 了。把每次排查过程的命令和输出都记下来这些失败记录能直接写进报告。5.3 截图时间线前后错乱答辩现场被质疑造假现象报告里扫描截图的时间是下午三点漏洞利用截图的时间却是上午十点时间线明显倒挂。答辩老师一翻就发现实验顺序和报告描述对不上。原因没有在实验过程中给截图打时间戳事后从不同终端窗口补截图时系统时间不一致。有些人甚至为了补截图把系统时间改回去再拍结果越补越乱。解决统一按 4.2 节的方式所有截图先打时间水印再归档。归档目录按数字前缀组织例如001_scan、002_exploit、003_defense每个目录里只放对应阶段的文件。提交前从头到尾查一遍每张截图的时间戳保证单调递增。5.4 iptables 封禁操作把自己锁在虚拟机外面现象执行封禁规则后原本准备通过 SSH 登进靶机做后续操作却发现连攻击机也 ping 不通靶机了甚至审计机也连不上靶机。原因iptables 规则写得过粗。例如iptables -A INPUT -j DROP没有指定来源 IP把整个入方向全部丢弃或者写规则时没注意先放行 22 端口就执行了iptables -P INPUT DROP这种默认策略。解决在写禁用规则之前先加一条放行本机管理端口的规则iptables -A INPUT -s 192.168.56.0/24 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 192.168.56.2 -j DROP执行前先保存现有规则执行后立刻测试连通性。如果真把自己锁死了快照回滚是最快的后悔药这也就是 2.2 节强调快照的原因。另外建议在靶机和审计机上各留一个双网卡配置一个网卡跑攻防网段另一个网卡作为管理通道保证封禁操作失误时不至于失去控制。6. 答辩前自检的 3 个动作把报告从“能看”拉到“能站住脚”报告写完后不要急着提交。给自己留出半天时间用下面三个动作从评审视角通读一遍。很多报告的问题不是内容不够而是经不起当面追问。第一步用一句话把整条攻击链路讲出来。比如“攻击机先对靶机做全端口扫描发现 21 端口 vsftpd 2.3.4用 Metasploit 后门模块拿到交互 shell同时审计机抓到了完整流量防御侧通过 auth.log 发现异常登录iptables 封禁攻击机 IP并加固 SSH 配置。”这一句话如果说得通报告主线就是清晰的如果中间断掉比如扫描完不知道端口对应什么漏洞那就要回实验里把断点补上。第二步做一次快速复跑验证。我习惯在提交前把报告里最关键的 3 条命令重新执行一遍确认环境状态还与报告一致echo 核心端口 nmap -sV -p 21,22,6200 192.168.56.3 echo 封禁规则 iptables -L INPUT -n | grep 192.168.56.2 echo 规则仍在生效 || echo 规则丢失 echo 证据文件 ls -l evidence/这段检查不是为了重新做实验而是为了排除“虚拟机重启后服务没起、规则被清空、证据文件丢失”这些小概率事件。有一次我帮学生改报告时发现防御规则在文档里写得完整但虚拟机快照回滚过一次规则早就没了报告和现场状态严重不符。这种问题一旦答辩时不复现很容易被判定为伪造。最后一步把实验中的失败记录单独挑出来想清楚每个失败对应的原因和解决动作。例如“第一次利用超时发现靶机防火墙未放行 21 端口放行后成功”这种内容写进报告里反而是加分项。它证明你不是照着教程复制命令而是在真实地排查问题。我自己带过的项目里凡是把“踩坑过程”认真写清楚的学生答辩通过率都明显更高。这些经验不是一天练出来的。我早年的课程设计报告同样犯过逻辑断层和时间错乱的毛病后来养成了一个习惯凡是写进报告的操作定稿前一定亲自重跑一遍跑不通宁可改报告也不能让报告与实验脱节。网络攻防靠的是闭环报告同样是一套闭环。希望帮到你。本文还有配套的精品资源点击获取 网络攻防课程设计：从信息收集到防御加固的攻防闭环实战
简介网络攻防不仅是单点漏洞利用的炫技更是从信息收集、漏洞利用、抓包取证到防御加固的完整闭环。针对网络安全课程设计、渗透测试实训等场景利用虚拟机搭建隔离靶场配合Nmap、Metasploit、Wireshark等工具可以复现攻击路径并留下可审计的流量证据。通过快照、日志分析和iptables封禁等操作构建攻防有来有回的可视化对抗流程并以结构化报告呈现实验证据链。本文围绕网络攻防课程设计中的环境搭建、工具选型、证据归档与答辩自检提供一套可落地的工程实践方法。1. 网络攻防课程设计报告比漏洞利用更值钱的是攻防闭环很多学生在交《网络攻防课程设计报告.doc》时把大半篇幅写在“什么叫做漏洞”“防火墙简介”上真正做过实验的证据却只有几张黑乎乎的截图。答辩时老师问一句“这条攻击路径是怎么绕通的”当场答不上来。网络攻防课程设计的本质不是秀某个漏洞利用得有多炫而是让读者顺着你的报告能把一次从信息收集到防御加固的完整闭环重新走一遍。这份文档适合网络空间安全专业的课程设计、实训作品集也适合转行者用来自证动手能力。报告里最值钱的内容永远是“可复现”三个字。2. 先把阵地搭起来攻防靶场的隔离设计、模板机与工具选型写报告的第一步不是打开 Word而是先把攻防环境搭成“可复现”的样子。很多人在共享机房或者自己的笔记本上直接做实验IP 是动态的工具版本没记录漏洞利用打到一半系统崩了最后只能靠脑补写报告。真正的课程设计应该把靶场隔离在本地虚拟机里让每次攻击和防御都留下能被回放的现场。攻防实验天然会改变系统状态漏洞利用可能写入恶意文件端口扫描会留下大量连接日志封禁规则甚至会把管理通道断掉。如果不做环境隔离和基线快照任何一次翻车都要从重装系统开始而报告里的“实验环境”章节也就只能胡编。下面这套三虚拟机结构是我在本地做过多次的稳定方案兼顾了攻击方的操作空间、靶机的可控性和证据采集的完整性。2.1 三台虚拟机组成的靶场网段、IP 和主机角色最常见的课程设计靶场由三台机器组成攻击机、靶机、审计机。它们在同一个仅主机网段内通信物理机和外部网络都碰不到它们。把攻防流量限制在虚拟网卡里既是安全边界也是后续抓包取证的前提。角色建议系统IP 规划在报告里的作用攻击机Kali Linux192.168.56.2执行扫描、漏洞利用、生成攻击指令靶机Metasploitable2 或 UbuntuWeb 服务192.168.56.3提供有漏洞的服务承担被攻击角色审计机Ubuntu 最小化安装192.168.56.4部署抓包工具和日志收集承担防御视角为什么要单独放一台审计机因为攻击机和靶机在激烈对抗时系统本身已经被破坏日志未必可信。真正的证据要放在第三台机器上用 tcpdump 或者 Wireshark 旁路抓包这样报告里的流量特征才有说服力。网络模式建议选用 Host-Only而不是桥接模式。桥接模式会把你模拟的攻击流量直接暴露到宿舍或办公网里一旦扫描到别人的真实设备性质就完全变了。Host-Only 模式下的虚拟网卡由 VirtualBox 或 VMware 自行创建攻击机与靶机之间完全可控。我一般会用命令行方式创建和配置仅主机网卡这样配置过程本身也能写进报告的“环境准备”小节# 创建仅主机虚拟网卡 VBoxManage hostonlyif create # 固定网段避免 DHCP 分配导致 IP 漂移 VBoxManage hostonlyif ipconfig vboxnet0 --ip 192.168.56.1 --netmask 255.255.255.0 # 为攻击机和靶机绑定同一块仅主机网卡 VBoxManage modifyvm kali-attacker --hostonlyadapter1 vboxnet0 VBoxManage modifyvm metasploitable-target --hostonlyadapter1 vboxnet0上述命令的核心逻辑是先创建一张虚拟网卡再把虚拟机绑定上去。固定 192.168.56.0/24 网段是因为 VirtualBox 默认的 192.168.56.0/24 段和常见宿舍路由器网段冲突较少后续抓包和写报告都不用改 IP。如果你用的是 VMware对应配置在工作站里叫“仅主机模式”操作路径不同但原理一样虚拟网段固定、物理网络隔离、三台机器在同一广播域。2.2 快照与基线给“翻车”留好后悔药攻防实验里最常见的翻车不是漏洞利用失败而是利用成功后为了让演示效果更完整乱改了一通系统配置导致靶机再也起不来。想要重来却没有原始环境只能重新下载镜像、重新配置服务一个下午就没了。快照就是这种情况下唯一的后悔药。# 在干净状态下打三个基线快照 VBoxManage snapshot kali-attacker take baseline-clean VBoxManage snapshot metasploitable-target take target-original VBoxManage snapshot audit-server take audit-clean # 核对虚拟机状态 VBoxManage snapshot metasploitable-target list我在每个实验阶段前都会打一次快照扫描前打一个漏洞利用前打一个做防御加固前再打一个。快照命名用“阶段状态”的方式比如“after-exploit”“before-firewall”。这些快照不占多少磁盘空间却能让你在实验中途放心大胆地试错反正错了就回滚。报告中也可以顺带写一句“每个关键阶段前均保留虚拟机快照”这句话会显著提升实验可信度。除了快照还要从第一天就开始记录基线信息。把系统版本、内核、IP 配置、工具版本写进同一个文本文件作为报告的附录素材date env_baseline.txt uname -a env_baseline.txt ip a env_baseline.txt ip route env_baseline.txt nmap --version | head -1 env_baseline.txt msfconsole --version env_baseline.txt cat env_baseline.txt这段命令输出的不是摆设它能帮你回答答辩老师最常问的第一个问题“你这个实验是在什么环境里跑的”环境基线清楚后面所有攻击和防御结论才有坐标系。如果连靶机操作系统版本都说不清那漏洞利用成功与否都很难被信服。2.3 工具选型及版本记录课程设计不需要装一堆花哨工具够用、能记录、版本稳定才是关键。我常用的组合是 Nmap 做信息收集、Metasploit 做漏洞利用、Wireshark 和 tshark 做流量分析、iptables 和 auth.log 做防御处置。这些工具在 Kali 系统里基本都预装了但版本每年都在变而漏洞利用模块对版本非常敏感。工具在本实验中的用途报告里建议写的位置Nmap端口扫描、服务识别、漏洞探测信息收集章节Metasploit漏洞利用、payload 交互漏洞利用章节Wireshark / tshark攻击流量留证、协议分析抓包取证章节iptables / ufw封禁攻击源、做防御对照防御加固章节script终端会话记录全文证据附录记录版本的命令很简单但很多人就是会漏掉msfconsole --version nmap --version tshark --version把这些输出重定向到同一个文件里后续写报告时直接引用。不要小看这一步漏洞利用模块的适配性、抓包过滤器语法的兼容性都和版本直接相关。版本不一致导致的利用失败在答辩时说不清楚写文档时更说不清楚。提前把自己的工具版本固定下来相当于实验从一开始就进了“控制变量”的状态。3. 攻防闭环信息收集、漏洞利用、抓包取证、防御封禁课程设计报告能不能站住脚取决于有没有形成一条完整链路。所谓闭环就是攻击方的每个动作都能在防御方留下可追踪的记录而防御方的每个处置又都能对应到攻击行为。只扫描不打点报告像半成品只打点不防御报告像攻击教程。最容易被扣分的恰恰是那种“我用 Metasploit 拿到了 shell”就草草收场的报告因为没有任何后续也没有任何对抗痕迹。下面我用一台 Metasploitable2 靶机作为例子把一条完整的攻防链路拆成四段讲解。整个过程都发生在本地虚拟机的仅主机网段里不需要任何外网资源也不会触碰真实系统。3.1 信息收集Nmap 扫描结果归档与输出字段说明信息收集是整条链路的第一环也是最容易做得“看起来像做过但实际没做”的一环。很多人扫完端口就截图从来不看输出里每个字段的含义。报告里堆一张几十行端口的截图除了证明 nmap 会跑之外没有任何价值。正确做法是把扫描结果保存成结构化文件再提炼成报告表格。# 先做主机发现确认靶机在线 nmap -sn 192.168.56.0/24 # 全端口、服务版本、系统指纹扫描结果分三种格式归档 nmap -sS -sV -O -p- -T4 -oA scan_target_$(date %Y%m%d) 192.168.56.3参数说明-sS是半开 SYN 扫描速度快且不容易在靶机上留下完整连接记录但仍会被 IDS 抓到特征后面抓包会看到-sV探测服务版本-O尝试识别操作系统-p-扫描全部 65535 个端口-T4是激进但可控的时间模板-oA同时输出.nmap、.gnmap、.xml三种格式xml格式后续还能用来生成拓扑或导入其他工具。扫描完成后用 grep 把开放端口提取出来grep -E ^[0-9]/tcp.*open scan_target_*.nmap以 Metasploitable2 为例常见结果里会包含 21/tcp vsftpd 2.3.4、22/tcp OpenSSH、23/tcp telnet 等端口。拿到这份列表后不要整段贴进报告而是整理成一张小表端口号、服务、版本、初步判定的可利用点。把目标锁定在 21 端口的 vsftpd 2.3.4 后就可以进入下一环了。3.2 漏洞利用Metasploit 打通 vsftpd 后门vsftpd 2.3.4 存在一个著名的后门漏洞在某个特定版本中恶意代码被打包进了服务端攻击者向 21 端口发送包含特定字符的 FTP 登录请求后会在 6200 端口弹出一个交互 shell。这个漏洞极其适合课程设计因为它触发条件简单、结果直观、在本地靶机上非常稳定。msfconsole -q msf6 search vsftpd msf6 use exploit/unix/ftp/vsftpd_234_backdoor msf6 exploit(unix/ftp/vsftpd_234_backdoor) set RHOSTS 192.168.56.3 msf6 exploit(unix/ftp/vsftpd_234_backdoor) set RPORT 21 msf6 exploit(unix/ftp/vsftpd_234_backdoor) run参数说明RHOSTS是靶机 IPRPORT是 FTP 服务端口默认 21 不需要额外修改。这个模块的 payload 默认是cmd/unix/interact利用成功后直接返回一个交互式 shell不需要额外反弹连接对新手最友好。拿到 shell 后我建议立即做两件事第一执行id、uname -a、ifconfig确认当前权限和系统状态第二把整个交互过程用script命令记录到文件作为报告证据。攻击阶段最容易犯的错是拿到 shell 后过于兴奋连续敲命令把终端刷屏回头截图都看不清哪条命令是成功的关键操作。如果需要提权常见手法是查可写的 sudo 配置或者 SUID 文件sudo -l find / -perm -4000 -type f 2/dev/null如果靶机换成 DVWA 或 Juice Shop漏洞利用环节可以改成 SQL 注入或命令注入但报告链路是完全一样的发现漏洞口、构造利用、取得执行权限、记录过程。课程设计真正要练的是你能不能把这个过程用代码、截图和日志完整串起来。3.3 抓包取证让攻击流量成为可审计的证据很多人的报告里只有命令回显没有网络流量证据这是一个很大的漏洞。因为防御方视角下攻击者干了什么并不完全靠终端命令体现而是靠网络流量里的特征。抓包取证要做在攻击过程中而不是攻击结束后补抓。在审计机上提前开启抓包tcpdump -i eth0 -w attack_traffic_$(date %Y%m%d_%H%M%S).pcap host 192.168.56.2 and host 192.168.56.3 -s 0参数说明-i eth0指定审计机连接虚拟网卡的接口-w保存原始数据包过滤表达式限制只抓攻击机和靶机之间的流量-s 0表示不截断数据包保留完整内容。如果不过滤抓包文件会在扫描阶段迅速膨胀最后反而找不到关键报文。攻击结束后用 tshark 从 pcap 里提取关键流量tshark -r attack_traffic_20260601.pcap -Y ftp.request.command -T fields -e frame.time -e ip.src -e ip.dst -e ftp.request.command这段命令从保存的抓包文件中过滤 FTP 请求命令并输出时间、源 IP、目的 IP、命令字段。你会看到攻击者与靶机之间的 USER、PASS 交互序列这就是漏洞利用触发前后的流量特征。同理扫描阶段也可以过滤 SYN 包tshark -r attack_traffic_20260601.pcap -Y tcp.flags.syn1 and tcp.flags.ack0 | head -20这些过滤结果出来后报告里要做的不是贴满屏数据包而是挑出 3 到 5 条有代表性的记录标注攻击者 IP、靶机 IP、协议特征和发生时间。流量证据是答辩时最能让老师信服的东西因为它无法事后编造。3.4 防御段封禁攻击源、加固口令与日志审计有攻击就必须有防御否则报告只能叫“漏洞利用实验”不叫“网络攻防课程设计”。防御段要和攻击段一一对应扫描被发现了怎么处置漏洞利用被检测到后怎么封堵口令爆破被记录后怎么加固。我在审计机上用 iptables 做封禁示范# 封禁攻击机 IP阻断后续扫描和利用 iptables -A INPUT -s 192.168.56.2 -j DROP # 查看规则是否生效 iptables -L INPUT -n | grep 192.168.56.2参数说明-A INPUT追加到入方向规则链-s指定来源 IP-j DROP直接丢弃该来源的数据包。封禁后立刻从攻击机再执行一次nmap -sS 192.168.56.3你会发现端口扫描超时或显示 filtered这就形成了“攻击前畅通、防御后失效”的对照结果。日志审计方面最实用的命令是统计 SSH 爆破来源和失败次数# 查看最近被拒绝的登录记录 lastb | head -20 # 统计认证失败日志中的来源 IP 次数 grep Failed password /var/log/auth.log | awk {print $(NF-3)} | sort | uniq -c | sort -nr | headawk 语句的$(NF-3)取的是日志行中倒数第 4 个字段也就是来源 IP。统计结果里如果有攻击机的 IP 重复出现就说明爆破或扫描行为已经被记录在案。这个数字可以直接写进报告的“防御效果”小节。除了封禁再加一条加固建议修改 sshd_config 禁用 root 远程登录、关闭不用的 telnet 服务并把整改前后的配置状态截图保存。整个防御段要传达的核心逻辑是攻击者在明处操作防守方不是被动的而是能通过日志和流量看到攻击痕迹并采取阻断措施。课程设计报告的评分点往往就在这个“攻防有来有回”的过程里。4. 把实验写进《网络攻防课程设计报告》目录框架、证据归档与答辩说服逻辑实验做到 60 分报告写得好能拉到 80 分实验做到 80 分报告写得乱也可能被压到 60 分。网络攻防课程设计报告不是实验日志的堆积它是一门“如何让别人相信你做过了”的技术活。评审通常只有十几分钟翻阅时间他们看的是链路是否完整、证据是否连续、结论是否可信。很多学生喜欢把报告写成教科书第一章写网络攻防发展史第二章写漏洞类型第三章才开始说自己的实验。这样做等于把最值钱的证据藏在最后面评审翻不到就没了。正确做法是把实验证据前置背景知识压缩到最简。下面这几条是我反复调整后认为最稳妥的目录框架和证据规范。4.1 报告目录框架与每章要回答的问题章节核心内容要回答的问题摘要攻防过程、主要发现、整改结论这篇报告做了什么结果是什么实验环境虚拟机列表、IP 规划、工具版本实验在哪里跑的能不能复现攻击路径设计从信息收集到权限获取的步骤你的攻击方案是什么为什么这样选实验过程与证据命令、输出、截图、抓包、时间戳每一步是怎么执行的证据在哪防御与整改日志分析、封禁规则、加固配置防守方看到了什么如何处置的收获与不足对失败的复盘、可改进的方向哪些地方没做好后续怎么做这个框架里的“实验过程与证据”是绝对主体篇幅至少占全报告的一半。每一条攻击步骤都要配套对应的证据文件最好是命令回显、时间戳、抓包三条同时出现。例如漏洞利用步骤贴命令之后紧接着贴 shell 回显再贴审计机上抓到的 FTP 连接序列三样一配合可信度立刻上来了。4.2 用 script 命令和 ImageMagick 给证据盖时间戳答辩时被质疑最多的问题就是“这些截图是不是事后补的”。为了让证据有可信的时间线我在做实验时就养成了给终端会话和时间戳打点的习惯。Linux 自带的script命令可以把整个终端会话记录成文件包括所有命令和输出script -q attack_session_20260601.log # 开始实验所有命令回显都会写入上述文件 # 实验结束后输入 exit 退出记录 exit-q参数是安静模式不输出多余的开始提示。生成的 attack_session 文件可以直接作为附录提交里面每一行命令都有先后顺序答辩时老师如果要查顺着文件就能看到整个操作过程。截图方面我习惯用 ImageMagick 的 convert 命令给截图打上时间水印convert scan_result.png -fill white -undercolor #00000080 \ -gravity SouthEast -annotate 1010 $(date %Y-%m-%d %H:%M:%S) \ scan_result_stamped.png这条命令在截图右下角叠加一个带半透明背景的时间字符串。原因是终端截图本身没有时间域事后整理时很容易搞混是哪一轮扫描的结果。打了水印后每张截图在报告里的位置就不会错答辩时也能指着水印说“这是我在 6 月 1 日 14:32 跑出来的结果”。4.3 截图与数据表化不贴黑屏贴结论评审和答辩老师不会逐行看你的终端输出他们更愿意看提炼后的结构化内容。一个让我印象深刻的教训是很多学生的报告里塞了 20 多张全屏截图看起来篇幅很长实际有效信息密度极低。正确做法是用表格把关键信息抽取出来原始截图只留 3 到 5 张最有代表性的。时间源 IP目的 IP协议特征字段对应攻击阶段14:31:02192.168.56.2192.168.56.3TCPSYN 扫描信息收集14:35:18192.168.56.2192.168.56.3FTPUSER 后门触发漏洞利用14:36:40192.168.56.3192.168.56.2TCP6200 端口交互权限获取这种表一两张胜过十页截图。每一条记录都对应一个攻击阶段评审顺着表格就能快速理解整条链路。原始扫描结果和抓包文件放在附录里作为可追溯的底层数据。4.4 课程设计报告最常见的三个误区第一个误区是选题过大。有人课程设计题目写“企业内部网络渗透测试”但实际实验只有一台 Kali 打一台虚拟机过程和题目极不相称。答辩被问“那域控呢”“那横向移动呢”就当场卡住。课程设计不是论文题目越小、链路越细越好做扎实。第二个误区是隐藏失败过程。我见过不少报告只写成功不写失败。实际上实验中第一次漏洞利用多半会失败失败后你怎么判断原因、调整参数、重新尝试恰恰是评分老师想看的内容。把自己踩坑的过程写进去例如“第一次利用超时检查发现靶机 vsftpd 服务未启动重启服务后利用成功”比伪造一个完美过程可信得多。第三个误区是工具版本与环境参数缺失。报告中只写“用 nmap 扫描”却不写版本、不写网段、不写系统镜像版本等于把复现路径打断了。把 2.3 节记录的版本信息和 2.1 节的 IP 规划表原样放进报告只需要半页纸但对可信度提升是决定性的。5. 避坑指南网络不通、利用失败、证据对不上的排查清单下面这几条是我在带课程设计和帮人改报告过程中反复看到的高频事故每一条都对应一个具体的排查动作。遇到问题先按顺序检查不要急着重装系统或者重跑一遍攻击。5.1 虚拟机内网时通时不通Nmap 提示 “Host seems down”现象攻击机 ping 靶机偶尔通偶尔不通nmap 扫描直接提示主机不可达但靶机系统明明正常启动。原因最常见的是虚拟网卡 IP 漂移。VirtualBox 的 host-only 网段如果没固定重启后可能被 DHCP 分配到别的网段还有一种情况是物理机的无线网卡抢占了 192.168.56.1 这个地址。解决按 2.1 节里的命令重新固定 host-only 网卡的网段或者把虚拟机的网卡 MAC 地址固定下来绑定静态 IP。排查命令是分别在攻击机和靶机上执行ip a看两台机器的 IP 是否还在同一网段。如果网段不一致手动ip addr add 192.168.56.3/24 dev eth0临时改回来再把配置文件写成静态 IP。5.2 漏洞利用“翻车”vsftpd 后门模块超时或连接被拒绝现象Metasploit 执行 run 之后一直卡在等待连接或者直接提示 Connection Refused。原因多半不是工具问题而是靶机上的漏洞服务根本没有启动。Metasploitable2 里 vsftpd 2.3.4 默认启动了但如果你用的是自装 Ubuntu 再手动安装 vsftpd版本可能不是 2.3.4或者服务被防火墙挡住了。还有一重原因是我见过很多次的攻击机和靶机不在同一网段扫描出的“开放端口”是另一台机器的。解决先回到靶机上执行systemctl status vsftpd或者service vsftpd status确认服务活着再执行nmap -p 21 192.168.56.3确认从攻击机看端口是 open。如果端口是 filtered检查靶机 iptables 默认策略是不是把入站 DROP 了。把每次排查过程的命令和输出都记下来这些失败记录能直接写进报告。5.3 截图时间线前后错乱答辩现场被质疑造假现象报告里扫描截图的时间是下午三点漏洞利用截图的时间却是上午十点时间线明显倒挂。答辩老师一翻就发现实验顺序和报告描述对不上。原因没有在实验过程中给截图打时间戳事后从不同终端窗口补截图时系统时间不一致。有些人甚至为了补截图把系统时间改回去再拍结果越补越乱。解决统一按 4.2 节的方式所有截图先打时间水印再归档。归档目录按数字前缀组织例如001_scan、002_exploit、003_defense每个目录里只放对应阶段的文件。提交前从头到尾查一遍每张截图的时间戳保证单调递增。5.4 iptables 封禁操作把自己锁在虚拟机外面现象执行封禁规则后原本准备通过 SSH 登进靶机做后续操作却发现连攻击机也 ping 不通靶机了甚至审计机也连不上靶机。原因iptables 规则写得过粗。例如iptables -A INPUT -j DROP没有指定来源 IP把整个入方向全部丢弃或者写规则时没注意先放行 22 端口就执行了iptables -P INPUT DROP这种默认策略。解决在写禁用规则之前先加一条放行本机管理端口的规则iptables -A INPUT -s 192.168.56.0/24 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 192.168.56.2 -j DROP执行前先保存现有规则执行后立刻测试连通性。如果真把自己锁死了快照回滚是最快的后悔药这也就是 2.2 节强调快照的原因。另外建议在靶机和审计机上各留一个双网卡配置一个网卡跑攻防网段另一个网卡作为管理通道保证封禁操作失误时不至于失去控制。6. 答辩前自检的 3 个动作把报告从“能看”拉到“能站住脚”报告写完后不要急着提交。给自己留出半天时间用下面三个动作从评审视角通读一遍。很多报告的问题不是内容不够而是经不起当面追问。第一步用一句话把整条攻击链路讲出来。比如“攻击机先对靶机做全端口扫描发现 21 端口 vsftpd 2.3.4用 Metasploit 后门模块拿到交互 shell同时审计机抓到了完整流量防御侧通过 auth.log 发现异常登录iptables 封禁攻击机 IP并加固 SSH 配置。”这一句话如果说得通报告主线就是清晰的如果中间断掉比如扫描完不知道端口对应什么漏洞那就要回实验里把断点补上。第二步做一次快速复跑验证。我习惯在提交前把报告里最关键的 3 条命令重新执行一遍确认环境状态还与报告一致echo 核心端口 nmap -sV -p 21,22,6200 192.168.56.3 echo 封禁规则 iptables -L INPUT -n | grep 192.168.56.2 echo 规则仍在生效 || echo 规则丢失 echo 证据文件 ls -l evidence/这段检查不是为了重新做实验而是为了排除“虚拟机重启后服务没起、规则被清空、证据文件丢失”这些小概率事件。有一次我帮学生改报告时发现防御规则在文档里写得完整但虚拟机快照回滚过一次规则早就没了报告和现场状态严重不符。这种问题一旦答辩时不复现很容易被判定为伪造。最后一步把实验中的失败记录单独挑出来想清楚每个失败对应的原因和解决动作。例如“第一次利用超时发现靶机防火墙未放行 21 端口放行后成功”这种内容写进报告里反而是加分项。它证明你不是照着教程复制命令而是在真实地排查问题。我自己带过的项目里凡是把“踩坑过程”认真写清楚的学生答辩通过率都明显更高。这些经验不是一天练出来的。我早年的课程设计报告同样犯过逻辑断层和时间错乱的毛病后来养成了一个习惯凡是写进报告的操作定稿前一定亲自重跑一遍跑不通宁可改报告也不能让报告与实验脱节。网络攻防靠的是闭环报告同样是一套闭环。希望帮到你。本文还有配套的精品资源点击获取