作者： 联盟秘书处

各有关单位：
为贯彻习近平总书记自主创新推进网络强国的战略指导精神，落实《中华人民共和国网络安全法》等法律法规要求，进一步提升网络安全意识，发挥网络安全防护对信息化发展的保障作用，增强网络安全从业人员和高校学生的网络安全创新意识、安全技能和团队协作方面的综合素质，创新网络安全人才培养机制，培养、选拔、推荐优秀网络安全专业人才，加强网络安全人才队伍建设，根据《关于举办“巴渝杯”大学生网络安全联赛的通知》安排，现将网络安全作品赛有关事宜通知如下：
一、大赛组织
指导单位：中共重庆市委网信办
重庆市教育委员会
主办单位：中共重庆市合川区委网信办
重庆市合川区教育委员会
协办单位：重庆市合川区公安局
赛事组委会：重庆信息安全产业技术创新联盟
重庆计算机安全学会
重庆市软件技术创新战略联盟
重庆市互联网界联合会
重庆商用密码行业协会
重庆市合川区网络安全学会
初赛承办单位：重庆科技大学
决赛承办单位：重庆人文科技学院
技术支持单位：绿盟科技集团股份有限公司
支持单位：重庆信安网络安全等级测评有限公司
重庆南华中天信息技术有限公司
北京启明星辰信息安全技术有限公司
二、作品上传时间
2024年3月29日-5月31日18：00
三、作品上传要求
文件需注明学校+队伍名称，压缩后提交至邮箱739423176@qq.com。提交的资料包括网络安全作品文档（模板见附件）、可执行程序、作品原创性声明。
四、联系方式
张老师，13438852891；马老师，15823299700；
潘老师，18716444196；李老师，15730323160。

附件1：“巴渝杯”大学生网络安全联赛网络安全作品赛参赛指南
附件2：网络安全作品说明文档模板
附件3：作品原创性声明

附件1：“巴渝杯”大学生网络安全联赛网络安全作品赛参赛指南
（一）比赛方向
自动化Web漏洞扫描工具
（二）比赛形式
限定在截止日期前提交作品到指定邮箱。联赛裁判组将使用提交作品对特定靶场环境进行扫描，按扫描漏洞情况进行评分，并根据分数排名。作品提交截止后不能进行二次修改。
（三）作品形式
使用主流编程语言开发编写的脚本、程序或工具包。编程语言包括但不限于（C/C++、Golang、PHP、Python、Ruby、Java、VB）。作品可以使用开源扫描框架进行二次开发，也可以全新开发。作品应当考虑CPU、内存及网络带宽资源消耗，比赛给定机器为Intel （i5、i7系列CPU）、8G/16G内存。
（四）靶场环境：https://github.com/zhuifengshaonianhanlu/pikachu，开源靶场pikachu。此链接是代码仓库，如果需要模拟，可以下载环境在本地部署搭建。
（五）计分规则
得分判定：靶场共包含16大类（暴力破解（4项）、XSS（10项）、CSRF（3项）、SQL注入（10项）、RCE（2项）、文件包含（2项）、文件下载（1项）、文件上传（3项）、越权（2项）、目录遍历（1项）、敏感信息泄露（1项）、PHP反序列化（1项）、XXE漏洞（1项）、URL跳转（1项）、SSRF（2项）、隐藏漏洞类（若干项）），若干项细分漏洞场景。不同类型漏洞拥有相应分数，扫描出指定场景漏洞获取对应分数。
失分判断：对于误报情况，会给予一定的扣分。
误报漏洞数量1-10个， -5分
误报漏洞数量10-30个， -10分
误报漏洞数量30-100个， -15分
误报漏洞数量100-200个， -20分
误报漏洞数量200以上， -30分
额外加分项： 对于某一类漏洞场景的扫描，在现有技术手段基础上提出改进建议，并在靶场环境中取得良好效果的，经评委小组认定通过，加分5-10分。

附件2：网络安全作品说明文档模板

学校名称：
参赛队伍名称：
学生姓名：
指导老师：

(正文字体：方正仿宋_GBK，字号：三号）
一、功能描述
恶意软件分析xxxxxxxxxx(示例文字，无参考与实际意义）
二、操作说明
恶意软件分析xxxxxxxxxx(示例文字，无参考与实际意义）
三、创新点说明
恶意软件分析xxxxxxxxxx(示例文字，无参考与实际意义）

附件3：作品原创性声明
本参赛团队郑重声明：本团队在2024“巴渝杯”大学生网络安全联赛中提交的网络安全作品，是团队同学在指导老师的指导下，独立进行研究工作所取得的真实研究成果，从创意到实现均为原创。除作品报告中已经标注引用的内容外，本参赛作品不包含任何其他个人或集体已经发表或撰写过的研究成果。对本作品的研究做出贡献的个人和集体，均已在报告中以明确方式标明。本团队及作品严格遵守 2024“巴渝杯”大学生网络安全联赛相关规定，并且无侵害他人合法权益行为和违反相关法律法规行为。本团队对该作品拥有完整、合法的著作权及其他相关权益。本声明的法律结果由本参赛团队承担。

各有关单位：
为贯彻习近平总书记自主创新推进网络强国的战略指导精神，落实《中华人民共和国网络安全法》等法律法规要求，进一步提升网络安全意识，发挥网络安全防护对信息化发展的保障作用，增强网络安全从业人员和高校学生的网络安全创新意识、安全技能和团队协作方面的综合素质，创新网络安全人才培养机制，培养、选拔、推荐优秀网络安全专业人才，加强网络安全人才队伍建设，根据《关于举办“巴渝杯”大学生网络安全联赛的通知》安排，现将理论知识竞赛、CTF夺旗竞赛有关事宜通知如下：
一、大赛组织
指导单位：中共重庆市委网信办
重庆市教育委员会
主办单位：中共重庆市合川区委网信办
重庆市合川区教育委员会
协办单位：重庆市合川区公安局
赛事组委会：重庆信息安全产业技术创新联盟
重庆计算机安全学会
重庆市软件技术创新战略联盟
重庆市互联网界联合会
重庆商用密码行业协会
重庆市合川区网络安全学会
承办单位：重庆科技大学
技术支持单位：绿盟科技集团股份有限公司
支持单位：重庆信安网络安全等级测评有限公司
重庆南华中天信息技术有限公司
北京启明星辰信息安全技术有限公司
二、时间、地点安排
（一）报道时间、地点
2024年4月23日15:00-4月24日9:30，重庆科技大学（（重庆市沙坪坝区大学城东路20号）逸夫楼3楼I325
（二）比赛时间、地点
2024年4月24日8:30-17：30，重庆科技大学逸夫楼3楼I306、I308、I311
三、活动内容

各有关单位：

为贯彻习近平总书记自主创新推进网络强国的战略指导精神，落实《中华人民共和国网络安全法》等法律法规要求，进一步提升网络安全意识，发挥网络安全防护对信息化发展的保障作用，增强网络安全从业人员和高校学生的网络安全创新意识、安全技能和团队协作方面的综合素质，创新网络安全人才培养机制，培养、选拔、推荐优秀网络安全专业人才，加强网络安全人才队伍建设，经研究，决定组织2024“巴渝杯”大学生网络安全联赛。现将有关事宜通知如下：
一、大赛组织
指导单位：中共重庆市委网信办
重庆市教育委员会
主办单位：中共重庆市合川区委网信办
重庆市合川区教育委员会
协办单位：重庆市合川区公安局
赛事组委会：重庆信息安全产业技术创新联盟
重庆计算机安全学会
重庆市软件技术创新战略联盟
重庆市互联网界联合会
重庆市信息安全协会
重庆商用密码行业协会
重庆市合川区网络安全学会
初赛承办单位：重庆科技大学
决赛承办单位：重庆人文科技学院
技术支持单位：绿盟科技集团股份有限公司
协办单位：重庆信安网络安全等级测评有限公司
重庆南华中天信息技术有限公司
二、参赛对象
面向重庆市所有在校大学生（含专科生、本科生和研究生，经所在学校同意均可参赛）。
每个学校最多可组织5支参赛队伍，每支参赛队伍不超过3名参赛人员，每名参赛人员只能参加一支队伍。
每支参赛队伍可设置一名指导教师兼任领队，同一单位的多支队伍可复用领队和指导教师，领队负责统筹、联络和协调大赛相关事宜。
三、联赛赛制
联赛采用积分制，共分为理论知识竞赛、CTF夺旗竞赛、网络安全作品赛（以下简称“单项赛”）和AWD网络安全攻防对抗竞赛（以下简称“总决赛”），单项赛与总决赛均为线下赛。
（一）比赛方式
理论知识竞赛主要考核信息安全基础知识、法律法规和标准规范等；CTF夺旗竞赛主要考核、密码学、WEB安全、PWN、安全杂项、逆向工程技术等；网络安全作品赛主要考核学生的创新意识与团队合作精神、创新实践与综合设计能力；总决赛主要考核实网攻防综合能力。
（二）积分及排名规则
对单项赛和总决赛分别进行积分排名。
1.单项赛积分排名前10%为一等奖，11%至30%为二等奖，31%至60%为三等奖；
2.总决赛积分排名前10%为一等奖，11%至30%为二等奖，31%至60%为三等奖，其余为优秀奖。
（三）晋级总决赛条件
1.理论知识竞赛、CTF夺旗竞赛和网络安全作品赛累计积分的排名前30%的队伍，晋级总决赛（具体名额以决赛通知为准）；
2.同一学校最多2支队伍晋级总决赛，承办学校最多3支队伍晋级总决赛。
3.承办学校的排名前2支队伍自动晋级总决赛；
4.若根据以上规则晋级决赛的队伍数量不足参赛队伍总数的30%，则在同一学校进入决赛队伍数量不超过2支（承办学校不超过3支）的前提下，按单项赛累计积分的排名依次递补足额数量的队伍进入决赛。
四、奖项设置
（一）向所有参赛选手颁发电子成绩证书；
（二）向单项赛中获得一等奖、二等奖、三等奖的队伍颁发纸质获奖证书；
（三）总决赛奖励
向获奖队伍颁发纸质获奖证书和奖金，在“2024年重庆网络安全宣传周”上为获奖队伍的代表颁奖；对参与积极、组织有力、成绩优秀的单位，颁发优秀组织奖；向获奖队伍的指导老师颁发优秀指导教师奖。
1.团体奖项
一等奖2个，颁发奖金5000元和证书；
二等奖5个，颁发奖金2000元和证书；
三等奖8个，颁发奖金1000元和证书；
优秀奖若干名，颁发证书。
2.组织奖项
优秀组织奖：若干名。对次大赛参与积极、组织有力、大赛公平、成绩优秀的单位，颁发“优秀组织奖”奖牌；
优秀指导教师奖：若干名。对获奖大赛队伍的指导老师颁发“优秀指导教师奖”证书。
五、竞赛评分规则
（一）理论知识竞赛
1.赛题内容
理论知识竞赛时间为60分钟（两个小时），采用闭卷答题方式，题型均为选择题，总计100题，主要考核信息安全基础知识、法律法规和标准规范等。
2.计分规则
总分为100分，每题1分。
（二）CTF夺旗竞赛
1.赛题内容
CTF夺旗赛时间为180分钟（3个小时），总计12道题，内容涵盖Web安全、密码学、Mobile、逆向、PWN、杂项六类。在第一阶段会发布6道赛题，第二阶段发布3道赛题，第三阶段发布3道赛题。
2.计分规则
选手在答题平台登录后可以看到题目信息。选手访问题目或根据题目描述下载附件进行答题。答题结束后，将获取到的flag提交至该题目flag提交框，系统判定后，会显示正确及错误提示。
每道赛题同一队Flag尝试提交次数最多为10次，如超过10次将无法提交本题的Flag。
如答题准确，除正常获得赛题分数外，首先答出每题的前三支队伍会根据提交flag的先后顺序获得额外加分，具体加分为：第一名额外加分=题目分数*30%、第二名额外加分=题目分数*20%、第三名额外加分=题目分数*10%；
分数相同者，根据最后一次正确提交flag时间来判定（先提交的排名靠前）。
3.flag提交方式
flag通常的形式为“flag通知|“巴渝杯”大学生网络安全联赛开始报名啦！”，参赛选手需严格按照“flag通知|“巴渝杯”大学生网络安全联赛开始报名啦！”格式提交；如果flag为其他形式，题目中会单独说明。题目flag提交系统判定后，会显示正确及错误提示。
（三）网络安全作品赛
本次网络安全作品赛采用统一命题方式，自主设计，参赛者须在截止日期前完成作品并网上提交。参赛作品的内容要求符合《“巴渝杯”大学生网络安全联赛网络安全作品赛参赛指南》（见附件2）中的相关规定。
（四）AWD网络安全攻防对抗竞赛
1.赛题内容
AWD攻防对抗赛时间为240分钟（4个小时），其中加固30分钟，混战210分钟。题目涵盖WEB类、PWN类等。各参赛队伍之间的网络场景互通，在限定网络内进行互相攻击和防守。
2.计分规则
参赛选手需在规定时间内充分挖掘漏洞并利用，提交其他选手的flag得分，同时通过修补自身防守机的漏洞进行防御来避免失分。
每队有3台服务器（Linux主机）需要维护，每队分配的管理用户非root，为低权限用户。每队需要在比赛过程中对自己的服务器进行漏洞（web）加固（整个比赛过程中均可加固），同时在规定时间内（开赛30分钟之后）对其他队伍主机进行攻击，通过漏洞获取相应的flag得分。
（1）每队基础分值50000分，得分不设置上限，最低分为0分；
（2）漏洞被攻击者成功利用，守方减法、攻方得分（得失分相当）；
（3）每个题目各有1个flag，攻击开始后flag每30分钟变一次，分值不变，flag分值100分；
（4）得分相同者，先提交者排名在先；
（5）对攻开始后（开赛30分钟后可以开始攻击），如果裁判检测（不定时检测）到任何一支队伍服务宕机（端口、web标志文件无法访问、系统功能不正常、使用通用WAF等方式导致宕机），无论任何原因服务器所属队伍扣分，每个扣分点100分，裁判不会告知选手扣分点详情。若单只队伍同一个服务连续宕机超过两次，扣2000分；
（6）每队服务器漏洞环境完全一致；
（7）如果对方没有修复漏洞，每30分钟还可以提交对方变化后的flag进行得分；
（8）每个队伍在竞赛中每台可申请一次重置主机，每个主机重置需要扣除团队分2000分（需参赛队伍签字确认）。
3.flag提交方式
flag通常的形式为“flag通知|“巴渝杯”大学生网络安全联赛开始报名啦！”，参赛选手需严格按照“flag通知|“巴渝杯”大学生网络安全联赛开始报名啦！”格式提交；如果flag为其他形式，题目中会单独说明。题目flag提交系统判定后，会显示正确及错误提示。
六、比赛纪律
1、参赛选手在赛前统一进行竞赛平台测试，签订《网络配置确认单》；
2、参赛队伍自行携带笔记本电脑、鼠标、键盘、网线接口进入赛场，提前准备相关工具；
3、严禁使用互联网，严禁携带、使用手机、蓝牙等设备，比赛过程中听从监考人员安排；
4、严禁通过任何方式交换答案；
5、严禁通过自带设备构建考场环境中WLAN或是跨参赛选手的内部局域网络；
6、严禁干扰他人比赛，尤其是通过技术手段对上机操作环境进行攻击；对抗环节可以修复漏洞，但不能影响其他选手比赛；
7、严禁对竞赛系统进行恶意攻击，比如暴力破解、CC/DDoS/ARP等恶意攻击，一经发现，所属队伍离场，分数记0分；
8、竞赛过程中如果出现相关故障，应举手示意监考人员协助解决; 在团队混战环节，一切服务器异常问题（宕机、服务挂起等）裁判均不予处理，异常服务器所属队伍按规则失去相应分数；
9、比赛规则的最终解释权归裁判组所有。
七、比赛时间、地点及报名方式
（一）比赛时间、地点
1.理论知识竞赛
时间：4月24日上午
地点：重庆科技大学（重庆市沙坪坝区大学城东路20号）
2.CTF夺旗竞赛
时间：4月24日下午；
地点：重庆科技大学（重庆市沙坪坝区大学城东路20号）
3.网络安全作品赛
时间：在5月31日前提交作品，6月6日公布成绩。
4.AWD网络安全攻防对抗竞赛（总决赛）
时间：6月中旬
地点：重庆人文科技学院（重庆市合川区草街镇学院街256号）
以上竞赛具体时间、地点以会务组官方通知为准。
（二）报名方式
1.报名采用线上报名方式，报名表请发送至邮箱：
739423176@qq.com；
2.报名截止时间：2024年4月15日18:00；
3.参赛选手应保证报名信息的准确有效，并附上学生证和身份证扫描件。资料审查时，如发现参赛选手不符合参赛规定，将取消参赛队伍的参赛或获奖资格；
4.赛事相关信息将通过大赛官网http://www.cisitia.com及大赛微信公众号发布。
5.大赛信息发布QQ群：511216580
八、其他事项
1、大赛为公益性比赛，采取自愿参加的原则，不收取参赛费用，参赛期间食宿交通自理；
2、各参赛单位要安排领队带队，负责参赛选手出行安全工作；
3、根据报名情况，将组织赛前培训，具体时间及培训方式以会务组官方通知为准；
4、本活动最终解释权归大赛组委会所有，由大赛组委会通过大赛官网、微信群等方式统一公告和通知。
九、联系方式
张老师，13438852891；马老师，15823299700；
潘老师，18716444196；李老师，15730323160。

附件1：2024“巴渝杯”大学生网络安全联赛报名表
附件2：“巴渝杯”大学生网络安全联赛网络安全作品赛参赛指南
附件3：作品原创性声明

参赛单位：
队伍名称：
队员信息：

指导老师：

填表说明：
1、请于2024年4月15日18:00前发送至739423176@qq.com；
2、请附上身份证和学生证扫描件；
3、联系电话：张老师，13438852891；潘老师，18716444196；
马老师，15823299700；李老师，15730323160。

(一）比赛方向
自动化Web漏洞扫描工具
（二）比赛形式
限定在截止日期前提交作品到指定邮箱。联赛裁判组将使用提交作品对特定靶场环境进行扫描，按扫描漏洞情况进行评分，并根据分数排名。作品提交截止后不能进行二次修改。
（三）作品形式
使用主流编程语言开发编写的脚本、程序或工具包。编程语言包括但不限于（C/C++、Golang、PHP、Python、Ruby、Java、VB）。作品可以使用开源扫描框架进行二次开发，也可以全新开发。作品应当考虑CPU、内存及网络带宽资源消耗，比赛给定机器为Intel （i5、i7系列CPU）、8G/16G内存。
（四）靶场环境：https://github.com/zhuifengshaonianhanlu/pikachu，开源靶场pikachu。此链接是代码仓库，如果需要模拟，可以下载环境在本地部署搭建。
（五）计分规则
得分判定：靶场共包含16大类（暴力破解（4项）、XSS（10项）、CSRF（3项）、SQL注入（10项）、RCE（2项）、文件包含（2项）、文件下载（1项）、文件上传（3项）、越权（2项）、目录遍历（1项）、敏感信息泄露（1项）、PHP反序列化（1项）、XXE漏洞（1项）、URL跳转（1项）、SSRF（2项）、隐藏漏洞类（若干项）），若干项细分漏洞场景。不同类型漏洞拥有相应分数，扫描出指定场景漏洞获取对应分数。
失分判断：对于误报情况，会给予一定的扣分。
误报漏洞数量1-10个， -5分
误报漏洞数量10-30个， -10分
误报漏洞数量30-100个， -15分
误报漏洞数量100-200个， -20分
误报漏洞数量200以上， -30分
额外加分项： 对于某一类漏洞场景的扫描，在现有技术手段基础上提出改进建议，并在靶场环境中取得良好效果的，经评委小组认定通过，加分5-10分。

本参赛团队郑重声明：本团队在2024“巴渝杯”大学生网络安全联赛中提交的网络安全作品，是团队同学在指导老师的指导下，独立进行研究工作所取得的真实研究成果，从创意到实现均为原创。除作品报告中已经标注引用的内容外，本参赛作品不包含任何其他个人或集体已经发表或撰写过的研究成果。对本作品的研究做出贡献的个人和集体，均已在报告中以明确方式标明。本团队及作品严格遵守 2024“巴渝杯”大学生网络安全联赛相关规定，并且无侵害他人合法权益行为和违反相关法律法规行为。本团队对该作品拥有完整、合法的著作权及其他相关权益。本声明的法律结果由本参赛团队承担。

北京西普阳光科技股份有限公司（简称“西普”）成立于2002年，总部位于北京中关村，在西安、武汉、南京、广州、天津等地设有20余家分公司或办事处，合作高校逾800家，企业逾200家，已累计为国内50多万名高校学生和在职人员提供教育服务，并先后获得国科嘉和、丰厚资本、五五资本、华图资本、中创红星、汇冠股份、天地酬勤、湖北高投集团等知名机构投资。

西普阳光作为中国IT教育解决方案专家，以“让教育更简单”为公司使命，创新的服务模式，搭建教育平台，整合教育资源，助力人才培养。历经近二十年专注高等教育行业积累，为高校、企业和政府提供包括网络空间安全、大数据、人工智能等专业方向的教学、实验、科研及竞赛平台，服务内容包括高校实验实训室建设、在线教育、专业共建、师资培训、企业内训、认证与就业培训等多种形式。旗下品牌“西普教育研究院”、“西普学苑”、 “实验吧”，全面构建高校、学生及产业教育教学生态圈。
“西普教育研究院” 拥有一支来自包括微软、IBM、阿里、苏宁云商、思科等500强互联网知名企业的CTO、资深架构师、研发专家、学者组成的精英团队。是西普从事教育研究、课程研发及教学实施的专业组织，由经验丰富的一线IT技术专家及资深授课讲师组成，基于对教育的理解、技术发展趋势及行业用人需求进行相关课程体系设计与人才培养实践，形成独有的产教融合IT教育解决方案。
“西普学苑”作为专注于信息安全方向人才培养供应商，是目前国内唯一可为个人提供在校学历教育、就业技能培训、岗位认证、继续教育的信息安全培养专业机构，利用线上线下融合的教学模式，先后培养了上千名毕业生，并输送到启明星辰、绿盟、天融信、网康科技等一线知名IT企业。
“实验吧”作为西普核心的在线教育平台，创新性地打造以在线实验实训为核心的教育模式，利用虚拟化技术和实验云运营模式建立起随时可用的在线实验环境。

1

信息安全铁人三项赛

为贯彻《国务院关于大力推进大众创业万众创新若干政策措施的意见》《国务院办公厅关于深化高等学校创新创业教育改革的实施意见》,落实中央网信办、国家发改委、教育部等六部门《关于加强网络空间安全学科建设和人才培养的意见》，中国信息安全测评中心自2016年起,指导举办全国高校信息安全铁人三项赛。信息安全铁人三项赛又称“铁三赛”，是全国范围的以典型实际应用环境为背景的实战技能大赛。面向全国（含港澳台地区）所有高等院校举办，围绕“数据分析对抗赛”、“企业计算环境安全对抗赛”、“个人计算环境安全对抗赛”的典型应用环境下进行，通过竞赛培养的模式实现人才的产业需求到高等院校教学培养的无缝对接。

2

洞察安全合作计划

计划整合产学研多方资源，通过“数据信息共享”、“科研教学合作”、“优秀人才培养”等多种方式,以 CNNVD 收录的丰富而全面的信息安全漏洞(“漏洞”)数据为依托，支持国内高校网络安全学科专业和漏洞消控实验室建设，建立网络安全尤其是漏洞消控人才的培养机制，助力国内高校网络安全科学技术研究和人才储备。

3

国家信息安全人才水平考试

为提高各领域人才信息安全意识，落实国家信息安全人才培养战略，缓解我国信息安全领域专业人才存在的供需矛盾，加快我国信息安全专业人才队伍的建设，逐步形成一支政治可靠、技能过硬、多层次的信息安全人才队伍，中国信息安全测评中心结合十五年开展“注册信息安全专业人员（CISP）”的经验，推出国家信息安全人才水平考试，即National Information Security Test Program，简称NISP；该项目主要面向在校大学生，与CISP无缝对接，填补了在校大学生无法考取CISP认证的空白，被称为“校园版CISP”，得到了网络空间安全行业普遍认可的行业认证；成为信息安全专业大学生的必考证书；是计算机专业类大学生从事网络空间安全行业的就业通行证。考试内容包含：信息安全概述、信息安全法律法规、信息安全基础技术、网络安全防护技术、操作系统安全防护技术、应用安全、移动智能终端安全防护和信息安全管理。

西普生态

各有关单位：



为贯彻习近平总书记自主创新推进网络强国的战略指导精神，落实《中华人民共和国网络安全法》等法律法规要求，进一步提升网络安全意识，发挥网络安全防护对信息化发展的保障作用，增强网络安全从业人员和高校学生的网络安全创新意识、安全技能和团队协作方面的综合素质，创新网络安全人才培养机制，培养、选拔、推荐优秀网络安全专业人才，加强网络安全人才队伍建设，经研究，决定组织2024“巴渝杯”大学生网络安全联赛。现将有关事宜通知如下：

一、大赛组织

指导单位：中共重庆市委网信办

重庆市教育委员会

主办单位：中共重庆市合川区委网信办

重庆市合川区教育委员会

协办单位：重庆市合川区公安局

赛事组委会：重庆信息安全产业技术创新联盟

重庆计算机安全学会

重庆市软件技术创新战略联盟

重庆市互联网界联合会

重庆市信息安全协会

重庆商用密码行业协会

重庆市合川区网络安全学会

初赛承办单位：重庆科技大学

决赛承办单位：重庆人文科技学院

技术支持单位：绿盟科技集团股份有限公司

协办单位：重庆信安网络安全等级测评有限公司

重庆南华中天信息技术有限公司

二、参赛对象

面向重庆市所有在校大学生（含专科生、本科生和研究生，经所在学校同意均可参赛）。

每个学校最多可组织5支参赛队伍，每支参赛队伍不超过3名参赛人员，每名参赛人员只能参加一支队伍。

每支参赛队伍可设置一名指导教师兼任领队，同一单位的多支队伍可复用领队和指导教师，领队负责统筹、联络和协调大赛相关事宜。

三、联赛赛制

联赛采用积分制，共分为理论知识竞赛、CTF夺旗竞赛、网络安全作品赛（以下简称“单项赛”）和AWD网络安全攻防对抗竞赛（以下简称“总决赛”），单项赛与总决赛均为线下赛。

（一）比赛方式

理论知识竞赛主要考核信息安全基础知识、法律法规和标准规范等；CTF夺旗竞赛主要考核、密码学、WEB安全、PWN、安全杂项、逆向工程技术等；网络安全作品赛主要考核学生的创新意识与团队合作精神、创新实践与综合设计能力；总决赛主要考核实网攻防综合能力。

（二）积分及排名规则

对单项赛和总决赛分别进行积分排名。

1.单项赛积分排名前10%为一等奖，11%至30%为二等奖，31%至60%为三等奖；

2.总决赛积分排名前10%为一等奖，11%至30%为二等奖，31%至60%为三等奖，其余为优秀奖。

（三）晋级总决赛条件

1.理论知识竞赛、CTF夺旗竞赛和网络安全作品赛累计积分的排名前30%的队伍，晋级总决赛（具体名额以决赛通知为准）；

2.同一学校最多2支队伍晋级总决赛，承办学校最多3支队伍晋级总决赛。

3.承办学校的排名前2支队伍自动晋级总决赛；

4.若根据以上规则晋级决赛的队伍数量不足参赛队伍总数的30%，则在同一学校进入决赛队伍数量不超过2支（承办学校不超过3支）的前提下，按单项赛累计积分的排名依次递补足额数量的队伍进入决赛。

四、奖项设置

（一）向所有参赛选手颁发电子成绩证书；

（二）向单项赛中获得一等奖、二等奖、三等奖的队伍颁发纸质获奖证书；

（三）总决赛奖励

向获奖队伍颁发纸质获奖证书和奖金，在“2024年重庆网络安全宣传周”上为获奖队伍的代表颁奖；对参与积极、组织有力、成绩优秀的单位，颁发优秀组织奖；向获奖队伍的指导老师颁发优秀指导教师奖。

1.团体奖项

一等奖2个，颁发奖金5000元和证书；

二等奖5个，颁发奖金2000元和证书；

三等奖8个，颁发奖金1000元和证书；

优秀奖若干名，颁发证书。

2.组织奖项

优秀组织奖：若干名。对次大赛参与积极、组织有力、大赛公平、成绩优秀的单位，颁发“优秀组织奖”奖牌；

优秀指导教师奖：若干名。对获奖大赛队伍的指导老师颁发“优秀指导教师奖”证书。

五、竞赛评分规则

（一）理论知识竞赛

1.赛题内容

理论知识竞赛时间为60分钟（两个小时），采用闭卷答题方式，题型均为选择题，总计100题，主要考核信息安全基础知识、法律法规和标准规范等。

2.计分规则

总分为100分，每题1分。

（二）CTF夺旗竞赛

1.赛题内容

CTF夺旗赛时间为180分钟（3个小时），总计12道题，内容涵盖Web安全、密码学、Mobile、逆向、PWN、杂项六类。在第一阶段会发布6道赛题，第二阶段发布3道赛题，第三阶段发布3道赛题。

2.计分规则

选手在答题平台登录后可以看到题目信息。选手访问题目或根据题目描述下载附件进行答题。答题结束后，将获取到的flag提交至该题目flag提交框，系统判定后，会显示正确及错误提示。

每道赛题同一队Flag尝试提交次数最多为10次，如超过10次将无法提交本题的Flag。

如答题准确，除正常获得赛题分数外，首先答出每题的前三支队伍会根据提交flag的先后顺序获得额外加分，具体加分为：第一名额外加分=题目分数*30%、第二名额外加分=题目分数*20%、第三名额外加分=题目分数*10%；

分数相同者，根据最后一次正确提交flag时间来判定（先提交的排名靠前）。

3.flag提交方式

flag通常的形式为“flag通知|“巴渝杯”大学生网络安全联赛开始报名”，参赛选手需严格按照“flag通知|“巴渝杯”大学生网络安全联赛开始报名”格式提交；如果flag为其他形式，题目中会单独说明。题目flag提交系统判定后，会显示正确及错误提示。

（三）网络安全作品赛

本次网络安全作品赛采用统一命题方式，自主设计，参赛者须在截止日期前完成作品并网上提交。参赛作品的内容要求符合《“巴渝杯”大学生网络安全联赛网络安全作品赛参赛指南》（见附件2）中的相关规定。

（四）AWD网络安全攻防对抗竞赛

1.赛题内容

AWD攻防对抗赛时间为240分钟（4个小时），其中加固30分钟，混战210分钟。题目涵盖WEB类、PWN类等。各参赛队伍之间的网络场景互通，在限定网络内进行互相攻击和防守。

2.计分规则

参赛选手需在规定时间内充分挖掘漏洞并利用，提交其他选手的flag得分，同时通过修补自身防守机的漏洞进行防御来避免失分。

每队有3台服务器（Linux主机）需要维护，每队分配的管理用户非root，为低权限用户。每队需要在比赛过程中对自己的服务器进行漏洞（web）加固（整个比赛过程中均可加固），同时在规定时间内（开赛30分钟之后）对其他队伍主机进行攻击，通过漏洞获取相应的flag得分。

（1）每队基础分值50000分，得分不设置上限，最低分为0分；

（2）漏洞被攻击者成功利用，守方减法、攻方得分（得失分相当）；

（3）每个题目各有1个flag，攻击开始后flag每30分钟变一次，分值不变，flag分值100分；

（4）得分相同者，先提交者排名在先；

（5）对攻开始后（开赛30分钟后可以开始攻击），如果裁判检测（不定时检测）到任何一支队伍服务宕机（端口、web标志文件无法访问、系统功能不正常、使用通用WAF等方式导致宕机），无论任何原因服务器所属队伍扣分，每个扣分点100分，裁判不会告知选手扣分点详情。若单只队伍同一个服务连续宕机超过两次，扣2000分；

（6）每队服务器漏洞环境完全一致；

（7）如果对方没有修复漏洞，每30分钟还可以提交对方变化后的flag进行得分；

（8）每个队伍在竞赛中每台可申请一次重置主机，每个主机重置需要扣除团队分2000分（需参赛队伍签字确认）。

3.flag提交方式

flag通常的形式为“flag通知|“巴渝杯”大学生网络安全联赛开始报名”，参赛选手需严格按照“flag通知|“巴渝杯”大学生网络安全联赛开始报名”格式提交；如果flag为其他形式，题目中会单独说明。题目flag提交系统判定后，会显示正确及错误提示。

六、比赛纪律

1、参赛选手在赛前统一进行竞赛平台测试，签订《网络配置确认单》；

2、参赛队伍自行携带笔记本电脑、鼠标、键盘、网线接口进入赛场，提前准备相关工具；

3、严禁使用互联网，严禁携带、使用手机、蓝牙等设备，比赛过程中听从监考人员安排；

4、严禁通过任何方式交换答案；

5、严禁通过自带设备构建考场环境中WLAN或是跨参赛选手的内部局域网络；

6、严禁干扰他人比赛，尤其是通过技术手段对上机操作环境进行攻击；对抗环节可以修复漏洞，但不能影响其他选手比赛；

7、严禁对竞赛系统进行恶意攻击，比如暴力破解、CC/DDoS/ARP等恶意攻击，一经发现，所属队伍离场，分数记0分；

8、竞赛过程中如果出现相关故障，应举手示意监考人员协助解决; 在团队混战环节，一切服务器异常问题（宕机、服务挂起等）裁判均不予处理，异常服务器所属队伍按规则失去相应分数；

9、比赛规则的最终解释权归裁判组所有。

七、比赛时间、地点及报名方式

（一）比赛时间、地点

1.理论知识竞赛

时间：4月24日上午

地点：重庆科技大学（重庆市沙坪坝区大学城东路20号）

2.CTF夺旗竞赛

时间：4月24日下午；

地点：重庆科技大学（重庆市沙坪坝区大学城东路20号）

3.网络安全作品赛

时间：在5月31日前提交作品，6月6日公布成绩。

4.AWD网络安全攻防对抗竞赛（总决赛）

时间：6月中旬

地点：重庆人文科技学院（重庆市合川区草街镇学院街256号）

以上竞赛具体时间、地点以会务组官方通知为准。

（二）报名方式

1.报名采用线上报名方式，报名表请发送至邮箱：

739423176@qq.com；

2.报名截止时间：2024年4月15日18:00；

3.参赛选手应保证报名信息的准确有效，并附上学生证和身份证扫描件。资料审查时，如发现参赛选手不符合参赛规定，将取消参赛队伍的参赛或获奖资格；

4.赛事相关信息将通过大赛官网http://www.cisitia.com及大赛微信公众号发布。

5.大赛信息发布QQ群：511216580

八、其他事项

1、大赛为公益性比赛，采取自愿参加的原则，不收取参赛费用，参赛期间食宿交通自理；

2、各参赛单位要安排领队带队，负责参赛选手出行安全工作；

3、根据报名情况，将组织赛前培训，具体时间及培训方式以会务组官方通知为准；

4、本活动最终解释权归大赛组委会所有，由大赛组委会通过大赛官网、微信群等方式统一公告和通知。

九、联系方式

张老师，13438852891；马老师，15823299700；

潘老师，18716444196；李老师，15730323160。





附件1：2024“巴渝杯”大学生网络安全联赛报名表

附件2：“巴渝杯”大学生网络安全联赛网络安全作品赛参赛指南

附件3：作品原创性声明

参赛单位：

队伍名称：

队员信息：

指导老师：

填表说明：

1、请于2024年4月15日18:00前发送至739423176@qq.com；

2、请附上身份证和学生证扫描件；

3、联系电话：张老师，13438852891；潘老师，18716444196；

马老师，15823299700；李老师，15730323160。

(一）比赛方向

自动化Web漏洞扫描工具

（二）比赛形式

限定在截止日期前提交作品到指定邮箱。联赛裁判组将使用提交作品对特定靶场环境进行扫描，按扫描漏洞情况进行评分，并根据分数排名。作品提交截止后不能进行二次修改。

（三）作品形式

使用主流编程语言开发编写的脚本、程序或工具包。编程语言包括但不限于（C/C++、Golang、PHP、Python、Ruby、Java、VB）。作品可以使用开源扫描框架进行二次开发，也可以全新开发。作品应当考虑CPU、内存及网络带宽资源消耗，比赛给定机器为Intel （i5、i7系列CPU）、8G/16G内存。

（四）靶场环境：https://github.com/zhuifengshaonianhanlu/pikachu，开源靶场pikachu。此链接是代码仓库，如果需要模拟，可以下载环境在本地部署搭建。

（五）计分规则

得分判定：靶场共包含16大类（暴力破解（4项）、XSS（10项）、CSRF（3项）、SQL注入（10项）、RCE（2项）、文件包含（2项）、文件下载（1项）、文件上传（3项）、越权（2项）、目录遍历（1项）、敏感信息泄露（1项）、PHP反序列化（1项）、XXE漏洞（1项）、URL跳转（1项）、SSRF（2项）、隐藏漏洞类（若干项）），若干项细分漏洞场景。不同类型漏洞拥有相应分数，扫描出指定场景漏洞获取对应分数。

失分判断：对于误报情况，会给予一定的扣分。

误报漏洞数量1-10个， -5分

误报漏洞数量10-30个， -10分

误报漏洞数量30-100个， -15分

误报漏洞数量100-200个， -20分

误报漏洞数量200以上， -30分

额外加分项： 对于某一类漏洞场景的扫描，在现有技术手段基础上提出改进建议，并在靶场环境中取得良好效果的，经评委小组认定通过，加分5-10分。

本参赛团队郑重声明：本团队在2024“巴渝杯”大学生网络安全联赛中提交的网络安全作品，是团队同学在指导老师的指导下，独立进行研究工作所取得的真实研究成果，从创意到实现均为原创。除作品报告中已经标注引用的内容外，本参赛作品不包含任何其他个人或集体已经发表或撰写过的研究成果。对本作品的研究做出贡献的个人和集体，均已在报告中以明确方式标明。本团队及作品严格遵守 2024“巴渝杯”大学生网络安全联赛相关规定，并且无侵害他人合法权益行为和违反相关法律法规行为。本团队对该作品拥有完整、合法的著作权及其他相关权益。本声明的法律结果由本参赛团队承担。

在数字经济时代，数据的有序流动和利用效率，对数据要素配置优化至关重要。特别是在跨境数字贸易活动中，高效且安全的跨境数据传输制度已成为推动数字贸易新秩序的基础。从世界范围看，美国、欧盟、东盟等都在推动各自国内法层面的数据跨境传输制度建设，意图抢占全球数据跨境传输规则的制定权和话语权。为充分把握住数字时代的经济脉络，参与数字经济格局新秩序的竞争与合作，我国先后制定了《数据出境安全评估办法》《个人信息出境标准合同办法》等高质量数据跨境传输规则，产生了良好的效果。

在上述规则的基础上，围绕数字贸易实践中不断涌现的新问题、新需求，我国坚持统筹高质量发展和高水平安全，立足产业实践需求，国家网信办制定了《促进和规范数据跨境流动规定》（以下简称《规定》）。《规定》在我国现行数据跨境传输立法框架内，进一步细化了企业数据出境的业务合规标准和操作规范，充分反映了我国在数据跨境传输监管领域的创新思路，那就是:既要通过保障数据跨境传输安全实现数字贸易活动稳定，也要通过畅通数据跨境传输制度渠道打造跨境数字贸易新格局。《规定》的公布进一步优化了我国数据跨境流动的制度体系，为企业数据出境提供多样化、灵活性的制度工具，同时也有力回击美国等西方国家对我国“数据本地化主义”和阻碍全球数字贸易活动等无端指责。

《规定》对推动跨境数字贸易高质量发展的作用，主要体现在以下四个方面。

第一，立足数字贸易实践特征，细化数据跨境传输制度的适用范围。在监管实践中，部分企业对自身数据跨境传输业务的法律性质认知不够准确，难以准确地确认应当适用何种数据跨境传输流动机制。为了在法律实施层面解决数据跨境流动机制的适用标准模糊问题，《规定》将无需适用数据出境安全评估、个人信息出境标准合同、个人信息保护认证的情形予以列举。例如，“订立、履行个人作为一方当事人的合同”主要涉及跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等活动，这些活动的共同性表现为，个人跨境活动需要高频次、无障碍地进行个人信息跨境传输。又如，“实施跨境人力资源管理”的必要性的判断标准是依法制定的劳动规章制度和依法签订的集体合同，此种条款表述在保障跨境企业或跨境业务所必需的员工个人信息能够正常出入境的基础上，有效避免了部分企业不当扩大跨境人力资源管理之必要的实际范围，导致非必要的个人信息以不安全的方式出境。还如，“紧急情况”是指为了保护自然人生命健康和财产安全等目的，数据出境具有迫切性。

第二，明确商业活动场景需求，推动数据跨境传输制度的有序实施。自我国确立以数据出境安全评估、个人信息出境标准合同以及个人信息保护认证为中心的数据跨境传输体系后，监管机构也在持续推动这些制度的具体实施。如全国首个数据合规出境案例，首都医科大学附属北京友谊医院与荷兰阿姆斯特丹大学医学中心合作研究项目为医疗健康数据出境安全管理、国际医疗科研合作提供了实践指引。再如，我国汽车领域首个全系统盘点、全业务申报、全场景获批的数据出境安全评估案例，北京现代汽车有限公司数据出境安全评估项目为汽车领域数据出境活动展示了标准化的业务合规方式。在这种场景导向的数据跨境传输治理理念下，《规定》也侧重针对特定场景的业务需求，在不包含个人信息或者重要数据的前提下，允许国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中产生的数据出境活动不适用数据出境安全评估、个人信息标准合同和个人信息保护认证机制。此种豁免情形无疑为中国企业出海开展跨境业务提供了极大便利，因为经济全球化的发展趋势下，客服、物流、云存储、数据分析等常见跨境贸易活动会频繁生成和传输相关业务数据。这些业务数据的出境不会直接导致国家安全等问题，《规定》将之豁免，有效消除了此类问题背后的监管不确定因素。

第三，预留监管制度解释空间，促进数据跨境传输制度的多元创新。数据跨境传输制度是我国各类自贸港、自贸区乃至粤港澳大湾区等经济改革地区探索新型跨境数字贸易活动的重要依托和安全保障。《中国（上海）自由贸易试验区临港新片区国际数据产业专项规划（2023—2025 年）》中明确提出，要优化数据跨境流动操作规则、推进数据跨境流动安全评估、完善数据跨境流动公共服务管理平台功能等多项具体措施。为了充分保障“先试先行”治理模式的落地，《规定》专门就自贸区的数据跨境流动制度增设了“灵活变通的空间”，即通过数据清单的形式在现有数据跨境传输机制上予以“微调”。该数据清单机制可以被理解为“充分授权”“法定程序”“便捷流动”三类治理要素的有机整合。“充分授权”是指《规定》授权自贸区自行制定适合本地区经济贸易活动的数据出境监管机制；“法定程序”是指《规定》明确限定了从地方到中央的批准备案流程，真正实现“合法范围内的充分创新”；“便捷流动”是指《规定》允许数据清单之外的其他数据跨境传输活动不必继续适用数据出境安全评估、个人信息出境标准合同、个人信息保护认证等具体制度，而是以符合商事效率的方式直接与跨境数字贸易活动一并完成。自贸区属于“境内关外”区域，在工商登记、外商投资、人才引进等领域均存在政策优惠，《规定》所设置的数据清单能够让自贸区在兼顾安全管理的基础上，更多地偏向探索具有自贸区经济特色的数据跨境流动体制机制。

第四，回应企业数据出境合规担忧，降低数据跨境传输制度的合规难度。《规定》的一大亮点是提升了现行数据跨境传输制度的操作性，降低了中小企业数据出境的业务合规难度。《规定》并没有对数据处理者所持有的数据总量作出监管门槛的设定，而是更加侧重对数据环境风险水平的评估。因此，《规定》将风险关注的重心调整至数据出境的规模和类型。例如，在向境外提供非敏感个人信息的出境活动中，设置了“自当年1月1日起累计向境外提供不满10万人个人信息的”“自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息的”以及“自当年1月1日起累计向境外提供100万人以上个人信息的”三类数据出境数量门槛，分别对应“完全豁免”“豁免适用数据出境安全评估”“强制申报数据出境安全评估”三类业务合规要求。对于明确不具备危害国家安全、个人信息权利等的数据出境活动，例如跨境传输的数据数量稀少，则无需专门申报数据出境安全评估等监管流程。

有理由相信，《规定》的公布和实施，对于进一步促进安全、有序、高效的数据跨境，对于进一步促进跨境数字贸易活动，对于提升我国参与国际数字治理新格局的竞争和合作能力，都将发挥重要作用。（作者：王锡锌　北京大学宪法与行政法研究中心主任、教授，中国法学会网络与信息法学研究会副会长）