一群印尼学生把一次课堂网络安全演练，做成了一份精确到秒的演讲手册。从开场白到命令行输出，每个转场都写着"下一位请接话"。

这不是企业级安全审计，是Radar Pramuka小组的期末作业——但流程严谨得让人好奇：他们到底在测什么？又测出了什么？

打开网易新闻 查看精彩图片

一张图看懂：10分钟怎么分配

整个演示被切成13张幻灯片，6个演讲者轮换，总时长严格控制在10分钟。每人负责50秒到1分40秒不等，交接词提前写好，避免"那个谁来说一下"的尴尬冷场。

分工逻辑很清晰：开场定调→背景铺垫→技术执行→结果验证。没有冗余环节，也没有一个人从头讲到尾。

Dimas打头阵，50秒完成三件事：自报家门、抛出主题、预告结构。他的最后一句话是固定格式："下面请Aris讲背景和工具"——像代码里的函数调用，参数明确。

他们测了什么：三个核心问题

Aris接手的1分40秒，把测试目标翻译成三个可验证的疑问：

攻击面（attack surface，指系统暴露给潜在攻击者的入口点）有多容易被摸清楚？

拿到低权限后，能不能往上爬？

第一道防线扛不扛得住？

工具清单列了6样：Kali Linux（渗透测试专用系统）、Nmap（端口扫描）、Wireshark（流量抓包）、Netcat（网络连接工具）、Metasploit（漏洞利用框架），外加一个用Apache/MySQL/Docker搭的靶场。

从发现到验证，这套组合全覆盖。

命令行里的真功夫

Ariel负责展示实际操作，1分10秒里塞了两条具体命令：

`ip a`——确认测试机的网络接口配置。

`nmap -sV -sC 192.168.6.216`——对目标地址做版本探测和默认脚本扫描。

扫描结果指出：MySQL的3306端口开着。这个细节直接决定了后续攻击路径的选择。

Aripin接着用Wireshark观察靶场应用的请求响应，重点看数据传输时有没有被TLS（传输层安全协议）保护。他的结论很克制："观察到风险迹象，当通信通道尚未被TLS一致加密时"。

验证环节：shell能不能弹回来

Ariel二次上场，演示反向shell和绑定shell的受控测试。验证标准也写得很具体：三条命令——`whoami`（查看当前用户）、`hostname`（查看主机名）、`ipconfig`（查看网络配置）——如果都有响应，说明渗透成功。

脚本到这里中断，但结构已经完整：从网络层扫描，到应用层流量分析，再到权限获取验证，覆盖了渗透测试的标准流程。

这份脚本的特别之处

它不是技术文档，是"人话版"操作手册。每个演讲者知道自己的时间上限、要讲的要点、以及怎么把话筒递出去。

对科技从业者来说，这份材料的参考价值在于：怎么把复杂的技术流程，压缩成外行人能跟上的叙事节奏。10分钟里既有`nmap -sV`这样的硬核细节，也有"三个核心问题"这样的认知锚点。

Radar Pramuka小组没公布最终测出了多少漏洞、风险评级如何。但光看这份执行手册，他们的方法论已经立住了——先定义可验证的问题，再选对应的工具，最后把结果翻译成决策依据。

网络安全行业的日常，大抵如此。