2024年网络安全专业技能竞赛备考试题库（含答案）

PAGEPAGE12024年网络安全专业技能竞赛备考试题库（含答案）一、单选题1.互联网上网服务营业场所，是指通过计算机等装置向公众提供互联网服务的网吧、电脑休闲室等（）性场所。A、营利B、营业C、非营利D、非营业E、娱乐新闻答案：B2.（）是我国信息安全技术专业领域内从事信息安全标准化工作的专业性技术机构，负责组织开展国内信息安全有关的标准化工作。A、全国信息技术安全标准化技术委员会B、全国信息安全标准化技术委员会C、中国通信标准化协会D、中国电子标准化协会答案：B3.下面哪个是安全的基本要求是（）A、单一性B、多重性C、可用性D、独立性答案：C4.基于对客体安全级别与主体安全级别的比较来进行访问控制的是（）。A、被动访问控制B、自主访问控制C、强制访问控制D、完全访问控制答案：C5.按密钥的使用个数，密码系统可以分为：A、置换密码系统和易位密码系统B、分组密码系统和序列密码系统C、对称密码系统和非对称密码系统D、密码系统和密码分析系统答案：C6.入侵检测系统可以分为基于主机分析和（）两种基本方式A、基于操作系统分析B、基于数据库分析C、基于用户分析D、基于网络数据包分析答案：D7.关于备份技术，（）可以把文件恢复过程简单化A、差分备份B、全备份C、余量备份D、增量备份答案：A8.关于信息安全策略文件以下说法不正确的是哪个（）A、信息安全策略文件应由管理者批准、发布。B、信息安全策略文件并传达给所有员工和外部相关方。C、信息安全策略文件必须打印成纸质文件进行分发。D、信息安全策略文件应说明管理承诺，并提出组织的管理信息安全的方法。答案：C9.在应急处置中，关于根除阶段，下面说法错误的是（）A、因为在进行清除工作过程中，由于事情繁多很容易就忽略一两个至关重要的细节，而忽略任何细节都有可能导致另一起突发的事件、法律证据留有缺陷或受到破坏B、通常这一阶段需要借助软件，我们在准备阶段就预备了各种安全工具，此时应该用它们对系统进行彻底的清理C、被恶意程序感染的文件最好格式化处理，并用确保干净的备份加以替代D、对机密的环境来说，快速格式化则更加彻底一些答案：D10.如果双方使用的密钥不同，从其中的一个密钥很难推出另外一个密钥，这样的系统称为A、常规加密系统B、单密钥加密系统C、公钥加密系统D、对称加密系统答案：C11.黑客入侵了一台Linux服务器后，创建了一个恶意用户，下列哪个命令不可以查看用户的登陆信息（）A、lastlogB、last-f/var/log/wtmpC、last-f/etc/run/utmpD、cat/var/log/auth.log答案：C12.site:xxx.inurl:editor这条谷歌语法是用来A、搜索xxx.网站的编辑器B、搜索xxx.网站的后台C、搜索xxx.网站的上传点D、搜索xxx.网站的配置文件答案：A13.下列文件扩展名和MIME类型对应错误的是（）A、jsapplication/x-javascriptB、pdfapplication/pdfC、jpgimage/jpgD、pngimage/png答案：C14.关闭系统多余的服务有什么安全方面的好处?A、使黑客选择攻击的余地更小B、关闭多余的服务以节省系统资源C、使系统进程信息简单,易于管理D、没有任何好处答案：A15.MD5产生的散列值是多少位（）A、56B、64C、128D、160答案：C16.当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一道防线是下列哪一项？()A、个人防火墙B、防病毒软件C、入侵检测系统D、虚拟局域网设置答案：C17.停火区(DemilitarizedZone，简称DMZ)，也称非军事化区，是一个位于可信的内部网络和不可信的外部网络(如互联网)之间的计算机或者小的子网。采用DMZ的防火墙部署方式是目前一个比较流行和正确的做法。防火墙环境下各种应用服务器的放置不必遵守以下哪种原则（）。A、通过边界路由过滤设备保护外部网络可访问的服务器，或者将它们放置在外部DMZ中B、绝不可将外部网络可访问的服务器放置在内部保护网络中C、根据外部服务器的敏感程度和访问方式，将它们放置在内部防火墙之后D、尽量隔离各种服务器，防止一个服务器被攻破后危及其他服务器的安全答案：C18.SMB的端口是多少（）A、21B、445C、3389D、443答案：B19.（）提出对计算机信息系统实行安全等级保护。A、《电信条例》B、《计算机信息系统安全保护条例》C、《计算机信息网络国际联网安全保护管理办法》D、《互联网信息服务管理办法》答案：B20.一个密码系统至少由明文、密文、加密算法和解密算法、密钥五部分组成，而其安全性是由（）决定的A、加密算法B、加密算法和解密算法C、解密算法D、密钥答案：D21.安全从来就不是只靠技术就可以实现的，它是一种把技术和管理结合在一起才能实现的目标。在安全领域一直流传着一种观点：“三分技术，（）分管理。”A、三B、五C、七D、九答案：B22.入侵检测(IntrusionDetection)技术是用于检测任何损害或企图损害系统的机密性、完整性或可用性等行为的一种网络安全技术。入侵检测技术不包括下面哪个功能模块（）A、信息源B、系统配置C、分析引擎D、响应答案：B23.关于HTML字符实体，以下实体名称格式正确的是（）A、>B、#162;C、0.2D、\u0061答案：A24.暴力破解，是指通过穷举所有口令组合的方式来破解口令，通常应用在以加密方式存储的口令中。对抗暴力破解的最佳方法是?A、设置复杂口令B、设置多个密码C、设置一个较长的口令以扩大口令的穷举空间D、经常换口令答案：C25.（）提出对计算机信息系统实行安全等级保护。A、《电信条例》B、《计算机信息系统安全保护条例》C、《计算机信息网络国际联网安全保护管理办法》D、《互联网信息服务管理办法》答案：B26.SQLmap中–columns命令实现的效果是？A、列出所有数据库名字B、列出所有字段名字C、列出所有表的名字D、列出指定数据库指定表中的所有字段的名字答案：B27.下面四款安全测试软件中，主要用于WEB安全扫描的是（）A、CiscoAuditingToolsB、AcunetixWebVulnerabilityScannerC、NMAPD、ISSDatabaseScanner答案：B28.计算机病毒防治体系的核心技术机制包括，（）以及事发检测和响应的网络版病毒查杀系统。A、防火墙B、事先预防的安全补丁管理平台C、网络入侵检测D、系统和数据备份答案：B29.硬件安全技术，是指用硬件的手段保障计算机系统或网络系统中的信息安全的各种技术，不包括以下哪种（）A、侧信道技术（利用设备在密码算法执行过程中产生的其他信息，如能量消耗变化、电磁辐射变化等非通信信道物理信息分析）B、硬件固件安全技术C、无线传感器网络安全技术D、局域网安全技术答案：D30.安全专家在对某网站进行安全部署时，调整了Apache的运行权限，从root权限降低为nobody用户，以下操作的主要目的是：A、为了提高Apache软件运行效率B、为了提高Apache软件的可靠性C、为了避免攻击者通过Apache获得root权限D、为了减少Apache上存在的漏洞答案：C31.公司甲做了很多政府网站安全项目，在为网游公司乙的网站设计安全保障方案时，借鉴以前项目经验，为乙设计了多重数据加密安全措施，但用户提出不需要这些加密措施，理由是影响了网站性能，使用户访问量受限。双方引起争议。下面说法哪个是错误的：A、乙对信息安全不重视，低估了黑客能力，不舍得花钱B、甲在需求分析阶段没有进行风险评估，所部属的加密针对性不足，造成浪费C、甲未充分考虑网游网站的业务与政府网站业务的区别D、乙要综合考虑业务、合规性和风险，与甲共同确定网站安全需求答案：A32.网络管理员的主要职责不包括()A、负责网络的运行管理，实施网络安全策略和安全运行细则B、对操作网络管理功能的其他人员进行安全监督C、监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向信息安全人员报告安全事件D、不得对系统设置后门答案：D33.SHODAN是一种专用搜索Internet上漏洞的搜索引擎，关于SHODAN可以搜索的对象，下列说法正确的是：A、互联网上的摄像头B、互联网上的特定类型数据库服务器C、互联网上的无线路由器D、皆是答案：D34.关于数据库恢复技术,下列说法不正确的是:A、数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决,当数据库中数据被破坏时,可以利用冗余数据来进行修复B、数据库管理员定期地将整个数据库或部分数据库文件备份到磁带或另一个磁盘上保存起来,是数据库恢复中采用的基本技术C、日志文件在数据库恢复中起着非常重要的作用,可以用来进行事务故障恢复和系统故障恢复,并协助后备副本进行介质故障恢复D、计算机系统发生故障导致数据未存储到固定存储器上，利用日志文件中都陪发生前数据的值将数据库恢复到故障发生前的完整状态，这一对事物的操作称为提交答案：D35.（）针对小概率大灾难事件，通过不断的意识培训和演练来加强全体员工的应变能力。A、确定BCM战略B、理解组织C、演练、维护和评审D、BCM应对答案：D36.教育部统一规划部署的主要信息系统属于等级保护()A、A类B、B类C、C类D、D类答案：C37.当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一项是信息安全专业人士最重要的考虑因素（）该提供商：（）A、满足并超过行业安全标准B、同意可以接受外部安全审查C、其服务和经验有很好的市场声誉D、符合组织的安全策略答案：D38.在信息安全管理体系的实施过程中，管理者的作用对于信息安全管理体系能否成功实施非常重要，但是以下选项中不属于管理者应有职责的是（）A、制定并颁布信息安全方针，为组织的信息安全管理体系建设指明方向并提供总体纲领，明确总体要求B、确保组织的信息安全管理体系目标和相应的计划得以制定，目标应明确、可度量，计划应具体、可实施C、向组织传达满足信息安全的重要性，传达满足信息安全要求、达成信息安全目标、符合信息安全方针、履行法律责任和持续改进的重要性D、建立健全信息安全制度，明确安全风险管理作用，实施信息安全风险评估过程，确保信息安全风险评估技术选择合理、计算正确答案：D39.以下人员安全管理中，不是等级保护2.0的控制点是（）A、人员录用B、人员离岗C、人员考核D、外部人员访问管理答案：C40.小王在某web软件公司工作，她在工作中主要负责对互联网信息服务（IIS）软件进行安全配置，这是属于（）方面的安全工作。A、web服务支撑软件B、web应用程序C、web浏览器D、通信协议答案：A41.以下哪个编码不属于base64规范A、PQ==B、YQ==C、ZGFz-ZGFz/D、Yw==答案：C42.一个商业机构为其信息系统的建设购买了一套成熟的软件包，管理者对软件包程序修改的态度正确的是：（）A、不允许修改B、不鼓励修改C、尽量争取软件商的许可，并组织修改D、秘密进行修改答案：C43.SQL注入攻击中，什么类型的注入可在屏蔽单引号后实施成功A、字符型注入B、数字型注入C、搜索型注入D、以上都无法注入成功答案：B44.关于IPSec（IPSecurity），以下说法错误的是A、IPSec是IETF制定的.在Internet上保证数据安全传输的一个框架协议B、它提供了在未提供保护的网络环境（如Internet）中传输敏感数据的保护机制C、它定义了IP数据包格式和相关基础结构，以便为网络通信提供端对端.加强的身份验证.完整性.防重放和（可选）保密性D、IPSec是一个隧道压缩标准答案：D45.密码口令要求多久更改一次（）A、1-3个月B、3-6个月C、1个月内D、只要不是弱口令，就可以一直使用答案：A46.以下属于计算机安全的范围的是（）A、构建以关键信息基础设施为重点的安全保障体系B、打击网络违法犯罪行为C、确保信息系统资产的保密性、完整性和可用性的措施和控制D、国际范围的网络空间主权与和平安全答案：C47.下面哪种不属于WEB系统文件上传功能安全隐患A、未限制拓展名B、未检查文件内容C、未查杀病毒文件D、未检查文件大小答案：D48.根据宿主类型进行分类，计算机病毒可以分为有宿主的计算机病毒和两类A、良性计算机病毒B、工业控制系统病毒C、无宿主的计算机病毒D、手机病毒答案：C49.小明发现公司的网站存在文件上传漏洞，他想对此做安全加固，下面关于文件上传漏洞解决方案描述错误的是A、对上传文件做有效文件类型判断，采用白名单控制的方法，开放只允许上传的文件型式，其中文件类型判断应对上传文件的后缀.文件头.图片类的预览图等做检测来判断文件类型B、服务端读取文件的部分内容作判断，可防止攻击者伪装文件类型上传C、统一上传模块写入文件的位置并取消上传目录的程序运行权限D、使用Web应用防火墙即可防御文件上传漏洞答案：D50.我国党和政府一直重视信息安全工作。我国信息安全保障工作也是取得了明显成效。关于我国信息安全实施工作，下面说法错误的是？A、加强信息安全标准化建设，成立了“全国信息安全标准化”，制订和发布了大批信息安全技术、管理等方面的标准B、重视信息安全应急处理工作，确定由国家密码管理局牵头成立“国家网络应急中心”，推动了应用处理和信息通报技术合作工作进展C、推进信息安全等级保护工作，研究制定了多个有关信息安全等级保护的规划和标准，重点保障了关系国家安全、经济命脉和社会稳定等方面重要信息系统的安全性D、实施了信息安全风险评估工作，探索了风险评估工作的工作的基本规律和方法，检验并修改完善了有关标准，培养和锻炼了人才队伍答案：B51.WebShell管理工具冰蝎中不带有以下哪些功能？A、数据库管理B、虚拟终端C、反弹ShellD、权限提升答案：D52.互联网信息内容治理原则中，()也被称为“谁运营谁负责”原则，即互联网切实加强内部管理和对所接入互联网站的管理，明确其权利和责任。A、主体责任原则B、行政监管原则C、行业自律原则D、公众参与原则答案：A53.关于HTML标签格式，以下格式错误的是（）A、B、C、D、答案：A54.电子认证服务提供者签发认证证书内容不必须包括以下哪一项：A、电子认证服务提供者名称，证书持有人名称B、证书序列号，证书有效期C、证书使用范围D、电子认证服务提供者的电子签名答案：C55.判断网站外链域名是否是黑链的基本依据，下列哪一项是错误的（）A、外链域名注册邮箱是个人QQ邮箱B、外链域名解析IP频繁改变，且归属地在国外C、搜索引擎检索外链域名结果有“危险”提示D、外链域名对应站点页面访问出现博彩色情内容答案：A56.哪个不是美国信息安全测评认证体系模块A、信息安全系统测评B、通用准则评估和认证计划(CCEVS)C、密码算法正确性检测(CAVP)D、网络模块安全性认证答案：D57.GB/T22080-2008《信息技术安全技术信息安全管理体系要求》指出，建立信息安全管理体系应参照PDCA模型进行，即信息安全谷那里体系应包括建立ISMS、实施和运行ISMS、监视和评审ISMS、保持和改进ISMS等过程，并在这些过程中应实施若干活动。请选出以下描述错误的选项（）A、“制定ISMS方针”是建立ISMS阶段工作内容B、“实施培训和意识教育计划”是实施和运行ISMS阶段工作内容C、“进行有效性测量”是监视和评审ISMS阶段工作内容D、“实施内部审核”是保持和改进ISMS阶段工作内容答案：D58.信息发布审核的主体为（）A、信息审核单位B、互联网信息服务提供者C、用户D、民间组织答案：B59.metasploit中可以use的模块不包括A、exploitB、auxiliaryC、postD、payload答案：D60.公安机关对网吧营业场所现场检查，必须（）A、民警在现场B、表明身份并出示执法证件C、填写检查网吧情况登记表D、以上皆是答案：D61.关于metasploit的参数，错误的是A、RHOST一般是被攻击主机的IP地址B、RPORT一般是被漏洞利用的端口号C、LHOST一般是发起攻击的IPD、LPORT一般是被漏洞利用的端口号答案：B62.关键信息基础设施的运营者不履行“对重要系统和数据库进行容灾备份|”义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，()。A、处一万元以上十万元以下罚款B、处五万元以上五十万元以下罚款C、处十万元以上五十万元以下罚款D、处十万元以上一百万元以下罚款答案：D63.黑客造成的主要危害是A、破坏系统、窃取信息及伪造信息B、攻击系统、获取信息及假冒信息C、进入系统、损毁信息及谣传信息D、进入系统，获取信息及伪造信息答案：A64.衡量容灾系统的主要目标不包括（）A、恢复点目标B、恢复时间目标C、网络恢复目标D、本地恢复目标答案：D65.发送邮件时需要注意（）A、尽量不发送附件B、包括但不限于其他ACD三项C、发送文件之前进行病毒扫描D、尽量不发送.doc.xls等文件答案：B66.一个好的信息安全意识教育活动的主要目的是A、指导信息安全部门的员工如何开展工作B、宣传信息安全违规行为的处罚条例，从而教育员工C、协助人员资源管理部获取所需的信息D、激发参与者的自觉合规意识答案：D67.业务连续性管理框架中，（）是指根据企业规模的不同，可能有一个或多个连续性的计划。A、BCM管理程序B、理解组织C、演练、维护和评审D、开发并实施BCM响应答案：D68.如需在本地使用Burpsuiteproxy代理模块进行WEB安全测试时，应将Bindtoaddress中Specificaddress的值设置为以下哪个选项A、B、C、D、0:0:0:0:0:0:0:1答案：C69.信息系统建设完成后，（）的信息系统的运营使用单位应当选择符合国家规定的测评机构，测评合格后方可投入使用。A、二级以上B、三级以上C、四级以上D、五级以上答案：B70.经过审核和批准的应急响应计划文档，下面说法错误的是（）？A、由专人负责保存与分发B、具有多份拷贝，并在不同的地点保存C、在每次修订后所有拷贝统一更新，并保留一套，以备查阅D、旧版本应立即自行删除答案：D71.鉴别的基本途径有三种：所知、所有和个人特征，以下哪一项不是基于你所知道的A、口令B、令牌C、知识D、密码答案：B72.下列不属于垃圾邮件过滤技术的是（）。A、软件模拟技术B、贝叶斯过滤技术C、关键字过滤技术D、黑名单技术答案：A73.等级保护中的“一个中心、三重防护”具体是指。A、日志审计中心、安全计算环境防护、安全区域边界防护、安全通信网络防护B、日志审计中心、安全物理环境防护、安全区域边界防护、安全通信网络防护C、安全管理中心、安全物理环境防护、安全区域边界防护、安全通信网络防护D、安全管理中心、安全计算环境防护、安全区域边界防护、安全通信网络防护答案：D74.关于WebShell，以下描述正确的是？A、在对方服务器上，成功上传WebShell，文件内容为eval($_POST['a']);，此时可以用冰蝎直接连接使用B、Cknife是一款WebShell查杀工具C、WebDIR+是一款WebShell管理工具D、使用中国蚁剑来管理WebShell，过程中产生的流量是没有被加密的。答案：D75.信息系统的安全保护等级分为五级。其中第一级指的是（）A、信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全B、信息系统受到破坏后，会对国家安全造成特别严重损害C、信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益D、信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害答案：C76.关于预防跨站脚本攻击的常见方法，不合理的做法是A、禁用JavaScriptB、过滤客户端提交参数C、过滤输出的内容，对输出的内容进行编码D、使用WEB应用防火墙答案：A77.以下关于威胁建模流程步骤说法不正确的是A、威胁建模主要流程包括四步：确定建模对象、识别威胁、评估威胁和消减威胁B、评估威胁是对威胁进行分析，评估被利用和攻击发生的概率，了解被攻击后资产的受损后果，并计算风险C、消减威胁是根据威胁的评估结果，确定是否要消除该威胁以及消减的技术措施，可以通过重新设计直接消除威胁，或设计采用技术手段来消减威胁。D、识别威胁是发现组件或进程存在的威胁，它可能是恶意的，威胁就是漏洞。答案：D78.（）是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。A、用户域B、管理域C、安全域D、应用域答案：C79.网络运营者采取监测、记录网络运行状态和网络安全事件的日志信息不少于（）。A、1个月B、3个月C、6个月D、1年答案：C80.以下防范措施不能防范SQL注入攻击的是（）A、配置IISB、在Web应用程序中，将管理员账号连接数据库C、去掉数据库不需要的函数、存储过程D、检查输入参数答案：B81.（）是指为保护组织的利益、声誉、品牌和价值创造活动，找出对组织有潜在影响的威胁，提供建设组织有效反应恢复能力的框架的整体管理过程。A、业务连贯性性管理B、业务一致性管理C、业务连续性管理D、业务协调性管理答案：C82.ISO27001认证项目一般有哪几个阶段？()A、管理评估，技术评估，操作流程评估B、确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C、产品方案需求分析，解决方案提供，实施解决方案D、基础培训，RA培训，文件编写培训，内部审核培训答案：B83.SQL注入漏洞需要用到什么语言来构造攻击代码（）A、HTML语句B、CSS语句C、数据库语句D、后端编程语句答案：C84.电磁干扰(ElectroMagneticInterference，简称EMI)主要分为（）种。A、二B、三C、四D、五答案：A85.以下关于WEB应用漏洞说法不正确的是A、任意文件下载漏洞可以通过输入payload“../../../../../etc/passwd”进行测试，如果返回内容包含passwd文件则表示该漏洞存在B、通过请求“id=1andsleep(10)--”且浏览器在10秒后返回网页内容，表明该参数存在SQL注入漏洞C、任意文件上传漏洞常出现在“相册”.“头像上传”.“图片上传”等场景D、任意文件上传漏洞通过设置白名单校验即可解决答案：D86.按照等级保护的管理规范和技术标准的要求，重点对第三级、第四级信息系统的等级保护状况进行监督检查是（）的主要职责之一A、信息系统运营、使用单位B、信息系统主管部门C、信息系统安全服务商D、信息安全监管机构答案：D87.以下关于关键信息基础设施的运营者违反本法第三十五条规定，使用未经安全审查或者安全审查未通过的网络产品或者服务的，处采购金额（）罚款，说法错误的是A、一倍以上二倍以下B、一倍以上十倍以下C、一倍以上五倍以下D、一倍以上五十倍以下答案：B88.在机房直接通过键盘、鼠标及（）等方式操作主机、网络设备等。因为无法进行有效的认证，权限控制和日志审计，所以，非紧急情况建议不采用这种方式A、CONSOLE口B、FE口C、GE口D、RJ45口答案：A89.以下关于https协议与http协议相比的优势说明,哪个是正确的A、https协议对传输的数据进行了加密,可以避免嗅探等攻击行为B、https使用的端口与http不同,让攻击者不容易找到端口,具有较高的安全性C、https协议是http协议的补充,不能独立运行,因此需要更高的系统性能D、https协议使用了挑战机制,在会话过程中不传输用户名和密码,因此具有较高的安全性答案：A90.（）指HTTP请求的发起者，在HTTP中该字段指明该请求是由哪个源(可简单理解为哪个网站)发起A、请求B、验证码C、输入检查D、反CSRF令牌答案：A91.随着互联网的日益复杂，单一因素的身份鉴别技术存在的安全问题不断暴露，已不能满足用户的基本使用和安全需求，尤其在一些电子商务、金融行业等对安全性提出较高要求的领域，需要多种安全技术结合使用以提高安全保障性能。网上支付的多因素身份鉴别技术不包括?A、静态口令＋动态口令认证B、静态口令＋数字证书认证C、静态口令＋手机验证码认证D、静态口令＋生物特征认证答案：D92.网络隔离(NetworkIsolation)，主要是指把两个或两个以上的网络通过物理设备隔离开来，使得在任何时刻、任何两个网络之间都不会存在物理连接。（）是一种实现网络隔离技术的设备。A、入侵检测技术B、隔离网闸C、路由器D、网关答案：B93.下列关于SSL的安全漏洞，那一项需要升级OpenSSL解决（）A、SSL/TLS受诫礼(BAR-MITZVAH)攻击漏洞B、SSL3.0POODLE攻击信息泄露漏洞C、SSL/TLS中间人攻击漏洞(CCS注入)D、MITM(Man-in-the-MiddleAttack)中间人攻击答案：C94.主要用于加密机制的协议是A、HTTPB、FTPC、TELNETD、SSL答案：D95.灾难恢复规划是一个周而复始、持续改进的过程，最后个阶段是（）。A、灾难恢复需求的确定B、灾难恢复策略的制定C、灾难恢复策略的实现D、灾难恢复预案的制定、落实和管理答案：D96.信息系统验收时进行安全评估的最主要目的是：A、发现信息系统的代码层安全隐患B、发现信息系统的抗攻击能力C、发现系统安全现状与建设之初安全目标的符合程度D、发现系统安全现状与相应安全等级的差异答案：C97.引入新系统和对已有系统进行大的变更可以按照从文件、规范、测试、质量控制到（）这个正式的过程进行A、发布管理B、验收管理C、实施管理D、周期管理答案：C98.Shannon提出：A、仅当密钥至少和明文一样长时，才能达到无条件安全B、仅当密钥长度至少是明文长度的一般时，才能达到无条件安全C、仅当密钥长度至少为明文长度的两倍，才能达到无条件安全D、不存在无条件安全答案：A99.数据的安全性不包括A、唯一性B、完整性C、可用性D、机密性答案：A100.光纤接入能提供（）的高速带宽。A、1Mbps—5MbpsB、1Mbps—10MbpsC、10Mbps—1000MbpsD、500Mbps—5000Mbps答案：C101.灾难发生后，恢复数据所需要的时间与决定备份所需要的时间和()同样重要。A、效率B、频率C、质量D、能耗答案：B102.下列关于应急响应各个阶段说法正确的是A、准备遏制检测恢复根除跟踪总结B、准备检测遏制根除恢复跟踪总结C、准备检测根除遏制恢复跟踪总结D、准备检测恢复根除遏制跟踪总结答案：B103.如果恶意开发人员想在代码中隐藏逻辑炸弹，什么预防方式最有效（）A、源代码周期性安全扫描B、源代码人工审计C、渗透测试D、对系统的运行情况进行不间断监测记录答案：B104.在HTTP/1.1协议中共定义了几种请求方法（）A、2B、4C、6D、8答案：D105.好友的QQ突然发来一个网站链接要求投票，最合理的做法是？A、因为是其好友信息，直接打开链接投票B、可能是好友QQ被盗，发来的是恶意链接，先通过手机跟朋友确认链接无异常后，再酌情考虑是否投票C、不参与任何投票D、把好友加入黑名单答案：B106.拒绝服务攻击的目的是利用各种攻击技术使服务器或者主机等拒绝为合法用户提供服务。来自网络的拒绝服务攻击可以分为停止服务和消耗资源两类。攻击特点不包括以下哪个（）A、多源性、特征多变性B、攻击目标与攻击手段多样性C、隐蔽性D、开放性答案：D107.超文本传输协议（HTTP，HyperTextTransferProtocol)是互联网上应用最为广泛的一种网络协议，以下不属于HTTP协议特征的是（）A、简单快速B、无连接C、灵活D、安全答案：D108.关于信息安全体系的构成，下列说法正确的是：A、关键是制度B、关键是技术C、关键是人D、人、制度、技术的结合答案：D109.灾难恢复策略的实现中，不需要考虑的内容包括（）。A、获得同主系统相当的安全保护B、客户端可与备用数据处理系统的物理环境C、具有可扩展性D、考虑其对主系统可用性和性能的影响答案：B110.计算机病毒，是指通过修改其他程序进行“感染”，并对系统造成破坏的一段代码，（）不属于计算机病毒的特性。A、传染性B、破坏性C、隐蔽性D、可用性答案：D111.经过近几年学术界对无线传感器网络的深入研究，当前无线传感器网络面临多种攻击技术，其中（）是指两个或多个攻击节点进行的一种合谋攻击，通过压缩攻击节点间的路由，使得彼此成为邻居节点，从而将不同分区的节点距离拉近，破坏整个网络的正常分区。A、路由攻击B、选择性数据转发攻击C、槽洞攻击D、虫洞攻击答案：D112.云计算是对()技术的发展与运用。A、并行计算B、网格计算C、分布式计算D、以上三个选项都是答案：D113.某公司开发了一个游戏网站,但是由于网站软件存在问题,结果在软件上线后被黑客攻击,某数据库中的网游用户真实身份数据被黑客看到。关于此案例,下面描述正确的是（）A、该网站软件出现了保密性方面安全问题B、该网站软件出现了完整性方面安全问题C、该网站软件出现了可用性方面安全问题D、该网站软件出现了不可否认性方面安全问题答案：A114.散布险情、疫情、警情等违法有害信息具有()特征。A、针对特定的自然人B、针对特定单位C、针对特定的公共事件D、针对不特定的自然人、单位或公共事件答案：D115.属于散布险情、疫情、警情等违法有害信息的是()。A、某甲路过某地火灾现场，拍照、视频并上传到个人空间B、某乙从医院病友处听到某新型禽流感发生的消息，发布在朋友圈C、某丙聚集朋友在飞机上打牌，说出“炸弹”等牌语D、某丁公务员考试未中，发帖怀疑结果内定答案：B116.关于后门防范正确的是?A、定期检查日志，包括但不限于Web、系统等日志B、长期不对系统进行漏扫，不安装补丁C、随意使用非正规软件D、不对系统进行病毒查杀，清除有害软件答案：A117.为了灾难恢复而对数据、数据处理系统、网络系统、基础设施、技术支持能力和运行管理能进行备份的过程称为灾难备份。灾难备份系统是用于灾难恢复目的，由_______和备用的网络系统组成的信息系统。A、数据备份系统B、数据处理系统C、数据备份系统、数据处理系统D、数据备份系统、备用数据处理系统答案：D118.关于信息安全保障技术框架(IATF),以下说法不正确的是:A、分层策略允许在适当的时候采用低安全级保障解决方案以便降低信息安全保障的成本B、IATF从人、技术和操作三个层面提供一个框架实施多层保护,使攻击者即使攻破一层也无法破坏整个信息基础设施C、允许在关键区域(例如区域边界)使用高安全级保障解决方案,确保系统安全性D、IATF深度防御战略要求在网络体系结构的各个可能位置实现所有信息安全保障机制答案：D119.关于Wi-Fi联盟提出的安全协议WPA和WPA2的区别，下面描述正确的是（）A、WPA是有线局域安全协议，而WPA2是无线局域网协议B、WPA是适用于中国的无线局域安全协议，而WPA2适用于全世界的无线局域网协议C、WPA没有使用密码算法对接入进行认证，而WPA2使用了密码算法对接入进行认证D、WPA是依照802.11i标准草案制定的，而WPA2是依照802.11i正式标准制定的答案：D120.张三将微信个人头像换成微信群中某好友头像,并将昵称改为该好友的昵称,然后向该好友的其他好友发送一些欺骗消息。该攻击行为属于以下哪类攻击?A、口令攻击B、暴力破解C、拒绝服务攻击D、社会工程学攻击答案：D121.《信息安全等级保护管理办法》将信息系统的安全保护划分为()个等级。A、三B、四C、五D、六答案：C122.当涉及到信息算计系统犯罪取证时，应与哪个部门取得联系（）A、监管机构B、重要客户C、供应商D、政府部门答案：D123.以下关于cookie，描述错误的是（）A、目前有些Cookie是临时的，有些则是持续的。临时的Cookie只在浏览器上保存一段规定的时间，一旦超过规定的时间，该Cookie就会被系统清除B、Cookie是由HTTP服务器设置的，保存在浏览器中，但HTTP协议是一种无状态协议，在数据交换完毕后，服务器端和客户端的链接就会关闭，每次交换数据都需要建立新的链接。C、Cookie的几种常见属性：key=value;expires=失效时间;path=路径;domain=域名;secure;(secure表安全级别)D、使用Javascript代码“alert(document.cookie)”一定可以读取所有的cookie内容。答案：D124.下列不属于可识别个人的信息是（）。A、手机号码B、电子邮件地址C、QQ昵称D、银行卡CVV答案：C125.软件的盗版是一个严重的问题。在下面哪一种说法中反盗版的策略和实际行为是矛盾的（）A、员工的教育和培训B、远距离工作（Telemuting）与禁止员工携带工作软件回家C、自动日志和审计软件D、策略的发布与策略的强制执行答案：B126.信息安全的保护对象主要是计算机硬件，软件和（）。A、操作系统B、开发语言C、文件系统D、数据答案：D127.根据《信息安全等级保护管理办法》的规定，信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行()自查。A、一次B、两次C、三次D、四次答案：A128.将基础设施作为服务的云计算服务类型是laas，其中的基础设施包括？A、存储资源B、应用程序C、内存资源D、COU资源答案：B129.小明设置的以下口令哪个是安全的（）A、!#$%B、xiaoming2018C、Bry3J,981D、qazwsx答案：C130.PKI是利用公开密钥技术所构建的、解决网络安全问题的、普遍适用的一种基础设施。PKI提供的核心服务不包括了哪些信息安全的要求A、访问安全性B、真实性C、完整性D、保密性答案：A131.下面关于文件上传表单说法错误的是。()A、form表单的method属性设置为postB、form表单的method属性设置为getC、form表单的enctype属性设置为multipart/form-dataD、提供的文件上传输入框答案：B132.根据检测目标的不同，恶意代码的检测方法可以分为基于主机的检测和基于网络的检测。其中，（）属于基于网络的检测方式。A、基于特征码的扫描技术B、基于行为的检测C、基于沙箱技术的检测D、基于蜜罐的检测答案：D133.在系统日常运行及发生信息网络安全事件时，单位、组织可能需要一些公共基础设施方面，比如（）的支持A、电信服务提供商B、公安部C、公安机关网络安全保卫部门D、国家安全部答案：A134.当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，下列不属于常见应急响应事件的是（）A、网页挂马B、主页篡改C、病毒木马D、访问缓慢答案：D135.对于信息安全风险的描述不正确的是A、企业信息安全风险管理就是要做到零风险B、在信息安全领域，风险就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C、风险管理就是以可接受的代价，识别、控制、减少或消除可能影响信息系统的安全风险的过程D、风险评估就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估答案：A136.管理评审的最主要目的是A、确认信息安全工作是否得到执行B、检查信息安全管理体系的有效性C、找到信息安全的漏洞D、考核信息安全部门的工作是否满足要求答案：B137.IIS6.0版本服务默认不解析（）号后面的内容A、;B、,C、:D、答案：A138.以下哪个不属于跨站脚本漏洞分类？A、存储型B、反射型C、CSRF型D、DOM型答案：C139.安全管理制度主要包括：管理制度、制定和发布、（）三个控制点A、评审和修订B、修改C、审核D、阅读答案：A140.metasploit在渗透测试使用中，相关数据同样会存储在数据库中，它所使用数据库和数据库端口号为（）A、SqlServer&&1433B、PostgreSQL&&5432C、MySql&&3306D、Oracle&&1521答案：B141.灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到（）而设计的活动和流程。A、理想状态B、稳定状态C、正常状态D、可接受状态答案：D142.以下关于中国菜刀描述错误的是？A、中国菜刀是一款是WebShell管理工具B、可以通过中国菜刀直接执行系统命令C、可以通过中国菜刀可以上传或下载服务端文件D、通过中国菜刀管理WebShell过程中的流量都会被混淆加密答案：D143.关于动态网站、伪静态网站和静态网站的说法，哪个是不正确的A、静态网站访问速度快，更容易被搜索引擎找到收录，但是占用较多空间容量B、在IE浏览器上可以通过在地址栏输入javascript:alert(document.lastModified)判断这个网站是动态还是静态C、伪静态网站没有解决静态页面占用较多空间容量的问题，但是能够较好的应付搜索引擎D、伪静态的实质是动态形式，是通过url重写技术把传递参数插入到了URL地址中，它所指向的文件并不是真实的地址答案：C144.2011年是我国“十二五”规划的开局之年，“十二五”规划首次将“加强网络与信息安全保障”作为专门章节，要求健全（）法律法规，完善信息安全标准体系和认证认可体系，实施信息安全等级保护、风险评估等制度。A、个人隐私B、金融安全C、食品安全D、网络与信息安全答案：D145.近年来利用DNS劫持攻击大型网站恶性攻击事件时有发生，防范这种攻击比较有效的方法是?A、加强网站源代码的安全性B、对网络客户端进行安全评估C、协调运营商对域名解析服务器进行加固D、在网站的网络出口部署应用级防火墙答案：C146.下列哪个选项不属于反向安全隔离装置的安全功能：A、签名验证B、内容过滤C、有效性检查D、木马检测答案：D147.下列安全建议正确的是？A、选择资源丰富的软件网站进行下载B、为提高下载速度可以暂时关闭杀毒软件C、下载完成后直接打开下载的文件D、下载软件时去软件的官方网站或其他正规网站上下载答案：D148.BS7799这个标准是由下面哪个机构研发出来的（）A、美国标准协会B、英国标准协会C、中国标准协会D、国际标准协会答案：B149.在发生信息安全案件后，单位、组织应当及时向（）报案，并在取证和调查等环节给予密切配合。A、公安部B、单位领导C、国家安全部D、公安机关网络安全保卫部门答案：D150.以下关于HTTP协议描述错误的是（）A、HTTP遵循请求(Request)/应答(Response)模型，发送一次HTTP请求会产生两类报文，分别是请求报文与响应报文。B、HTTP协议默认端口为80C、HTTP为有状态的协议，可以记住客户端状态D、HTTP（HyperTextTransferProtocol）既超文本传输协议，是一种详细规定了浏览器和万维网服务器之间互相通信的规则。答案：C151.下列哪一项不属于模糊测试（fuzz）的特性？A、主要针对软件漏洞或可靠性错误进行测试。B、采用大量测试用例进行激励响应测试C、一种试探性测试方法，没有任何理论依据。D、利用构造畸形的输入数据引发被测试目标产生异常答案：C152.ISMS包括建立、实施、操作、监视、复查、维护和改进信息安全等一系列的管理活动，其表现形式不包括（）。A、组织结构B、策略方针C、计划活动D、人员成本答案：D153.使用Burpsuite爆破Tomcat管理界面弱口令，Payloadtype需要使用什么类型（）A、CustomiteratorB、RuntimefileC、CharacterBlocksD、Recursivegrep答案：A154.信息安全保障技术框架(IATF)中，主要讨论了纵深防御的技术方面。它从技术方面根据信息安全的需求将信息系统解构为（）、保护区域边界、保护计算环境和支撑性基础设施这四个基本方面A、保护网络基础设施B、保护操作系统C、保护计算机硬件D、保护核心信息持有人员答案：A155.以下有关通信与日常操作描述不正确的是（）A、信息系统的变更应该是受控的B、企业在岗位设计和人员工作分配时应该遵循职责分离的原则C、移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏D、所有日常操作按照最佳实践来进行操作，无需形成操作手册答案：C156.如何防范钓鱼网站？（）A、不用聊天工具B、安装安全防护软件C、警惕中奖、修改网银密码的通知邮件、短信，不经检查可点击未经核实的陌生链接D、可多人共用的电脑上进行金融业务操作，如网吧等。答案：B157.人员管理主要是对人员的录用、人员的离岗、（）、安全意识教育和培训、第三方人员访问管理5个方面A、人员教育B、人员裁减C、人员考核D、人员审核答案：A158.基于主体在系统中承担的角色进行的访问控制是（）A、基于身份的访问控制B、基于权限的访问控制C、基于角色的访问控制D、基于用户的访问控制答案：C159.信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是（）A、ISMS是一个遵循PDCA模式的动态发展的体系B、ISMS是一个文件化、系统化的体系C、ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D、ISMS应该是一步到位的，应该解决所有的信息安全问题答案：D160.在WEB应用攻击中，对客户端进行攻击的手段是？A、暴力破解B、越权访问（逻辑漏洞）C、SQL注入攻击D、跨站脚本攻击答案：D161.Iaas是一下哪个选项的简称？A、基础设施即服务B、软件即服务C、硬件即服务D、平台即服务答案：A162.在WEB应用攻击中，对客户端进行攻击的手段是（）A、暴力破解B、越权访问（逻辑漏洞）C、SQL注入攻击D、跨站脚本攻击答案：D163.在提高阿帕奇系统(ApacheHTTPServer)系统安全性时,下面哪项措施不属于安全配置内容（）?A、不在Windows下安装Apache,只在Linux和Unix下安装B、安装Apache时,只安装需要的组件模块C、不使用操作系统管理员用户身份运行Apache,而是采用权限受限的专用用户账号来运行D、积极了解Apache的安全通告,并及时下载和更新答案：A164.非对称密码算法中，（）只有通信一方知道A、私钥B、公钥C、密钥D、加解密算法答案：A165.系统要防止将用户输入未经检查就用于构造文件路径，防止（）攻击。A、web遍历B、深度遍历C、路径遍历D、广度遍历答案：C166.以下哪一个是ITU的数字证书标准A、SSLB、SHTTPC、x.509D、SOCKS答案：A167.业务连续性管理框架中，（）是指了解组织的产品和服务，识别关键活动，搞清楚其供应链上的依赖关系。A、BCM管理程序B、理解组织C、演练、维护和评审D、开发并实施BCM响应答案：B168.Burpsuite是常见的WEB安全测试工具，以下关于Burpsuite模块说法错误的是A、Burpsuite的Proxy模块本质是HTTP/HTTPS代理服务器B、Burpsuite的Decoder模块是是一个进行手动执行或解压文件的工具。C、Burpsuite的Intruder模块是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing技术探测常规漏洞D、Burpsuite的Repeater模块是一个靠手动操作来补发单独的HTTP请求，并分析应用程序响应的工具答案：B169.下列对跨站脚本攻击（XSS）描述正确的是A、XSS攻击是指恶意攻击者往web页面里面插入恶意代码，当用户浏览该页之时，嵌入其中Web里面的代码会被执行，从而达到恶意攻击用户的特殊目的B、XSS攻击是DDOS攻击的一种变种C、XSS攻击就是CC攻击D、XSS攻击就是利用被控制的机器不断地向被攻击网站发送访问请求，迫使lls连接数超出限制，当CPU资源或者带宽资源耗尽，那么网站也就被攻击垮了，从而达到攻击目的答案：A170.关于netsh的描述，错误的是A、netsh是windows自带的工具B、netsh可以用于端口转发C、netshnetsh在转发端口到本地时，可以不指定listenportD、netsh在转发端口到本地时，可以不指定listenaddress答案：C171.某单位计划在今年开发一套办公自动化(OA)系统,将集团公司各地的机构通过互联网进行协同办公,在OA系统的设计方案评审会上，提出了不少安全开发的建议,作为安全专家,请指出大家提出的建议中不太合适的一条?A、对软件开发商提出安全相关要求,确保软件开发商对安全足够的重视,投入资源解决软件安全问题B、要求软件开发人员进行安全开发培训,使开发人员掌握基本软件安全开发知识C、要求软件开发商使用Java而不是ASP作为开发语言,避免产生SQL注入漏洞D、要求软件开发商对软件进行模块化设计,各模块明确输入和输出数据格式,并在使用前对输入数据进行校验答案：C172.http协议的中文翻译是（）A、超文本传输协议B、超文本telnet协议C、高级文本传输协议D、高级文本telnet协议答案：A173.在项目开发中，会经常遇到不同的编码方式。不管什么编码，都是信息在计算机中的一种表现，理解常见的编码方式，有助于我们避免出现乱码等现象。那下列对于各种编码的叙述有误的是A、ASCII(AmericanStandardCodeforInformationInterchange，美国信息交换标准代码)是基于拉丁字母的一套电脑编码系统。它主要用于显示现代英语，而其扩展版本EASCII则可以部分支持其他西欧语言，并等同于国际标准ISO/IEC646。B、GB2312或GB2312–80是中华人民共和国国家标准简体中文字符集，全称《信息交换用汉字编码字符集·基本集》，又称GB0，由中国国家标准总局发布，1981年5月1日实施。GB2312编码通行于中国大陆；新加坡等地也采用此编码。中国大陆几乎所有的中文系统和国际化的软件都支持GB2312C、汉字内码扩展规范，称GBK，全名为《汉字内码扩展规范(GBK)》1.0版，GBK对GB2312-80进行扩展，总计拥有23940个码位，共收入21886个汉字和图形符号，其中汉字（包括部首和构件）21003个，图形符号883个。D、Unicode（中文：万国码.国际码.统一码.单一码）是我国计算机科学领域里的一项业界标准。它对世界上大部分的文字系统进行了整理.编码，使得电脑可以用更为简单的方式来呈现和处理文字。答案：D174.对某asp网站，我们采用经典的1=1，1=2测试法，测试发现1=1时网页显示正常，1=2时报错，则下列说法错误的是A、该网站可能存在漏洞B、该网站不可以进行SQL注入攻击C、攻击者可以根据报错信息获得的信息，从而进一步实施攻击D、如果在网站前布署一台H3C的IPS设备，那么1=1，1=2测试时，URL请求将会被IPS设备阻断，攻击者得不到任何有效信息。答案：B175.（）标准是信息系统安全建设整改的基本目标A、GB/T25058－2010《信息安全技术信息系统安全等级保护实施指南》B、GB/T22239－2008《信息安全技术信息系统安全等级保护基本要求》C、GB/T22240－2008《信息安全技术信息系统安全等级保护定级指南》D、GB/T25070－2010《信息安全技术信息系统等级保护安全设计技术要求》答案：B176.反向连接后门和普通后门的区别是？A、主动连接控制端、防火墙配置不严格时可以穿透防火墙B、只能由控制端主动连接，所以防止外部连入即可C、这种后门无法清除D、根本没有区别答案：A177.计算机信息网络直接进行国际联网，必须使用（）提供的国际出入口信道。A、邮电部国家公用电信网B、国家网信部C、中国电信部门D、外交部答案：A178.审核责任人的审核内容不包括A、账号责任人岗位职责B、账号申请审批情况C、权限变更等流程执行情况D、口令修改执行情况答案：A179.某集团公司根据业务需要，在各地分支机构部署前置机，为了保证安全，集团总部要求前置机开放日志共享，由总部服务器采集进行集中分析，在运行过程中发现攻击者也可通过共享从前置机中提取日志，从而导致部分敏感信息泄露，根据降低攻击面的原则，应采取以下哪项处理措施?A、由于共享导致了安全问题，应直接关闭日志共享，禁止总部提取日志进行分析B、为配合总部的安全策略，会带来一定的安全问题，但不影响系统使用，因此接受此风险C、日志的存在就是安全风险，最好的办法就是取消日志，通过设置让前置机不记录日志D、只允许特定的IP地址从前置机提取日志，对日志共享设置访问密码且限定访问的时间答案：D180.以下哪些不属于云计算安全服务体系？A、云安全基础服务B、云安全应用服务C、云平台管理D、云基础设施安全服务答案：C181.物联网就是物物相连的网络，物联网的核心和基础仍然是（），是在其基础上的延伸和扩展的网络。A、城域网B、互联网C、局域网D、内部办公网答案：B182.僵尸程序通过感染数以千计的主机，形成（）控制的网络。A、一对一B、一对多C、多对一D、多对多答案：B183.以下关于中国菜刀描述错误的是（）A、中国菜刀是一款是WebShell管理工具B、可以通过中国菜刀直接执行系统命令C、可以通过中国菜刀可以上传或下载服务端文件D、通过中国菜刀管理WebShell过程中的流量都会被混淆加密答案：D184.用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A，在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A，用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B，网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A，浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。以上过程是下面哪一种攻击A、CSRFB、SSRFC、XXED、XSS答案：A185.网络运营者收集、使用个人信息，应当遵循的原则不包括（）。A、合法B、正当C、隐蔽D、必要答案：C186.以下哪一项是DOS攻击的一个实例（）A、SQL注入B、IP地址欺骗C、Smurf攻击D、字典破解答案：C187.以下哪个是ARP欺骗攻击可能导致的后果？A、ARP欺骗可直接获得目标主机的控制权B、ARP欺骗可导致目标主机的系统崩溃，蓝屏重启C、ARP欺骗可导致目标主机无法访问网络D、ARP欺骗可导致目标主机死机答案：C188.DoS攻击是一种对网络危害巨大的恶意攻击，其中，具有代表性的攻击手段不包括（）A、SYN洪泛B、ICMP洪泛C、UDP洪泛D、Apache洪泛答案：D189.当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一项是信息安全专业人士最重要的考虑因素？该提供商：()A、满足并超过行业安全标准B、同意可以接受外部安全审查C、其服务和经验有很好的市场声誉D、符合组织的安全策略答案：D190.如下图所示,Alice用Bob的密钥加密明文,将密文发送给Bob。Bob再用自己的私钥解密,恢复出明文。以下说法正确的是:A、此密码体制为对称密码体制B、此密码体制为私钥密码体制C、此密码体制为单钥密码体制D、此密码体制为公钥密码体制答案：D191.漏洞的存在通常和站点的功能挂钩，一个网站什么功能有可能存在文件下载漏洞（）A、下载附件B、上传头像C、修改资料D、注册答案：A192.等级保护分级要求，第三级适用正确的是A、适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益B、适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害C、适用于涉及国家安全社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，对国家安全、社会秩序、经济建设和公共利益造成较大损害D、适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害答案：B193.决定在哪些情况下、由什么主体发起、什么类型的访问是被允许的是（）A、网络防御技术B、访问控制策略C、防火墙技术D、网络攻击答案：B194.下列哪种方法不能检查出电脑被装了木马（）A、检查网线连接情况B、查看目前运行的服务C、检查系统启动项D、检查系统帐户答案：A195.为了保证系统日志可靠有效，以下哪一项不是日志必需具备的特征。A、统一而精确地的时间B、全面覆盖系统资产C、包括访问源、访问目标和访问活动等重要信息D、可以让系统的所有用户方便的读取答案：D196.业务连续性管理框架中，确定BCM战略不包括以下哪个内容（）。A、事件的应急处理计划B、连续性计划C、识别关键活动D、灾难恢复计划答案：C197.metasploit是一款开源的渗透测试框架平台，它的模块开发语言为（）A、pythonB、javaC、CD、ruby答案：D198.SQL注入漏洞是在互联网上非常常见的漏洞之一，以下哪个不是基本SQL注入类型A、越界型B、字符型C、数字型D、搜索型答案：A199.安全日志：包括系统自身帐号管理，认证，授权及远程接入客户端登录、（）日志；A、离线B、下线C、非法下载D、登出答案：D200.以下不属于邮件服务器的安全管理的是（）。A、SMTP身份认证B、病毒过滤C、安全审计D、DNS测试答案：D201.《可信计算机系统评估准则》TCSEC将安全级别由高到低分为（）个等级A、四B、五C、六D、七答案：D202.风险评估要素关系模型中，业务战略依赖于()去完成A、风险B、残余风险C、脆弱性D、资产答案：D203.跨站脚本攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。关于预防跨站脚本攻击的常见方法，不合理的做法是A、禁用JavaScript功能。B、过滤客户端提交参数。C、过滤输出的内容，对输出的内容进行编码。D、使用WEB应用防火墙答案：A204.在计算机中心，下列哪一项是磁介质上信息擦除的最彻底形式（）A、清除B、净化C、删除D、破坏答案：D205.下列选项属于安全保密管理员的主要职责的是()A、协助有关部门对网络失泄密事件进行调查与技术分析B、对进行系统操作的其他人员予以安全监督C、保障计算机网络设备、信息系统和配套的设施的安全，保障运行环境的安全D、按操作员证书号、操作时间、操作类型、事件类型等进行审计答案：A206.信息安全管理体系（InformationSecurityManagementSystem，ISMS）的内部审核和管理审核是两项重要的管理活动。关于这两者，下面描述错误的是（）A、内部审核和管理审评都很重要，都是促进ISMS持续改进的重要动力，也都应当按照一定的周期实施B、内部审核的实施方式多采用文件审核和现场审核的形式，而管理评审的实施方式多采用召开管理审评会议的形式进行C、内部审核的实施主体由组织内部的ISMS内审小组，而管理评审的实施主体是由国家政策指定的第三方技术服务机构D、组织的信息安全方针、信息安全目标和有关ISMS文件等，在内部审核中作为审核准使用，但在管理评审中，这些文件是被审对象答案：C207.关于meterpreter功能描述正确的是A、meterpreter是metasploit中的一个模块B、在meterpreter中可以run一些msf提供的post脚本C、在meterpreter模块中可以使用load载入其他工具D、meterpreter不可以操作靶机的外设答案：D208.等级保护的重点保护原则是指（）A、由各主管部门和运营、使用单位按照国家相关法规和标准，自主确定信息系统的安全等级，自行组织实施安全保护B、信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应C、根据信息系统的重要程度、业务特点，通过划分不同的安全等级，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统D、要跟踪信息系统的变化情况，调整安全保护措施答案：C209.2003年以来，我国高度重视信息安全保障工作，先后制定并发布了多个文件，从政策层面为开展并推进信息安全保障工作进行了规划。下面选项中哪个不是我国发布的文件（）A、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）B、《国家网络安全综合计划（CNCI）》（国令[2008]54号）C、《国家信息安全战略报告》（国信[2005]2号）D、《关于大力推进信息化发展和切实保障信息安全的若干意见》（国发[2012]23号）答案：B210.HTTP状态码对应的状态错误的是（）A、200请求已成功，请求所希望的响应头或数据体将随此响应返回。出现此状态码是表示正常状态B、302重定向C、403服务器已经理解请求，但是拒绝执行它D、501请求失败，请求所希望得到的资源未被在服务器上发现。答案：D211.业务连续性管理是一个整体的管理过程，它能鉴别威胁组织潜在的影响，并且提供构建（）的管理架构，以及确保有效反应的能力以保护它的关键利益相关方的利益、声誉、品牌以及创造价值的活动。A、稳定机制B、弹性机制C、连续机制D、离散机制答案：B212.HTTP请求方法中只返回响应头部不返回响应内容的方法是（）。A、GETB、POSTC、HEADD、DELETE答案：C213.通过网络将分散的存储资源构成一个虚拟的存储设备的技术是？A、存储虚拟化技术B、分布式存储技术C、数据备份技术D、重复数据删除技术答案：B214.HttpOnly最早由微软提出并在（）中实现，目前已经成为标准。A、IE5B、IE6C、IE7D、IE8答案：B215.互联网信息内容治理原则中，（）也被称为“谁运营谁负责”原则，即互联网切实加强内部管理和对所接入互联网站的管理，明确其权利和责任。A、主体责任原则B、行政监管原则C、行业自律原则D、公众参与原则答案：A216.所有进入网络和信息系统工作的人员，必须保证在岗工作期间和离岗后的一定时期内，均不违反()A、劳动合同B、劳动合同补充协议C、保密协议D、培训协议答案：C217.系统服务安全被破坏时所侵害的客体的侵害程度不包含（）A、轻微损害B、一般损害C、严重损害D、特别严重损害答案：A218.网络产品、服务的提供者不得设置（），发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告A、恶意程序B、攻击程序C、病毒程序D、风险程序答案：A219.小赵是某大学计算机科学与技术专业的毕业生，在前往一家大型企业应聘时，面试经理要求他给出该企业信息系统访问控模型的设计思路。如果想要为一个存在大量用户的信息系统实现自主访问控制功能，在以下选项中，从时间和资源消耗的角度，下列选项中他应该采取的最合适的模型或方法是（）A、访问控制列表（ACL）B、能力表（CL）C、BLP模型D、Biba模型答案：A220.系统安全的测试深度宜由系统的（）和本质确定A、复杂度B、部署时间C、重要性D、使用人数答案：C221.2008年1月2日，美国发布第54号总统令，建立国家网络安全综合计划（prehensiveNationalCybersecurityInitiative，CNCI)。CNCI计划建立三道防线：第一道防线，减少漏洞和隐患，预防入侵；第二道防线，全面应对各类威胁；第三道防线，强化未来安全环境．从以上内容，我们可以看出以下哪种分析是正确的：A、CNCI是以风险为核心，三道防线首要的任务是降低其网络所面临的风险B、从CNCI可以看出，威胁主要是来自外部的，而漏洞和隐患主要是存在于内部的C、CNCI的目的是尽快研发并部署新技术彻底改变其糟糕的网络安全现状，而不是在现在的网络基础上修修补补D、CNCI彻底改变了以往的美国信息安全战略，不再把关键基础设施视为信息安全保障重点，而是追求所有网络和系统的全面安全保障答案：A222.在黑客攻击中，对付口令攻击的有效手段是（）。A、随便选择容易的密码B、口令长度6位以内就可以C、使用默认口令D、加强口令管理答案：D223.非对称密码算法具有很多优点，其中不包括：A、可提供数字签名、零知识证明等额外服务B、加密/解密速度快，不需占用较多资源C、通信双方事先不需要通过保密信道交换密钥D、密钥持有量大大减少答案：B224.以下哪个选项不属于SQL注入的分类？A、字符型注入B、数字型注入C、搜索型注入D、函数型注入答案：C225.关于安全等级保护测评力度，下列说法错误的是（）A、投入越多，测评力度就越强，测评就越有保证B、测评广度越大，测评实施的范围越大，测评实施包含的测评对象就越多；测评深度越深，越需要在细节上展开，测评就越严格，因此，就越需要更多的投入C、测评力度是在测评过程中实施测评工作的力度，反映测评的广度和深度，体现为测评工作的实际投入程度D、测评的广度和深度落实到运行、检查、验收三种不同的测评方法上，能体现出测评实施过程中各方法投入程度的不同答案：D226.入侵检测系统可以分为()和基于网络数据包分析两种基本方式A、基于主机分析B、基于操作系统分析C、基于数据库分析D、基于用户分析答案：A227.相对来说，下列哪一种后门最难被管理员发现（）A、文件系统后门B、rhosts+后门C、服务后门D、内核后门答案：D228.账号锁定策略中对超过一定次数的错误登录账号进行锁定是为了对抗以下哪种攻击?A、分布式拒绝服务攻击(DDoS)B、病毒传染C、口令暴力破解D、缓冲区溢出攻击答案：C229.张某是网络安全领域的著名专家，以下哪项不属于其个人敏感信息（）。A、姓名B、宗教信仰C、政治观点D、医疗答案：A230.关于Cobaltstrike构建DNStunnel的操作，描述错误的是A、DNStunnel主要通过DNS协议进行通信B、利用DNS可以绕过拦截TCP流量的规则C、攻击时在靶机上抓包可以看到靶机直接与操作机通信D、使用DNStunnel需要域名答案：C231.信息安全需求获取的主要手段A、信息安全风险评估B、领导的指示C、信息安全技术D、信息安全产品答案：A232.URI的全称是（）A、标准资源描述符B、标准资源标识符C、统一资源描述符D、统一资源定位符答案：D233.若A给B发送一封邮件，并想让B能验证邮件是由A发出的，则A应该选用（）对邮件加密。A、A的公钥B、A的私钥C、A的私钥D、B的私钥答案：B234.计算机安全的目的是确保信息系统资产(包括硬件、软件、固件和被处理、存储和通信的信息)的（）、完整性和可用性A、共享性B、保密性C、可压缩D、可识别答案：B235.任意文件上传漏洞是一种高危漏洞，那么以下哪个不属于任意文件上传漏洞的分类A、黑名单校验B、前端Javascript校验C、文件头校验D、Content-length校验答案：D236.社交网络的数据分层不包含（）A、appliction－layerB、activity－layerC、registration－layerD、networking－layer答案：A237.国家建立网络安全监测预警和（）制度。国家网信部门应当统筹协调有关部门加强网络安全信息收集、分析和通报工作,按照规定统一发布网络安全监测预警信息A、信息共享B、信息输送C、信息传达D、信息通报答案：B238.信息系统的价值确定需要与哪个部门进行有效沟通确定（）A、系统维护部门B、系统开发部门C、财务部门D、业务部门答案：D239.计算机出现的同时也就伴随着计算机病毒的出现，计算机病毒给全球带来了巨大的经济损失。仅一种病毒造成的经济损失就达到了7500万美元，超过了科索沃战争，它是（）。A、尼姆达B、CIHC、熊猫烧香D、爱虫答案：B240.3DES加密算法的优点包括A、处理速度快B、克服了DES面临的穷举攻击C、抗分析能力强D、以上全部属于答案：A241.Cookie的信息是加密的，内容主要为（）加密信息。A、XSSB、HASHC、MD5D、RSA答案：C242.信息系统安全保护等级为3级的系统，应当（）年进行一次等级测评?A、0．5B、1C、2D、3答案：B243.利用系统默认的公共用户名、密码进行网站攻击、获取权限、篡改网站，的网页篡改技术利用（）。A、木马植入，然后利用木马程序进行文件篡改B、利用窃听或者暴力破解的方法获取网