2025年2月1+x网络安全评估考试模拟题（含答案）

2025年2月1+x网络安全评估考试模拟题（含答案）一、单选题（共30题，每题1分，共30分）1.题目：下列关于水平越权的说法中，不正确的是？选项A．同级别（权限）的用户或同一角色不同的用户之间，可以越权访问、修改或者删除的非法操作选项B．水平越权是不同级别之间或不同角色之间的越权选项C．可能会造成大批量数据泄露选项D．可能会造成用户信息被恶意篡改参考答案：(B)解析：水平越权是指同级别（权限）的用户或同一角色不同的用户之间，可以越权访问、修改或者删除的非法操作。这种越权可能会造成大批量数据泄露、用户信息被恶意篡改等后果。而不同级别之间或不同角色之间的越权是垂直越权，不是水平越权。2.题目：OSI参考模块分几层？选项A．5选项B．7选项C．4选项D．6参考答案：(B)解析：OSI参考模型分为七层，分别是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。3.题目：《中华人民共和国网络安全法》施行时间：选项A．2016年12月31日选项B．2016年11月7日选项C．2017年6月1日选项D．2017年1月1日参考答案：(C)解析：《中华人民共和国网络安全法》于2016年11月7日发布，自2017年6月1日起施行。4.题目：下列哪一个是web容器选项A．IIS选项B．MD5选项C．JSP选项D．UDP参考答案：(A)解析：IIS（InternetInformationServices）是微软提供的Web服务器软件，属于Web容器。JSP是一种动态网页技术标准；UDP是用户数据报协议，用于传输层；MD5是一种哈希算法。所以只有IIS是Web容器。5.题目：PC安全不包括下列哪一个？选项A．定期备份重要数据选项B．安装防病毒软件和防火墙软件选项C．虚拟空间选项D．不随意安装来历不明的软件参考答案：(C)解析：PC安全涵盖多个方面，安装防病毒软件和防火墙软件可抵御病毒和网络攻击；定期备份重要数据能防止数据丢失；不随意安装来历不明软件可避免引入恶意程序。而虚拟空间本身并非PC安全的直接范畴，它主要涉及到计算机内存、存储等方面提供的一种虚拟环境概念，与保障PC安全的直接关联较小。6.题目：Apache用来识别用户后缀的文件是？选项A．mima.conf选项B．handler.types选项C．handler.conf选项D．mime.types参考答案：(D)7.题目：HUB是工作在以下哪一层的设备？选项A．网络层选项B．传输层选项C．物理层选项D．链路层参考答案：(C)解析：HUB即集线器，它工作在物理层。集线器的主要功能是对接收到的信号进行再生整形放大，以扩大网络的传输距离，同时把所有节点集中在以它为中心的节点上，它并不具备链路层、网络层和传输层的功能。8.题目：服务器的响应头中，一般不会包含哪一个字段选项A．Content-Type选项B．Connection选项C．Set-Cookie选项D．Cookie参考答案：(D)解析：服务器响应头中不会包含Cookie字段，Cookie是客户端在向服务器发送请求时携带的信息，用于在服务器和客户端之间传递状态等数据，不是服务器响应头中的内容。Set-Cookie是服务器用于设置Cookie给客户端的字段，Content-Type用于告知客户端响应内容的类型，Connection用于控制连接的状态等，这些都可能出现在服务器响应头中。9.题目：XSS不能用来干什么？选项A．预测会话凭证选项B．劫持用户会话选项C．获取用户cookie选项D．固定会话参考答案：(A)10.题目：电信诈骗识别公式中的因素不包括下列哪个？选项A．隐私类选项B．汇款、转账要求选项C．无法确定人物身份选项D．用电话、网络、短信等沟通工具见不到真人参考答案：(A)解析：电信诈骗识别公式中的因素通常包括涉及汇款转账要求、沟通工具见不到真人、无法确定人物身份等。隐私类并不直接属于电信诈骗识别公式中典型的识别因素。11.题目：Linux防火墙的主要功能是：（）。选项A．嗅探IP数据包选项B．进行访问控制选项C．入侵检测选项D．记录IP数据包参考答案：(B)解析：Linux防火墙主要功能之一就是进行访问控制，它可以根据预先设定的规则，允许或拒绝特定来源、目的地址、端口的网络流量通过，从而保护系统安全，防止未经授权的访问。入侵检测不是防火墙的主要功能；记录IP数据包是其部分功能但不是主要功能；嗅探IP数据包不是防火墙的功能。12.题目：关于HTML格式的说法，错误的是选项A．<!---->为html的注释选项B．<!doctypehtml>用于声明文档，无大小写限制选项C．<P>用于定义一个标题选项D．<meta>常用于确定页面字符编码方式参考答案：(C)解析：<P>标签用于定义一个段落，而不是标题。标题通常使用<h1>-<h6>标签来定义。<!doctypehtml>声明文档类型，无大小写限制；<meta>标签常用于设置页面的元数据，如字符编码方式等；<!---->用于书写HTML注释。13.题目：若一个用户同时属于多个用户组，则其权限适用原则不包括？选项A．拒绝权限超越其他所有权限的原则选项B．最大权限原则选项C．最小权限原则FTP选项D．文件权限超越文件夹权限原则参考答案：(C)解析：最小权限原则是指用户仅拥有完成其工作所需的最少权限，而不是适用于用户同时属于多个用户组时的权限适用原则。当一个用户同时属于多个用户组时，其权限适用原则通常包括最大权限原则，即用户拥有其所属所有用户组的权限总和；文件权限超越文件夹权限原则，即文件上设置的权限会覆盖文件夹的权限；拒绝权限超越其他所有权限的原则，即明确的拒绝权限会优先于其他权限。14.题目：DOM中不存在下面那种节点选项A．元素节点选项B．逻辑节点选项C．属性节点选项D．文本节点参考答案：(B)解析：在DOM（文档对象模型）中，存在元素节点、文本节点和属性节点。元素节点是构成HTML或XML文档结构的基本单位；文本节点包含了元素中的文本内容；属性节点则用于定义元素的属性。而逻辑节点并不是DOM中存在的节点类型。15.题目：XSS跨站脚本攻击可以插入什么代码？选项A．ASP选项B．HTML选项C．PHP选项D．JSP参考答案：(B)解析：XSS跨站脚本攻击（Cross-SiteScripting）主要是通过在目标网站注入恶意的客户端脚本（通常是JavaScript）来实现攻击目的。而HTML是网页的基础标记语言，攻击者可以利用XSS攻击在页面中插入恶意的HTML代码片段，这些代码可能会包含恶意脚本等内容来窃取用户信息、执行恶意操作等。虽然在某些情况下，攻击者可能试图利用注入的脚本执行类似PHP、JSP、ASP等服务器端脚本语言代码的功能，但这不是直接通过XSS攻击插入的代码类型，XSS主要针对的是在页面中直接注入能被浏览器执行的脚本，而浏览器直接解析的是HTML，所以XSS跨站脚本攻击可以插入HTML代码。16.题目：路由器是工作在以下哪一层的设备？选项A．网络层选项B．传输层选项C．链路层选项D．物理层参考答案：(A)解析：路由器工作在网络层，主要功能是连接不同的网络，并根据网络层地址（如IP地址）来转发数据包，实现不同网络之间的通信。17.题目：Metasploit框架中的最核心的功能组件是（）。选项A．Post选项B．Payloads选项C．Encoders选项D．Exploits参考答案：(D)解析：Metasploit框架中最核心的功能组件是Exploits（漏洞利用模块）。它用于针对各种已知的软件漏洞编写相应的攻击代码，以实现对目标系统的入侵。Payloads是攻击成功后在目标系统上执行的代码；Post模块主要用于在攻击成功后进行后续操作；Encoders用于对生成的攻击代码进行编码以躲避检测等。但核心的功能组件还是Exploits。18.题目：下列哪一个不属于信息安全范畴？选项A．电源安全选项B．运行安全选项C．人员安全选项D．实体安全参考答案：(A)解析：信息安全范畴包括人员安全、实体安全、运行安全等。人员安全涉及信息系统相关人员的安全意识、操作规范等；实体安全包括计算机设备、存储介质等硬件设施的安全；运行安全涵盖系统运行过程中的各种安全保障。而电源安全主要侧重于电力供应方面的保障，不属于信息安全的直接范畴。19.题目：路由器是工作在以下哪一层的设备？选项A．网络层选项B．传输层选项C．物理层选项D．链路层参考答案：(A)解析：路由器工作在网络层，主要功能是根据网络层地址（如IP地址）来转发数据包，实现不同网络之间的互联和通信。物理层主要负责传输比特流，链路层负责将比特流封装成帧，传输层负责端到端的可靠传输等，均不是路由器工作的层次。20.题目：httponly属性起到的作用是（）选项A．防御XSS攻击选项B．对HTTP数据包加密选项C．仅允许HTTPS协议读取cookie选项D．禁止除HTTP/HTTPS以外的协议读取cookie参考答案：(D)21.题目：密码使用的场景通讯类不包括下列哪个？选项A．QQ选项B．购物账户选项C．陌陌选项D．微信参考答案：(B)解析：密码使用的场景通讯类指的是用于通讯交流的工具，如QQ、微信、陌陌等。而购物账户主要用于购物相关操作，不是专门用于通讯的场景，所以答案选D。22.题目：OSI第一层是哪一层？选项A．传输层选项B．物理层选项C．网络层选项D．链路层参考答案：(B)解析：物理层是OSI参考模型的第一层，它主要负责传输比特流，包括电缆、光纤、无线等传输介质，以及相关的电气、机械和功能特性，为数据传输提供物理基础。23.题目：防御XSS漏洞的核心思想为（）选项A．不要点击未知链接选项B．减少使用数据库选项C．输入过滤、输出编码选项D．禁止用户输入参考答案：(C)解析：XSS漏洞的防御核心在于对用户输入进行严格过滤，去除其中可能包含的恶意脚本，同时对输出进行编码，将特殊字符转换为安全的表示形式，防止恶意脚本被浏览器执行。禁止用户输入过于绝对且不现实；不要点击未知链接主要是针对防范钓鱼等其他风险，并非XSS漏洞防御核心；减少使用数据库与防御XSS漏洞无关。24.题目：IIS命令执行中，我们通常用来测试命令执行的payload执行结果是？选项A．开启远程桌面连接选项B．反弹shell选项C．弹出计算器选项D．shutdown参考答案：(C)解析：在IIS命令执行中，常用特定命令使目标系统执行如弹出计算器等操作来测试命令执行是否成功。例如通过执行一些能产生可见效果的命令来判断权限和环境等。选项A反弹shell并非通常用于测试命令执行结果的直接方式；选项C执行shutdown命令可能会对系统造成较大影响，不是常见的测试执行结果方式；选项D开启远程桌面连接也不是典型的用来测试命令执行结果的payload。25.题目：《网络安全法》规定，网络运营者应当制定（），及时处置系统漏洞计算机病毒网络攻击网络侵入等安全风险。选项A．网站安全规章制度选项B．网络安全事件应急演练方案选项C．网络安全事件应急预案选项D．网络安全事件补救措施参考答案：(C)解析：网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。这是为了在面对各类网络安全威胁时，能够迅速、有效地采取应对措施，降低安全事件对网络系统和用户造成的损失，保障网络的安全稳定运行。26.题目：PHP语言中==和===区别选项A．==只会判断类型，===只会判断值选项B．==只会进行判断值，===只会判断类型选项C．==会判断值和类型，===只会判断类型选项D．==只会判断值，===会判断值和类型参考答案：(D)解析：在PHP语言中，==运算符只比较值是否相等，会进行类型转换；而===运算符不仅比较值，还会比较类型是否相同，不会进行类型转换。所以==只会判断值，===会判断值和类型。27.题目：ARP本地缓存为空时，ARP将采用以下哪种方式发送包含目标IP的数据格式到网络中?选项A．广播选项B．发送特定地址选项C．单播选项D．组播参考答案：(A)解析：当ARP本地缓存为空时，ARP会采用广播方式发送包含目标IP的数据格式到网络中，以获取目标IP对应的MAC地址。28.题目：AWVS是一款什么用途的渗透测试工具（）。选项A．XSS攻击选项B．漏洞扫描选项C．暴力破解选项D．SQL注入参考答案：(B)解析：AWVS是一款功能强大的漏洞扫描工具，它可以帮助安全专业人员和开发人员快速发现Web应用程序中的各种安全漏洞，如漏洞扫描、SQL注入、XSS攻击等都可以通过它来检测，但它的主要用途是漏洞扫描。暴力破解虽然也是一种攻击手段，但不是AWVS的主要用途。29.题目：以下哪种攻击不能获取用户的会话标识？选项A．SQL注入选项B．凭证预测选项C．XSS选项D．会话凭证参考答案：(A)30.题目：下面说法正确的是？选项A．使用防止sql注入的函数也可以防御xss选项B．在输入和输出处都要过滤xss攻击选项C．只需要在输入处过滤xss就可以了选项D．htmlspecialchars()可以完全杜绝xss攻击参考答案：(B)二、多选题（共10题，每题1分，共10分）1.题目：下列哪个描述是针对防范冒充身份诈骗的：选项A．主动答应对方要求选项B．不要主动猜测对方是谁选项C．确认真伪及对方身份真实性选项D．确认身份要多问几个私密问题参考答案：(BCD)2.题目：查看/etc/passwd文件内容，发现其中一行信息为“root:x:0:0:root:/root:/bin/bash”，以下哪些说法是正确的？选项A．第2个字段的代表root用户的密码为“x”选项B．该用户的主目录为/bin/bash选项C．该用户的主目录为/root选项D．该行是root用户的相关信息参考答案：(CD)解析：在“root:x:0:0:root:/root:/bin/bash”这行信息中，很明显是root用户的相关信息，A正确；第二个字段“x”表示密码经过了shadow机制加密，而不是密码为“x”，B错误；该行中明确主目录是/root，而/bin/bash是用户的登录shell，C错误，D正确。3.题目：下面对TCP协议描述，哪种不正确？选项A．不可靠的传输选项B．面向无连接选项C．面向连接选项D．可靠的传输参考答案：(AB)解析：TCP协议是面向连接、可靠的传输。4.题目：渗透测试报告一般具有的品质有（）。选项A．包含漏洞对企业资产的影响选项B．通俗易懂选项C．给出漏洞修补意见选项D．简单明了，直击要害参考答案：(ABCD)解析：渗透测试报告简单明了、直击要害能让阅读者快速抓住关键信息；通俗易懂可使非专业人员也能理解报告内容；包含漏洞对企业资产的影响能让企业清晰了解漏洞危害；给出漏洞修补意见有助于企业及时采取措施修复漏洞，这些都是渗透测试报告应具备的重要品质。5.题目：Nmap渗透测试工具的主要功能有（）。选项A．XSS攻击选项B．CSRF攻击选项C．漏洞扫描选项D．端口扫描参考答案：(CD)解析：Nmap是一款网络扫描和安全审计工具，主要功能包括端口扫描，通过扫描目标主机的开放端口来了解其提供的服务；还具备漏洞扫描功能，可发现目标系统存在的一些安全漏洞。而XSS攻击是跨站脚本攻击，CSRF攻击是跨站请求伪造攻击，这都不是Nmap的主要功能。6.题目：上网安全中的两种公共设备谨慎用，指的是：选项A．公共手机充电桩选项B．物联网（IoT）设备成为薄弱环节选项C．公共WIFI选项D．计算机安全参考答案：(AC)解析：选项B公共WIFI和选项C公共手机充电桩存在安全风险，可能导致个人信息泄露、遭受网络攻击等，所以上网安全中这两种公共设备要谨慎使用。选项A计算机安全不属于公共设备范畴；选项D物联网（IoT）设备成为薄弱环节表述宽泛，不是具体所指的两种公共设备。7.题目：以下哪些是常用的XSS绕过编码（）选项A．JS编码选项B．HTML实体编码选项C．复合编码选项D．URL编码参考答案：(ABCD)解析：-**A、JS编码**：通过将恶意脚本转换为JS可识别的编码形式来绕过检测。-**B、URL编码**：将特殊字符转换为URL格式的编码，可用于绕过一些基于URL检测的XSS防护。-**C、HTML实体编码**：把字符转换为HTML实体，绕过对特定字符的过滤。-**D、复合编码**：综合运用多种编码方式，增加绕过的可能性。8.题目：下面关于TCP协议描述，错误的是？选项A．工作在网络层选项B．断开需要3次握手选项C．有流量控制机制选项D．有重传机制参考答案：(AB)解析：TCP协议工作在传输层，不是网络层，A选项错误。TCP有重传机制，用于确保数据可靠传输，B选项正确。有流量控制机制，防止发送方发送数据过快导致接收方来不及处理，C选项正确。TCP建立连接需要3次握手，断开连接需要4次挥手，D选项错误。9.题目：以下哪些是绕过IP地址过滤的方法（）选项A．。选项B．进制转换选项C．@选项D．短地址选项E．xip.io参考答案：(ABCDE)10.题目：使用00截断进行文件上传时，上传未成功可能的原因是（）选项A．使用GET方式提交%00，但重复转码选项B．使用POST方式提交%00，但并未转码选项C．使用GET方法提交，但未修改方法名称为‘GET’选项D．使用GET方式提交，未删除httpbody中POST内容选项E．网页设置了上传白名单，在白名单前进行了截断参考答案：(ABDE)三、判断题（共30题，每题1分，共30分）1.题目：Include()代码执行到它的时候才加载文件,发生错误的时候只是给一个警告,然后继续往下执行选项A．正确选项B．错误参考答案：(A)2.题目：社会工程攻击周期的四个阶段是：信息收集、建立信任关系、操纵目标、退出。选项A．正确选项B．错误参考答案：(A)3.题目：网络拓扑结构设计也直接影响到网络系统的安全性选项A．正确选项B．错误参考答案：(A)4.题目：Nmap是一款优秀的端口扫描工具选项A．正确选项B．错误参考答案：(A)5.题目：任何个人和组织有权对危害网络安全的行为向网信电信公安等部门举报选项A．正确选项B．错误参考答案：(A)6.题目：使用量较高的软件就不会出现逻辑漏洞选项A．正确选项B．错误参考答案：(B)7.题目：子网掩码可用于区分IP地址中的网络位和主机位。选项A．正确选项B．错误参考答案：(A)8.题目：部署网站时端口的设置与网页能否显示密切相关选项A．正确选项B．错误参考答案：(A)9.题目：文件包含漏洞危害比sql注入漏洞危害小得多选项A．正确选项B．错误参考答案：(B)10.题目：在非对称密钥密码体制中，发信方与收信方使用不同的密钥选项A．正确选项B．错误参考答案：(A)11.题目：Nmap是一款开放源代码的网络探测和安全审核的工具，它的设计目标是快速地扫描大型网络，不能用它扫描单个主机。选项A．正确选项B．错误参考答案：(B)12.题目：浏览器手动选择代理后，关闭burp仍然能够正常上网选项A．正确选项B．错误参考答案：(B)13.题目：IPV4地址长度是32位。