2025年度全国大学生网络安全知识竞赛题库及答案(四)

2025年度全国大学生网络安全知识竞赛题库及答案(四)一、单项选择题（每题2分，共40分）1.以下哪项是OSI参考模型中负责端到端可靠数据传输的层？A.物理层B.传输层C.网络层D.数据链路层答案：B2.下列加密算法中，属于非对称加密的是？A.AESB.DESC.RSAD.SHA-256答案：C3.某网站访问时地址栏显示“”，其中“https”的默认端口号是？A.80B.443C.21D.25答案：B4.钓鱼攻击（Phishing）的核心手段是？A.利用系统漏洞植入恶意代码B.通过伪造可信来源诱导用户泄露信息C.对目标服务器发起DDoS攻击D.破解用户账户的弱密码答案：B5.以下哪种攻击方式利用了操作系统或应用程序的未授权访问漏洞？A.SQL注入B.缓冲区溢出C.CSRF（跨站请求伪造）D.暴力破解答案：C6.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险至少多久进行一次检测评估？A.每季度B.每半年C.每年D.每两年答案：C7.以下哪个协议用于在网络中安全传输电子邮件？A.SMTPB.POP3C.IMAPD.SMTPS答案：D8.某用户收到短信：“您的银行账户涉嫌洗钱，需点击链接验证身份”，这属于哪种网络攻击？A.水坑攻击B.社会工程学攻击C.中间人攻击D.零日攻击答案：B9.以下哪项不是区块链的核心特性？A.去中心化B.不可篡改C.匿名性D.集中式存储答案：D10.用于检测网络中异常流量的技术是？A.防火墙B.入侵检测系统（IDS）C.虚拟专用网（VPN）D.反病毒软件答案：B11.以下哪种密码策略最符合安全要求？A.密码长度8位，包含字母和数字B.密码长度12位，包含大小写字母、数字和特殊符号C.密码为“123456”D.密码与用户名相同答案：B12.当发现计算机感染勒索软件后，最优先的操作是？A.立即支付赎金获取解密密钥B.断开网络连接防止扩散C.格式化硬盘重新安装系统D.运行杀毒软件全盘扫描答案：B13.以下哪个是常见的Web应用层攻击？A.ARP欺骗B.DNS劫持C.XSS（跨站脚本攻击）D.ICMP洪水攻击答案：C14.《数据安全法》规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行？A.统一保护B.重点保护C.分类分级保护D.动态保护答案：C15.以下哪项是物联网（IoT）设备特有的安全风险？A.弱默认密码B.DDoS攻击C.数据泄露D.病毒感染答案：A16.量子计算对现有密码体系的最大威胁是？A.破解对称加密算法（如AES）B.破解非对称加密算法（如RSA）C.破坏哈希算法的碰撞抵抗性D.干扰网络通信协议答案：B17.某企业数据库中存储的用户身份证号、手机号等信息属于？A.公开信息B.敏感个人信息C.匿名化数据D.非结构化数据答案：B18.以下哪种技术用于防止网络中的MAC地址欺骗？A.端口安全（PortSecurity）B.访问控制列表（ACL）C.网络地址转换（NAT）D.虚拟局域网（VLAN）答案：A19.电子邮件加密协议PGP（PrettyGoodPrivacy）主要使用的加密方式是？A.仅对称加密B.仅非对称加密C.对称加密与非对称加密结合D.哈希算法答案：C20.以下哪项属于移动应用（App）的安全风险？A.应用权限滥用B.屏幕分辨率过低C.电池续航不足D.操作系统版本过旧答案：A二、判断题（每题1分，共15分）1.所有网络攻击都需要利用系统漏洞。（）答案：×（社会工程学攻击不依赖技术漏洞）2.关闭防火墙可以提高网络访问速度，因此企业内网无需部署防火墙。（）答案：×（防火墙是内网安全的基础防护手段）3.微信、支付宝等应用的“记住密码”功能会将密码明文存储在本地，因此不安全。（）答案：×（通常采用加密存储或令牌机制）4.区块链的“挖矿”过程本质是通过计算哈希值竞争记账权。（）答案：√5.钓鱼邮件的发件人地址一定是伪造的。（）答案：√6.操作系统的安全补丁可以随意推迟安装，不会影响安全性。（）答案：×（漏洞可能被攻击者利用）7.数据脱敏是指对敏感信息进行变形处理，使其无法直接识别特定个体。（）答案：√8.无线局域网（WLAN）使用WEP协议比WPA2协议更安全。（）答案：×（WEP存在严重加密缺陷）9.手机开启“开发者模式”不会增加安全风险。（）答案：×（可能允许未授权调试或安装恶意应用）10.云计算环境中，用户数据的所有权归云服务提供商所有。（）答案：×（所有权仍属用户）11.僵尸网络（Botnet）的核心是通过控制大量联网设备发起协同攻击。（）答案：√12.生物识别（如指纹、人脸）绝对安全，不会被伪造。（）答案：×（存在复制或欺骗攻击风险）13.《网络安全法》规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。（）答案：√14.物联网设备由于资源受限，无法安装杀毒软件，因此无需考虑安全配置。（）答案：×（需通过强密码、固件更新等方式防护）15.数字签名的作用是验证数据完整性和发送方身份，无法防止抵赖。（）答案：×（数字签名可防止抵赖）三、填空题（每题2分，共20分）1.常见的DDoS攻击防护技术包括流量清洗、黑洞路由和______。答案：速率限制（或“负载均衡”）2.密码学中，______算法用于将任意长度的消息压缩为固定长度的摘要，常见算法有SHA-256。答案：哈希（或“散列”）3.网络安全领域的“CIA三元组”指的是机密性、完整性和______。答案：可用性4.钓鱼攻击的常见形式包括邮件钓鱼、______和二维码钓鱼。答案：短信钓鱼（或“网页钓鱼”）5.操作系统的安全加固措施通常包括关闭不必要的服务、安装安全补丁和______。答案：设置强密码（或“启用防火墙”）6.根据《个人信息保护法》，个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全，这些措施包括技术措施和______措施。答案：管理7.无线局域网中，______协议通过WPA3替代了旧版协议，增强了加密强度。答案：Wi-Fi保护访问（或“WPA”）8.缓冲区溢出攻击的原理是向程序的缓冲区写入超出其容量的数据，导致______被覆盖，从而执行恶意代码。答案：返回地址（或“内存指针”）9.云安全中的“零信任”模型核心原则是______，即默认不信任任何内部或外部的设备或用户。答案：永不信任，始终验证10.移动应用安全测试中，______测试用于检测应用是否存在未授权的数据访问漏洞，如越权读取其他应用数据。答案：数据存储（或“权限”）四、简答题（每题5分，共25分）1.请简述SQL注入攻击的原理及防范措施。答案：原理：攻击者通过在Web应用的输入参数中插入恶意SQL代码，使后端数据库执行非预期的查询，从而获取、修改或删除数据。例如，输入用户名时提交“'OR'1'='1”，导致SQL语句变为“SELECTFROMusersWHEREusername=''OR'1'='1'”，绕过身份验证。防范措施：①使用预编译语句（PreparedStatement）或ORM框架，参数化查询，避免直接拼接用户输入；②对用户输入进行严格的类型检查和转义处理（如转义单引号）；③限制数据库用户权限，避免使用具有高权限的数据库账号连接应用；④定期对Web应用进行安全测试（如SQL注入检测工具扫描）；⑤关闭数据库错误信息的前端显示，防止攻击者获取数据库结构信息。2.请说明SSL/TLS协议的作用及握手过程的主要步骤。答案：作用：SSL（安全套接层）/TLS（传输层安全）是用于在客户端和服务器之间建立安全通信的协议，提供数据加密、身份验证和完整性校验，防止中间人攻击、数据泄露或篡改。握手过程主要步骤：①客户端向服务器发送“ClientHello”消息，包含支持的TLS版本、加密套件列表和随机数；②服务器响应“ServerHello”，选择具体的TLS版本和加密套件，并发送服务器证书（含公钥）及随机数；③客户端验证服务器证书的有效性（如CA签名、域名匹配），生成预主密钥（Pre-MasterSecret）并用服务器公钥加密后发送；④服务器使用私钥解密预主密钥，双方基于预主密钥和之前的随机数生成主密钥（MasterSecret）；⑤客户端和服务器分别发送“ChangeCipherSpec”消息，通知对方后续通信将使用主密钥加密；⑥双方发送“Finished”消息，验证握手过程的完整性，完成握手。3.列举三种常见的社会工程学攻击手段，并说明其防范方法。答案：常见手段：①钓鱼邮件：伪装成可信机构（如银行、电商）发送邮件，诱导用户点击恶意链接或填写敏感信息；②冒充客服：攻击者通过电话或聊天工具自称官方客服，以“账户异常”“订单失效”为由索要验证码或密码；③物理渗透：攻击者通过混入公司办公区域，窃取未锁定的电脑或纸质文件。防范方法：①提高安全意识，不轻易点击陌生链接或下载附件，验证邮件发件人地址和域名真实性；②官方客服不会主动索要验证码、密码等敏感信息，遇到此类请求应通过官方渠道核实；③加强物理安全管理（如电脑自动锁屏、重要文件加密存储），限制陌生人进入办公区域；④定期开展员工安全培训，普及社会工程学攻击的常见套路。4.简述《数据安全法》对数据分类分级保护的要求及企业的应对措施。答案：要求：《数据安全法》规定，国家根据数据的重要程度和一旦受损可能造成的危害，将数据分为一般数据、重要数据和核心数据，实行分类分级保护。关键信息基础设施运营者和数据处理者需制定数据分类分级制度，明确保护范围和措施。企业应对措施：①开展数据资产梳理，识别业务涉及的各类数据（如用户信息、交易记录、研发数据）；②根据数据的敏感性和影响范围，制定内部分类分级标准（如“公开级”“内部级”“机密级”）；③对重要数据和核心数据采取额外保护措施，如加密存储、访问控制、审计日志；④建立数据安全管理制度，明确数据收集、存储、传输、删除的流程和责任；⑤定期进行数据安全风险评估，及时更新保护策略。5.请分析勒索软件的攻击流程及被攻击后的应急处置步骤。答案：攻击流程：①渗透阶段：通过钓鱼邮件、漏洞利用（如永恒之蓝）、弱密码爆破等方式入侵目标设备；②扫描阶段：在目标网络内横向移动，扫描可访问的文件服务器、数据库等；③加密阶段：使用AES等对称加密算法对重要文件（如文档、数据库）进行加密，生成勒索提示文件；④勒索阶段：攻击者要求受害者支付比特币等虚拟货币作为赎金，提供解密工具或密钥。应急处置步骤：①立即隔离受感染设备，断开网络连接（包括物理网络和无线连接），防止攻击扩散；②关闭受影响的服务器和应用，避免更多数据被加密；③检查最近的系统和数据备份，使用未感染的备份恢复数据（优先选择离线备份或空气隔离的备份）；④不要轻易支付赎金（无法保证攻击者会提供有效密钥，且可能鼓励更多攻击）；⑤收集攻击证据（如勒索信息、日志、样本文件），向公安机关报案并联系专业安全团队分析；⑥修复系统漏洞（安装补丁）、重置弱密码、升级安全防护措施（如部署EDR端点检测响应系统），防止再次攻击。五、案例分析题（每题10分，共20分）案例1：某高校教务系统近期频繁出现用户登录异常，部分学生账户被盗，成绩被篡改。经技术人员排查，发现登录页面存在以下问题：（1）用户输入的用户名和密码直接拼接成SQL查询语句（如：SELECTFROMusersWHEREusername='{user}'ANDpassword='{pass}'）；（2）登录成功后，会话ID（SessionID）通过URL参数传递（如：/index.php?sessionid=abc123）；（3）系统日志仅记录了用户登录成功的时间，未记录登录IP和失败尝试次数。问题：请分析该教务系统存在的安全漏洞，并提出整改建议。答案：存在的安全漏洞：①SQL注入漏洞：用户输入未做参数化处理，直接拼接SQL语句，攻击者可通过输入“'OR'1'='1”等恶意字符绕过密码验证；②会话管理不安全：会话ID通过URL传递，易被中间人截获（如通过浏览器历史记录、日志泄露），导致会话劫持；③日志记录不完整：未记录登录IP和失败次数，无法追溯攻击来源或检测暴力破解行为；④缺乏登录失败限制：未对连续错误登录进行锁定，攻击者可通过暴力破解猜测密码。整改建议：①修复SQL注入漏洞：使用预编译语句（如PDO预处理）或ORM框架，将用户输入作为参数传递，避免直接拼接；②强化会话管理：将会话ID存储在HTTPCookie中，并设置“HttpOnly”和“Secure”属性，防止XSS窃取；③完善日志记录：记录登录IP、用户代理（User-Agent）、成功/失败时间及次数，定期审计日志；④实施登录限制：设置连续5次错误登录后锁定账户30分钟，或要求输入验证码；⑤对敏感操作（如成绩修改）增加二次验证（如短信验证码、动态令牌）；⑥定期使用安全工具（如OWASPZAP）扫描系统，修复潜在漏洞。案例2：某企业财务部门员工张某收到一封主题为“2025年税务申报通知”的邮件，发件人显