2025年度全国大学生网络安全知识竞赛题库及答案(三)

2025年度全国大学生网络安全知识竞赛题库及答案(三)一、单项选择题（每题2分，共40分）1.以下哪项是AES加密算法支持的密钥长度？A.56位B.128位、192位、256位C.1024位D.2048位答案：B2.某网站用户登录时，服务器返回“500InternalServerError”，最可能的原因是？A.客户端网络中断B.服务器端代码执行错误C.客户端浏览器不兼容D.DNS解析失败答案：B3.以下哪种攻击方式利用了操作系统或应用程序的漏洞，通过发送特制数据包触发异常执行？A.DDoS攻击B.缓冲区溢出攻击C.钓鱼攻击D.社会工程学攻击答案：B4.根据《中华人民共和国数据安全法》，关键信息基础设施运营者在境内运营中收集和产生的重要数据，应当如何处理？A.可自由向境外提供B.经安全评估后可向境外提供C.需经国家网信部门批准后向境外提供D.禁止向境外提供答案：B5.以下哪个协议是HTTPS的底层安全协议？A.FTPB.TLSC.SMTPD.DNS答案：B6.某用户收到一封邮件，标题为“您的账户即将冻结，请点击链接验证”，链接指向“”，这最可能是哪种攻击？A.水坑攻击B.钓鱼攻击C.中间人攻击D.勒索软件攻击答案：B7.以下哪种哈希算法已被证明存在碰撞漏洞，不建议用于安全场景？A.SHA-256B.SHA-3C.MD5D.BLAKE3答案：C8.在SQL注入攻击中，攻击者主要利用的是？A.数据库系统的身份认证漏洞B.应用程序对用户输入过滤不严C.操作系统的权限管理缺陷D.网络传输中的数据明文泄露答案：B9.以下哪项是零信任架构（ZeroTrustArchitecture）的核心原则？A.信任内网所有设备B.持续验证访问请求的合法性C.仅验证用户身份，不验证设备D.开放所有端口和服务答案：B10.移动应用（App）获取用户“位置信息”权限时，正确的做法是？A.安装时一次性请求所有权限，包括位置、相机、通讯录B.在需要使用位置功能时，动态请求权限C.默认开启位置权限，用户无法关闭D.仅在首次使用时请求权限，后续自动获取答案：B11.以下哪种加密方式属于非对称加密？A.AESB.DESC.RSAD.RC4答案：C12.某企业数据库存储用户密码时，正确的处理方式是？A.明文存储B.使用MD5哈希存储（无盐值）C.使用BCrypt哈希存储（带随机盐值）D.使用SHA-1哈希存储（带固定盐值）答案：C13.以下哪项是DDoS攻击的主要目的？A.窃取用户隐私数据B.破坏目标服务器的可用性C.篡改网站页面内容D.植入恶意软件答案：B14.根据《网络安全法》，网络运营者应当制定（），及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。A.数据备份计划B.网络安全事件应急预案C.用户信息保护制度D.员工安全培训方案答案：B15.以下哪种行为符合“最小权限原则”？A.系统管理员账户同时用于日常办公B.普通用户仅拥有执行必要任务的权限C.数据库管理员拥有服务器所有文件的读写权限D.开发人员拥有生产环境数据库的删除权限答案：B16.物联网设备（如智能摄像头）的常见安全风险不包括？A.弱口令或默认密码B.固件未及时更新C.支持HTTPS加密传输D.未关闭不必要的端口答案：C17.以下哪项是社会工程学攻击的典型手段？A.利用系统漏洞植入恶意代码B.通过钓鱼邮件诱导用户透露密码C.发送大量数据包导致服务瘫痪D.篡改DNS记录指向恶意网站答案：B18.在云计算场景中，“云服务商”和“用户”的安全责任边界通常划分是？A.云服务商负责物理层和基础设施安全，用户负责应用和数据安全B.云服务商负责全部安全，用户无需管理C.用户负责全部安全，云服务商仅提供资源D.双方共同负责，无明确边界答案：A19.以下哪种工具常用于网络渗透测试中的漏洞扫描？A.WiresharkB.NmapC.MetasploitD.JohntheRipper答案：B（注：Nmap主要用于端口扫描和服务发现，漏洞扫描常用工具如Nessus，但此题选项中B为最接近）20.某网站采用“双因素认证（2FA）”，用户登录时需要提供的两种凭证通常是？A.用户名+密码B.密码+短信验证码C.密码+指纹D.短信验证码+邮箱验证码答案：B（注：双因素需不同类别，如“知识+拥有”，密码是知识，短信验证码是拥有类）二、判断题（每题1分，共10分）1.钓鱼邮件的链接一定包含恶意代码。（）答案：×（可能仅用于收集用户输入的账号密码）2.默认情况下，Windows系统的Guest账户是禁用的。（）答案：×（默认启用但权限极低）3.对称加密的密钥需要在传输中保密，非对称加密的公钥可以公开。（）答案：√4.所有HTTPS网站的证书都经过CA机构严格审核，因此绝对安全。（）答案：×（存在钓鱼网站使用伪造证书或CA信任链被攻击的情况）5.手机开启“开发者模式”不会带来安全风险。（）答案：×（可能允许安装未知来源应用或调试接口被利用）6.数据库的“索引”越多，查询速度越快，因此应尽可能多创建索引。（）答案：×（过多索引会影响写入性能）7.区块链的“不可篡改性”是因为每个区块包含前一区块的哈希值，修改一个区块需重新计算后续所有区块哈希。（）答案：√8.物联网设备的MAC地址可以通过网络直接获取，因此无法用于设备身份验证。（）答案：×（可结合其他信息用于验证，但单独使用不安全）9.微信支付的“指纹支付”属于单因素认证。（）答案：×（属于生物特征+设备信任的多因素认证）10.网络安全等级保护（等保2.0）要求第三级信息系统需每年至少进行一次安全测评。（）答案：√三、填空题（每题2分，共20分）1.TCP三次握手的第二步是服务器向客户端发送______报文。答案：SYN-ACK2.常见的Web应用防火墙缩写是______。答案：WAF3.哈希算法的主要特性包括碰撞抵抗、______和抗篡改。答案：单向性（或抗原像攻击）4.《个人信息保护法》规定，处理个人信息应当具有明确、合理的______，并应当与处理目的直接相关。答案：目的5.漏洞生命周期中，未被公开且未被修复的漏洞称为______漏洞。答案：0day6.移动应用的“沙盒机制”主要用于限制应用的______范围。答案：系统访问（或资源访问）7.钓鱼攻击的常见类型包括邮件钓鱼、______钓鱼和二维码钓鱼。答案：网页（或短信）8.云计算的三种服务模式是IaaS、PaaS和______。答案：SaaS9.网络攻击的杀伤链（CyberKillChain）包括侦察、武器化、交付、______、安装、命令与控制、行动与目标达成。答案：利用（或漏洞利用）10.数据脱敏的常见技术包括匿名化、______和掩码处理。答案：泛化（或去标识化）四、简答题（每题6分，共30分）1.简述SQL注入攻击的原理及防御措施。答案：原理：攻击者通过在用户输入中插入SQL指令，利用应用程序对输入过滤不严的漏洞，使后端数据库执行非预期的SQL语句，导致数据泄露、篡改或删除。防御措施：①使用参数化查询（预编译语句），分离数据与代码；②对用户输入进行严格过滤和校验（如白名单验证）；③限制数据库账户权限（最小权限原则）；④启用Web应用防火墙（WAF）检测异常SQL模式；⑤定期更新数据库补丁，修复已知漏洞。2.说明“中间人攻击（MITM）”的常见场景及防范方法。答案：常见场景：①公共Wi-Fi环境中，攻击者通过ARP欺骗劫持网络流量；②伪造基站拦截手机通信；③篡改DNS记录将用户导向恶意网站。防范方法：①使用HTTPS协议加密传输（验证服务器证书有效性）；②避免连接未加密的公共Wi-Fi，或使用VPN；③定期检查设备IP和MAC地址绑定（如静态ARP）；④启用DNS加密（如DNS-over-HTTPS）；⑤注意浏览器地址栏的安全标识（如锁标志）。3.列举《网络安全法》中网络运营者的三项主要责任。答案：①制定内部安全管理制度和操作规程，确定网络安全负责人；②采取技术措施防范计算机病毒和网络攻击、侵入；③制定网络安全事件应急预案，定期进行演练；④对用户进行真实身份信息认证（如实名制）；⑤保障网络数据的完整性、保密性和可用性（任选三项）。4.简述移动应用（App）过度索权的危害及用户应对措施。答案：危害：①敏感权限（如通讯录、位置）被滥用，导致隐私泄露；②冗余权限可能被攻击者利用，发起越权操作；③增加应用被植入恶意代码的风险（权限越高，破坏范围越大）。应对措施：①安装前查看应用权限列表，选择权限最少的应用；②拒绝非必要权限请求（如天气应用请求通讯录权限）；③定期检查已安装应用的权限，关闭不必要权限；④选择正规应用商店下载（如苹果AppStore、华为应用市场）；⑤启用手机的“权限监控”功能，实时提醒异常权限调用。5.解释“零信任架构”的核心思想，并举例说明其应用场景。答案：核心思想：默认不信任网络内外部的任何设备、用户或应用，要求所有访问请求必须经过持续验证（包括身份、设备状态、环境安全等），仅授予最小必要权限。应用场景：企业员工远程访问内部系统时，需验证账号密码（身份）、设备是否安装最新补丁（设备状态）、登录IP是否异常（环境），通过后仅开放访问特定业务系统的权限，而非整个内网。五、案例分析题（每题10分，共20分）案例1：某高校图书馆管理系统数据泄露事件2024年11月，某高校图书馆管理系统被曝用户数据泄露，涉及2万条读者信息（姓名、学号、借阅记录、手机号）。经调查，泄露原因包括：①数据库未开启访问日志记录；②用户密码存储为明文；③系统存在SQL注入漏洞未修复；④管理员使用弱口令（如“123456”）登录后台。问题：（1）分析该事件中暴露的网络安全隐患；（2）提出至少4项针对性的整改措施。答案：（1）隐患：①日志缺失导致无法追踪攻击路径；②密码明文存储违反安全规范；③未及时修复已知SQL注入漏洞（漏洞管理缺失）；④管理员弱口令导致后台易被破解；⑤数据安全保护措施不足（敏感数据未加密存储）。（2）整改措施：①启用数据库访问日志并定期审计；②将密码存储方式改为哈希加盐（如BCrypt）；③使用漏洞扫描工具（如Nessus）定期检测并修复系统漏洞；④强制管理员设置强口令（长度≥12位，包含字母、数字、符号）；⑤对用户信息中的敏感字段（如手机号）进行脱敏处理（如显示“1381234”）；⑥部署Web应用防火墙（WAF）拦截SQL注入攻击。案例2：某电商平台用户收到“订单异常”钓鱼短信2024年12月，用户张某收到短信：“您的订单（编号123456）因系统故障未支付，点击重新支付，超时将取消订单。”张某点击链接后跳转至仿冒的电商支付页面，输入银行卡信息后账户被盗刷5000元。问题：（1）分析张某受骗的主要原因；（2）说明用户在收到类似短信时的正确应对方法。答案：（1）原因：①短信内容利用用户对订