2025年Python信息安全编程技能考核试卷（二级）

2025年Python信息安全编程技能考核试卷（二级）考试时间：______分钟总分：______分姓名：______一、选择题（请将正确选项的字母填入括号内）1.在Python中，用于生成强随机数的标准库是？A.`random`B.`hashlib`C.`secrets`D.`cryptography`2.以下哪种加密算法属于对称加密算法？A.RSAB.ECCC.AESD.SHA-2563.在Web应用安全中，SQL注入攻击主要是利用什么来获取未授权数据？A.网络协议漏洞B.不安全的第三方库C.用户输入未经验证直接用于数据库查询D.服务器配置错误4.以下哪个Python函数常用于安全地哈希密码，因为它内置了盐值生成和多次哈希计算？A.`hashlib.md5()`B.`hashlib.sha256()`C.`hashlib.pbkdf2_hmac()`D.`hashlib.sha1()`5.HTTPS协议通过什么技术确保了数据在传输过程中的机密性和完整性？A.对称加密B.数字签名C.公钥基础设施（PKI）和对称加密D.身份认证6.在Python代码中，防止跨站脚本（XSS）攻击的一种基本方法是？A.对所有用户输入进行严格的类型检查B.使用`eval()`函数处理用户输入C.在输出到浏览器前对用户输入进行HTML实体编码D.使用`exec()`函数动态执行安全代码7.以下哪个安全概念指的是，攻击者需要花费非指数级的计算资源才能破解密码？A.可逆性B.抗碰撞性C.计算扩散性D.单向性8.在Python中，处理XML数据时，为了防止XML外部实体（XXE）攻击，应该？A.禁用XML解析器B.对XML输入进行白名单验证C.使用`xml.etree.ElementTree`库并禁用外部实体解析D.将XML数据存储在数据库中避免解析9.证书颁发机构（CA）的主要职责是？A.设计加密算法B.研发安全协议C.验证申请者的身份并签发数字证书D.检测网络中的安全威胁10.以下哪种Python代码片段存在明显的缓冲区溢出（概念性）风险？A.`data=input("Enterdata:")[:10]`B.`secure_random=secrets.token_hex(16)`C.`password_hash=hashlib.sha256(input("Password:").encode()).hexdigest()`D.`result=int(safe_input("Number:"))`(假设`safe_input`函数能确保输入为有效整数)二、填空题（请将答案填写在横线上）1.数字签名主要利用______算法来确保消息的来源真实性和完整性。2.在Python中，`hashlib`库通常用于计算消息摘要，其提供的______函数可以抵抗碰撞攻击。3.为了防御重放攻击，可以在网络请求中包含一个______，该值每次请求时都应唯一且难以预测。4.假设你使用AES-256加密算法，密钥长度为______位。5.当处理用户上传的文件时，为了防止文件类型混淆攻击，应该严格验证文件的______和______。6.在Python中，`try...except...finally`语句块可以用来处理异常，其中______代码块无论是否发生异常都会执行，常用于清理资源。7.“最小权限原则”在操作系统安全中意味着每个进程或用户应该只拥有完成其任务所必需的______。8.HTTPS协议通过在TCP/IP模型的应用层和______层之间加入SSL/TLS协议来实现加密通信。9.哈希函数的“雪崩效应”指的是输入的微小变化会导致输出的______变化。10.Python的`os`模块中的`os.system()`函数直接调用系统命令，如果直接使用用户输入作为参数，可能引发______攻击。三、编程题1.编写一个Python函数`generate_secure_password(length=12)`，该函数使用`secrets`库生成一个包含大小写字母、数字和特殊符号的强随机密码，并返回密码字符串。要求密码长度至少为8位，且必须包含至少一种大写字母、一种小写字母、一种数字和一种特殊符号（例如`!@#$%^&*()`）。2.假设你需要存储用户的密码。编写一个Python函数`hash_password(password,salt)`，该函数接收用户密码和盐值（`salt`）作为输入，使用`hashlib.pbkdf2_hmac`方法（指定`hash_name='sha256'`，`iterations=100000`）生成密码哈希，并返回一个包含盐值和哈希值的元组（`salt`,`hashed_password`）。请确保盐值是随机生成的，并且每次对同一密码使用相同盐值时，生成的哈希值都不同。3.编写一个Python函数`safe_datasanitization(data,allowed_tags=None)`，用于清理HTML或XML输入中的潜在危险内容，以防止XSS攻击。函数接收输入数据`data`和一个可选参数`allowed_tags`（一个允许的HTML标签列表，默认为`None`，表示不允许任何标签）。如果`allowed_tags`为`None`，则函数应返回一个去除所有HTML/XML标签的纯文本字符串。如果`allowed_tags`不为`None`，则函数应仅保留`allowed_tags`中指定的标签及其内容，其他所有标签和脚本等应被移除。提示：可以研究`html`模块或正则表达式实现。四、安全分析题阅读以下Python代码片段，并分析其中存在的安全风险：```pythonimporthashlibdefverify_user_password(stored_password_hash,provided_password):#假设stored_password_hash是数据库中存储的哈希值，格式为"salt:hash"salt,hash_value=stored_password_hash.split(':')#使用用户提供的密码，但使用的是较慢的SHA-1算法进行哈希new_hash=hashlib.sha1(provided_password.encode()).hexdigest()returnnew_hash==hash_value#示例使用user_stored_hash="randomsalt:5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8"user_input_password="userpassword123"ifverify_user_password(user_stored_hash,user_input_password):print("Passwordverified!")else:print("Invalidpassword.")```请指出该代码中至少三个明显的安全风险，并简要说明每个风险的原因及其可能带来的后果。对于其中至少一个风险，提出具体的修复建议。试卷答案一、选择题1.C解析：`secrets`库专为密码学安全设计，生成强随机数。2.C解析：AES是对称加密算法，RSA和ECC是非对称加密算法，SHA-256是哈希算法。3.C解析：SQL注入利用未经验证的用户输入直接嵌入SQL查询，绕过认证。4.C解析：`hashlib.pbkdf2_hmac`通过HMAC和多次迭代实现安全的密码哈希，并支持盐值。5.C解析：HTTPS结合了公钥加密（SSL/TLS）和对称加密来保证传输安全。6.C解析：HTML实体编码可以将特殊字符转换为浏览器可安全显示的格式。7.C解析：计算扩散性要求微小输入变化导致巨大输出变化，是安全哈希函数的特性。8.C解析：`ElementTree`禁用外部实体解析可以防止XXE攻击，这是常见防御措施。9.C解析：CA的核心功能是验证身份并签发可信的数字证书。10.D解析：直接使用用户输入调用`int()`存在注入风险，如果输入非数字会引发`ValueError`，更严重的是如果输入是恶意构造的代码字符串，可能会被`exec()`执行。二、填空题1.公钥解析：数字签名使用非对称加密算法（公钥/私钥对），私钥签名，公钥验证。2.安全的哈希函数解析：`hashlib`提供的安全哈希函数（如SHA-256,SHA-3）设计上抵抗碰撞攻击。3.消息认证码（MAC）或令牌/nonce解析：MAC或一次性令牌（nonce）可以验证消息的完整性和真实性，防止重放。4.256解析：AES-256指使用256位的密钥进行加密。5.内容（MIMEtype）和扩展名（extension）解析：严格验证文件内容类型和文件名扩展名可以防止恶意文件伪装。6.finally解析：`finally`代码块在`try`和`except`块执行后，无论是否发生异常，都会执行。7.权限解析：最小权限原则要求限制访问权限，只授予完成任务必需的最小资源访问权。8.传输层解析：SSL/TLS协议运行在OSI模型的传输层（TCP之上），为应用层提供加密。9.完全解析：雪崩效应指输入比特的微小改变导致输出比特发生大规模、随机化的改变。10.命令注入解析：`os.system()`执行系统命令，若参数为用户输入，则可能导致恶意命令被执行。三、编程题1.```pythonimportsecretsimportstringdefgenerate_secure_password(length=12):iflength<8:raiseValueError("Passwordlengthmustbeatleast8")chars_lower=string.ascii_lowercasechars_upper=string.ascii_uppercasechars_digit=string.digitschars_special="!@#$%^&*()"#确保包含各类字符password=[secrets.choice(chars_lower),secrets.choice(chars_upper),secrets.choice(chars_digit),secrets.choice(chars_special)]#填充剩余长度iflength>4:remaining_length=length-4all_chars=chars_lower+chars_upper+chars_digit+chars_specialpassword+=[secrets.choice(all_chars)for_inrange(remaining_length)]#打乱顺序secrets.SystemRandom().shuffle(password)return''.join(password)```解析思路：a.验证长度至少为8。b.定义字符集：小写、大写、数字、特殊符号。c.确保密码包含至少一种每种类型的字符。d.如果总长度大于4，填充剩余部分，可以使用所有字符集。e.将选中的字符列表打乱顺序以增加随机性。f.将列表连接成字符串返回。2.```pythonimporthashlibimportsecretsdefhash_password(password,salt):ifnotsalt:salt=secrets.token_hex(16)#生成16字节（32十六进制字符）的盐#使用pbkdf2_hmac，指定sha256，迭代次数，盐值，密码hashed_password=hashlib.pbkdf2_hmac('sha256',password.encode(),salt.encode(),100000)return(salt,hashed_password.hex())#返回盐值和十六进制哈希```解析思路：a.接收密码和盐值。如果未提供盐值，则使用`secrets.token_hex`生成一个随机的16字节盐。b.使用`hashlib.pbkdf2_hmac`进行哈希计算。指定`hash_name='sha256'`，`password`需要编码为字节。c.`salt`也需要编码为字节。`iterations=100000`指定计算次数以增加破解难度。d.返回一个元组，包含原始盐值（字符串形式）和哈希值（十六进制字符串形式）。3.```pythonimporthtmlimportredefsafe_data_sanitization(data,allowed_tags=None):ifallowed_tagsisNone:#如果不允许任何标签，移除所有HTML/XML标签returnre.sub('<[^>]+>','',data)else:#允许的标签集合allowed_set=set(allowed_tags)#移除不允许的标签defremove_unallowed(match):tag=match.group(0)iftag[1:].lower()inallowed_set:returntag#保留允许的标签else:return''#移除不允许的标签#使用正则表达式匹配所有标签并处理sanitized_data=re.sub(r'<[^>]+>',remove_unallowed,data)#进一步清理，移除标签内的JavaScript等危险内容（基础版）sanitized_data=re.sub(r'<.*?javascript:.*?>','',sanitized_data,flags=re.IGNORECASE)sanitized_data=html.escape(sanitized_data)#对剩余的保留标签内容进行转义returnsanitized_data```解析思路：a.处理`allowed_tags=None`情况：使用正则表达式`<[^>]+>`匹配所有标签并移除。b.处理`allowed_tags`非空情况：1.创建允许标签的集合`allowed_set`。2.定义一个辅助函数`remove_unallowed`，用于正则匹配回调。检