2025年网络安全考试题及答案

2025年网络安全考试题及答案一、单项选择题（每题1分，共20分。每题只有一个正确答案，请将正确选项字母填入括号内）1.在ISO/IEC27001:2022中，对“信息安全”定义的核心要素不包括（）。A.保密性B.完整性C.可用性D.可审计性答案：D2.下列哪一项最能有效降低针对企业VPN的暴力破解风险（）。A.启用AES256GCM加密B.强制实施多因素认证C.更换默认端口1194D.部署反向代理答案：B3.关于TLS1.3与TLS1.2的差异，下列说法错误的是（）。A.TLS1.3默认使用前向保密B.TLS1.3握手往返次数减少为一次C.TLS1.3支持RSA密钥交换D.TLS1.3废除了压缩字段答案：C4.在Linux系统中，若文件权限为“rwsrxr”，则普通用户执行该文件时进程的EUID为（）。A.调用者UIDB.文件所有者UIDC.0D.文件所属组GID答案：B5.针对容器逃逸，以下哪项内核安全机制可限制容器获取额外权限（）。A.SeccompB.AppArmorC.CapabilityDROPD.SELinux答案：C6.在Windows日志中，事件ID4624表示（）。A.账户登录失败B.账户成功登录C.特权提升D.对象访问答案：B7.使用nmap扫描命令“nmapsSp”时，sS参数的含义是（）。A.TCPSYN扫描B.UDP扫描C.ACK扫描D.窗口扫描答案：A8.以下关于GDPR“数据可携权”的描述正确的是（）。A.仅适用于公共机构B.控制者可收取合理费用C.必须以结构化、常用、机器可读格式提供D.不适用于自动化系统答案：C9.在公钥基础设施中，负责存储并发布已注销证书的是（）。A.RAB.CAC.OCSP响应器D.CRL答案：D10.若某Web应用对输入参数“id=1”返回“1’OR1=1”时报错，则最可能存在的漏洞类型为（）。A.XSSB.SQL注入C.XXED.CSRF答案：B11.在IPv6中，用于实现本地网段地址解析的协议是（）。A.ARPB.NDPC.DHCPv6D.ICMPv6RA答案：B12.关于勒索软件防御，下列措施最先失效的是（）。A.定期离线备份B.网络分段C.主机白名单D.邮件网关沙箱答案：D13.在Python3中，使用hashlib.sha256(b"abc").hexdigest()得到的摘要长度为（）字节。A.32B.64C.16D.20答案：A14.若HSM的FIPS1402等级为Level3，则其必须支持（）。A.双因子认证B.物理防撬检测C.非对称算法D.密钥托管答案：B15.在零信任架构中，用于动态评估终端安全状态的组件是（）。A.SIEMB.SDPC.NACD.CASB答案：C16.以下哪项不是OWASPTop102021新增条目（）。A.不安全设计B.软件与数据完整性失败C.服务端请求伪造D.未受有效管理的组件答案：D17.在BGP安全扩展中，用于验证AS路径真实性的技术是（）。A.RPKIROAB.BGPsecC.ASSETD.Communities答案：B18.若某芯片支持IntelCET，其主要抵御的攻击面是（）。A.侧信道B.ROP/JOPC.缓存污染D.电压毛刺答案：B19.在Android13中，针对应用访问设备标识符的新限制不包括（）。A.禁止非特权应用访问MAC地址B.限制读取IMEIC.禁止访问广告IDD.限制读取UUID答案：C20.关于量子计算对密码学的影响，下列算法被Shor算法直接影响的是（）。A.AES128B.SHA256C.RSA2048D.HMACSHA512答案：C二、多项选择题（每题2分，共20分。每题有两个或两个以上正确答案，多选、少选、错选均不得分）21.以下哪些属于对称加密算法（）。A.SM4B.ChaCha20Poly1305C.ECDSAD.3DES答案：A、B、D22.在Kubernetes中，可限制容器CPU使用的资源对象包括（）。A.LimitRangeB.ResourceQuotaC.PodSecurityPolicyD.HorizontalPodAutoscaler答案：A、B23.关于内存安全漏洞，下列描述正确的是（）。A.堆溢出可导致任意地址写B.UAF可绕过ASLRC.栈溢出无法绕过DEPD.类型混淆可造成虚表劫持答案：A、B、D24.以下日志中可发现PasstheHash攻击痕迹的有（）。A.Windows4624B.Windows4648C.Windows4768D.Windows4769答案：B、C、D25.在DevSecOps流水线中，属于SAST工具的有（）。A.SonarQubeB.CheckmarxC.FortifyD.OWASPZAP答案：A、B、C26.关于国密算法，下列说法正确的是（）。A.SM2基于椭圆曲线B.SM3输出256位摘要C.SM4分组长度为128位D.SM9属于标识密码答案：A、B、C、D27.以下哪些协议可被用于DNS隧道（）。A.TXT记录B.CNAME记录C.AAAA记录D.MX记录答案：A、B、C、D28.在iOS16中，可提升越狱难度的安全机制包括（）。A.PointerAuthenticationB.KTRRC.PPLD.Sandboxing答案：A、B、C29.以下哪些属于网络杀伤链（CyberKillChain）的七阶段（）。A.武器化B.投递C.横向移动D.渗透答案：A、B、C30.关于云原生安全，下列措施能够缓解容器镜像投毒的有（）。A.镜像签名B.镜像漏洞扫描C.运行时沙箱D.KMS加密答案：A、B、C三、填空题（每空2分，共20分）31.在Linux系统中，用于强制访问控制的安全模块SELinux默认策略模式为________。答案：Enforcing32.若某RSA密钥的模数N=pq，其中p=61，q=53，则欧拉函数φ(N)=________。答案：312033.在Wireshark过滤器中，用于仅显示HTTP状态码为404的表达式为________。答案：http.response.code==40434.在SQLMap中，参数“tamper=space2comment”的作用是________。答案：将空格替换为注释符号以绕过WAF35.当利用Heartbleed漏洞读取OpenSSL内存时，可发送的TLS心跳扩展类型值为________。答案：2436.在Windows中，用于列出所有本地用户组的命令为________。答案：netlocalgroup37.若某网站采用HSTS策略且预加载，则响应头中包含的maxage最小推荐值为________秒。答案：3153600038.在IPv6地址2001:0db8:0000:0000:0000:ff00:0042:8329中，压缩写法为________。答案：2001:db8::ff00:42:832939.在公钥证书中，若SubjectAlternativeName字段出现“DNS:.”，则该证书可匹配的子域深度为________级。答案：140.在AndroidAPK逆向中，用于将dex文件转换为jar格式的开源工具是________。答案：dex2jar四、简答题（每题10分，共30分）41.简述Kerberos认证过程中TGT与ST的区别，并说明为何需要预认证（preauthentication）。答案：1)TGT（TicketGrantingTicket）由AS（AuthenticationService）颁发，用于客户端向TGS（TicketGrantingService）请求服务票据，包含客户端身份、会话密钥、有效期等，并用KRBTGT账户的NTLMHash加密。2)ST（ServiceTicket）由TGS颁发，用于客户端访问具体服务，包含客户端身份、服务主体名称、会话密钥等，并用目标服务的账户Hash加密。3)预认证要求客户端在请求TGT时提供时间戳，并用客户端密钥加密，防止离线暴力破解密码：若无预认证，攻击者可任意获取TGT加密包并离线穷举密码，预认证强制先证明客户端拥有正确密钥，提升安全性。42.描述一次完整的DNSSEC验证流程，并指出其中用于防止“域名不存在”欺骗的记录类型。答案：1)递归解析器向权威服务器查询的A记录，同时请求RRSIG。2)权威返回A记录、RRSIG、DNSKEY及DS记录。3)解析器使用父区（.com）的DS记录验证子区DNSKEY的哈希，再用DNSKEY验证RRSIG，确保A记录完整性。4)若域名不存在，权威返回NSEC（或NSEC3）记录，该记录以链式结构证明确实不存在对应域名，同时附带RRSIG；解析器通过NSEC/NSEC3的签名验证防止伪造NXDOMAIN。用于防止“域名不存在”欺骗的记录类型为NSEC或NSEC3。43.说明在微服务架构下，如何利用Istio实现mTLS双向认证，并给出关键配置片段。答案：1)部署Istio控制面后，为命名空间启用自动注入：kubectllabelnamespacedefaultistioinjection=enabled。2)创建PeerAuthentication策略，强制mTLS：apiVersion:security.istio.io/v1beta1kind:PeerAuthenticationmetadata:name:defaultspec:mtls:mode:STRICT3)创建DestinationRule定义客户端TLS模式：apiVersion:networking.istio.io/v1beta1kind:DestinationRulemetadata:name:defaultspec:host:".default.svc.cluster.local"trafficPolicy:tls:mode:ISTIO_MUTUAL4)Istio自动为Sidecar签发SPIFFEID证书，实现双向TLS，无需应用改动。五、综合应用题（共60分）44.漏洞分析题（15分）阅读以下Java代码片段：```javapublicclassDownloadServletextendsHttpServlet{protectedvoiddoGet(HttpServletRequestreq,HttpServletResponseresp)throwsIOException{StringfileName=req.getParameter("name");Filefile=newFile("/data/storage/"+fileName);resp.setHeader("ContentDisposition","attachment;filename="+fileName);Files.copy(file.toPath(),resp.getOutputStream());}}```（1）指出存在的安全漏洞并说明危害（5分）。（2）给出两种修复方案并附关键代码（10分）。答案：（1）存在任意文件下载（路径遍历）漏洞，攻击者可通过name=../../../etc/passwd读取系统敏感文件，造成信息泄露。（2）方案A：采用文件白名单+UUID映射：```javaMap<String,String>map=Map.of("report","a1b2c3d4.pdf");Stringuuid=req.getParameter("id");if(!map.containsKey(uuid))thrownewSecurityException();Pathp=Paths.get("/data/storage/",map.get(uuid));p=p.toRealPath();//解析符号链接if(!p.startsWith("/data/storage"))thrownewSecurityException();Files.copy(p,resp.getOutputStream());```方案B：使用SpringContentDisposition：```javaStringname=req.getParameter("name");name=Paths.get(name).getFileName().toString();//剥离路径Pathp=Paths.get("/data/storage").resolve(name).normalize();if(!p.startsWith("/data/storage"))thrownewSecurityException();```45.渗透测试计算题（15分）已知某Web登录接口采用MD5(password+salt)存储，salt为8位随机数字。攻击者拿到哈希值“a3d8f1e5...”与对应salt“12345678”，并获取200万条常见口令字典。（1）若使用RTX4090GPU，Hashcat速度为120GH/s，估算穷举该salt+字典所需最长时间（秒）（5分）。（2）若将salt升级为128位随机值，计算所需平均时间并评估可行性（5分）。（3）给出提升该场景安全性的改进方案（5分）。答案：（1）字典大小2×10^6，每条需计算一次MD5，时间=2×10^6/120×10^9≈1.67×10^5秒。（2）128位salt空间为2^128，平均需2^127次计算，时间=2^127/120×10^9≈1.4×10^28秒，远超宇宙年龄，不可行。（3）改用bcrypt(scrypt/PBKDF2)+随机128位salt+迭代10万次，同时实施登录限速、多因素认证、验证码防暴力。46.网络取证分析题（15分）给出pcap片段：Frame1:0>DNSStandardquery0x1234AFrame2:>0DNSStandardresponse0x1234A8Frame3:0>8HTTPGET/wpcontent/uploads/2025/shell.txtFrame4:8>0HTTP/1.1200OK(text/plain)MZheader...（1）指出攻击者利用的初始向量（3分）。（2）说明shell.txt的MZ头意味着什么（3分）。（3）给出后续攻击可能路径（4分）。（4）写出Wireshark过滤器提取相关HTTP载荷的命令（5分）。答案：（1）通过DNS查询获取恶意域名的A记录，利用DNS响应投毒或正常解析得到C2地址。（2）MZ头为DOS可执行文件标志，表明shell.txt