2026年网络与信息安全考试试题及答案

2026年网络与信息安全考试试题及答案1.单项选择题（每题1分，共20分）1.1在TLS1.3握手过程中，用于实现前向安全性的密钥交换机制是A.RSA密钥传输B.静态Diffie-HellmanC.临时EphemeralDiffie-HellmanD.ECDSA签名答案：C1.2下列哪一项最能描述“零信任”模型的核心原则？A.默认信任内网流量B.先认证后连接C.基于边界防火墙的访问控制D.使用单因子身份验证答案：B1.3在Linux系统中，若文件权限位为“-rwsr-xr--”，则该文件A.所有者可执行且SGID置位B.所有者可执行且SUID置位C.组用户可写且Sticky置位D.其他用户可写且SUID置位答案：B1.4AES-GCM模式相比AES-CBC模式的主要优势是A.需要填充B.不提供完整性校验C.内置认证标签D.必须使用PKCS#7答案：C1.5在Windows日志中，事件ID4624表示A.账户登录失败B.账户成功登录C.特权提升D.服务启动答案：B1.6下列哪种算法被NIST选为后量子密码标准化第三轮finalists中的密钥封装机制？A.RSA-4096B.KyberC.ECDH-P384D.SHA-3答案：B1.7在BGP安全扩展中，用于验证AS路径真实性的技术是A.RPKIRouteOriginValidationB.IPsecC.DNSSECD.MACsec答案：A1.8针对JSONWebToken的攻击方式“alg=none”属于A.跨站脚本B.算法混淆C.重放攻击D.时序攻击答案：B1.9在Android13中，限制应用访问已安装软件列表的权限是A.QUERY_ALL_PACKAGESB.INSTALL_PACKAGESC.DELETE_PACKAGESD.SYSTEM_ALERT_WINDOW答案：A1.10使用Shamir秘密共享方案，将密钥分成5份，恢复阈值设为3，则任意A.2份即可恢复B.3份即可恢复C.4份才能恢复D.5份才能恢复答案：B1.11在OWASPTop102021中，排名首位的是A.注入B.失效的访问控制C.加密失败D.不安全设计答案：B1.12针对SMTP的STARTTLS命令downgrade攻击通常利用A.DNS缓存投毒B.BGP劫持C.透明代理剥离D.SYNflood答案：C1.13在Kubernetes中，默认允许所有Pod间通信的网络策略称为A.默认拒绝B.默认允许C.网络隔离D.服务网格答案：B1.14下列哪条命令可查看Linux系统当前已加载的内核模块？A.lsmodB.lsblkC.lsofD.lspci答案：A1.15在密码哈希竞赛PHC中获胜的算法是A.bcryptB.scryptC.Argon2D.PBKDF2答案：C1.16针对机器学习模型的模型逆向攻击主要目的是A.提升准确率B.重构训练数据C.降低延迟D.增加泛化能力答案：B1.17在IPv6中，用于发现重复地址的报文类型是A.RouterAdvertisementB.NeighborSolicitationC.RedirectD.EchoRequest答案：B1.18在SQLTDE（透明数据加密）中，层级最高的密钥是A.数据库加密密钥B.服务主密钥C.数据库主密钥D.对称工作密钥答案：B1.19在Wireshark中，过滤表达式“tcp.flags.syn==1andtcp.flags.ack==0”表示A.SYN-ACK包B.纯SYN包C.FIN包D.RST包答案：B1.20当使用HSTS时，浏览器在收到“Strict-Transport-Security:max-age=31536000;includeSubDomains”后A.立即跳回HTTPB.仅对主域生效C.一年内强制HTTPS并包含子域D.忽略证书错误答案：C2.多项选择题（每题2分，共20分，每题至少两个正确答案，多选少选均不得分）2.1以下哪些属于侧信道攻击？A.功耗分析B.缓存时序C.故障注入D.暴力破解答案：A、B、C2.2关于DNSSEC，下列说法正确的是A.使用RRSIG记录提供签名B.使用DS记录建立信任链C.提供数据机密性D.使用NSEC3防止区域遍历答案：A、B、D2.3在零知识证明协议中，以下性质必须满足A.完备性B.可靠性C.零知识性D.可延展性答案：A、B、C2.4以下哪些措施可缓解CSRF攻击？A.SameSiteCookieB.验证Referer头C.使用CSRFTokenD.启用CORS任意域名答案：A、B、C2.5关于Ransomware防御，正确的是A.离线备份B.最小权限原则C.关闭宏脚本D.禁用补丁更新答案：A、B、C2.6在Linuxcapabilities中，与root权限等价的高危cap包括A.CAP_SYS_ADMINB.CAP_DAC_OVERRIDEC.CAP_NET_RAWD.CAP_SETUID答案：A、D2.7以下哪些属于后量子签名算法？A.DilithiumB.FalconC.RainbowD.ECDSA答案：A、B、C2.8关于HTTP/3，下列正确的是A.基于QUICB.默认加密C.使用TCPD.支持0-RTT答案：A、B、D2.9在Android应用逆向中，可用来检测Root环境的指标有A.su二进制文件存在B.SafetyNetAPIC.调试器附加D.ro.debuggable=1答案：A、B、C、D2.10以下哪些日志源可用于APT溯源？A.Proxy日志B.DNS日志C.内存dumpD.NetFlow答案：A、B、C、D3.填空题（每空1分，共20分）3.1在TLS1.3中，用于完成握手最终密钥派生的函数为\_\_HKDF\_\_。3.2SHA-256输出长度为\_\_256\_\_位，其内部状态大小为\_\_256\_\_位。3.3在Windows中，用于存储用户哈希的SAM文件位于路径\_\_%SystemRoot%\system32\config\SAM\_\_。3.4针对JWT的“kid”参数进行目录遍历时，常用伪协议\_\_file://\_\_读取任意文件。3.5在Kubernetes中，ServiceAccount的Token默认挂载到Pod内路径\_\_/var/run/secrets/kubernetes.io/serviceaccount\_\_。3.6在IPv4中，TTL字段长度为\_\_8\_\_位，最大值为\_\_255\_\_。3.7在公钥基础设施中，用于撤销证书的实时协议是\_\_OCSP\_\_。3.8在Linux中，用于限制系统调用的安全机制是\_\_seccomp\_\_。3.9在密码学中，满足“相同明文产生不同密文”的性质称为\_\_语义安全\_\_或\_\_IND-CPA\_\_。3.10在Android中，用于验证应用签名的算法默认采用\_\_PKCS#7\_\_格式。3.11在BGP中，16位字段\_\_AS\_PATH\_\_用于防止环路。3.12在Wireshark中，显示过滤器“http.request.method==POST”筛选的是\_\_HTTPPOST请求\_\_。3.13在SQL注入中，使用“UNIONSELECT”必须保证\_\_列数一致\_\_。3.14在密码哈希中，bcrypt工作因子取值范围通常为\_\_4-31\_\_。3.15在PowerShell中，执行策略为\_\_RemoteSigned\_\_时，本地脚本无需数字签名即可运行。3.16在NISTSP800-63B中，推荐用户密码最小长度为\_\_8\_\_字符。3.17在Docker中，默认的cgroups版本为\_\_v1\_\_，但新版本可启用\_\_v2\_\_。3.18在iOS越狱检测中，若存在文件\_\_/Applications/Cydia.app\_\_则判定已越狱。3.19在无线安全标准WPA3中，密钥建立协议名为\_\_SAE\_\_，又称\_\_Dragonfly\_\_。3.20在内存安全语言Rust中，防止空指针引用的类型为\_\_Option<T>\_\_。4.简答题（每题6分，共30分）4.1简述TLS1.3与TLS1.2在握手延迟上的差异，并给出量化对比。答案：TLS1.2完整握手需2-RTT：ClientHello→ServerHello→Certificate→ClientKeyExchange→Finished。TLS1.3通过将证书与密钥交换合并，并支持0-RTT恢复，首次握手降至1-RTT：ClientHello+key_share→ServerHello+EncryptedExtensions+Certificate+Finished→ClientFinished。0-RTT模式下，后续连接可0-RTT发送应用数据，延迟减少1个RTT。量化：假设RTT=50ms，TLS1.2首次延迟100ms，TLS1.3首次50ms，后续0-RTT延迟0ms。4.2解释Rowhammer攻击原理，并给出两种缓解措施。答案：Rowhammer利用DRAM高密度单元反复激活同一行导致相邻行电荷泄漏，引发位翻转。攻击者通过缓存驱逐+CLFLUSH指令高频访问目标行，修改相邻行数据，实现权限提升。缓解：1.硬件：使用ECCDRAM检测并纠正单比特错误；2.软件：在OS层实施内存分区，隔离敏感数据与不可信内存页，并启用TRR（TargetRowRefresh）机制刷新邻近行。4.3描述Kubernetes中NetworkPolicy的工作机制，并给出拒绝所有入站流量的YAML示例。答案：NetworkPolicy通过标签选择Pod，并定义ingress/egress规则，由CNI插件（Calico/Cilium）实现iptables/eBPF过滤。示例：```yamlapiVersion:networking.k8s.io/v1kind:NetworkPolicymetadata:name:deny-all-ingressspec:podSelector:{}policyTypes:Ingress```该策略选中所有Pod，未定义ingress规则，因此默认拒绝所有入站流量。4.4说明差分隐私中的ε-差分隐私定义，并给出拉普拉斯机制添加噪声的公式。答案：定义：随机机制M满足ε-差分隐私，若对任意相邻数据集D,D'（相差一条记录）及任意输出S，有Pr拉普拉斯机制：对查询函数f，添加噪声M其中敏感度Δf=max|f(D)-f(D')|。4.5列举三种常见的容器逃逸漏洞，并简述其利用条件。答案：1.特权容器：启动时加--privileged，可访问宿主机/dev、/sys，通过写入cgroupnotify_on_release实现逃逸；2.危险挂载：将宿主机/var/run/docker.sock挂载到容器，攻击者调用DockerAPI创建高权限容器；3.内核漏洞：如CVE-2022-0847（DirtyPipe），容器内利用内核管道写任意文件，覆盖宿主机/sbin/udevd实现代码执行。5.应用题（共60分）5.1计算题（10分）某组织使用AES-256-GCM加密每日备份，密钥通过PBKDF2派生，迭代次数100000，盐长128bit，用户口令entropy42bit。假设攻击者使用GPU集群，每秒可尝试2^{30}次HMAC-SHA-256计算，估算平均破解时间。答案：PBKDF2工作因子t=10^5，总计算量2^{42}·10^5次HMAC。GPU速率2^{30}HMAC/s，平均时间T5.2分析题（15分）给出一段PythonFlask代码：```python@app.route('/download')defdownload():filename=request.args.get('f')returnsend_file(os.path.join('/data',filename))```指出漏洞类型、利用方式及修复方案。答案：路径遍历漏洞。攻击者提交f=../../../etc/passwd，拼接后读取任意文件。修复：1.使用os.path.basename剔除路径；2.白名单校验允许扩展名；3.使用Flasksafe_join。5.3综合题（20分）某企业采用混合云架构，本地AD与AWSIAM通过SAML联合。设计一个包含身份、网络、数据、审计四层的防护方案，要求：1.支持MFA；2.限制仅公司IP可访问S3；3.数据加密；4.日志保存365天。给出架构图描述及关键配置片段。答案：身份层：部署ADFS作为IdP，启用AzureMFANPS扩展，SAML断言含role属性映射AWSRole。网络层：在AWS部署VPCEndpointforS3，绑定SCP策略仅允许公司出口IP/24；在ADFS前使用WAF，设置GeoIP拦截。数据层：S3桶启用SSE-KMS，密钥轮换365天；BucketPolicy显式Deny非加密上传；启用MFADelete。审计层：CloudTrail组织级聚合，日志写入S3GlacierDeepArchive，生命周期策略365天后转归档；使用Athena建立分区表，定期查询异常。关键配置：```json{"Version":"2012-10-17","Statement":[{"Sid":"IPAllow","Effect":"Deny","Principal":"","Principal":"","Action":"s3:","Action":"