信息安全期末试卷及答案

信息安全期末试卷及答案第一部分：单项选择题（本大题共20小题，每小题2分，共40分。在每小题给出的四个选项中，只有一项是符合题目要求的）1.在现代密码学中，评价一个加密算法安全性的核心原则是柯克霍夫原则。该原则的核心内容是（）。A.系统的安全性应依赖于算法的保密性B.系统的安全性应依赖于密钥的保密性C.系统的安全性应依赖于硬件的保密性D.系统的安全性应依赖于软件的混淆2.在公钥密码体制中，发送方用接收方的公钥加密消息，接收方用自己的私钥解密。这种机制主要提供了（）。A.机密性B.完整性C.不可否认性D.认证性3.以下关于MD5和SHA-1哈希函数的描述，正确的是（）。A.MD5的输出长度为160位，SHA-1的输出长度为128位B.MD5和SHA-1都是可逆的加密算法C.由于碰撞攻击的存在，MD5和SHA-1目前已不再推荐用于数字签名等高安全性场景D.SHA-1比MD5计算速度更快，适合高性能场景4.在TCP/IP协议栈中，IPSec协议主要用于在网络层提供安全服务。IPSec的两种工作模式是（）。A.传输模式和隧道模式B.主机模式和网关模式C.主动模式和被动模式D.对称模式和asymmetric模式5.某公司内部网络部署了防火墙，配置规则如下：默认拒绝所有流量；允许源地址/24访问任意目标；允许目标端口为80的HTTP流量通过。如果一个来自外部网络（非/24）的数据包，目标端口为80，它将被（）。A.允许通过B.拒绝C.丢弃D.转发6.SQL注入攻击的核心原因是（）。A.数据库权限配置过高B.Web应用程序未对用户输入进行严格的过滤或参数化查询C.操作系统存在漏洞D.防火墙规则配置错误7.在访问控制模型中，BLP（Bell-LaPadula）模型主要用于解决（）。A.防止未授权用户读取敏感信息（保密性）B.防止未授权用户修改信息（完整性）C.确保数据的可用性D.管理资源的访问权限分配8.数字签名技术不能解决的问题是（）。A.伪造签名B.签名者事后否认签名C.传输过程中的数据被窃听D.接收者篡改接收到的数据9.对称加密算法AES（AdvancedEncryptionStandard）支持的密钥长度不包括（）。A.128位B.192位C.256位D.512位10.在PKI（公钥基础设施）系统中，CA（证书颁发机构）的主要职责是（）。A.存储用户的私钥B.颁发和管理数字证书，并验证证书持有者身份的真实性C.执行加密和解密操作D.监控网络流量11.某文件系统的权限设置如下：rwxr-xr-x。这意味着（）。A.文件所有者有读写执行权限，组用户和其他用户只有读执行权限B.所有用户都有读写执行权限C.文件所有者只有读权限，组用户有写权限D.只有文件所有者有执行权限12.缓冲区溢出攻击利用了程序中的（）缺陷。A.逻辑错误B.内存管理错误，向固定长度的缓冲区写入了超长的数据C.并发控制错误D.数据库连接错误13.Kerberos协议主要用于网络认证，它依赖于（）技术来保证通信安全。A.公钥加密B.对称加密和可信第三方C.哈希函数D.数字签名14.入侵检测系统（IDS）根据工作原理可以分为异常检测和误用检测。其中，异常检测的主要缺点是（）。A.检测率低，无法检测未知攻击B.误报率较高，因为很难定义准确的“正常”行为轮廓C.维护特征库成本高D.无法实时检测15.在网络安全中，中间人攻击（Man-in-the-MiddleAttack）通常可以通过（）来有效防御。A.使用强密码B.安装杀毒软件C.使用SSL/TLS等强认证协议，并验证服务器证书D.关闭不必要的端口16.计算机病毒和蠕虫的主要区别在于（）。A.病毒需要寄生在宿主程序中才能运行，蠕虫可以独立运行并主动传播B.蠕虫会破坏数据，病毒不会C.病毒通过网络传播，蠕虫通过U盘传播D.没有区别，只是叫法不同17.HTTPS协议在HTTP的基础上加入了SSL/TLS层，默认使用的端口号是（）。A.80B.443C.8080D.2218.消息认证码（MAC）用于提供数据完整性和认证。HMAC是一种常用的MAC构造方法，它结合了（）。A.对称加密算法和哈希函数B.公钥加密算法和哈希函数C.两个不同的哈希函数D.哈希函数和密钥19.在信息安全管理中，风险评估的三个核心要素是（）。A.资产、威胁、脆弱性B.人、过程、技术C.机密性、完整性、可用性D.预防、检测、响应20.Diffie-Hellman密钥交换算法的主要作用是（）。A.直接加密传输数据B.在不安全的信道上安全地协商出一个共享密钥C.验证用户的数字身份D.生成哈希摘要第二部分：多项选择题（本大题共10小题，每小题3分，共30分。在每小题给出的四个选项中，有两项或两项以上是符合题目要求的）21.以下哪些属于被动攻击？（）A.流量分析B.搭线窃听C.拒绝服务攻击D.重放攻击22.操作系统安全加固的措施包括（）。A.及时安装系统补丁和更新B.关闭不必要的服务和端口C.设置强密码策略D.禁用系统的日志记录功能23.防火墙可以部署在网络的哪些位置？（）A.网络边界B.内部不同安全域之间C.主机上（主机防火墙）D.数据库服务器内部24.对称加密算法的优点包括（）。A.加密解密速度快B.密钥管理相对简单（在小规模环境下）C.适合长数据加密D.密钥分发方便，无需安全信道25.以下哪些是XSS（跨站脚本攻击）的防御手段？（）A.对用户输入进行严格的过滤和转义B.设置HttpOnly标志位，防止Cookie被JavaScript窃取C.使用内容安全策略（CSP）D.在数据库中存储明文密码26.数字证书包含的主要信息有（）。A.证书序列号B.签发机构的名称C.证书持有者的公钥D.证书的有效期27.按照访问控制的实现方式，访问控制可以分为（）。A.自主访问控制（DAC）B.强制访问控制（MAC）B.基于角色的访问控制（RBAC）D.基于规则的访问控制28.常见的网络钓鱼攻击特征包括（）。A.诱导用户点击恶意链接B.伪装成合法的金融机构或知名公司C.请求提供敏感信息如密码、身份证号D.总是使用HTTP协议而非HTTPS29.关于虚拟专用网（VPN），下列说法正确的有（）。A.VPN可以在公网上建立加密的专用通道B.常用的VPN协议包括PPTP、L2TP、IPSec、OpenVPN等C.VPN只能用于远程访问，不能用于站点到站点互联D.VPN通过隧道技术和加密技术保证数据安全30.为了保障数据库安全，管理员应该采取的措施包括（）。A.最小权限原则，限制数据库用户账号的权限B.定期备份数据库C.对敏感数据进行加密存储D.直接将数据库服务暴露在公网以便管理第三部分：判断题（本大题共15小题，每小题1分，共15分。正确的打“√”，错误的打“×”）31.只要是使用了复杂的加密算法，系统就是绝对安全的，不存在被攻破的可能。（）32.非对称加密算法（如RSA）通常比对称加密算法（如AES）计算速度慢，因此常用于加密少量数据或交换密钥。（）33.DoS（拒绝服务）攻击的目的是耗尽目标系统的资源，使其无法响应合法用户的请求。（）34.基于角色的访问控制（RBAC）中，权限是直接赋予用户的，而不是赋予角色的。（）35.SHA-256算法生成的摘要长度为256比特，即32字节。（）36.在BlumBlumShub随机数生成器中，其安全性基于大整数分解的困难性。（）37.特权账号（如root或Administrator）的日常使用有助于提高管理效率，是良好的安全实践。（）38.所有的恶意软件都需要用户点击才能执行，有些蠕虫可以利用系统漏洞自动传播。（）39.IPSec协议中的AH（AuthenticationHeader）协议提供数据机密性服务，ESP（EncapsulatingSecurityPayload）协议提供数据完整性服务。（）40.社会工程学攻击通常利用人性的弱点（如贪婪、恐惧、好奇）来获取敏感信息或访问权限。（）41.数字证书过期后，只要私钥没有泄露，该证书依然可以继续用于验证身份。（）42.在公钥密码体制中，公钥和私钥是数学相关的，但无法从公钥推导出私钥。（）43.消息摘要算法（MD5、SHA等）可以用于验证文件的完整性，即使文件发生一个比特的变化，摘要值也会发生巨大变化。（）44.防火墙可以有效地防止内部网络的攻击行为。（）45.恶意代码分析中的静态分析是指在不运行恶意程序的情况下，通过反汇编、反编译等手段分析其代码结构。（）第四部分：填空题（本大题共10小题，每小题2分，共20分）46.信息安全的基本三要素是机密性、完整性和________。47.在RSA算法中，若选取两个素数p=61，q=53，则模数n=________。48.DES算法是一种分组密码，其分组长度为________位，有效密钥长度为________位。49.为了防止重放攻击，通常在消息中包含________或时间戳。50.访问控制矩阵是描述主体对客体访问权限的模型，其中行代表________，列代表________。51.在网络攻击中，攻击者通过发送大量构造的ICMP请求包导致目标瘫痪，这种攻击被称为________攻击。52.PGP（PrettyGoodPrivacy）是一种混合加密系统，它结合了________加密和________加密的优点。53.中国商用密码算法标准中，SM4算法属于________算法，SM2算法属于________算法。54.在Windows操作系统中，用于管理本地安全策略的命令行工具（非GUI）可以通过________打开（如mmc命令加载snap-in）。55.常见的Web漏洞扫描工具包括________、BurpSuite等。第五部分：简答题（本大题共5小题，每小题6分，共30分）56.请简述对称加密算法与非对称加密算法的主要区别，并分别列举一个典型的算法。57.什么是“零知识证明”？请用通俗的语言解释其概念。58.请解释什么是“会话劫持攻击”，并给出两种常见的防御措施。59.简述TCP三次握手过程中的SYNFlood攻击原理。60.请列举并解释OWASPTop10中的任意三种Web应用安全风险。第六部分：综合分析题（本大题共3小题，每小题10分，共30分）61.某企业Web服务器日志中发现了大量的如下异常请求：`GET/product.php?id=1UNIONSELECT1,username,passwordFROMusers--`请分析：(1)这是什么类型的攻击？(2)攻击者的意图是什么？(3)作为安全管理员，应如何从根本上修复此漏洞？62.场景分析：Alice想要向Bob发送一份绝密文件，并确保Bob能够确认文件确实是由Alice发送的，且文件在传输过程中未被篡改。请设计一个基于公钥密码体制和哈希函数的安全通信流程，详细描述密钥的使用过程和消息的封装结构。63.某公司网络拓扑如下：Internet->边界防火墙->DMZ区（Web服务器、邮件服务器）->内部防火墙->内部局域网（PC、数据库服务器）。请回答：(1)边界防火墙和内部防火墙的作用有何不同？(2)如果Web服务器被攻陷，攻击者能否直接访问内部局域网的数据库服务器？为什么？(3)为了提高安全性，数据库服务器应该如何配置防火墙规则？第七部分：计算题（本大题共2小题，每小题15分，共30分）64.RSA算法计算题：假设用户Bob选择了两个素数p=17，(1)请计算模数n和欧拉函数ϕ((2)如果Bob选择的公钥指数e=7，请计算私钥指数d。（提示：(3)Alice想向Bob发送消息M=88（假设M<(4)请写出Bob收到密文C后，还原明文M的计算过程。65.哈希与熵计算题：(1)已知哈希函数H的输出长度为256位。假设该哈希函数是理想的随机函数，请问找到一个碰撞（即找到两个不同的输入x≠qy(2)假设有一个密码系统，其字符集包含26个小写字母（a-z），即每个字符的可能状态数为26。如果用户使用一个长度为8的完全随机密码，请计算该密码空间的熵（Entropy），单位为比特。（注：lo答案与解析第一部分：单项选择题1.【答案】B【解析】柯克霍夫原则指出，系统的安全性不应依赖于算法的保密性，而应完全依赖于密钥的保密性。算法应该是公开的，经过公开的密码学分析才能证明其安全性。2.【答案】A【解析】用接收方的公钥加密，只有持有对应私钥的接收方才能解密，这确保了只有指定的接收方能看懂消息，即提供了机密性。3.【答案】C【解析】MD5输出128位，SHA-1输出160位，A错；哈希函数是单向的，不可逆，B错；由于王小云教授等人证明了MD5和SHA-1存在碰撞漏洞，它们不再推荐用于数字签名等高安全需求场景，C正确；通常SHA-1比MD5计算稍慢，D错。4.【答案】A【解析】IPSec有两种模式：传输模式（保护上层协议载荷，通常用于端到端）和隧道模式（保护整个IP包，通常用于网关到网关）。5.【答案】B【解析】防火墙规则匹配通常是自上而下。规则1：允许源/24。外部IP不匹配，继续。规则2：允许目标端口80。外部IP访问端口80匹配此规则，因此允许通过。注意：题目问的是“允许目标端口为80的HTTP流量通过”，如果规则顺序是先允许端口80，则允许。这里题目描述的规则顺序导致匹配了端口规则，故允许。修正审题：题目规则顺序是“默认拒绝；允许源...；允许目标端口80”。外部IP源不匹配第一条，匹配第二条（目标端口80），所以是允许。【解析】防火墙规则匹配通常是自上而下。规则1：允许源/24。外部IP不匹配，继续。规则2：允许目标端口80。外部IP访问端口80匹配此规则，因此允许通过。注意：题目问的是“允许目标端口为80的HTTP流量通过”，如果规则顺序是先允许端口80，则允许。这里题目描述的规则顺序导致匹配了端口规则，故允许。修正审题：题目规则顺序是“默认拒绝；允许源...；允许目标端口80”。外部IP源不匹配第一条，匹配第二条（目标端口80），所以是允许。更正：原题选项可能有歧义，但按照规则逻辑，是允许的。更正：原题选项可能有歧义，但按照规则逻辑，是允许的。再次审视题目选项：A.允许通过。再次审视题目选项：A.允许通过。注：如果题目意思是“允许目标端口为80的HTTP流量通过”是指“允许内部访问外部80”，则需双向规则。但仅就单包入站方向匹配而言，是允许的。注：如果题目意思是“允许目标端口为80的HTTP流量通过”是指“允许内部访问外部80”，则需双向规则。但仅就单包入站方向匹配而言，是允许的。6.【答案】B【解析】SQL注入的根本原因在于应用程序将用户输入直接拼接到SQL命令中交给数据库执行，导致输入中的恶意SQL代码被执行。7.【答案】A【解析】BLP模型是典型的多级安全模型，侧重于保密性，遵循“不上读，不下写”原则。Biba模型侧重于完整性。8.【答案】C【解析】数字签名提供完整性、认证和不可否认性。它不提供机密性，因此无法防止传输过程中的数据被窃听（即数据泄露）。若要防窃听，需配合加密。9.【答案】D【解析】AES标准支持的密钥长度为128、192、256位。不支持512位。10.【答案】B【解析】CA是证书颁发机构，负责绑定公钥与身份，并签名证书。它不存储私钥（私钥由用户自己保管），也不直接执行加密。11.【答案】A【解析】rwx(Owner:读/写/执),r-x(Group:读/执),r-x(Other:读/执)。12.【答案】B【解析】缓冲区溢出是指向固定大小的缓冲区写入超过其容量的数据，覆盖了相邻的内存空间，从而改变程序执行流程。13.【答案】B【解析】Kerberos使用对称加密（基于共享密钥）和可信第三方（KDC）来进行身份认证和密钥分发。14.【答案】B【解析】异常检测通过建立正常行为模型，偏离即报警。难点在于正常行为难以精确界定，导致误报率高。15.【答案】C【解析】防御MITM攻击的关键是验证通信双方的身份。SSL/TLS通过证书链验证服务器身份，防止被中间人冒充。16.【答案】A【解析】病毒是寄生性的，需要宿主程序；蠕虫是独立的，不需要宿主，可利用网络主动复制传播。17.【答案】B【解析】HTTPS默认端口为443，HTTP默认为80。18.【答案】D【解析】HMAC（Hash-basedMessageAuthenticationCode）是利用哈希函数和密钥来生成消息认证码。19.【答案】A【解析】风险评估的核心要素是资产（要保护的对象）、威胁（潜在的破坏者）、脆弱性（资产被利用的弱点）。风险=威胁×脆弱性×资产价值。20.【答案】B【解析】Diffie-Hellman是一种密钥交换协议，用于在不安全的公共信道上协商出共享密钥，本身不用于加密数据传输。第二部分：多项选择题21.【答案】AB【解析】被动攻击主要是窃听或监测，不修改数据。流量分析和搭线窃听属于被动攻击。DoS和重放属于主动攻击。22.【答案】ABC【解析】加固措施包括打补丁、关服务、强密码等。日志记录是安全审计的重要手段，不应禁用，D错。23.【答案】ABC【解析】防火墙可部署在网络边界、内部网络隔离（VLAN间）以及终端主机上。24.【答案】ABC【解析】对称加密速度快，适合大数据量。但在大规模网络中，密钥管理（分发）非常困难，D错误。25.【答案】ABC【解析】XSS防御包括输入过滤、输出转义、HttpOnly防Cookie窃取、CSP策略等。存储明文密码与XSS防御无关且极不安全。26.【答案】ABCD【解析】数字证书包含版本、序列号、签名算法ID、颁发者、有效期、主体、主体公钥信息、扩展字段等。27.【答案】ABC【解析】常见的访问控制策略包括DAC、MAC、RBAC。28.【答案】ABC【解析】钓鱼攻击特征包括诱导点击、伪装身份、索要敏感信息。虽然很多钓鱼网站HTTP，但HTTPS钓鱼也很常见，D不是绝对特征。29.【答案】ABD【解析】VPN可用于远程访问和站点互联（Site-to-Site），C错误。30.【答案】ABC【解析】数据库安全措施包括最小权限、备份、加密。直接暴露数据库在公网是极大的安全风险，D错误。第三部分：判断题31.【答案】×【解析】没有绝对安全的系统。安全是一个过程，且算法可能被攻破，实现可能存在侧信道漏洞。32.【答案】√【解析】非对称加密涉及复杂的数学运算（如大数模幂运算），比对称加密（如位运算、置换）慢得多。33.【答案】√【解析】DoS攻击旨在耗尽资源（CPU、内存、带宽），导致服务不可用。34.【答案】×【解析】RBAC中，权限赋予角色，角色赋予用户。用户通过角色获得权限。35.【答案】√【解析】SHA-256输出256位，即32字节（8位=1字节）。36.【答案】√【解析】BBS生成器的安全性基于大整数分解难题（Blum整数）。37.【答案】×【解析】日常使用特权账号风险极大，一旦账号被攻破或误操作，后果严重。应遵循“最小权限原则”，平时使用普通账号，必要时提权。38.【答案】√【解析】蠕虫利用系统漏洞（如缓冲区溢出、未授权的远程代码执行）自动传播，无需用户交互。39.【答案】×【解析】搞反了。AH只提供完整性和认证（不加密）；ESP提供机密性（加密），同时也提供完整性和认证。40.【答案】√【解析】社会工程学攻击的是“人”这个链条中最薄弱的环节。41.【答案】×【解析】证书过期即失效，必须续签。使用过期证书会导致客户端验证失败。42.【答案】√【解析】公钥密码体制的设计保证公钥和私钥在数学上相关，但在计算上无法从公钥推导出私钥。43.【答案】√【解析】哈希函数具有雪崩效应，输入微小的变化会导致输出巨大的变化。44.【答案】×【解析】传统防火墙主要防外防内，对于内部网络发起的攻击往往缺乏检测能力（除非配置了内网到外网的严格过滤）。45.【答案】√【解析】静态分析不运行代码，通过分析文件结构、反汇编代码等来理解恶意行为。第四部分：填空题46.【答案】可用性47.【答案】3233【解析】n=48.【答案】64；56【解析】DES分组64位，有效密钥56位（输入64位，含8位奇偶校验位）。49.【答案】序列号50.【答案】主体；客体51.【答案】ICMPFlood(或PingFlood)52.【答案】对称；非对称【解析】PGP使用对称加密（如IDEA/AES）加密数据，使用非对称加密（如RSA）加密对称密钥。53.【答案】对称（或分组）；非对称（或公钥/椭圆曲线）【解析】SM4是对称分组密码，SM2是基于椭圆曲线的非对称公钥密码。54.【答案】secpol.msc(或gpedit.msc相关的本地策略，但secpol更直接对应本地安全策略)55.【答案】AWVS(或AppScan,Nessus等)第五部分：简答题56.【答案解】主要区别：(1)密钥数量：对称加密使用同一个密钥（或由一个密钥推导出的简单关系）进行加密和解密；非对称加密使用一对密钥（公钥和私钥），公钥加密私钥解密，或私钥签名公钥验证。(2)处理速度：对称加密算法速度快，效率高，适合处理大量数据；非对称加密算法计算复杂，速度慢，适合处理少量数据。(3)密钥分发：对称加密需要通过安全信道预先分发密钥，密钥管理困难；非对称加密的公钥可以公开分发，私钥自己保管，解决了密钥分发问题。典型算法：对称加密——AES、DES；非对称加密——RSA、ECC。57.【答案解】零知识证明是指证明者（Prover）能够在不向验证者（Verifier）透露任何有用信息（除了“该陈述是真的”这一事实）的情况下，让验证者相信某个论断是正确的。通俗解释：这就好比有一个著名的“阿里巴巴与四十大盗”的故事，阿里巴巴知道藏宝洞的咒语，但他不想让强盗知道咒语。他让强盗站在远处，他自己走进洞口，强盗喊“芝麻开门”，门开了，强盗知道他是对的；或者强盗随便喊一个咒语，门没开。经过多次测试，强盗确信阿里巴巴知道咒语，但阿里巴巴自始至终没有念出咒语，强盗也没听到咒语。58.【答案解】会话劫持攻击是指攻击者接管一个合法用户与服务器之间建立的会话（Session），从而以该用户的身份执行未授权操作。防御措施：(1)使用HTTPS协议加密通信，防止SessionID在网络传输中被窃听。(2)设置SessionID仅通过HttpOnlyCookie传输，防止JavaScript窃取（防XSS）。(3)在SessionID中加入用户代理、IP地址等绑定信息，并在请求时校验。(4)设置合理的Session过期时间，并实现用户登出时立即销毁Session。(5)使用令牌（Token）并定期刷新。59.【答案解】原理：TCP三次握手是：客户端发送SYN包->服务器回复SYN+ACK包，并进入SYN_RCVD状态，等待客户端ACK->客户端发送ACK，连接建立。SYNFlood攻击利用了TCP协议的这个缺陷。攻击者伪造大量源IP地址（通常随机伪造），向服务器发送大量的SYN请求包。服务器收到后回复SYN+ACK，并建立半连接（TCB），进入SYN_RCVD状态等待ACK。由于源IP是伪造的，服务器永远收不到最终的ACK，导致服务器维护大量的半连接队列，耗尽内存和CPU资源，从而无法处理正常的连接请求。60.【答案解】(1)注入：如SQL注入、LDAP注入。攻击者将恶意命令注入到应用查询中。(2)失效的访问控制：应用未正确验证用户是否有权限访问资源，导致越权访问。(3)安全配置错误：默认账户、未更新的库、开放的云存储等配置不当。(4)跨站脚本（XSS）：攻击者在网页中注入恶意脚本，在用户浏览器中执行。(5)不安全的反序列化：对不可信的数据进行反序列化导致远程代码执行。第六部分：综合分析题61.【答案解】(1)攻击类型：SQL注入攻击。(2)攻击者意图：利用`id`参数的注入点，通过`UNIONSELECT`语句，将`users`表中的`username`和`password`字段的数据拼接到正常查询结果中返回。攻击者试图窃取数据库中所有用户的用户名和密码。(3)修复方案：使用参数化查询或预编译语句，这是最根本的防御方法，将数据与代码分离。对用户输入进行严格的类型检查、长度限制和格式过滤。遵循最小权限原则，Web应用连接数据库的账号不应具有管理