2026年计算机网络安全考试试题及答案

2026年计算机网络安全考试试题及答案1.单项选择题（每题1分，共20分）1.1在SSL/TLS握手阶段，用于协商对称加密算法的报文是A.ClientHello B.ServerHello C.Certificate D.ServerKeyExchange答案：A1.2以下哪一项不是AES的工作模式A.ECB B.CBC C.CFB D.RSA答案：D1.3关于防火墙默认策略，first-match与last-match的区别在于A.匹配顺序相反 B.日志记录方式不同 C.对隐含拒绝的处理不同 D.对NAT的处理不同答案：C1.4在Windows系统中，能够直接查看当前登录用户令牌权限的命令是A.whoami B.whoami/priv C.netuser D.quser答案：B1.5以下哪种技术最能有效缓解CSRF攻击A.CAPTCHA B.SameSiteCookie C.XSSFilter D.HSTS答案：B1.6关于SHA-3与SHA-2，下列说法正确的是A.SHA-3基于MD结构 B.SHA-3使用Keccak海绵结构 C.SHA-3输出长度固定256位 D.SHA-3已被NIST废弃答案：B1.7在Linux能力（capability）机制中，CAP_SYS_MODULE允许A.修改系统时间 B.加载内核模块 C.绕过文件权限检查 D.创建原始套接字答案：B1.8针对BGP路由劫持的最直接监测技术是A.RPKIROV B.DNSSEC C.RTBH D.SYNCookie答案：A1.9以下哪条命令可用于离线提取WindowsSAM哈希A.mimikatz::lsa B.secretsdump.py C.netsh D.wmic答案：B1.10在OWASPTop102021中，排名首位的是A.访问控制失效 B.加密失败 C.注入 D.不安全设计答案：A1.11关于零信任模型，错误的是A.默认信任内网 B.动态授权 C.持续身份验证 D.微分段答案：A1.12在IPSec中，负责提供数据源认证的协议是A.AH B.ESP C.IKE D.ISAKMP答案：A1.13以下哪项属于后量子密码学主流算法A.McEliece B.ECDSA C.DSA D.RC4答案：A1.14关于Docker安全，默认的容器隔离机制依赖于A.cgroups B.SELinux C.AppArmor D.Linuxnamespaces答案：D1.15能够防御重放攻击的Kerberos组件是A.TGT B.Authenticator C.PAC D.KDC答案：B1.16在无线802.1X认证中，EAP-TLS必须A.使用匿名身份 B.服务器端证书 C.客户端证书 D.预共享密钥答案：C1.17关于内存安全语言，下列哪项不是Rust的设计特征A.所有权模型 B.垃圾回收 C.借用检查器 D.生命周期答案：B1.18以下哪条HTTP响应头可强制浏览器使用HTTPS时间最长一年A.Strict-Transport-Security:max-age=31536000 B.Content-Security-Policy C.X-Frame-Options D.Public-Key-Pins答案：A1.19在威胁建模STRIDE中，R代表A.否认 B.信息泄露 C.拒绝服务 D.特权提升答案：A1.20关于国密算法，SM2主要用于A.对称加密 B.哈希 C.数字签名与密钥交换 D.随机数生成答案：C2.多项选择题（每题2分，共20分；多选少选均不得分）2.1以下哪些属于DNSSEC新增记录类型A.RRSIG B.NSEC C.DS D.AAAA E.DNSKEY答案：ABCE2.2可导致本地权限提升的Linux内核漏洞有A.DirtyCow B.CVE-2021-3156 C.Heartbleed D.CVE-2022-0847 E.Shellshock答案：ABD2.3关于AES-GCM，正确的是A.提供机密性 B.提供完整性 C.需要填充 D.支持并行计算 E.使用CTR模式衍生答案：ABDE2.4以下哪些工具可用于静态应用安全测试（SAST）A.SonarQube B.Fortify C.BurpSuite D.Checkmarx E.SpotBugs答案：ABDE2.5关于TLS1.3与TLS1.2差异，正确的是A.去除RSA密钥传输 B.默认前向保密 C.支持0-RTT D.保留压缩算法 E.去除重协商答案：ABCE2.6以下哪些属于常见WAF绕过技术A.双重URL编码 B.分块传输 C.HTTP参数污染 D.时间盲注 E.空字节截断答案：ABCE2.7关于区块链安全，51%攻击可导致A.双花 B.拒绝服务 C.重放 D.自私挖矿 E.智能合约溢出答案：AD2.8以下哪些命令可用于抓取HTTPS明文流量A.sslsplit B.ssldump C.wireshark+私钥 D.tcpdump E.burp代理答案：ACE2.9关于云原生安全，正确的是A.镜像扫描应在CI阶段完成 B.PodSecurityPolicy已废弃 C.OPAGatekeeper可实施策略 D.ServiceMesh提供mTLS E.容器逃逸等同于虚拟机逃逸答案：ABCD2.10以下哪些属于对称加密算法A.ChaCha20 B.SM4 C.3DES D.ECC E.Camellia答案：ABCE3.填空题（每空1分，共20分）3.1在PKI体系中，负责签发CRL的实体是______。答案：CA（或证书颁发机构）3.2使用nmap扫描目标/24的445端口，命令为nmap______/24。答案：-p4453.3在Windows日志中，安全事件4624表示______成功。答案：登录3.4国密SM3输出长度为______位。答案：2563.5在Linux中，若要让iptables规则持久化，通常使用______命令保存。答案：iptables-save3.6在OWASPDependency-Check中，漏洞数据主要来源于______数据库。答案：NVD3.7当使用RSA-OAEP时，哈希函数通常选用______。答案：SHA-256（答SHA-1亦给分，但SHA-256更主流）3.8在BGPsec协议中，用于对AS路径签名的密钥类型是______密钥。答案：私3.9在AndroidAPK签名方案v3中，新增支持______旋转。答案：签名密钥3.10在Wireshark中，过滤TLS1.3握手完成消息的显示过滤器表达式为______。答案：tls.handshake.type==203.11在零信任参考架构NISTSP800-207中，______是策略判定的核心组件。答案：PDP（PolicyDecisionPoint）3.12使用git泄露利用工具GitHack时，需要访问的默认入口文件是______。答案：.git/index3.13在Kubernetes中，默认的ServiceAccount令牌以______形式挂载到Pod。答案：ProjectedVolume3.14在SQLMap中，使用______参数可指定数据库类型为MySQL。答案：--dbms=mysql3.15在无线攻击中，伪造相同ESSID的恶意接入点被称为______AP。答案：流氓（或Rogue）3.16在PHP反序列化漏洞中，触发魔术方法______可执行任意代码。答案：__wakeup3.17在威胁情报STIX2.1中，表示攻击者目标的SDO是______。答案：IntrusionSet3.18在WindowsDefender中，启用ASR规则需依赖______服务。答案：WindowsDefenderAntivirusService3.19在IPSecVPN中，若使用IKEv2主模式，第一条消息加密前的交换称为______。答案：SA_INIT3.20在Linux内核中，eBPF程序类型______可用于网络包过滤。答案：BPF_PROG_TYPE_SOCKET_FILTER4.判断题（每题1分，共10分；正确写“T”，错误写“F”）4.1TLS1.3仍支持静态RSA密钥交换。 答案：F4.2使用ChaCha20-Poly1305的AEAD构造不需要额外MAC。 答案：T4.3在Linux中，setuid位对shell脚本同样生效。 答案：F4.4DNSoverHTTPS默认使用443端口。 答案：T4.5在以太坊中，重放攻击可通过链ID机制防止。 答案：T4.6国密SM9属于标识密码算法。 答案：T4.7在Android12及以上，应用仍可全局监听隐式广播。 答案：F4.8使用JWT时，将alg设为none可导致算法混淆攻击。 答案：T4.9在Windows中，LSASS进程可被杀软直接终止以清除凭据。 答案：F4.10在KubernetesRBAC中，Role可跨命名空间使用。 答案：F5.简答题（共30分）5.1封闭型（6分）简述Kerberos认证过程中TGT与ST的区别，并指出各自有效期通常由哪一方决定。答案：TGT（TicketGrantingTicket）由AS（AuthenticationService）颁发，用于向TGS请求服务票据（ST），不含目标服务信息；ST（ServiceTicket）由TGS颁发，用于访问具体服务。TGT有效期由KDC策略决定，ST有效期由目标服务账号属性决定。5.2开放型（6分）结合实例说明“最小权限原则”在容器编排中的具体落地措施，至少列出三条。答案：1)使用SecurityContext禁止容器提权，设置allowPrivilegeEscalation=false；2)通过RBAC为CI/CDServiceAccount仅绑定必要Role，禁止cluster-admin；3)利用NetworkPolicy限制Pod间流量，仅开放业务所需端口；4)镜像内删除setuid程序，降低逃逸风险；5)采用只读根文件系统，防止运行时写入恶意文件。5.3封闭型（6分）给出RSA加密与RSA签名的数学表达式，并指出私钥在两种场景下的使用差异。答案：加密：c=m^emodn，使用公钥(e,n)；解密：m=c^dmodn，使用私钥d。签名：s=h^dmodn，使用私钥d；验证：h’=s^emodn，使用公钥(e,n)。私钥在解密与签名时均使用，但解密用于恢复明文，签名用于生成不可伪造的签名值。5.4开放型（6分）描述一次完整的BGP劫持事件对CDN可用性的影响链路，并提出两种监测方案。答案：攻击者宣告更优前缀→上游ISP优选劫持路由→CDN边缘节点流量被牵引至黑洞或伪造服务器→用户无法访问或遭钓鱼。监测：1)部署RPKIROV，在边界路由器拒绝无效起源；2)使用RIPERIS/RouteViews收集全球路由表，与合法ROA比对，异常时触发告警并自动发布更具体前缀自救。5.5封闭型（6分）列出AES-128一轮变换的四个步骤，并指出哪一步提供非线性。答案：1)SubBytes—非线性字节替换；2)ShiftRows—行移位；3)MixColumns—列混淆；4)AddRoundKey—轮密钥加。SubBytes提供非线性。6.应用题（共50分）6.1计算类（10分）某公司内部使用/23地址段，需划分5个子网，分别容纳120、60、30、14、6台主机。请给出各子网网络地址、掩码、可用地址范围，并计算剩余未分配地址数量。答案：1)120台：/25，掩码28，范围0.1-0.126，广播0.1272)60台：28/26，掩码92，范围0.129-0.1903)30台：92/27，掩码24，范围0.193-0.2224)14台：24/28，掩码40，范围0.225-0.2385)6台：40/29，掩码48，范围0.241-0.246剩余：48-55，共256+8-256=8地址（0.248-0.255为/29，1.0-1.255为/24），实际未用=256-8=248地址。6.2分析类（15分）给出一段存在漏洞的PythonFlask代码：@app.route('/download')defdownload():filename=request.args.get('f')returnsend_file(os.path.join('/data',filename))请指出漏洞类型、利用方式、危害，并给出修复代码。答案：漏洞：路径遍历（DirectoryTraversal）。利用：GET/download?f=../../../etc/passwd，读取系统文件。危害：任意文件读取，导致敏感信息泄露。修复：@app.route('/download')defdownload():filename=request.args.get('f')safe_dir=Path('/data').resolve()target=(safe_dir/filename).resolve()ifsafe_dirnotintarget.parents:abort(403)returnsend_file(target)6.3综合类（25分）背景：某电商网站采用微服务架构，前端Vue，网关SpringCloudGateway，订单服务运行在Kubernetes集群，使用MySQL主从，Redis缓存