2026年宁夏公务员人民警察考试（网络安全技术职位专业科目）全真模拟试题及答案

2026年宁夏公务员人民警察考试（网络安全技术职位专业科目）全真模拟试题及答案一、单项选择题（共30题，每题1.5分，共45分）1.在OSI七层模型中，负责为网络层提供服务，确保数据从一个节点可靠地传输到另一个节点的层是（）。A.物理层B.数据链路层C.传输层D.会话层2.某网络安全系统在对流量进行分析时，发现大量来自不同源IP的数据包向同一目标IP发送SYN请求，但并不完成三次握手。这种攻击最可能是（）。A.UDPFloodB.SYNFloodC.ICMPFloodD.HTTPFlood3.在密码学中，RSA算法的安全性主要基于（）。A.大整数分解难题B.离散对数难题C.椭圆曲线离散对数难题D.背包问题4.下列关于SQL注入攻击的描述中，错误的是（）。A.可以通过输入特殊的SQL语句来实现B.主要原因是应用程序没有对用户输入进行严格的过滤C.盲注是SQL注入的一种，不需要在页面上直接显示数据D.使用预编译语句完全可以避免所有类型的SQL注入5.在Linux系统中，用于查看当前系统运行进程的命令是（）。A.psB.lsC.chmodD.ifconfig6.HTTPS协议默认使用的端口号是（）。A.80B.8080C.443D.227.某文件的权限设置为-rwxr-xr--，则该文件的权限八进制表示为（）。A.754B.755C.644D.7778.在数字取证中，为了保证电子数据的完整性，通常会对原始数据进行哈希计算。常用的SHA-256算法生成的哈希值长度为（）。A.128位B.160位C.256位D.512位9.下列关于防火墙的描述，正确的是（）。A.防火墙可以防止内部网络的所有攻击B.防火墙只能检测网络层的攻击C.状态检测防火墙可以跟踪连接的状态D.防火墙可以替代杀毒软件10.我国《网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施的运营者，还应当履行（）。A.安全审计义务B.数据加密义务C.安全检测评估义务D.身份实名制义务11.在Web安全中，攻击者通过在网页中插入恶意脚本，当用户浏览该页时，脚本在用户浏览器中执行。这种攻击被称为（）。A.CSRFB.XSSC.SSRFD.XXE12.某警察在取证过程中，需要镜像一台正在运行的服务器硬盘。为了保证镜像的准确性，应采取的步骤顺序是（）。A.直接关机->取出硬盘->连接取证机->镜像B.远程连接->使用dd命令镜像->验证哈希C.屏幕锁定->进入现场->取出硬盘->镜像D.断开网络->物理接触->使用写保护设备->镜像13.下列协议中，属于传输层协议且提供无连接服务的是（）。A.TCPB.IPC.UDPD.ICMP14.在Python脚本编写中，用于发起HTTP请求的常用库是（）。A.osB.reC.requestsD.sys15.某内网IP地址为/16，则该IP地址所在的网段广播地址是（）。A.55B.55C.55D.16.入侵检测系统（IDS）的主要功能不包括（）。A.监视网络流量B.分析网络行为C.主动阻断网络攻击D.产生报警日志17.在Windows系统中，注册表键值（）用于实现程序的自启动。A.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunB.HKEY_CLASSES_ROOT\*C.HKEY_CURRENT_USER\ControlPanelD.HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services18.公钥基础设施（PKI）的核心组成部分不包括（）。A.CAB.证书库C.密钥备份D.IP地址19.在网络扫描中，Nmap工具使用（）参数可以检测目标主机的操作系统版本。A.-sPB.-sVC.-OD.-A20.某单位内部网络被划分了VLAN，主要目的是（）。A.扩大广播域B.提高网络传输速度C.隔离广播风暴，提高安全性D.增加网络物理连接21.关于对称加密算法和非对称加密算法，下列说法正确的是（）。A.对称加密算法比非对称加密算法速度慢B.非对称加密算法通常用于加密大量数据C.对称加密算法密钥管理困难D.RSA是对称加密算法22.在日志分析中，Linux系统下最重要的系统日志文件通常位于（）。A./var/log/messagesB./etc/logC./usr/log/syslogD./root/.bash_history23.下列关于数据库安全的描述，错误的是（）。A.应定期备份数据库B.默认账户密码应保持不变以便维护C.应限制数据库文件的读写权限D.敏感字段应加密存储24.某恶意代码通过修改系统引导扇区，从而在系统启动前获得控制权。这种恶意代码属于（）。A.文件型病毒B.引导型病毒C.宏病毒D.蠕虫25.在应急响应中，PDCERF模型不包括（）。A.准备B.检测C.恢复D.销毁26.下列哪种技术可以防止ARP欺骗攻击？（）A.动态ARP检测（DAI）B.关闭端口C.增加路由器D.使用NAT27.在IPv6地址中，地址（）表示回环地址。A.::B.::1C.fe80::D.ff00::28.我国《个人信息保护法》规定，处理个人信息应当遵循（）原则。A.合法、正当、必要、诚信B.公开、公平、公正C.安全、可控、可追溯D.自愿、有偿、诚信29.某单位开发了内部办公系统，根据《网络安全等级保护基本要求》（GB/T22239-2019），该系统被定为第三级，则其必须具备的安全机制是（）。A.必须采用双因子身份鉴别B.必须采用量子加密C.必须部署防火墙D.必须雇佣专职安全人员30.在Wireshark抓包分析中，过滤器表达式`http.request.method=="POST"`的作用是（）。A.只显示HTTP响应包B.只显示HTTPPOST请求包C.只显示HTTPS请求包D.只显示包含"POST"字符串的包二、多项选择题（共15题，每题2分，共30分。多选、少选、错选均不得分）31.网络安全攻击的主要类型包括（）。A.被动攻击B.主动攻击C.物理攻击D.内部威胁32.下列属于常见的Web漏洞的是（）。A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.文件包含漏洞33.关于TCP/IP协议栈，下列说法正确的有（）。A.TCP是面向连接的协议B.IP协议负责寻址和路由C.HTTP协议运行在传输层D.ARP协议用于将IP地址解析为MAC地址34.在Linux系统中，下列关于文件权限的描述，正确的有（）。A.chmod777filename表示所有用户都有读写执行权限B.chown可以修改文件的所有者C.root用户不受文件权限限制D.删除文件只需要对文件本身有写权限35.下列属于恶意代码检测技术的有（）。A.特征码匹配B.启发式扫描C.行为监控D.数字签名验证36.我国《网络安全法》规定的网络运营者安全保护义务包括（）。A.制定内部安全管理制度和操作规程B.采取防范计算机病毒和网络攻击的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施D.采取数据分类、重要数据备份和加密措施37.在网络取证中，常用的数据来源包括（）。A.系统日志B.防火墙日志C.交换机流量镜像D.内存镜像38.下列关于VPN（虚拟专用网络）的描述，正确的有（）。A.VPN可以建立加密通道B.VPN可以实现远程访问内网资源C.SSLVPN不需要安装客户端软件D.IPSecVPN工作在网络层39.常见的中间人攻击手段包括（）。A.ARP欺骗B.DNS欺骗C.SSL剥离D.ICMP重定向40.在数据库安全管理中，应当采取的措施包括（）。A.最小权限原则B.定期更新数据库补丁C.关闭不必要的端口和服务D.对敏感操作进行审计41.下列关于数字签名的说法，正确的有（）。A.数字签名可以保证数据的完整性B.数字签名可以保证数据的机密性C.数字签名具有不可抵赖性D.数字签名使用发送方的私钥进行加密42.缓冲区溢出攻击利用的漏洞原因包括（）。A.程序语言不对数组边界进行检查B.标准库函数不安全（如strcpy）C.用户输入过长D.栈内存保护机制（如NX位）未开启43.在应急响应过程中，遏制阶段的主要措施包括（）。A.断开网络连接B.修改管理员密码C.关闭受影响的服务D.封锁攻击源IP44.下列属于身份认证技术的是（）。A.口令认证B.动态令牌C.生物特征识别D.数字证书45.在进行渗透测试时，获得目标系统Shell后，通常会进行（）。A.提权B.内网信息收集C.植入后门D.清除日志三、判断题（共15题，每题1分，共15分）46.在网络安全中，CIA三元组指的是机密性、完整性和可用性。（）47.MD5算法由于其碰撞问题，现在已经不推荐用于数字签名等安全领域。（）48.只有黑客才会使用扫描工具，管理员不需要使用。（）49.隔离网闸（GAP）是专门用于设计安全地隔离不同安全域的网络设备。（）50.在Linux中，root用户是唯一的超级用户。（）51.HTTPS协议在传输层使用SSL/TLS进行加密，因此绝对不会被破解。（）52.社会工程学攻击是利用人性的弱点进行攻击，不需要技术手段。（）53.所有的网络病毒都需要依附于文件或程序才能传播。（）54.在数字取证中，只要复制了文件内容，就可以作为证据，不需要关注文件的元数据。（）55.IPv4地址由32位二进制数组成。（）56.防火墙默认策略应该是“拒绝所有”，除非明确允许。（）57.数据库的视图可以增加数据的安全性，因为它可以隐藏基表的部分列。（）58.特权账号管理（PAM）主要关注普通用户的权限控制。（）59.网络嗅探器可以捕获同一冲突域内的所有数据包。（）60.在我国，关键信息基础设施的运营者采购网络产品和服务，应当按照规定通过安全审查。（）四、简答题（共4题，每题5分，共20分）61.请简述TCP三次握手的过程，并说明为什么需要三次握手而不是两次。62.请列举至少五种常见的Web应用防火墙（WAF）部署模式，并简述其中一种模式的优缺点。63.根据《网络安全法》，什么是关键信息基础设施？其对网络安全保护有哪些特殊要求？64.简述XSS（跨站脚本攻击）的三种主要类型及其区别。五、综合分析题（共2题，每题20分，共40分）65.案例分析：某政府网站服务器遭受了持续的攻击，安全人员通过日志分析发现如下特征：(1)Web服务器日志中出现大量类似`SELECT*FROMusersWHEREusername='admin'OR'1'='1'`的记录。(2)部分页面返回内容中包含了`<script>alert(document.cookie)</script>`等恶意代码。(3)监控发现某外部IP地址频繁尝试连接服务器的22端口。(4)服务器CPU占用率异常升高，top命令显示存在名为`kworker`的异常进程占用大量资源。请根据以上信息回答下列问题：(1)请分别判断特征(1)、(2)、(3)、(4)最可能对应的攻击类型或安全事件。（4分）(2)针对特征(1)的攻击，请给出两种有效的防御措施。（4分）(3)针对特征(4)的异常进程，作为一名网络安全技术人员，你应如何进行进一步的排查？（至少列出三个步骤）（6分）(4)假设攻击者通过Web漏洞成功上传了Webshell，连接了22端口，并获得了root权限。请设计一套完整的应急响应方案，包括遏制、根除和恢复阶段的关键动作。（6分）66.计算与架构设计：(1)在RSA加密算法中，假设选取两个质数p=61，q=53。请计算模数n和欧拉函数ϕ(n)(2)某企业计划构建高可用的电子商务网站架构，要求具备负载均衡、Web防火墙、安全隔离和数据库保护。请绘制逻辑架构图（用文字描述拓扑结构及设备部署），并解释各层级的安全作用。（12分）参考答案与解析一、单项选择题1.【答案】C【解析】传输层（TransportLayer）负责端到端的通信，确保数据可靠传输（如TCP）或不可靠传输（如UDP）。网络层负责路由寻址，数据链路层负责帧传输，会话层负责会话管理。2.【答案】B【解析】SYNFlood攻击利用TCP协议缺陷，发送大量SYN包，但不回应SYN+ACK，导致服务器维护大量半连接队列，耗尽资源。3.【答案】A【解析】RSA的安全性基于大整数分解难题。即给定两个大质数的乘积n，很难分解出p和q。4.【答案】D【解析】预编译语句（参数化查询）能有效防止大多数SQL注入，但在某些特定情况下（如orderby、列名动态拼接等）若处理不当仍可能存在风险，不能说“完全避免所有类型”，其他选项描述正确。5.【答案】A【解析】ps命令用于查看进程；ls列出目录内容；chmod修改权限；ifconfig配置网络接口。6.【答案】C【解析】HTTP默认端口80，HTTPS默认端口443。7.【答案】A【解析】rwx=7,r-x=5,r--=4。组合起来为754。8.【答案】C【解析】SHA-256生成256位（32字节）的哈希值。9.【答案】C【解析】状态检测防火墙工作在传输层或应用层，能监控连接状态表。防火墙不能防止所有内部攻击，也不能替代杀毒软件（防病毒侧重文件，防火墙侧重网络流）。10.【答案】C【解析】《网络安全法》第三十一条规定，关键信息基础设施的运营者还应当履行安全检测评估义务（自行或委托机构每年至少进行一次）。11.【答案】B【解析】跨站脚本攻击（XSS）。CSRF是跨站请求伪造，SSRF是服务器端请求伪造，XXE是XML外部实体注入。12.【答案】D【解析】电子取证原则要求保护现场、保证数据不被修改。断开网络防止远程数据销毁，使用写保护设备防止写入操作，物理接触确保原始证据安全。13.【答案】C【解析】UDP是用户数据报协议，提供无连接、不可靠的服务。TCP提供面向连接的可靠服务。14.【答案】C【解析】requests是Python中简洁易用的HTTP库。os是操作系统接口，re是正则表达式，sys是系统相关参数。15.【答案】B【解析】/16表示子网掩码。网络位是172.16，主机位全1即为广播地址55。16.【答案】C【解析】IDS（入侵检测系统）主要功能是检测和报警。IPS（入侵防御系统）才具备主动阻断功能。17.【答案】A【解析】Run键值是Windows中常见的程序自启动注册表位置。18.【答案】D【解析】PKI包括CA（证书颁发机构）、证书库、密钥备份恢复系统、证书撤销列表等。IP地址不属于PKI核心组件。19.【答案】C【解析】Nmap中`-O`参数用于操作系统指纹识别。`-sP`是Ping扫描，`-sV`是服务版本探测，`-A`是全面扫描。20.【答案】C【解析】VLAN（虚拟局域网）主要作用是隔离广播域，抑制广播风暴，增强网络安全性和管理灵活性。21.【答案】C【解析】对称加密（如DES、AES）算法速度快，但密钥分发困难；非对称加密（如RSA）速度慢，用于加密小数据或密钥传输。22.【答案】A【解析】`/var/log/messages`是Linux系统通用的全局系统日志文件。23.【答案】B【解析】数据库安装后默认账户（如admin/root）通常有默认密码或空密码，必须立即修改，否则是极大的安全隐患。24.【答案】B【解析】引导型病毒寄生在磁盘引导区或主引导记录，系统启动时获得控制权。25.【答案】D【解析】PDCERF模型包括：Preparation（准备）、Detection（检测）、Containment（遏制）、Eradication（根除）、Recovery（恢复）、Follow-up（跟踪总结）。不包含销毁。26.【答案】A【解析】动态ARP检测（DAI）通过验证ARP报文来防止ARP欺骗。27.【答案】B【解析】IPv6中`::1`是回环地址，相当于IPv4的。`::`是全0地址。28.【答案】A【解析】《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则。29.【答案】A【解析】等保2.0三级要求中，身份鉴别环节明确要求“应采用两种或两种以上的组合鉴别技术对用户进行身份鉴别”（双因子认证）。30.【答案】B【解析】该Wireshark显示过滤器表示仅显示HTTP请求方法为POST的数据包。二、多项选择题31.【答案】ABCD【解析】网络安全攻击类型广泛，包括被动攻击（如嗅探）、主动攻击（如DDoS）、物理攻击（如偷窃设备）和内部威胁（如恶意员工）。32.【答案】ABCD【解析】SQL注入、XSS、CSRF、文件包含均为常见的OWASPTop10Web漏洞。33.【答案】ABD【解析】TCP面向连接；IP负责路由；ARP解析IP到MAC。HTTP是应用层协议，运行在TCP之上，故C错误。34.【答案】ABC【解析】chmod777赋予所有权限；chown修改所有者；root权限最高。D错误，删除文件需要对文件所在的目录有写权限，以及对文件本身所在目录有执行权限（权限位与文件名绑定）。35.【答案】ABC【解析】特征码匹配、启发式扫描、行为监控是杀毒软件和EDR的核心检测技术。数字签名用于验证文件合法性，不是直接检测恶意代码的技术（虽然白名单机制也是一种思路，但通常不归类为恶意代码检测技术）。36.【答案】ABCD【解析】《网络安全法》第二十一条明确了网络运营者的安全保护义务，包括制度、技术措施（防病毒、防攻击、监测记录）、数据备份加密等。37.【答案】ABCD【解析】取证数据来源多样，包括主机日志、网络设备日志、流量包、内存转储等。38.【答案】ABCD【解析】VPN建立加密通道，实现远程访问；SSLVPN通常基于浏览器（无需客户端）；IPSecVPN工作在网络层。39.【答案】ABCD【解析】ARP欺骗、DNS欺骗、SSL剥离、ICMP重定向均可实现中间人攻击。40.【答案】ABCD【解析】最小权限、补丁更新、关闭不必要服务、审计都是数据库安全加固的常规措施。41.【答案】ACD【解析】数字签名保证完整性、不可抵赖性（真实性），但不保证机密性（因为公钥是公开的）。使用发送方私钥加密生成签名。42.【答案】ABC【解析】缓冲区溢出源于C/C++等语言不检查边界、使用不安全函数（strcpy,gets）以及用户输入未受控。NX位是防护措施，不是漏洞原因。43.【答案】ABCD【解析】遏制阶段目的是限制攻击范围，措施包括断网、改密、停服务、封IP等。44.【答案】ABCD【解析】口令、动态令牌、生物特征、数字证书均为身份认证技术。45.【答案】ABC【解析】渗透测试获得Shell后，通常进行提权、内网横向移动（信息收集）、维持权限（植入后门）。清除日志是攻击者为了掩盖踪迹的行为，不是渗透测试的标准流程（除非测试要求包含痕迹清理能力的验证，但在正规授权测试中通常不建议或仅作为演示，且必须事后恢复）。但在“攻击者”视角下，D也是常见动作。题目问“获得Shell后通常会进行”，在红队攻击视角下，D也是常见步骤。但严格合规的渗透测试应包含清理痕迹以恢复环境。此处选ABC更符合测试流程，若选ABCD在攻击语境下也可。鉴于题目是公务员考试，侧重合规与检测，通常选ABC。修正：实际攻击中肯定会清除日志，但渗透测试作为授权行为，最后一步通常是报告，中间步骤为了模拟真实攻击，可能会演示清理日志。但标准教材通常列出ABC为核心后续动作。注：考虑到题目问的是“渗透测试”，这是授权活动。虽然攻击者会清日志，但测试人员通常需要保留日志作为证据，或者仅在演示攻击手法时提及。但为了模拟攻击全流程，ABCD在技术动作上是完整的。不过，通常标准答案倾向于ABC（攻击目的达成），D是善后。这里给出ABCD更为全面，但在某些严格语境下可能只选ABC。根据实战经验，红队操作确实包含D。重新审视标准：渗透测试目的是发现风险，不是破坏。清日志可能导致无法复现。因此推荐答案ABC。本题参考答案：ABC三、判断题46.【答案】√【解析】Confidentiality,Integrity,Availability。47.【答案】√【解析】MD5已被证明存在碰撞攻击，不再适合高安全性场景。48.【答案】×【解析】管理员使用扫描工具进行漏洞发现和资产清点是合规且必要的。49.【答案】√【解析】隔离网闸用于物理隔离的高安全级别网络间数据交换。50.【答案】√【解析】Linux中rootUID为0，拥有最高权限。51.【答案】×【解析】HTTPS并非绝对安全，可能存在SSL剥离、证书信任问题、实现漏洞（如心脏滴血）等。52.【答案】×【解析】社会工程学通常结合技术手段（如钓鱼邮件链接挂马），纯心理欺骗较少见。53.【答案】×【解析】蠕虫（Worm）可以利用网络漏洞独立传播，不需要依附文件。54.【答案】×【解析】元数据（如MAC时间、文件路径）对于还原文件操作历史至关重要，必须收集。55.【答案】√【解析】IPv4地址长度为32位。56.【答案】√【解析】“默认拒绝”是安全基线的重要原则。57.【答案】√【解析】视图可以隐藏底层表结构，限制用户访问特定列，起到安全隔离作用。58.【答案】×【解析】PAM（PrivilegedAccessManagement）主要关注特权账号（如管理员）的管理。59.【答案】√【解析】集线器（HUB）或交换机上的镜像端口可以捕获冲突域内流量。60.【答案】√【解析】《网络安全法》第三十五条规定CII运营者采购网络产品和服务需通过安全审查。四、简答题61.【参考答案】TCP三次握手过程：1.客户端发送SYN包（seq=x）给服务器，进入SYN_SENT状态。2.服务器收到SYN包，回复SYN+ACK包（seq=y,ack=x+1），进入SYN_RCVD状态。3.客户端收到SYN+ACK包，回复ACK包（ack=y+1），进入ESTABLISHED状态。服务器收到后也进入ESTABLISHED状态。为什么需要三次握手：为了防止失效的连接请求报文段被服务端接收，从而产生错误。假设只有两次握手：客户端发送的连接请求在网络中滞留，延误到连接释放后才到达服务器。服务器误以为是新的连接，于是向客户端发送确认，建立连接，等待客户端发数据。客户端不理会，服务器一直等待，浪费资源。三次握手可以确认双方的接收和发送能力都是正常的。62.【参考答案】常见WAF部署模式：1.透明网桥模式（桥接模式）2.反向代理模式3.路由模式4.端口镜像模式（单机检测）5.混合模式优缺点（以透明网桥模式为例）：优点：部署简单，无需改变网络拓扑和IP配置，对网络透明，性能较好。缺点：无法对HTTPS流量进行深度检测（除非具备SSL卸载能力，但这会破坏透明性），四层以下信息处理较好，七层应用层内容检测可能受限于协议解析能力。63.【参考答案】定义：关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络。特殊要求：1.安全保护等级应不低于第三级。2.应当自行或者委托网络安全服务机构对其网络安全状况每年至少进行一次网络安全检测评估。3.应当制定网络安全事件应急预案，并定期进行演练。4.在采购网络产品和服务时，应当按照国家网络安全规定通过安全审查。5.其重要数据境内存储，因业务需要确需向境外提供的，应当进行安全评估。64.【参考答案】1.存储型XSS（持久型）：恶意脚本被永久存储在目标服务器的数据库中。当用户访问包含该恶意数据的页面时，脚本被触发。危害最大，常见于留言板、评论区。2.反射型XSS（非持久型）：恶意脚本作为URL参数的一部分，服务器接收并“反射”回浏览器，未经转义直接执行。常见于搜索、错误页面。3.DOM型XSS：基于文档对象模型（DOM）的漏洞。恶意脚本修改页面的DOM环境，完全在客户端完成，不经过服务器。常见于前端JavaScript处理URL参数不当。区别：存储型：脚本存入数据库，持久化攻击。反射型：脚本通过服务器反射，需要诱骗用户点击链接。DOM型：脚本不经过服务器，完全在前端执行，利用DOM修改。五、综合分析题65.【参考答案】(1)攻击类型判断：特征(1)：SQL注入攻击。日志中出现经典的`'OR'1'='1`逻辑绕过语句。特征(2)：跨站脚本攻击（XSS）。日志中存在JavaScript脚本代码。特征(3)：暴力破解攻击或端口扫描。频繁尝试连接SSH端口（22）。特征(4)：后门运行或挖矿病毒。kworker是Linux内核工作进程名，攻击者常以此命名恶意进程进行伪装，且CPU高。(2)针对SQL注入的防御措施：使用预编译语句（参数化查询）。对用户输入进行严格的类型检查、长度限制和特殊字符过滤。使用ORM框架。开启Web应用防火墙（WAF）进行防护。遵循最小权限原则配置数据库连接账号。(3)异常进程排查步骤：查看