2026年度全国网络安全知识竞赛试题库及答案(二)

2026年度全国网络安全知识竞赛精选试题库及答案(二)一、单项选择题（共50题，每题1.5分）1.在网络安全等级保护2.0标准（GB/T22239-2019）中，关于云计算安全扩展要求的描述，以下哪项是不正确的？A.云服务商应确保云计算平台位于中国境内B.云服务商客户的业务系统和数据可以位于境外C.云计算平台应具备虚拟机之间的资源隔离能力D.云服务商应提供云服务客户数据导出功能【答案】B【解析】根据网络安全法及等保2.0要求，关键信息基础设施的云计算平台及数据原则上应境内落地。虽然一般商业数据有出境需求，但云服务商客户的业务系统和数据管理需符合数据本地化存储及出境安全评估规定，选项B表述过于绝对且忽略了合规审批流程，在等保合规语境下，核心数据及重要数据严禁违规出境。2.2024年发布的某漏洞CVE-2024-XXXX，影响了一款广泛使用的OA系统。攻击者利用该漏洞可以在未授权的情况下执行任意代码。根据CVSSv3.1评分标准，若该漏洞攻击向量为网络（AV:N），攻击复杂度为低（AC:L），权限要求为无（PR:N），用户交互为无（UI:N），影响范围为改变（S:C），机密性影响为高（C:H），完整性影响为高（I:H），可用性影响为高（A:H），则其基础分数大约处于哪个范围？A.0.0-3.9B.4.0-6.9C.7.0-8.9D.9.0-10.0【答案】D【解析】根据CVSSv3.1计算公式，该漏洞具备网络攻击能力、无需权限和交互，且影响范围可改变（ScopeChanged），三项影响均为高。这属于最严重的漏洞类型，通常基础分在9.0到10.0之间，属于严重级别。3.在公钥基础设施（PKI）体系中，关于证书撤销列表（CRL）与在线证书状态协议（OCSP）的比较，以下说法正确的是？A.CRL的实时性通常优于OCSPB.OCSP需要定期下载完整的撤销列表C.CRL随着时间推移会越来越大，影响网络传输效率D.OCSP响应中不包含撤销原因【答案】C【解析】CRL是定期发布的列表，包含所有已撤销证书的序列号，随着时间推移列表会不断变大，导致下载和解析变慢（C正确）。OCSP是实时查询协议，实时性优于CRL（A错）；OCSP不需要下载完整列表，只需查询特定证书状态（B错）；OCSP响应中可以包含撤销原因（D错）。4.某企业内部网络部署了IDS（入侵检测系统）。某日，IDS报警显示检测到大量的“SQL注入”攻击尝试，但Web服务器并未出现异常。安全管理员检查后发现，这些攻击流量都是针对一个已经废弃的旧版测试系统。这种情况属于？A.真阳性B.假阳性C.真阴性D.假阴性【答案】B【解析】IDS检测到了攻击行为特征（SQL注入特征码），因此触发了报警。但实际上该目标系统已废弃，攻击并未造成实质性的安全违规或损害（或者说攻击目标无效，未构成实际威胁），在运维视角下，这被视为误报，即假阳性。5.在Windows操作系统中，关于访问控制列表（ACL）和访问控制项（ACE）的描述，错误的是？A.ACL是ACE的集合B.显式拒绝的ACE优先级通常高于显式允许的ACEC.文件继承的权限无法被修改D.权限累积原则适用于用户属于多个组的情况【答案】C【解析】WindowsNTFS权限中，子文件或文件夹默认继承父级的权限，但管理员可以设置“禁用继承”并移除或修改继承来的权限，因此C选项说“无法被修改”是错误的。6.下列关于HTTPS协议的描述中，哪项不能提高连接的安全性？A.启用HSTS（HTTPStrictTransportSecurity）B.仅使用TLS1.0协议C.配置强加密套件，禁用弱密码算法D.使用PerfectForwardSecrecy(PFS)密码套件【答案】B【解析】TLS1.0已被证实存在安全漏洞（如POODLE攻击等），不再被认为是安全的协议。现代安全配置应至少使用TLS1.2或TLS1.3。A、C、D均是提高HTTPS安全性的有效措施。7.在Docker容器安全中，以下哪项配置是最危险的安全实践？A.使用非root用户运行容器应用B.将宿主机的根目录挂载到容器的/mnt目录C.限制容器的内存和CPU使用量D.使用只读文件系统启动容器【答案】B【解析】将宿主机的根目录（/）挂载到容器中，赋予了容器对宿主机文件系统的完全读写权限，一旦容器被攻陷，攻击者可以直接控制宿主机，这是极其危险的操作。A、C、D均为良好的安全加固措施。8.密码学中，关于“前向安全性”或“完美前向保密”（PFS）的解释，正确的是？A.即使服务器的长期私钥泄露，过去的会话密钥仍然无法被破解B.即使用户的密码泄露，加密的文件也无法被解密C.即使公钥泄露，私钥仍然安全D.它是一种用于防止重放攻击的机制【答案】A【解析】完美前向保密（PFS）的核心特性是：如果长期密钥（如SSL证书的私钥）在某个时间点被泄露，攻击者也无法解密之前截获的通信流量，因为过去的会话密钥是通过临时生成的密钥交换参数（如DH或ECDH）计算得出的，且未保存。9.某安全研究员在分析恶意软件时，发现该程序会不断尝试连接C2服务器，若连接失败则更改休眠时间。这种行为属于恶意软件生命周期的哪个阶段？A.潜伏B.传播C.命令与控制D.行动【答案】C【解析】恶意软件建立与控制服务器的连接，并根据指令或连接状态调整行为（如休眠），这是典型的“命令与控制”（C2）阶段的行为，旨在维持与攻击者的通信渠道。10.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度。以下哪项不是数据分类分级的主要依据？A.数据在经济社会发展中的重要程度B.数据遭到篡改、破坏、泄露或者非法获取后对国家安全造成的危害程度C.数据遭到篡改、破坏、泄露或者非法获取后对公共利益或者个人、组织合法权益的危害程度D.数据的数据量大小和存储格式【答案】D【解析】数据分类分级主要依据数据的重要程度以及一旦遭受安全事件后对国家安全、公共利益、个人组织权益的危害程度。数据量大小和存储格式属于技术属性，不作为分类分级的依据。11.在Web应用防火墙（WAF）的部署模式中，哪种模式对网络性能影响最小，但无法检测加密流量内容？A.透明桥接模式B.反向代理模式C.路由模式D.监听端口镜像模式【答案】D【解析】端口镜像模式（IDS模式）仅仅是旁路监听流量，不介入实际的数据转发路径，因此对网络性能几乎没有影响。但由于是旁路监听，对于HTTPS等加密流量，如果没有私钥解密，WAF只能看到密文，无法检测内容。其他模式（A、B、C）通常属于串联接入（IPS模式），需要处理并转发流量。12.以下哪种技术主要用于防止跨站脚本攻击（XSS）？A.参数化查询B.输出编码C.使用HTTPSD.设置SessionCookie的HttpOnly属性【答案】B【解析】输出编码是防御XSS的核心技术，通过将特殊字符（如<,>,&,',"）转换为HTML实体，防止浏览器将其解析为HTML/JS代码。A用于防SQL注入；C用于传输加密；D可以防止Cookie被JavaScript窃取，属于辅助防御手段，但不能阻止XSS攻击本身的执行。13.在无线网络安全中，WPA3相比WPA2的主要改进不包括？A.引入了SimultaneousAuthenticationofEquals(SAE)替代WPA-PSK，防离线字典攻击B.增强了前向保密性C.引入了OpportunisticWirelessEncryption(OWE)用于开放网络加密D.强制使用AES-CCMP加密算法（WPA2已使用）【答案】D【解析】WPA2已经使用AES-CCMP作为强制加密算法（淘汰了TKIP）。WPA3的主要改进在于SAE（防字典攻击）、对弱密码的保护增强（192位企业级加密）、以及OWE（对开放网络的加密）。D选项不是WPA3相对于WPA2的新改进点。14.关于IPSec协议簇，下列说法错误的是？A.AH协议提供数据源认证、完整性和抗重放保护，但不提供机密性B.ESP协议提供机密性、数据源认证、完整性和抗重放保护C.传输模式下，IPSec头部插在原始IP头部和上层协议头部之间D.隧道模式下，只有内层IP头部被加密，外层IP头部是明文【答案】D【解析】在隧道模式下，整个原始IP数据包（包括内层IP头部）都被封装在新的IP数据包中并进行加密（如果使用ESP）。ESP加密范围是载荷（包括内层IP头），虽然外层IP头必须是明文以便路由，但说“只有内层IP头部被加密”是不准确的，因为整个原始包（IP头+TCP头+数据）作为载荷被加密。更准确地说，隧道模式保护了整个原始通信流。15.安全运营中心（SOC）中，SIEM系统的主要作用是？A.隔离感染病毒的终端B.收集、关联分析日志和事件，产生告警C.扫描网络漏洞D.加密网络通信数据【答案】B【解析】SIEM（安全信息和事件管理）的核心功能是日志收集、归一化、存储、关联分析和告警展示。A是EDR或防病毒软件的职责；C是漏洞扫描器的职责；D是加密设备的职责。16.在渗透测试中，Nmap工具的“-sV”参数作用是？A.操作系统侦测B.端口扫描C.服务版本侦测D.脚本扫描【答案】C【解析】Nmap参数中，-sO用于IP协议扫描，-sO是IP协议扫描，-O用于操作系统侦测，-sV用于探测开放端口上运行的服务版本信息。17.以下关于“零信任”安全架构的核心理念，描述最准确的是？A.内网是绝对安全的，不需要进行身份验证B.信任但验证C.从不信任，始终验证D.仅依靠防火墙进行边界防护【答案】C【解析】零信任架构的核心原则是“从不信任，始终验证”。它打破了传统的“内网即安全”的边界防护模型，要求对所有访问主体（无论在内网还是外网）在访问任何资源前进行严格的身份验证和授权。18.某文件的特征哈希值（MD5）为“5d41402abc4b2a76b9719d911017c592”，该哈希值对应的明文极有可能是？A.123456B.helloC.passwordD.admin【答案】B【解析】这是一个经典的MD5哈希值示例，字符串“hello”的MD5值正是5d41402abc4b2a76b9719d911017c592。这提醒我们在实际安全中不能仅使用MD5存储密码，且应加盐处理。19.在SQL注入攻击中，攻击者利用数据库报错信息来获取数据的攻击方式被称为？A.布尔盲注B.时间盲注C.联合查询注入D.报错注入【答案】D【解析】报错注入是通过构造恶意的SQL语句，触发数据库的报错机制，并将想要获取的数据（如版本号、表名）包含在错误信息中返回给攻击者。20.以下哪种协议默认使用明文传输密码，因此极其不安全？A.SSHB.TelnetC.SFTPD.HTTPS【答案】B【解析】Telnet是早期的远程登录协议，所有数据（包括用户名和密码）都以明文形式在网络传输，极易被嗅探。SSH、SFTP、HTTPS都提供了加密传输通道。21.关于Linux文件权限，使用命令“chmod644file.txt”后，该文件的权限变为？A.rw-r--r--B.rwxr-xr-xC.rw-rw-rw-D.r--r--r--【答案】A【解析】644代表：所有者(6=4+2)读写权限，组用户(4)只读权限，其他用户(4)只读权限。即rw-r--r--。22.在应急响应中，当确认服务器遭受APT攻击且攻击者正通过Webshell维持权限时，首要的处理步骤是？A.立即重启服务器B.断开网络连接C.杀掉Webshell进程D.备份数据【答案】B【解析】应急响应的首要原则是止损。在攻击者维持连接的情况下，首先应断开网络连接（拔网线或禁用网卡），防止攻击者进行破坏（如删除数据、横向移动）或发现应急响应动作。重启可能导致证据丢失（内存数据），且如果未清除后门，重启后攻击者仍可进入。23.下列关于区块链安全的描述，错误的是？A.智能合约可能存在重入漏洞B.51%攻击是指攻击者控制了超过50%的算力，从而可以双花C.区块链的数据一旦写入就无法修改，因此不存在数据篡改风险D.私钥丢失意味着对应资产的永久丢失【答案】C【解析】虽然区块链底层数据结构具有不可篡改性，但这并不意味着“不存在数据篡改风险”。如果智能合约代码存在漏洞，或者共识机制被攻破（如51%攻击），依然可能导致数据被篡改或交易被回滚。此外，私钥管理不当也是巨大的风险。24.Syslog协议通常使用哪个UDP端口？A.514B.161C.53D.80【答案】A【解析】Syslog默认使用UDP端口514，也有实现支持TCP。25.在社会工程学攻击中，攻击者通过在公共场所丢弃含有恶意软件的U盘，利用员工的好奇心插入电脑从而感染内网，这种攻击手段被称为？A.钓鱼攻击B.假托攻击C.诱饵攻击D.尾随攻击【答案】C【解析】诱饵攻击利用受害者的好奇心或贪婪，诱导其运行恶意文件。丢弃U盘是典型的诱饵攻击。26.以下哪种技术属于同态加密的应用场景？A.在不解密的情况下，对云端的加密数据进行搜索或计算B.将明文转换成固定长度的哈希值C.生成数字签名D.建立VPN隧道【答案】A【解析】同态加密允许直接对密文进行特定的数学运算，运算结果解密后与对明文进行同样运算的结果一致。这使得数据在加密状态下（如在云端）也能被处理，保护了数据隐私。27.关于ARP协议，以下说法正确的是？A.ARP是网络层协议B.ARP攻击可以将流量重定向到攻击者机器C.ARP表中IP地址与MAC地址是一一对应且永久不变的D.ARP请求是单播【答案】B【解析】ARP是数据链路层协议（A错）。ARP攻击（如ARP欺骗）通过发送伪造的ARP响应，将网关IP对应到攻击者MAC，或将受害者IP对应到攻击者MAC，从而实现中间人攻击或DoS（B对）。ARP表有超时机制，会动态变化（C错）。ARP请求是广播（D错）。28.在Python开发中，使用pickle模块进行反序列化操作时存在严重安全风险，原因是？A.pickle会自动执行代码B.pickle不支持加密C.pickle传输速度慢D.pickle容易发生缓冲区溢出【答案】A【解析】Python的pickle模块在反序列化时，如果数据来源不可信，可能会触发任意代码执行。因为pickle在还原对象时会调用对象的`__reduce__`等方法，攻击者可以构造恶意对象执行系统命令。29.以下哪个工具常用于Web应用程序的自动化漏洞扫描？A.MetasploitB.BurpSuiteC.AWVS(AcunetixWebVulnerabilityScanner)D.Wireshark【答案】C【解析】AWVS是专门的Web漏洞扫描器。Metasploit是渗透测试框架；BurpSuite主要用于手工测试和代理抓包（也有扫描功能但以手工辅助为主）；Wireshark是抓包分析工具。30.DNSSEC的主要作用是？A.加密DNS查询流量，防止被窃听B.加速DNS解析速度C.对DNS数据进行数字签名，保证数据完整性D.阻止DNS放大攻击【答案】C【解析】DNSSEC通过数字签名链验证DNS响应数据的来源和完整性，防止DNS投毒（缓存污染）攻击。它不加密查询流量（这是DNSoverHTTPS/TLS的功能），也不直接阻止DDoS。31.下列关于“提权”的描述，不正确的是？A.利用内核漏洞进行提权称为本地提权B.低权限用户通过SUID程序可以获得高权限C.提权攻击只能发生在Linux系统D.Windows系统中通过服务配置错误可以提权【答案】C【解析】提权攻击在Windows和Linux系统上都广泛存在。32.在等保2.0中，安全计算环境主要针对的是？A.网络通信线路B.安全区域边界C.操作系统、数据库、中间件等主机和应用系统D.安全管理中心【答案】C【解析】等保2.0的安全技术框架包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。其中安全计算环境主要指主机（OS、DB、中间件）及应用层面的安全。33.下列哪种备份策略的数据恢复速度最快？A.全量备份B.增量备份C.差异备份D.仅拷贝文件【答案】A【解析】全量备份包含所有数据，恢复时只需要最后一次的全量备份文件即可，速度最快。增量备份需要全量+所有增量，恢复最慢；差异备份需要全量+最后一次差异，速度居中。34.某网站登录界面要求用户输入验证码，其主要目的是防御？A.SQL注入B.跨站脚本攻击（XSS）C.暴力破解D.CSRF攻击【答案】C【解析】验证码的主要作用是区分操作者是真人还是自动化程序，有效防御暴力破解攻击。35.关于HTTPS握手过程，描述错误的是？A.客户端发送支持的加密套件列表和一个随机数B.服务端选择加密套件，发送证书和随机数C.客户端验证证书，生成预主密钥，用服务端公钥加密发送D.双方直接使用交换的随机数作为会话密钥【答案】D【解析】在RSA密钥交换中，客户端发送加密的预主密钥，双方根据预主密钥和两个随机数生成会话密钥。在DH/ECDH交换中，双方通过协商得出预主密钥。选项D说“直接使用交换的随机数作为会话密钥”是错误的，随机数只是生成会话密钥的输入参数之一。36.以下哪种内存破坏漏洞利用技术主要针对现代操作系统的地址空间布局随机化（ASLR）防护？A.DEP（数据执行保护）绕过B.ROP（面向返回编程）C.SQL注入D.中间人攻击【答案】B【解析】ASLR随机化了程序栈、堆、库的地址，使得攻击者难以预测跳转地址。ROP技术利用程序中已有的代码片段（gadgets）拼接成攻击链，这些gadgets的地址虽然是随机的，但相对位置固定，可以通过信息泄露或其他方式绕过ASLR。37.下列关于“威胁情报”的描述，不准确的是？A.威胁情报是基于已知的攻击者知识B.威胁情报只能包括IP地址和域名C.威胁情报可以分为战略型,战术型,操作型和技术型D.威胁情报可以帮助防御者提前发现攻击【答案】B【解析】威胁情报的内容非常丰富，除了IOC（如IP、域名、Hash），还包括TTP（战术、技术、过程）、攻击组织画像、漏洞报告等。38.在Linux系统中，/etc/shadow文件主要存储？A.用户名和UIDB.用户密码哈希和密码策略C.用户组信息D.系统主机名【答案】B【解析】/etc/passwd存储用户基本信息，/etc/shadow存储加密后的密码哈希及有效期等策略（安全敏感信息）。39.下列哪种技术不属于“数据脱敏”的常见方法？A.替换B.重排C.截断D.加密【答案】D【解析】数据脱敏通常指对敏感数据进行变形、遮盖、替换（如将手机号中间四位用*代替），使其在不改变数据格式的前提下失去敏感性。加密虽然也能保护数据，但加密后的数据通常是乱码，不符合脱敏“保持格式可用性”的场景需求，且加密通常归类为数据保护而非脱敏。但在某些广义语境下可能混淆，严格来说D不属于常规脱敏算法。40.Metasploit框架中，用于生成各种格式Payload的模块是？A.ExploitB.PayloadC.EncoderD.Auxiliary【答案】B【解析】Payload是攻击载荷，是在目标系统上执行的代码。Exploit是漏洞利用模块。Encoder是编码模块，用于绕过特征码检测。41.网络钓鱼攻击中，攻击者常利用Unicode字符的相似性来伪造域名，例如用西里尔字母的“а”代替拉丁字母的“a”。这种攻击被称为？A.同形异义字攻击B.DNS劫持C.会话劫持D.点击劫持【答案】A【解析】同形异义字攻击利用了视觉上相似的字符欺骗用户，使其误以为访问的是合法网站。42.在信息安全管理体系（ISMS）中，ISO/IEC27001标准的核心内容是？A.具体的技术配置标准B.信息安全风险评估和PDCA循环C.加密算法的强制要求D.网络设备采购清单【答案】B【解析】ISO27001是关于管理体系的标准，强调建立、实施、运行、监视、评审、保持和改进信息安全管理体系，核心是基于风险评估的PDCA（计划-执行-检查-行动）循环。43.下列关于“中间人攻击”（MITM）的防御措施，无效的是？A.使用强加密的SSHB.验证服务器证书的指纹C.仅使用WEP加密的Wi-FiD.使用静态ARP表【答案】C【解析】WEP加密已被破解，极易被进行中间人攻击或解密，无法防御MITM。44.在日志审计中，发现某用户账号在短时间内从相隔数千公里的两个IP地址登录。这最可能属于？A.正常差旅行为B.账号共享或被盗C.代理服务器负载均衡D.系统时间错误【答案】B【解析】虽然不排除A或C，但在安全审计视角下，这种“不可能旅行”的异常行为是账号被盗（撞库或钓鱼）或账号共享的高危信号，需重点排查。45.下列哪种协议不是应用层协议？A.HTTPB.SMTPC.ICMPD.FTP【答案】C【解析】ICMP是网络层控制协议（如Ping命令使用的协议），不属于应用层。46.关于“重放攻击”，以下防御措施无效的是？A.在消息中加入时间戳B.在消息中加入随机数C.使用一次性会话令牌D.仅使用Base64编码传输【答案】D【解析】Base64是编码方式，非加密或验证机制，无法防止消息被截获后重新发送。A、B、C均可通过验证时效性或唯一性来防御重放攻击。47.在Linux系统中，哪个命令可以查看当前系统开放的TCP/UDP网络连接？A.psB.netstat或ssC.topD.ls【答案】B【解析】netstat（较旧）和ss（较新，推荐）用于查看网络连接、路由表等。ps查看进程，top查看系统资源动态，ls查看文件。48.下列关于“勒索软件”的描述，错误的是？A.勒索软件通常使用强加密算法加密用户文件B.现代勒索软件常采用“双重勒索”策略（加密+泄露数据）C.支付赎金后一定能保证文件被解密D.勒索软件常通过钓鱼邮件或RDP暴力破解传播【答案】C【解析】支付赎金并不保证攻击者会提供解密密钥，攻击者可能跑路或解密工具失效。因此备份是防御勒索软件的最有效手段。49.在代码审计中，发现一段代码直接使用了用户输入作为文件路径进行读取：`fopen($_GET['file'],'r')`。这属于哪种漏洞？A.文件包含漏洞B.文件读取/遍历漏洞C.命令执行漏洞D.XSS漏洞【答案】B【解析】直接使用用户输入构造文件路径，攻击者可以通过`../../../etc/passwd`等路径遍历序列读取服务器上的任意敏感文件。50.下列关于“蜜罐”技术的描述，正确的是？A.蜜罐是用于生产业务的真实服务器B.蜜罐的主要目的是吸引攻击者，从而分析其行为特征C.蜜罐应该部署在DMZ区域且对外提供高强度服务D.蜜罐一旦被攻陷会导致真实网络被入侵【答案】B【解析】蜜罐是一种安全资源，其价值在于被探测、攻击或攻陷。它用于诱捕攻击者、分析威胁、拖延攻击时间。它不应承载真实业务，且应与生产网络严格隔离。二、多项选择题（共20题，每题2分）51.以下哪些属于《中华人民共和国网络安全法》中规定的网络运营者的安全义务？A.制定内部安全管理制度和操作规程B.采取技术措施，检测、监测网络运行状态C.采取技术措施，防止网络数据泄露或窃取D.对网络安全事件及时向用户报告【答案】ABCD【解析】《网络安全法》第二十一条明确规定了网络运营者应当履行的安全保护义务，包括制度、技术措施（防攻击、防窃取、防数据泄露）、监测、记录、应急预案等。52.常见的Web安全漏洞包括哪些？A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.文件上传漏洞【答案】ABCD【解析】这四项均为OWASPTop10中常见的Web应用安全风险。53.以下哪些算法属于对称加密算法？A.AESB.DESC.RSAD.RC4【答案】ABD【解析】AES、DES、RC4均为对称加密算法（加密解密使用同一密钥）。RSA是非对称加密算法。54.防火墙可以工作在哪些层级？A.物理层B.网络层C.传输层D.应用层【答案】BCD【解析】包过滤防火墙工作在网络层（IP）和传输层（端口）。应用层防火墙（WAF、代理防火墙）工作在应用层。现代防火墙通常是混合型的。物理层通常不涉及防火墙逻辑。55.以下哪些是有效的身份认证因素？A.你知道什么（如密码）B.你拥有什么（如U盾、手机）C.你是什么（如指纹、虹膜）D.你在哪里（如IP地址）【答案】ABC【解析】经典的认证三要素包括：知识因素、拥有因素、生物特征因素。D（位置）通常作为辅助验证或风险判断，不属于经典的三大认证因素之一，但在某些现代定义中可被视为上下文因素，严格考题通常选ABC。56.以下哪些技术可用于保护数据的完整性？A.哈希函数（MD5,SHA-256）B.数字签名C.对称加密D.消息认证码（MAC）【答案】ABD【解析】哈希、数字签名、MAC都能用于验证数据是否被篡改。对称加密主要用于保障机密性，虽然篡改密文会导致解密失败，但其设计目标不是完整性验证。57.关于DDoS攻击，以下描述正确的有？A.DDoS即分布式拒绝服务攻击B.攻击者通常控制僵尸网络发起攻击C.SYNFlood利用了TCP协议三次握手的缺陷D.增加带宽是防御DDoS的唯一手段【答案】ABC【解析】DDoS利用大量傀儡机发起攻击。SYNFlood是经典的DDoS攻击方式。防御DDoS需要流量清洗、CDN、负载均衡等多种手段配合，单纯增加带宽往往成本过高且不一定能抵御海量攻击，所以D错误。58.以下哪些是安全开发生命周期（SDL）中的阶段？A.需求分析B.设计C.编码D.测试与发布【答案】ABCD【解析】SDL将安全融入软件开发的各个阶段，包括培训、需求、设计、编码、测试、发布、响应等。59.下列哪些行为可能违反《中华人民共和国个人信息保护法》？A.未经用户同意，收集其手机号码B.仅提供概括性的隐私政策，未明确告知处理目的C.用户拒绝提供非必要信息，App拒绝提供服务D.发生数据泄露后，未及时告知监管机构和用户【答案】ABCD【解析】PIPL强调“告知-同意”原则、目的明确原则、最小必要原则以及泄露通知义务。以上选项均不同程度违反了这些原则。60.常见的数据库加固措施包括？A.禁用或重命名默认管理员账号（如sa,root）B.关闭不必要的端口（如SQLServer1433对公网）C.定期打补丁D.开启详细的审计日志【答案】ABCD【解析】这些都是数据库安全加固的标准操作。61.以下哪些属于APT（高级持续性威胁）的特征？A.攻击目标明确，通常针对高价值资产B.攻击手段复杂，常使用0day漏洞C.攻击具有长期潜伏性D.通常由自动化脚本随机发起【答案】ABC【解析】APT具有针对性、高级性、持续性。D选项描述的是随机性攻击或大规模蠕虫，不符合APT特征。62.下列哪些工具常用于网络嗅探？A.WiresharkB.TcpdumpC.NmapD.Ettercap【答案】ABD【解析】Wireshark（图形化）、Tcpdump（命令行）、Ettercap（中间人/嗅探）均可用于嗅探。Nmap主要用于端口扫描和服务探测。63.关于虚拟化安全，以下说法正确的有？A.Hypervisor（虚拟化管理程序）是虚拟化安全的核心B.虚拟机逃逸是指攻击者利用漏洞从虚拟机攻击宿主机C.虚拟机之间的流量默认在物理服务器内部交换，可能绕过外部防火墙D.虚拟机快照可能包含敏感数据，需要加密保护【答案】ABCD【解析】虚拟化引入了新的安全层面。Hypervisor漏洞可导致逃逸；东西向流量（VM间）需要内部监测；快照文件本质是磁盘镜像，包含完整数据。64.以下哪些是应对社会工程学攻击的有效策略？A.定期开展安全意识培训B.实施多因素认证（MFA）C.建立明确的身份验证流程（如电话确认转账）D.禁止员工使用社交媒体【答案】ABC【解析】安全意识培训是根本；MFA增加攻击难度；严格的流程可以阻断假托攻击。禁止社交媒体不现实且非根本解决之道。65.下列哪些协议使用了TCP协议？A.FTPB.SSHC.DNSD.SMTP【答案】ABD【解析】FTP（20/21）、SSH（22）、SMTP（25）默认使用TCP。DNS主要使用UDP（53），但也支持TCP（用于区域传输）。66.以下哪些属于“默认安装”带来的安全隐患？A.默认账号密码未修改B.安装了不必要的演示页面或服务C.调试端口对外开放D.路由器默认开启了远程管理（如Telnet）【答案】ABCD【解析】默认安装往往为了方便，开启了非必要的功能、弱口令等，这些都是安全隐患。67.在Windows日志中，以下哪些事件ID通常与登录相关？A.4624（登录成功）B.4625（登录失败）C.4720（创建用户）D.1102（审计日志被清除）【答案】ABCD【解析】这些都是Windows安全日志中常见的关键事件ID，涉及账户管理和登录行为。68.下列哪些是“横向移动”的常见手段？A.利用SMB协议（如PasstheHash）B.利用RDP远程桌面C.利用SSHD.利用已感染的Web服务器作为跳板【答案】ABCD【解析】横向移动是指攻击者在攻陷内网一台机器后，利用凭证或漏洞访问内网其他机器。以上手段均可用于此目的。69.关于HTTPS证书，以下说法正确的有？A.证书由CA机构签发B.证书包含公钥和域名信息C.证书有有效期D.自签名证书在公网环境下会被浏览器信任【答案】ABC【解析】自签名证书未经受信任CA签发，浏览器会报错警告，不会默认信任。70.以下哪些属于“应急响应”的准备阶段工作？A.组建应急响应团队B.准备应急响应工具箱C.制定应急响应预案D.进行定期的应急演练【答案】ABCD【解析】PDCERF模型（准备、检测、抑制、根除、恢复、跟踪）中，准备阶段包括团队、工具、预案、演练等。三、判断题（共30题，每题0.5分）71.只要使用了强加密算法，数据就是绝对安全的。【答案】错误【解析】安全是一个整体，强加密不能抵消密钥管理不当、侧信道攻击、逻辑漏洞等带来的风险。72.VPN技术可以确保数据在公网传输时的机密性和完整性。【答案】正确【解析】VPN（如IPSecVPN、SSLVPN）建立加密隧道，保护传输数据。73.删除文件到回收站并清空回收站后，数据就无法被恢复了。【答案】错误【解析】清空回收站通常只是删除了文件系统的索引，实际数据可能仍留在磁盘扇区上，使用数据恢复工具可能找回，除非进行了覆写。74.所有的网络攻击都需要利用软件漏洞。【答案】错误【解析】社会工程学攻击（如钓鱼）利用的是人的心理弱点，而非软件漏洞。75.基于角色的访问控制（RBAC）中，权限赋予角色，角色赋予用户。【答案】正确【解析】这是RBAC的基本模型。76.ICMP协议主要用于传输控制消息，不传输用户数据，因此不会被利用进行攻击。【答案】错误【解析】ICMP可被用于PingofDeath、Smurf等DDoS攻击，以及隧道技术传输数据。77.数字证书的公钥与私钥是可以互换使用的。【答案】错误【解析】公钥和私钥在数学上相关但功能不同，私钥用于签名和解密，公钥用于验证和加密，不能互换。78.在渗透测试中，获得了一个低权限的Shell后，就无法进行任何操作了。【答案】错误【解析】可以通过本地提权漏洞（如内核漏洞、SUID配置错误）提升权限。79.灰鹳（GreyHeron）攻击是指针对工业控制系统（ICS）的攻击。【答案】错误【解析】灰鹳攻击通常指针对航空业的攻击。针对ICS的著名攻击有震网、黑能量等。80.ISO27001是关于信息安全技术的国际标准。【答案】错误【解析】ISO27001是信息安全管理体系标准，ISO27002才是控制措施的最佳实践指南。81.使用CDN（内容分发网络）可以隐藏源站的真实IP地址，从而提供一定的安全保护。【答案】正确【解析】CDN作为反向代理，用户访问的是CDN节点IP，源站IP不直接暴露。82.只有黑客才需要掌握网络安全知识。【答案】错误【解析】安全人员、运维人员、开发人员甚至普通用户都需要掌握相应的网络安全知识。83.所有的后门都是恶意软件。【答案】错误【解析】开发人员留下的调试接口也是后门的一种，虽然初衷非恶意，但存在安全风险。84.二维码扫描是绝对安全的，因为二维码只能存储网址。【答案】错误【解析】二维码可以存储恶意URL、指令等，扫描后可能下载恶意软件或触发钓鱼。85.在Linux中，root用户可以修改任何文件的权限，包括那些设置了Immutable属性的文件。【答案】正确【解析】root用户拥有最高权限，可以通过chattr命令修改或移除Immutable属性。86.跨站脚本攻击（XSS）只会影响当前访问网页的用户，不会攻击服务器。【答案】正确【解析】XSS是客户端攻击，攻击目标是浏览器及其用户，而非直接攻击服务器（除非结合其他漏洞）。87.对称加密算法比非对称加密算法速度慢，因此常用于加密大量数据。【答案】错误【解析】恰恰相反，对称加密速度快，适合加密大量数据；非对称加密速度慢，适合加密少量数据（如密钥）。88.只要使用了防火墙，网络就是安全的。【答案】错误【解析】防火墙只是安全体系的一部分，无法防御应用层攻击、内部威胁等。89.数据库事务的ACID特性中，I代表Isolation（隔离性）。【答案】正确【解析】ACID指原子性、一致性、隔离性、持久性。90.威胁情报只能从商业公司购买。【答案】错误【解析】威胁情报来源包括开源情报（OSINT）、行业共享组织、商业数据等。91.蜜罐技术可以转移攻击者的注意力，保护真实资产。【答案】正确【解析】这是蜜罐的诱捕和延缓功能。92.HTTP状态码403表示服务器无法找到请求的资源。【答案】错误【解析】403表示禁止访问（权限不足），404表示未找到。93.在Python中，eval()函数如果处理用户输入，可能导致代码注入。【答案】正确【解析】eval()会执行字符串中的Python表达式，极其危险。94.生物特征识别（如指纹）一旦泄露，用户无法像修改密码那样修改指纹。【答案】正确【解析】这是生物特征识别的一大局限性。95.完整性校验通常使用哈希算法，如MD5或SHA-1。【答案】正确【解析】虽然MD5和SHA-1在防碰撞方面较弱，但在一般完整性校验中仍有应用（更推荐SHA-256）。96.云计算的三种服务模式是IaaS,PaaS,SaaS。【答案】正确【解析】基础设施即服务、平台即服务、软件即服务。97.端口扫描是黑客攻击行为，管理员永远不应该进行端口扫描。【答案】错误【解析】管理员进行端口扫描是资产发现和合规检查的重要手段。98.加密算法的安全性应依赖于算法的保密性，而非密钥的保密性。【答案】错误【解析】Kerckhoffs原则指出，算法应公开，安全性仅依赖于密钥。99.所有的恶意软件都会自我复制。【答案】错误【解析】只有蠕虫和部分病毒会自我复制，Trojan（木马）通常不会。100.等保2.0要求第三级及以上系统需要每年进行一次等级测评。【答案】正确【解析】根据规定，第三级及以上系统要求每年至少进行一次测评。四、填空题（共15题，每题1分）101.在OSI七层模型中，负责提供端到端可靠传输的是______层。【答案】传输【解析】传输层（如TCP）提供端到端的可靠或不可靠传输。102.HTTP协议默认使用TCP端口______。【答案】80【解析】HTTP默认端口80。103.在Linux权限中，r=4,w=2,x=1，那么权限rwxr-xr-x的八进制表示是______。【答案】755【解析】rwx=7,r-x=5,r-x=5。104.SQL注入攻击中，常用于注释掉后续SQL语句的MySQL注释符是______。【答案】#或--【解析】MySQL中常用#或--(注意空格)注释。105.网络安全CIA三元组中，I代表______。【答案】Integrity(完整性)【解析】Confidentiality,Integrity,Availability。106.我国施行的《中华人民共和国网络安全法》于______年正式施行。【答案】2017【解析】2016年11月7日通过，2017年6月1日施行。107.数字签名技术利用了非对称加密算法的______特性。【答案】私钥加密/签名(或不可抵赖性)【解析】通常描述为用私钥签名，公钥验证。108.在XSS攻击中，______型XSS的恶意脚本来源于服务器的数据库，每次访问都会触发。【答案】存储型(持久型)【解析】存储型XSS持久化在数据库中。109.Nmap工具中，用于半连接扫描（SYN扫描）的参数是______。【答案】-sS【解析】-sS是SYNScan，最常用的扫描方式。110.DNS查询中，将域名解析为IP地址的记录类型是______。【答案】A【解析】A记录将域名映射到IPv4地址。111.常见的Web容器Tomcat默认的管理后台路径是______。【答案】/manager/html或/manager【解析】TomcatManagerApp路径。112.密码学中，DES算法的有效密钥长度是______位。【答案】56【解析】DES输入64位密钥，有效56位（8位奇偶校验）。113.在应急响应中，______阶段的首要目标是防止攻击者造成进一步破坏。【答案】抑制(或Containment)【解析】抑制阶段旨在限制攻击范围。114.Windows系统中，用于查看远程连接列表的命令是______。【答案】netstat-ano【解析】netstat-ano显示所有连接、监听端口及对应PID。115.BurpSuite工具中，用于拦截并修改HTTP请求/响应的模块是______。【答案】Proxy【解析】Proxy模块是Burp的核心功能。五、简答题（共5题，每题5分）116.请简述SQL注入攻击的原理，并列举至少三种防御SQL注入的方法。【答案】原理：SQL注入是指攻击者通过在Web应用程序的输入字段（如表单、URL参数）中插入恶意的SQL代码片段，应用程序未对输入进行有效过滤或参数化处理，直接将其拼接到SQL查询语句中发送给数据库执行，从而欺骗数据库服务器执行非授权的恶意操作（如窃取数据、删除数据、提权等）。防御方法：1.使用预编译语句和参数化查询：这是最有效的防御方法，将数据与代码分离，数据库引擎会将输入视为数据而非可执行代码。2.对用户输入进行严格的类型检查、长度限制和格式验证。3.使用ORM框架：大多数现代ORM框架自带防SQL注入机制。4.实施最小权限原则：限制数据库连接账号的权限，避免使用root或sa等高权限账号连接。5.使用Web应用防火墙（WAF）拦截已知的SQL注入攻击特征。117.什么是XSS（跨站脚本攻击）？它有哪几种主要类型？请简要说明。【答案】XSS攻击是指攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。主要类型：1.存储型XSS（持久型）：恶意脚本被永久存储在目标服务器的数据库或文件中。当其他用户请求数据时，脚本从服务器读出并执行，危害最大。2.反射型XSS（非持久型）：恶意脚本作为URL的一部分发送给服务器，服务器将其反射回响应页面中，不经存储直接在浏览器执行。攻击者需要诱骗用户点击恶意链接。3.DOM型XSS：基于DOM文档对象模型，恶意脚本修改页面的DOM结构。攻击payload并不经过服务器端，而是在前端JavaScript解析时触发，完全发生在客户端。118.请解释对称加密和非对称加密的区别，并简述混合加密系统的典型流程。【答案】区别：1.密钥数量：对称加密使用一个密钥（加解密密钥相同）；非对称加密使用一对密钥（公钥和私钥）。2.速度：对称加密算法速度快，效率高；非对称加密算法计算复杂，速度慢。3.用途：对称加密适合加密大量数据；非对称加密用于加密小数据（如密钥）、数字签名和密钥交换。4.密钥分发：对称加密密钥分发困难；非对称加密公钥可公开分发。混合加密流程：1.接收方生成非对称密钥对，将公钥发送给发送方。2.发送方生成临时的对称会话密钥。3.发送方使用接收方的公钥加密该对称密钥，发送给接收方。4.发送方使用该对称密钥加密实际的大量数据，发送密文。5.接收方使用自己的私钥解密得到对称密钥。6.接收方使用对称密钥解密数据。结合了对称加密的高效和非对称加密的安全密钥分发优势。119.在网络安全等级保护2.0中，一个第三级信息系统通常需要满足哪些基本的安全要求？（请列举四个主要方面）【答案】1.安全物理环境：包括物理位置选择、物理访问控制、防盗、防破坏、防雷、防火、防水、防静电、温湿度控制、电力供应、电磁防护等。2.安全通信网络：包括网络架构、通信传输、可信验证。3.安全区域边界：包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计、可信验证。4.安全计算环境：包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护。5.安全管理中心：包括系统管理、审计管理、安全管理员、审计员、保密员职责分离。（注：答出物理环境、通信网络、区域边界、计算环境、安全管理中心等要点即可）120.简述DDoS攻击的原理，并列