湖北襄阳市2026年公安机关特殊职位公务员(网络安全技术职位)试题及答案解析+考点知识分析

湖北襄阳市2026年公安机关特殊职位公务员(网络安全技术职位)试题及答案解析+考点知识分析一、单项选择题（本部分共20题，每题1.5分，共30分。每题只有一个正确选项，请将正确选项的代码填入括号内）1.在TCP/IP协议栈中，负责提供端到端可靠传输服务的协议是（）。A.IPB.TCPC.UDPD.ICMP2.某公安机关技术人员在对一台被入侵的Linux服务器进行取证分析时，发现了一个可疑的隐藏文件。若要查看该文件的MD5哈希值以判断文件完整性，应使用的命令是（）。A.md5sumB.sha256sumC.fileD.strings3.在公钥密码体制中，数字签名技术用于验证数据的完整性和不可抵赖性。假设发送方A想向接收方B发送消息M并签名，A使用自己的私钥对M的摘要进行加密生成签名S，B收到M和S后，使用（）来验证签名。A.A的公钥B.A的私钥C.B的公钥D.B的私钥4.以下关于SQL注入攻击的描述中，错误的是（）。A.SQL注入是由于应用程序未对用户输入进行严格过滤，直接拼接到SQL查询语句中导致的B.盲注包括基于布尔和基于时间的盲注C.使用预编译语句可以有效防御大多数SQL注入攻击D.报错注入可以获取数据库表结构和数据，但无法获取数据库用户权限5.某Web应用使用了HTTPS协议进行加密传输。HTTPS默认使用的端口号是（）。A.80B.8080C.443D.226.在网络安全等级保护制度（等保2.0）中，关于第三级安全计算环境的安全要求，以下说法不正确的是（）。A.应对登录系统的用户进行身份标识和鉴别B.应对管理员的登录地址进行限制C.应采用两种或两种以上组合的鉴别技术对管理用户进行鉴别D.所有系统的日志记录必须实时传输至异地备份中心7.常见的网络嗅探攻击中，攻击者通常需要将网卡设置为（）模式，以便接收流经网卡的所有数据包。A.单播B.广播C.组播D.混杂8.某内网IP地址为/24，其子网掩码为（）。A.B.C.28D.529.在Windows操作系统中，用于查看当前网络连接状态（包括本地地址、外部地址、PID等）的命令是（）。A.ipconfigB.netstat-anoC.routeprintD.arp-a10.以下哪种技术不属于Web应用防火墙（WAF）的主要防御手段？（）A.输入验证B.规则匹配C.IP信誉库过滤D.物理隔离11.针对移动终端APP的安全测试，为了获取APP安装包并进行静态分析（如查看代码逻辑、硬编码密钥），通常首先需要获取（）。A.源代码B.APK/IPA文件C.数据库文件D.内存转储文件12.在RSA加密算法中，公钥由(n,e)组成，私钥由(nA.CB.CC.CD.C13.某单位内部网络发生ARP欺骗攻击，导致大量用户无法正常上网。作为网络安全管理员，最有效的临时缓解措施是（）。A.切断路由器电源B.在网关设备上绑定ARP表（静态ARP）C.修改所有计算机的IP地址D.关闭DHCP服务14.以下关于XSS（跨站脚本攻击）的描述，正确的是（）。A.存储型XSS的恶意脚本持久化保存在服务器数据库中B.反射型XSS攻击需要攻击者诱骗用户点击特定链接，恶意脚本不经过服务器C.DOM型XSS的漏洞形成与输出到HTML文档的响应体无关D.所有类型的XSS都可以通过HTTP-onlyCookie完全防御15.在Python网络编程中，使用socket库创建一个TCP服务端套接字时，调用的方法是（）。A.socket.socket(socket.SOCK_DGRAM)B.socket.socket(socket.AF_INET,socket.SOCK_STREAM)C.socket.bind()D.socket.listen()16.某公安机关在办理一起网络赌博案件时，需要对涉案服务器进行电子数据固定。根据《公安机关电子数据勘验检查规则》，以下做法错误的是（）。A.勘验检查前应当切断网络连接，防止数据被远程销毁B.直接在涉案服务器上安装分析软件进行操作C.对原始数据进行镜像备份，对备份件进行分析D.制作电子数据勘验检查笔录，并由侦查人员、见证人签名17.IPSec协议族中，负责加密和认证数据包载荷的协议是（）。A.AHB.ESPC.IKED.ISAKMP18.在Linux系统中，文件权限位为`-rwsr-xr-x`，其中的`s`表示（）。A.粘滞位B.设置用户ID位C.设置组ID位D.文件被锁定19.关于域名系统（DNS）的安全隐患，描述错误的是（）。A.DNS欺骗攻击可以让用户访问到错误的网站B.DNS放大攻击利用了DNS查询包小、响应包大的特点进行DDoS攻击C.DNSSEC通过数字签名机制保证了DNS数据的完整性和来源真实性D.DNS查询默认使用TCP协议，因此容易被流量分析20.某企业部署了入侵检测系统（IDS），IDS检测到异常流量并向管理员报警。这属于网络安全防御中的（）。A.预防B.检测C.响应D.恢复二、多项选择题（本部分共10题，每题2分，共20分。每题有两个或两个以上正确选项，错选、漏选不得分）1.以下哪些属于典型的中间人攻击（MITM）手段？（）A.ARP欺骗B.ICMP重定向C.DNS劫持D.SQL注入2.关于对称加密算法和非对称加密算法，下列说法正确的有（）。A.对称加密算法加解密速度快，适合加密大量数据B.非对称加密算法安全性基于数学难题，如大数分解、离散对数C.典型的对称算法有DES、AES、RC4D.典型的非对称算法有RSA、ECC、ElGamal3.在Linux系统中，下列哪些文件/目录与日志审计相关？（）A./var/log/messagesB./var/log/secureC./var/log/wtmpD./etc/passwd4.面向对象的编程语言中，可能导致安全漏洞的特性包括（）。A.序列化与反序列化B.动态代码执行C.缓冲区溢出（虽然更多见于C/C++，但Java层也有JNI溢出风险）D.反射机制5.常见的Web扫描工具包括（）。A.NmapB.AWVSC.AppScanD.BurpSuite6.计算机病毒的主要特征包括（）。A.传染性B.隐蔽性C.潜伏性D.可执行性7.在网络渗透测试中，信息收集阶段的主要内容包括（）。A.子域名枚举B.端口扫描C.漏漏扫描D.社会工程学信息收集8.下列关于防火墙技术的描述，正确的有（）。A.包过滤防火墙工作在网络层或传输层B.应用层代理防火墙可以理解应用层协议C.状态检测防火墙可以跟踪连接状态D.防火墙可以完全替代入侵检测系统（IDS）9.以下哪些属于《中华人民共和国网络安全法》中规定的网络运营者的安全义务？（）A.制定内部安全管理制度和操作规程B.采取防范计算机病毒和网络攻击的技术措施C.监测、记录网络运行状态、网络安全事件的技术措施D.对重要数据进行加密存储和传输10.在数字取证中，哈希函数的主要作用包括（）。A.验证数据的完整性B.快速检索数据C.对敏感数据进行加密保护D.去重分析三、填空题（本部分共10题，每题1.5分，共15分。请将答案填写在横线上）1.在HTTP协议中，状态码____表示“未找到资源”，即服务器无法找到请求的页面。2.二进制数10101转换为十进制数是____。3.在Python中，使用____库可以方便地进行HTTP请求，常用于编写Web漏洞扫描脚本。4.SSH协议默认使用TCP端口____进行连接。5.数据库中，用于撤销用户所有权限的SQL语句是____ALLPRIVILEGESON.FROM'user'@'host';6.在Wireshark抓包分析中，使用过滤器表达式____可以抓取所有HTTPGET请求的数据包。7.某IP地址为0，子网掩码为，则该IP地址所在的网络地址是____。8.常见的Windows系统漏洞利用工具____，原名MetasploitFramework，集成了大量渗透测试模块。9.在网络安全中，____攻击通过向目标服务器发送大量特构造的数据包，耗尽服务器的资源，导致无法响应正常用户。10.数字证书遵循____标准格式，包含公钥、持有者信息、颁发机构信息及有效期等。四、简答题（本部分共4题，每题5分，共20分）1.请简述TCP三次握手的过程，并说明为什么需要三次握手而不是两次。2.请列举OWASPTop10（2021版）中的任意5项Web安全风险，并简要解释其中一项的原理。3.什么是缓冲区溢出攻击？请简述其基本原理及一种防御方法。4.请简述什么是“横向移动”，在网络安全应急响应中如何检测内网的横向移动行为？五、综合应用题（本部分共2题，每题15分，共30分）1.流量分析与应急响应案例某市公安局接到某重点单位报案，称其核心数据库服务器疑似遭受入侵，数据出现异常。技术人员提取了该服务器在事发时间段的网络流量数据包文件（.pcap）。请回答以下问题：(1)在Wireshark中，若要筛选出所有访问非标准HTTP端口（如8080）的TCP流量，过滤表达式应如何书写？（3分）(2)分析发现流量中存在大量来自外部IP的SQL注入尝试语句。请列举三种常见的SQL注入测试语句或函数（例如：`unionselect`,`sleep()`等）。（3分）(3)进一步分析发现，攻击者在成功获取Webshell权限后，使用FTP协议将内网的敏感文件`config.ini`和`user.db`外传。请描述在流量中定位FTP数据传输的关键步骤。（4分）(4)假设攻击者通过Webshell反弹了一个BashShell到其控制端（C2服务器），在流量中通常会有什么特征？（5分）2.密码学与协议安全分析某电子政务系统设计了如下安全通信流程：1.服务器S拥有公钥证书，客户端C拥有服务器S的公钥。2.客户端C生成随机会话密钥。3.客户端C使用加密得到E()，发送给服务器S。4.服务器S使用私钥解密得到。5.双方使用进行对称加密通信。请回答以下问题：(1)上述流程中，主要利用了哪种密码学技术来保护会话密钥的传输？（3分）(2)如果攻击者能够截获并修改第3步中的E((3)为了增强身份认证，建议引入数字签名。请写出客户端C在发送时，如何通过数字签名证明自己的身份（假设C也有公私钥对,）。（4分）(4)相比于上述自定义协议，使用标准协议TLS/SSL有哪些优势？（4分）答案解析及考点知识分析一、单项选择题1.答案：B解析：TCP（传输控制协议）提供面向连接的、可靠的、基于字节流的传输服务；IP提供网络层路由转发；UDP提供无连接不可靠服务；ICMP是控制报文协议（如Ping）。考点分析：计算机网络基础-TCP/IP协议栈各层功能。2.答案：A解析：`md5sum`是Linux下计算文件MD5值的命令；`sha256sum`计算SHA256值；`file`查看文件类型；`strings`打印文件中的可打印字符。考点分析：Linux系统操作与安全-常用安全命令。3.答案：A解析：数字签名是发送方用私钥加密摘要，接收方用发送方的公钥解密验证，这保证了只有私钥持有者才能生成签名。考点分析：密码学应用-数字签名原理。4.答案：D解析：报错注入可以通过数据库的报错信息回显出数据，包括数据库版本、用户权限等信息。D选项称无法获取权限是错误的。考点分析：Web安全-SQL注入攻击类型与原理。5.答案：C解析：HTTP默认端口80，HTTPS默认端口443，SSH是22。考点分析：网络协议-常见服务端口号。6.答案：D解析：等保2.0三级要求中，关于安全审计，要求“应提供异地数据备份功能”，但并未强制要求“所有”日志必须“实时”传输（通常是定期或实时，视具体要求而定，但D选项表述过于绝对且不是针对计算环境的通用强制要求，更偏向于管理或特定场景）。实际上，三级要求身份鉴别是双因子，A、B、C均正确。D选项中的“实时”和“所有系统”在标准中并非绝对化表述，且属于审计恢复层面，不属于计算环境身份鉴别层面的核心错误点，但在本题语境下，A、B、C都是明确的三级技术要求，D属于较为苛刻的管理或架构要求，且容易成为干扰项。更严谨地看，三级要求“应采用密码技术或其它技术手段...”，并未强制“实时”。考点分析：网络安全等级保护-三级系统技术要求。7.答案：D解析：网卡默认只接收发给本机MAC的数据帧（单播/广播）。嗅探需要设置为混杂模式以接收所有流经网卡的数据。考点分析：网络攻击技术-网络嗅探原理。8.答案：B解析：/24表示子网掩码中24个1，即。考点分析：网络基础-IP地址与子网划分。9.答案：B解析：`netstat-ano`显示网络连接、路由表、接口统计，-a显示所有，-n以数字形式显示，-o显示PID。`ipconfig`查看IP配置，`route`查看路由，`arp`查看ARP表。考点分析：Windows系统命令-网络排查。10.答案：D解析：WAF工作在应用层，主要处理Web流量。物理隔离是网闸或气隙隔离技术，不属于WAF功能。考点分析：安全设备-Web应用防火墙功能。11.答案：B解析：安卓APP安装包为APK，iOS为IPA。静态分析通常针对这些安装包文件。考点分析：移动安全-APP静态分析流程。12.答案：B解析：RSA加密时，用公钥(n,e)，计算C=考点分析：密码学算法-RSA算法数学原理。13.答案：B解析：ARP欺骗的核心是伪造MAC-IP映射。防御措施之一是在网关上绑定静态ARP，使网关不接收动态ARP更新，从而保护网关不被欺骗。考点分析：网络攻击防御-ARP欺骗防御。14.答案：A解析：存储型XSS将恶意脚本存入数据库，每次访问页面即触发；反射型XSS恶意脚本经服务器处理后反射回浏览器（B错，脚本经过服务器）；DOM型XSS利用DOM修改，与服务器响应体无关（C对）；HTTP-only只能防Cookie窃取，不能防所有XSS（D错）。题目问正确的是，A和C都是XSS的特点，但A是基础定义。C也是对的，但在单选中，若A最典型则选A。如果C选项表述“DOM型XSS的漏洞形成与输出到HTML文档的响应体无关”，这是DOMXSS的核心特征。A也是正确的。若多选则AC。单选题中，A是通用基础。注：此处若为单选，A是最基础的描述。考点分析：Web安全-XSS攻击分类与原理。15.答案：B解析：`socket.socket(socket.AF_INET,socket.SOCK_STREAM)`创建TCP套接字。SOCK_DGRAM是UDP。bind和listen是后续操作。考点分析：编程开发-PythonSocket编程。16.答案：B解析：电子数据取证原则要求“环境隔离”和“数据备份”。直接在涉案原始介质上安装软件会改变原始数据（时间戳、文件覆盖等），破坏证据链，是严格禁止的。考点分析：电子数据取证-取证原则与操作规范。17.答案：B解析：ESP（封装安全载荷）协议提供加密、认证和完整性保护；AH（认证头）仅提供认证和完整性，不加密；IKE是密钥交换协议。考点分析：VPN技术-IPSec协议族。18.答案：B解析：权限位中的`s`出现在执行者权限位（x的位置）上。若在User位，表示Set-UID（SUID），执行时以文件所有者权限运行；若在Group位，表示Set-GID（SGID）。`-rws...`表示User位是SUID。考点分析：操作系统安全-Linux文件特殊权限。19.答案：D解析：DNS查询主要使用UDP协议（为了速度快），只有在响应包超过512字节时才使用TCP。D选项称默认使用TCP是错误的。考点分析：网络服务安全-DNS协议特性。20.答案：B解析：PDRR模型包括：预防、检测、响应、恢复。IDS发现报警属于检测阶段。考点分析：网络安全模型-PDRR模型。二、多项选择题1.答案：ABC解析：ARP欺骗、DNS劫持、ICMP重定向都是典型的中间人攻击手段。SQL注入是直接攻击Web应用，不属于MITM。考点分析：网络攻击-中间人攻击技术。2.答案：ABCD解析：对称加密（如AES、DES）速度快，适合大数据；非对称（如RSA、ECC）基于数学难题，速度慢，用于密钥交换和签名。四个选项均正确。考点分析：密码学基础-对称与非对称加密对比。3.答案：ABC解析：`/var/log`下存放日志。`messages`是系统主日志，`secure`是安全/认证日志，`wtmp`是登录记录。`/etc/passwd`是账户配置文件，不是日志。考点分析：Linux系统-日志文件位置。4.答案：ABD解析：反序列化漏洞、动态代码执行、反射机制都可能导致语言层面的安全漏洞。缓冲区溢出主要是内存破坏漏洞，虽然Java层通过JNI也可能存在，但C/C++更典型。但在Web安全语境下，通常指语言特性漏洞。A、B、D是常见的Web语言特性漏洞。考点分析：应用安全-编程语言安全特性。5.答案：BCD解析：AWVS、AppScan是著名的Web漏洞扫描器；BurpSuite是综合渗透测试工具（含扫描功能）；Nmap主要是端口和服务扫描，虽能发现服务版本，但主要功能不是Web漏洞扫描。考点分析：安全工具-漏洞扫描器。6.答案：ABCD解析：计算机病毒具有传染性、隐蔽性、潜伏性、破坏性（可执行性触发）。四个选项均符合。考点分析：恶意代码-计算机病毒特征。7.答案：ABCD解析：渗透测试前期信息收集包括：子域名、端口、漏洞、社会工程学（人员信息）、GoogleHacking等。考点分析：渗透测试-信息收集阶段。8.答案：ABC解析：包过滤（网络层）、应用代理（应用层）、状态检测（传输层/会话层）都是防火墙技术。防火墙侧重访问控制，IDS侧重入侵检测，功能不同，不可完全替代。考点分析：安全设备-防火墙技术分类。9.答案：ABCD解析：《网络安全法》第21条明确规定了网络运营者的安全义务，包括制度、技术措施（防病毒、防攻击、监测记录）、数据分类备份加密等。四个选项均符合。考点分析：法律法规-网络安全法。10.答案：AD解析：哈希函数用于验证数据完整性（A）和去重（D）。哈希是单向函数，不用于加密（C错），虽然哈希表用于检索（B），但在取证语境下主要指完整性和去重。考点分析：电子数据取证-哈希函数应用。三、填空题1.答案：404解析：HTTP404NotFound。考点分析：Web协议-HTTP状态码。2.答案：21解析：1×考点分析：计算机基础-数制转换。3.答案：requests解析：Python的`requests`库是HTTP请求的事实标准。考点分析：编程开发-Python安全库。4.答案：22解析：SSH默认端口22。考点分析：网络协议-常用端口。5.答案：REVOKE解析：SQL中撤销权限使用REVOKE。考点分析：数据库安全-SQL权限管理。6.答案：http.request.method=="GET"解析：Wireshark显示过滤器语法。考点分析：流量分析-Wireshark过滤语法。7.答案：解析：IP与掩码按位与运算。0&=。考点分析：网络基础-网络地址计算。8.答案：MSF解析：MetasploitFramework简称MSF。考点分析：安全工具-Metasploit。9.答案：拒绝服务或DoS/DDoS解析：通过耗尽资源导致拒绝服务。考点分析：网络攻击-拒绝服务攻击。10.答案：X.509解析：数字证书通常遵循ITU-TX.509标准。考点分析：密码学应用-PKI证书标准。四、简答题1.参考答案：TCP三次握手过程：1.客户端发送SYN包（seq=x）给服务器，进入SYN_SENT状态。2.服务器收到SYN包，回复SYN+ACK包（seq=y,ack=x+1），进入SYN_RCVD状态。3.客户端收到SYN+ACK包，回复ACK包（ack=y+1），进入ESTABLISHED状态。服务器收到ACK后也进入ESTABLISHED状态。为什么需要三次握手：为了防止客户端发送的已失效的连接请求报文段突然又传送到了服务端，因而产生错误。如果只有两次握手，服务端收到连接请求就建立连接，而客户端并未发起真实请求或已关闭，会导致服务端资源浪费。三次握手确认了双方的收发能力。考点分析：计算机网络-TCP连接管理。2.参考答案：OWASPTop10(2021)风险包括：A01:2021–访问控制失效A02:2021–加密失效A03:2021–注入A04:2021–不安全设计A05:2021–安全配置错误A06:2021–易受攻击和过时的组件A07:2021–身份识别和身份验证失败A08:2021–软件和数据完整性故障A09:2021–安全日志和监控故障A10:2021–服务端请求伪造(SSRF)解释（以注入为例）：注入漏洞是指当不受信任的数据作为命令或查询的一部分发送给解释器时，攻击者可以欺骗解释器执行非预期的命令或访问未授权的数据。例如SQL注入，通过在输入框输入恶意SQL语句，篡改数据库查询逻辑。考点分析：Web安全-OWASPTop10标准。3.参考答案：定义：缓冲区溢出攻击是指向程序缓冲区写入的数据超过了缓冲区本身的容量，导致覆盖了相邻的内存空间。原理：程序未对输入数据的长度进行严格校验，当数据过长时，多出的数据会覆盖栈上的返回地址等关键数据。攻击者通过精心构造数据，将返回地址指向恶意代码的地址，从而控制程序执行流程。防御方法：1.编写安全的代码，进行边界检查（如使用安全的库函数`strncpy`代替`strcpy`）。2.开启编译器保护机制（如StackCanary，栈保护金丝雀）。3.开启操作系统的NX（不可执行）位和ASLR（地址空间布局随机化）。考点分析：二进制安全-缓冲区溢出原理与防御。4.参考答案：横向移动：攻击者在突破一台主机后，利用该主机作为跳板，通过内部网络渗透攻击同一网络内的其他主机，以扩大控制范围、寻找高价值目标。检测方法：1.异常登录行为：监控短时间内同一账户对不同主机的登录尝试，或非正常时间/地点的登录。2.异常网络连接：监控内网中不常见的端口扫描（如445,3389,22）或大范围的内网连接请求。3.协议异常：检测SMB、WMI、WinRM、SSH等远程管理协议的异常使用。4.进程/命令异常：检测PSExec、WMI命令行工具、PowerShell远程命令等横向移动工具的执行痕迹。5.流量特征：内部流量中存在攻击特征或异常的数据传输模式。考点分析：内网安全-横向移动与检测。五、综合应用题1.参考答案：(1)过