2026年黑龙江省公安机关人民警察特殊职位招录考试(网络安全+网络安全技术网络安全防护+网络安全技术数据应用与管理)复习题及答案

2026年黑龙江省公安机关人民警察特殊职位招录考试(网络安全+网络安全技术网络安全防护+网络安全技术数据应用与管理)复习题及答案一、单项选择题（每题只有一个正确选项，共30题）1.在OSI七层模型中，负责提供端到端的可靠数据传输服务，并具备流量控制和拥塞控制功能的层是（）。A.物理层B.网络层C.传输层D.会话层2.某公安机关技术人员在分析网络流量时，发现大量来自不同源IP的TCPSYN包发送到同一目标端口，但服务器没有收到后续的ACK包。这种攻击最可能是（）。A.UDPFloodB.SYNFloodC.ICMPFloodD.HTTPFlood3.在密码学中，RSA算法的安全性主要基于（）。A.离散对数难题B.大整数分解难题C.背包问题D.椭圆曲线离散对数问题4.根据《中华人民共和国网络安全法》规定，关键信息基础设施的运营者在采购网络产品和服务，应当按照规定与提供者签订（）。A.保密协议B.安全保密合同C.知识产权协议D.数据共享协议5.在Linux系统中，用于查看当前系统网络连接状态（包括TCP、UDP监听端口）的常用命令是（）。A.ps-auxB.netstat-anC.ls-lD.chmod7556.Web应用防火墙（WAF）的主要防御对象不包括（）。A.SQL注入攻击B.跨站脚本攻击（XSS）C.分布式拒绝服务攻击（DDoS）的网络层流量D.跨站请求伪造（CSRF）7.以下关于IP地址的描述中，正确的是（）。A.IP地址/24是一个可用的主机地址B.IP地址属于组播地址C.IP地址属于公网地址D.IP地址55可用于单播通信8.在数据库安全中，防止未授权用户访问数据库数据的机制被称为（）。A.完整性B.可用性C.保密性D.审计9.某恶意代码通过修改系统引导扇区，从而在操作系统加载前获得执行权限，这种恶意代码属于（）。A.宏病毒B.蠕虫C.引导型病毒D.特洛伊木马10.在入侵检测系统（IDS）中，基于特征的检测技术主要依赖于（）。A.异常行为模型B.攻击特征库C.统计分析D.神经网络算法11.我国实行的网络安全等级保护制度（等保2.0）将信息系统安全保护等级分为（）。A.三级B.四级C.五级D.六级12.在数字签名中，发送方使用自己的（）对消息摘要进行加密。A.公钥B.私钥C.对称密钥D.会话密钥13.以下协议中，默认使用最不安全且传输明文密码的是（）。A.SSHB.TelnetC.HTTPSD.SFTP14.在数据取证中，为了保证电子证据的法律效力，首要遵循的原则是（）。A.及时性原则B.合法性原则C.完整性原则D.环境隔离原则15.某内网用户访问外网时，其源IP地址被替换为防火墙的外网接口IP地址，这种技术被称为（）。A.路由B.交换C.网络地址转换（NAT）D.隧道技术16.在Windows系统中，注册表键值（）通常用于实现恶意程序的自启动。A.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunB.HKEY_CLASSES_ROOT\*C.HKEY_CURRENT_USER\ControlPanelD.HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services17.下列关于SQL注入攻击的描述，错误的是（）。A.可以通过输入框构造恶意SQL语句B.主要原因是应用程序未对用户输入进行过滤C.只能攻击MySQL数据库D.可能导致数据泄露、篡改或删除18.公安机关在办理刑事案件时，对于电子数据的扣押，应当制作（）。A.笔录B.清单C.笔录和清单D.判决书19.HTTPS协议通过（）协议来保证数据传输的安全性。A.SSL/TLSB.SSHC.IPSecD.VPN20.在网络嗅探攻击中，攻击者通常需要将网卡设置为（）模式。A.单播B.广播C.组播D.混杂21.计算机病毒的特征不包括（）。A.传染性B.潜伏性C.独立性（指不依附于其他程序）D.破坏性22.在KaliLinux中，用于网络端口扫描和服务版本探测的常用工具是（）。A.WiresharkB.NmapC.MetasploitD.BurpSuite23.根据数据分类分级保护要求，核心数据的重要程度和危害程度（）重要数据。A.低于B.等于C.高于D.不确定24.在应急响应中，对受感染系统进行隔离的首要目的是（）。A.节省带宽B.防止横向扩散C.便于备份数据D.提高系统运行速度25.下列关于非对称加密算法的描述，正确的是（）。A.加密和解密使用同一密钥B.加密速度比对称加密快C.适合加密大量数据D.公钥是可以公开的，私钥必须保密26.某单位内部网络划分了VLAN，主要目的是（）。A.物理隔离B.逻辑隔离，抑制广播风暴，提高安全性C.增加网络带宽D.方便管理IP地址27.在Web安全中，CSRF（跨站请求伪造）攻击的核心在于利用了（）。A.用户在已登录网站的信任身份B.服务器的漏洞C.浏览器的插件漏洞D.网络的监听28.下列属于日志分析中的异常行为特征是（）。A.正常的页面请求（200OK）B.某用户在短时间内频繁尝试登录失败C.定时的系统备份任务D.管理员在上班时间的配置修改29.为了防止重放攻击，通常在通信协议中引入（）。A.时间戳或序列号B.更长的密钥C.压缩算法D.数字证书30.在数据备份策略中，将每天的数据进行备份，并保留最近7天的备份，这种策略属于（）。A.完全备份B.增量备份C.差异备份D.日常备份二、多项选择题（每题有两个或两个以上正确选项，共15题）31.网络安全的基本属性（CIA三要素）包括（）。A.机密性B.完整性C.可用性D.可追溯性32.以下哪些属于常见的一级等保（等级保护）测评项？（）A.身份鉴别B.访问控制C.安全审计D.数据完整性33.面向对象编程语言中，可能导致安全漏洞的因素包括（）。A.序列化与反序列化B.内存溢出C.类型混淆D.SQL拼接34.关于防火墙的工作模式，下列描述正确的有（）。A.包过滤防火墙主要在网络层和传输层进行过滤B.应用层代理防火墙可以检查应用层协议数据C.状态检测防火墙可以跟踪连接状态D.防火墙不能防备内部威胁35.在Linux系统中，/etc/passwd文件中包含的信息有（）。A.用户名B.用户ID（UID）C.组ID（GID）D.用户密码（加密后）36.常见的Web应用漏洞包括（）。A.SQL注入B.文件包含C.命令执行D.任意文件下载37.公安机关在调查网络犯罪时，可以采取的电子取证措施包括（）。A.远程勘验B.网络在线提取C.电子数据检查D.扣押原始存储介质38.关于SSH协议的安全配置，以下做法正确的有（）。A.禁止root用户直接远程登录B.修改默认的22端口C.仅使用密码认证D.使用密钥对认证39.下列哪些工具可用于网络流量分析？（）A.TcpdumpB.WiresharkC.SnortD.Nmap40.恶意代码的传播途径包括（）。A.电子邮件附件B.恶意网页挂马C.U盘等可移动存储设备D.系统漏洞利用41.在数据库安全管理中，权限控制的原则包括（）。A.最小权限原则B.职责分离原则C.最大共享原则D.默认拒绝原则42.下列关于IPv6安全性的描述，正确的有（）。A.IPv6内置了IPSec协议支持B.IPv6地址空间大，使得网络扫描变得困难C.IPv6完全解决了所有网络安全问题D.IPv6同样存在遭受DDoS攻击的风险43.在应急响应PDCERF模型中，包含的阶段有（）。A.准备B.检测C.抑制D.根除E.恢复F.跟踪44.数据脱敏的主要技术手段包括（）。A.替换B.重排C.加密D.截断45.关键信息基础设施安全保护“三同步”原则是指（）。A.同步规划B.同步建设C.同步使用D.同步运行三、判断题（正确的选A，错误的选B，共15题）46.特洛伊木马程序通常不具备自我复制的能力，需要伪装成正常软件诱导用户运行。（）47.MD5算法属于单向散列函数，其输出长度为128位，目前被认为是强抗碰撞的，适合用于数字签名。（）48.公安机关的人民警察对个人私密信息（如通讯记录、健康生理信息等）在非执法需要的情况下可以随意查询。（）49.在网络安全等级保护制度中，第三级及以上等级的系统每年至少需要进行一次等级测评。（）50.虚拟专用网络（VPN）技术只能在公网环境中使用，无法在内网环境中部署。（）51.所有的网络攻击行为都会导致目标主机服务不可用。（）52.在Windows系统中，管理员账户“Administrator”的SID总是固定的，为S-1-5-21-...-500。（）53.数字证书是由证书授权中心（CA）签发的，用于绑定公钥与持有者身份。（）54.网络钓鱼攻击主要利用了社会工程学原理，而非单纯的技术漏洞。（）55.数据库事务的ACID特性中，I代表Isolation（隔离性），指并发执行的事务之间互不干扰。（）56.使用Wireshark抓包时，如果捕获的是HTTPS流量，可以直接看到HTTP明文内容。（）57.为了方便管理，服务器登录密码应设置得简单易记，如“123456”。（）58.网络拓扑结构图是网络安全风险评估和应急响应的重要参考资料。（）59.只有黑客才能使用渗透测试工具，安全管理人员不应使用。（）60.日志审计不仅能发现入侵行为，还能为事后溯源提供依据。（）四、填空题（共10题）61.在TCP/IP协议栈中，ICMP协议属于________层，主要用于传递差错报文和控制信息。62.著名的非对称加密算法RSA中，RSA取自三位发明者的名字首字母，分别是Rivest、Shamir和________。63.在Linux文件权限中，rwxr-xr-x对应的八进制数值表示为________。64.SQL注入攻击中，若要获取数据库表结构信息，通常会使用MySQL数据库中的________表。65.公安机关网络安全保卫部门负责监督、检查、指导计算机信息系统的安全保护工作，对于未落实安全保护义务的单位，可给予警告并责令限期改正；拒不改正的，可对单位处以________万元罚款。66.在数字取证中，为了保证数据的原始性，通常会对存储介质进行________位镜像复制。67.常见的Webshell后门文件扩展名包括.php、.jsp、.aspx和________。68.防火墙通过设置________规则来允许或拒绝数据包的通过。69.在公钥基础设施（PKI）中，________列表用于吊销已失效的数字证书。70.某IP地址为，子网掩码为，则该IP地址所在的子网地址是________。五、简答题（共4题）71.请简述XSS（跨站脚本攻击）的原理，并列举三种常见的XSS类型。72.在网络应急响应中，针对被入侵的服务器，请列出基本的处置流程（至少包含5个步骤）。73.请解释对称加密算法与非对称加密算法的主要区别，并各举一例典型算法。74.根据《中华人民共和国数据安全法》，数据分类分级保护的主要内容是什么？六、综合应用题（共4题）75.某公安局接到报案，某政府网站遭受了攻击，技术人员在日志中发现了如下异常HTTP请求：`GET/news.php?id=1UNIONSELECT1,username,passwordFROMusers--`请分析：(1)这是一个什么类型的攻击？其攻击目的是什么？(2)请写出防御此类攻击的三种有效措施。(3)假设数据库中存在`admin`用户，且密码经过MD5加密存储，攻击者成功获取了`admin`的MD5哈希值`21232f297a57a5a743894a0e4a801fc3`，请简述攻击者后续可能采取的破解手段。76.某企业内部网络发生了数据泄露事件，经排查发现内网某台主机被植入了木马。该木马会主动连接外网控制服务器C2（CommandandControl）。(1)作为网络安全技术人员，请说明如何通过流量分析发现该主机与C2服务器的异常连接？（提示：可从连接频率、载荷特征、时间规律等方面分析）(2)为了防止此类内网主机被控制，请从网络边界防护和主机安全两个维度分别提出至少两条加固建议。(3)在取证分析阶段，需要提取该主机的内存数据。请列举两种常用的Windows内存取证工具，并说明内存取证可以获取哪些关键信息（至少列举三种）。77.某单位规划部署一套无线局域网（WLAN）供内部员工使用，同时需要为访客提供隔离的上网服务。(1)在无线加密协议的选择上，应避免使用哪种不安全的协议？推荐使用哪种协议？(2)为了实现内网员工和访客网络的逻辑隔离，在无线控制器（AC）或交换机上应采用什么技术？(3)针对无线网络面临的“邪恶双子节点”（EvilTwin）攻击，请简述其攻击原理及一种防御检测方法。78.某省公安机关“净网”专项行动中，抓获了一名利用黑客手段攻击彩票网站并修改数据的嫌疑人。经审讯，嫌疑人利用了网站未对用户输入数据进行严格校验的漏洞，通过构造特定的HTTPPOST请求修改了后台数据库中的彩票中奖号码。(1)请结合数据库事务的ACID特性，分析如果该网站在执行修改操作时开启了事务但未正确提交或回滚，可能会导致什么数据一致性问题？(2)请设计一个基于“预编译语句”的Java代码片段（伪代码或实际代码均可），用于防御此类修改数据的漏洞。(3)除了代码层面的修复，从数据库运维角度，还可以采取哪些措施来增强数据安全性？（至少列举两点）参考答案及解析一、单项选择题1.C解析：传输层（TransportLayer）负责端到端的连接，TCP协议提供可靠传输、流量控制和拥塞控制。2.B解析：SYNFlood利用TCP协议握手的缺陷，发送大量SYN包但不完成握手，耗尽服务器半连接队列资源。3.B解析：RSA的安全性基于大整数分解难题。4.B解析：《网络安全法》第三十七条规定，关键信息基础设施运营者采购网络产品和服务，应当按照规定与提供者签订安全保密合同。5.B解析：`netstat-an`用于显示网络连接、路由表和网络接口信息，-a显示所有，-n以数字形式显示。6.C解析：WAF主要工作在应用层，防御Web攻击。网络层的DDoS攻击通常需要防火墙、IPS或专业的抗DDoS设备清洗。7.B解析：-55为D类地址，用于组播。A是网络地址，C是私有地址，D是受限广播地址。8.C解析：保密性（Confidentiality）确保信息不被泄露给未授权的用户。9.C解析：引导型病毒感染磁盘的主引导记录（MBR）或系统引导扇区。10.B解析：基于特征的检测（MisuseDetection）将捕获的数据包与已知的攻击特征库进行匹配。11.C解析：等保2.0将等级分为五级，一级最低，五级最高。12.B解析：数字签名使用发送方的私钥加密摘要，接收方用发送方公钥解密验证，确保不可抵赖性。13.B解析：Telnet是明文传输协议，SSH是加密的。14.C解析：完整性原则要求电子证据在收集、保管、分析过程中保持未被篡改，通常通过哈希值校验。15.C解析：NAT（NetworkAddressTranslation）将内网私有IP转换为公网IP。16.A解析：Run键值是Windows自启动的常见注册表位置。17.C解析：SQL注入是Web层面的漏洞，与具体数据库类型无关，Oracle、SQLServer等同样受影响。18.C解析：扣押电子数据应当制作笔录，记录扣押过程，并制作清单，注明电子数据的名称、类别、数量等。19.A解析：HTTPS=HTTP+SSL/TLS。20.D解析：混杂模式允许网卡接收流经网卡的所有数据帧，而不管目的地址是否为本机。21.C解析：病毒必须寄生在其他程序（宿主）中，不具备独立性；而蠕虫是独立的程序。22.B解析：Nmap是网络映射器，用于端口扫描和服务发现。23.C解析：核心数据>重要数据>一般数据。24.B解析：隔离是为了切断攻击路径，防止病毒或攻击在内网横向传播。25.D解析：非对称加密中公钥公开，私钥保密；加密速度慢，适合小数据加密。26.B解析：VLAN（虚拟局域网）在物理网络上划分逻辑网段，隔离广播风暴，增强安全。27.A解析：CSRF利用用户在浏览器已登录状态下的隐式身份验证信息（如Cookie）。28.B解析：短时间内频繁登录失败是典型的暴力破解或撞库行为特征。29.A解析：时间戳或序列号可以确保消息的新鲜度，防止被截获后重放。30.B解析：增量备份只备份上次备份后变化的数据。二、多项选择题31.ABC解析：CIA三要素是Confidentiality（机密性）、Integrity（完整性）、Availability（可用性）。32.ABCD解析：身份鉴别、访问控制、安全审计、数据完整性都是等保测评的通用技术要求。33.AC解析：反序列化漏洞是Java等语言常见的高危漏洞；类型混淆也可能导致安全问题。B主要是C/C++语言问题，D是通用Web问题。34.ABC解析：包过滤在L3/L4，应用层代理在L7，状态检测跟踪连接状态。防火墙对内部威胁（如内网攻击）防御能力有限，但D项“不能防备”过于绝对，通常指对内部发起的攻击难以防范，但在标准题库中常选D以强调局限性，这里选ABC更严谨，若必须全选则视具体语境，但根据标准定义，ABC明显正确。注：部分教材认为防火墙防不住内部攻击。35.ABC解析：现代Linux系统中，密码哈希存储在/etc/shadow中，/etc/passwd中通常用x占位。36.ABCD解析：均为OWASPTop10常见漏洞。37.ABCD解析：均为公安机关办理网络犯罪案件时合法的电子取证手段。38.ABD解析：禁止root直接登录、改端口、使用密钥认证都是加固SSH的有效手段。仅使用密码认证相对较弱，不是推荐做法。39.ABC解析：Tcpdump和Wireshark是抓包分析工具，Snort是IDS/IPS也可分析流量。Nmap主要用于扫描。40.ABCD解析：均为恶意代码常见传播途径。41.ABD解析：最小权限、职责分离、默认拒绝是安全原则。最大共享与安全相悖。42.ABD解析：IPv6设计时考虑了IPSec，地址大导致扫描困难，但并未解决所有安全问题，DDoS依然存在。43.ABCDEF解析：PDCERF模型包含准备、检测、抑制、根除、恢复、跟踪六个阶段。44.ABCD解析：替换、重排、加密、截断都是数据脱敏技术。45.ABD解析：关键信息基础设施安全保护要求同步规划、同步建设、同步运行（使用）。三、判断题46.A解析：木马通常伪装成合法程序，不具备自我复制能力（区别于病毒）。47.B解析：MD5已被证明存在强碰撞漏洞，不推荐用于严格的数字签名场景。48.B解析：人民警察必须严格依照法定程序和权限行使查询权，严禁随意查询公民个人信息。49.A解析：等保2.0规定，第三级及以上系统每年至少进行一次测评。50.B解析：VPN也可用于内网不同部门间的安全通信。51.B解析：例如窃取数据的攻击（如拖库）不一定导致服务不可用。52.A解析：Windows系统管理员账户的SID末尾固定为500。53.A解析：数字证书由CA签发，绑定公钥和实体身份信息。54.A解析：网络钓鱼利用人性的弱点（好奇、恐惧等），属于社会工程学范畴。55.A解析：Isolation（隔离性）确保事务并发执行时的独立性。56.B解析：HTTPS是加密的，Wireshark抓到的密文，无法直接看到明文，除非配置了SSL密钥日志。57.B解析：弱密码是严重的安全隐患，严禁使用。58.A解析：拓扑图有助于了解网络结构，快速定位攻击源和受影响范围。59.B解析：安全管理人员利用渗透测试工具进行自我检测是合规且必要的。60.A解析：日志记录了所有操作，是溯源和审计的核心依据。四、填空题61.网络解析：ICMP属于网络层（Layer3）。62.Adleman解析：RSA=Rivest,Shamir,Adleman。63.755解析：r=4,w=2,x=1；Owner(4+2+1=7),Group(4+0+1=5),Other(4+0+1=5)。64.information_schema解析：MySQL中`information_schema`数据库存储了所有数据库的元数据（表结构、列信息等）。65.五解析：《网络安全法》第五十九条规定，拒不改正的，处一万元以上十万元以下罚款（针对关键信息基础设施运营者最高可处五十万元，但此处一般单位为十万）。注：题目若指一般单位为十万，若指关键信息基础设施为五十万。题目未特指关键信息基础设施，通常填十万或按题库惯例。根据《网络安全法》第59条：网络运营者...处一万元以上十万元以下罚款...关键信息基础设施运营者...处十万元以上五十万元以下罚款。题目未明确CII，填“十”或“十万”。66.512解析：通常要求进行512字节（扇区大小）级别的镜像，或位对位复制。67..asp解析：经典Webshell后缀还包括.asp（虽然较老，但仍存在）。68.访问控制列表(ACL)解析：防火墙核心是ACL。69.证书撤销列表(CRL)解析：CRL用于列吊销证书。.0解析：IP与掩码做与运算。&=。五、简答题71.答：原理：攻击者通过在Web页面中注入恶意的Script代码（通常是JavaScript），当用户浏览该页面时，嵌入其中的Script代码会被用户的浏览器执行，从而达到攻击者窃取用户数据、钓鱼、会话劫持等目的。类型：1.反射型XSS：恶意脚本通过URL参数传递，服务器未处理直接反射给浏览器执行。2.存储型XSS：恶意脚本被存储在服务器数据库中，当其他用户请求数据时被渲染执行。3.DOM型XSS：恶意代码修改了页面的DOM结构，攻击完全在客户端完成，不经过服务器。72.答：1.检测与确认：通过异常流量、告警日志或用户报案发现入侵，确认事件性质和范围。2.抑制与隔离：立即断开受感染主机的网络连接（拔线或禁用网卡），防止攻击横向扩散。3.根除与消除：查找恶意代码（后门、病毒、Webshell），删除恶意文件，修补漏洞。4.恢复与重建：恢复系统至干净状态（利用备份重装系统或还原数据），打上安全补丁，修改所有相关密码。5.跟踪与总结：追溯攻击来源，完善安全策略，编写应急响应报告，加强监控。73.答：区别：1.密钥数量：对称加密使用一个密钥（加解密密钥相同）；非对称加密使用一对密钥（公钥和私钥）。2.加解密速度：对称加密速度快，适合处理大量数据；非对称加密速度慢，适合处理少量数据。3.主要用途：对称加密主要用于数据加密存储；非对称加密主要用于密钥交换、数字签名。典型算法：对称加密：DES、3DES、AES、RC4。非对称加密：RSA、ECC（椭圆曲线加密）、DSA。74.答：根据《数据安全法》，国家建立数据分类分级保护制度。分类：按照数据所属的行业、业务领域、属性等维度进行分类（如：金融数据、医疗数据、政务数据）。分级：按照数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益的危害程度进行分级。通常分为一般数据、重要数据、核心数据。保护要求：对不同级别的数据采取不同强度的保护措施。核心数据实行严格保护，重要数据实行重点保护。六、综合应用题75.答：(1)攻击类型与目的：类型：SQL注入攻击（具体为Union联合查询注入）。目的：绕过前端验证，直接从数据库的`users`表中窃取`username`和`password`字段的数据，获取用户凭据。(2)防御措施：1.使用预编译语句：对所有SQL查询使用参数化查询，从底层杜绝SQL拼接。2.输入验证与过滤：对用户输入的`id`参数进行严格的类型检查（如必须是整数）和特殊字符过滤。3.最小权限原则：限制数据库连接用户的权限，禁止使用`root`或`db_owner`等高权限账号，禁止访问系统表（如`information_schema`）。4.使用WAF：部署Web应用防火墙拦截常见的SQL注入攻击特征。(3)后续破解手段：彩虹表破解：使用预先计算好的MD5彩虹表进行在线查询。暴力破解/字典攻击：使用Hashcat或JohntheRipper等工具，结合密码字典进行暴力碰撞。社会工程学：根据管理员习惯猜测密码。76.答：(1)流量分析发现方法：心跳特征：木马为了维持连接，会定期向C2发送心跳包，流量在时间间隔上呈现规律性（如每60秒一次）。异常连接：内网主机主动连接未知的境外IP或非常见端口，且连接持续时间长。载荷特征：数据包内容可能包含加密的指令或特定的特征码，或者通信流量呈现“心跳-小包、回传-大包”的模式（外发数据量大）。DNS隧道：检测是否有大量的DNS请求，且请求的子域名长度异常，可能通过DNS隧道传输数据。(2)加固建议：网络边界：1.部署下一代防火墙（NGFW），开启入侵防御系统（IPS）功能，阻断恶意连接。2.实施严格的出站访问控制策略，仅允许业务必需的IP和端口通过，默认拒绝其他出站连接。主机安全：1.部署EDR（端点检测与响应）或杀毒软件，开启实时防护。2.及时更新操作系统补丁，修补被利用的漏洞。3.关闭不必要的服务和端口。(3)内存取证：工具：Volatility,WinPmem,FTKImager。关键信息：1.进程列表：发现隐藏或伪装的恶意进程。2.网络连接：查看内存中保留的已建立或监听的Socket连接（即使进程已结束，网络对象可能残留）。3.命令行参数：获取进程启动时的完整命令行参数，可能包含C2地址或密码。4.注入代码/Shellcode：检测进程空间内是否存在被注入的恶意代码片段。5.哈希值：提取内存中的文件进行哈希比对。77.答：(1)加密协议：避免使用：WEP（WiredEqui