2026年网络攻防基础理论题库（含答案）

2026年网络攻防基础理论题库（含答案）一、单项选择题（每题2分，共30分。每题仅有一个正确选项）1.在TCP/IP协议栈中，攻击者向目标主机发送大量源IP地址伪造的SYN请求包，但不完成三次握手，导致目标主机的半连接队列被占满，从而无法响应合法请求。这种攻击属于（）。A.分布式拒绝服务攻击（DDoS）B.同步洪水攻击（SYNFlood）C.死亡之ping（PingofDeath）D.慢速连接攻击（Slowloris）2.下列密码学算法中，属于非对称加密算法且广泛应用于数字签名与密钥交换的是（）。A.AESB.RSAC.SHA-256D.RC43.在SQL注入攻击中，攻击者提交`'OR'1'='1`到登录表单的用户名字段，其核心利用原理是（）。A.绕过输入长度限制B.闭合原SQL语句中的引号并改变其逻辑结构C.利用数据库的存储过程漏洞D.通过错误消息泄露数据库版本信息4.下列关于防火墙与入侵检测系统（IDS）的说法，正确的是（）。A.防火墙能够检测并阻止所有应用层攻击B.IDS是串联在网络链路中的设备，能够实时阻断恶意流量C.防火墙主要基于规则匹配进行访问控制，而IDS侧重流量监控与告警D.部署IDS后，防火墙的访问控制功能可以被完全替代5.在Linux系统中，某普通用户执行`sudocat/etc/shadow`命令失败。该现象体现了哪种安全机制（）。A.强制访问控制（MAC）B.自主访问控制（DAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）6.在Web安全领域，跨站脚本攻击（XSS）与跨站请求伪造（CSRF）的主要区别在于（）。A.XSS利用用户对网站的信任，CSRF利用网站对用户的信任B.XSS属于主动攻击，CSRF属于被动攻击C.XSS攻击只能影响当前用户，CSRF攻击只能影响服务器D.XSS需要JavaScript执行环境，而CSRF不需要7.关于端口扫描技术，以下描述错误的是（）。A.TCPConnect扫描会在目标主机上留下完整的连接日志B.SYN半开扫描在扫描过程中不会建立完整的TCP连接C.FIN扫描利用TCP协议中关闭连接的控制位进行探测，适用于所有操作系统D.UDP扫描通常需要等待ICMP端口不可达消息来判断端口状态8.在公钥基础设施（PKI）体系中，数字证书的吊销信息通常通过以下哪种机制发布（）。A.CRL（证书吊销列表）或OCSP（在线证书状态协议）B.CA（证书颁发机构）的私钥直接修改证书内容C.使用对称密钥对证书进行重新加密D.通过DNS记录更新证书状态9.攻击者通过社会工程学手段，冒充IT管理员向员工发送包含恶意附件的钓鱼邮件。从攻击链模型看，该行为属于哪个阶段（）。A.侦察与武器化B.交付与利用C.命令与控制（C2）D.横向移动10.在渗透测试中，Nmap工具执行`nmap-sS-p1-1000`命令。其中`-sS`参数表示采用（）。A.TCP全连接扫描B.TCPSYN半开扫描C.UDP扫描D.ICMP主机发现扫描11.关于Wireshark抓包分析，在HTTP协议会话中，若需要提取所有包含“password”关键字的明文数据包，最有效的显示过滤器是（）。A.`tcp.port==80`B.`httpcontains"password"`C.`ip.addr==`D.`tcp.flags.syn==1`12.在Windows系统中，用于存储用户账户密码哈希（LMHash或NTLMHash）的安全数据库文件是（）。A.C:\Windows\System32\config\SAMB.C:\Windows\System32\drivers\etc\hostsC.C:\Users\Administrator\NTUSER.DATD.C:\Windows\System32\config\SECURITY13.下列哪种恶意代码类型具有自我复制能力，且无需宿主文件即可独立传播（）。A.计算机病毒B.蠕虫C.木马D.逻辑炸弹14.在密码分析中，已知明文攻击（Known-PlaintextAttack）指的是攻击者（）。A.仅拥有若干密文，试图推导出明文或密钥B.能够选择任意明文并获取对应的密文C.已知若干明文及其对应的密文，试图推导出密钥D.能够选择任意密文并获取对应的明文15.根据ISO/IEC27001信息安全管理体系标准，下列哪项属于“物理和环境安全”控制措施（）。A.部署Web应用防火墙B.对机房实施门禁系统与视频监控C.对员工进行安全意识培训D.制定业务连续性计划二、多项选择题（每题3分，共15分。每题有两个或以上正确选项，少选得1分，多选、错选不得分）16.下列属于网络嗅探（Sniffing）攻击的防御措施的有（）。A.在网络中全面部署并启用SSH、HTTPS等加密协议B.使用静态ARP表或部署动态ARP检测（DAI）防止ARP欺骗C.将网络核心交换机配置为所有端口均处于混杂模式D.使用交换式网络替代共享式集线器（Hub）17.关于DDoS攻击的典型类型，以下属于应用层DDoS攻击的有（）。A.HTTPFlood（HTTP洪水攻击）B.DNSAmplification（DNS放大攻击）C.Slowloris慢速连接攻击D.针对数据库的SQL注入攻击18.在Linux系统加固中，以下操作能够有效提升SSH远程登录安全性的有（）。A.修改默认端口22为非标准端口B.在`/etc/ssh/sshd_config`中设置`PermitRootLoginno`C.配置基于密钥的认证并禁用密码认证D.使用`iptables`限制仅允许特定IP地址访问SSH端口19.关于日志分析与安全审计，以下说法正确的有（）。A.Windows事件日志中，事件ID4624表示账户成功登录B.Linux系统的`/var/log/auth.log`（或`/var/log/secure`）记录认证授权信息C.安全信息和事件管理（SIEM）系统可对多源日志进行关联分析D.日志文件一旦生成，其完整性无需保护，因为日志只是参考信息20.关于Web应用防火墙（WAF）的部署模式，以下属于其常见部署方式的有（）。A.透明网桥模式（串联部署）B.反向代理模式C.旁路镜像模式（仅监控不阻断）D.路由模式（串接在网络中）三、填空题（每题2分，共20分）21.在TCP/IP协议中，IP地址`/24`所在子网能够容纳的最大可用主机数量为________个（不考虑网关占用）。22.常见的对称加密算法中，DES算法的密钥长度为________位（不含奇偶校验位），而AES算法支持128、192和________位三种密钥长度。23.在Linux系统中，设置文件`config.php`权限为所有者可读写执行、组用户可读、其他用户无任何权限，对应的八进制权限数字为________。24.在HTTP协议中，服务器返回状态码________表示“未授权”（Unauthorized），状态码404表示________。25.在渗透测试中，Metasploit框架中的常用命令`useexploit/windows/smb/ms17_010_eternalblue`针对的是Windows系统的________漏洞（填写漏洞名称或编号）。26.在密码学中，消息认证码（MAC）算法同时提供完整性验证和________验证功能，HMAC是其中一种基于哈希函数的实现方案。27.在Windows权限提升过程中，若发现当前用户具有SeImpersonatePrivilege权限，攻击者通常可以利用________工具（或技术）进行令牌模拟攻击，实现本地权限提升。28.在网络安全等级保护2.0标准（GB/T22239-2019）中，等级保护对象的安全保护等级分为________级，其中第三级要求每年至少开展一次________。29.在BurpSuite工具中，用于拦截并修改HTTP请求/响应的代理监听默认端口为________。30.在数字取证中，使用md5sum或sha256sum工具计算证据文件的哈希值，其主要目的是保证电子证据的________性。四、判断题（每题1分，共10分。正确的打“√”，错误的打“×”）31.在对称加密中，加密和解密使用相同的密钥，因此密钥分发问题完全不存在。（）32.防火墙的默认安全策略通常是“白名单”模式，即允许所有流量，仅阻断明确禁止的规则。（）33.在ARP协议中，攻击者发送伪造的ARP应答包可以将受害者的流量重定向到攻击者主机，实现中间人攻击。（）34.SQL注入攻击只能发生在基于GET请求的表单提交场景中，POST请求不受影响。（）35.在Linux系统中，`chmod777script.sh`命令表示任何用户对该文件都有读、写、执行权限。（）36.公钥密码体制中，加密使用的公钥是公开的，但解密使用的私钥必须保密；同时，用私钥签名后，任何人都可以用对应的公钥验证签名的有效性。（）37.蠕虫病毒与普通病毒的最大区别在于，蠕虫不需要宿主程序即可独立复制和传播。（）38.Honeypot（蜜罐）技术是一种主动防御手段，其核心价值在于诱骗攻击者，从而捕获攻击行为和分析攻击工具。（）39.在Web安全中，同源策略规定：不同协议（如http与https）、不同端口或不同域名之间的脚本，默认情况下可以相互读取DOM（文档对象模型）数据。（）40.在应急响应过程中，第一步应该是立即断开受感染主机的网络连接，然后直接进行系统重装，无需保留任何现场数据。（）五、简答题（每题5分，共15分）41.简述对称加密与非对称加密的主要区别，并各举一个典型算法。在混合加密体系（如HTTPS的TLS握手过程）中，两者是如何协同工作的？42.描述一次完整的SQL注入攻击的基本步骤（至少四个阶段），并说明参数化查询（PreparedStatement）为什么能够有效防御该攻击。43.什么是“中间人攻击”（MITM）？以ARP欺骗为例，详细说明攻击者实施中间人攻击的过程、造成的主要危害，以及至少两种防御措施。六、综合应用题（每题10分，共20分）44.【网络流量分析题】某公司网络管理员在Wireshark中捕获到一段可疑的TCP流量。已知三次握手的序列号如下：客户端发送`SYN`，序列号`seq=1000`；服务器回复`SYN-ACK`，序列号`seq=5000`，确认号`ack=1001`；客户端发送`ACK`，确认号`ack=5001`。(1)请问该TCP连接是否成功建立？请写出判断依据。(2)在连接建立后，客户端发送了一个长度为1000字节的数据包，该数据包的序列号应为多少？服务器收到后回复的ACK确认号应为多少？(3)假设攻击者在连接建立后，伪造了一个源IP和端口均与服务器相同的RST包发送给客户端，该RST包的序列号需要满足什么条件才能成功重置该连接？简述TCP会话劫持的基本原理。45.【渗透测试综合分析题】某企业Web服务器（IP:0）疑似被入侵。安全团队在日志中发现以下异常记录：记录一：`GET/admin/login.phpHTTP/1.1`后紧跟`Cookie:PHPSESSID=abc123;admin=1`记录二：`POST/search.php`的请求体中包含`keyword=1'UNIONSELECTusername,passwordFROMusers---`记录三：从IP``发起的大批量`GET/index.php`请求，且HTTP头中`User-Agent`字段为空或异常。(1)请分别分析三条日志记录可能对应的攻击类型。(2)针对记录二所反映的漏洞，请写出一种利用该漏洞获取数据库版本信息的完整注入语句。(3)请结合上述日志，给出至少四项针对该服务器的安全加固建议。试卷答案及解析一、单项选择题1.B解析：SYNFlood攻击的核心特征是利用伪造源IP发送SYN包，填满半连接队列。2.B解析：RSA是最经典的非对称加密算法，AES、RC4为对称加密，SHA-256为哈希算法。3.B解析：`'OR'1'='1`通过闭合单引号，使原SQL语句逻辑恒真，从而绕过身份验证。4.C解析：防火墙侧重访问控制，IDS侧重监测告警，IDS通常旁路部署，无法直接阻断。5.B解析：普通用户无法访问shadow文件，是DAC（用户对自己文件权限管理）的体现，而root读取权限属于ACL扩展。MAC（如SELinux）是强制性的系统级策略。6.A解析：XSS利用用户对网站的信任执行恶意脚本；CSRF利用网站对已认证用户的信任发起伪造请求。7.C解析：FIN扫描对Windows系统无效，因为Windows对关闭端口发送的FIN包会回复RST，该描述“适用于所有操作系统”错误。8.A解析：CRL是证书吊销列表，OCSP是在线证书状态协议。9.B解析：钓鱼邮件发送属于攻击链中的“交付”阶段，恶意附件属于“武器化”，但该行为整体属于交付与利用。10.B解析：`-sS`是SYN半开扫描（stealthscan）。11.B解析：`httpcontains"password"`是Wireshark中针对HTTP协议内容的显示过滤器。12.A解析：SAM数据库存储Windows本地用户密码哈希。13.B解析：蠕虫具有自我复制和独立传播能力，无需宿主文件。14.C解析：已知明文攻击是同时拥有若干明文和对应密文，试图推导密钥。15.B解析：门禁和视频监控属于物理与环境安全控制。二、多项选择题16.A,B,D解析：C选项“端口处于混杂模式”会扩大嗅探面，是攻击行为，不属于防御措施。17.A,C解析：DNS放大属于网络层/反射型DDoS，SQL注入属于漏洞利用而非纯粹的DDoS流量型攻击。应用层DDoS主要是HTTPFlood和慢速攻击。18.A,B,C,D解析：四项均能有效提升SSH安全性。19.A,B,C解析：日志完整性同样需要保护，D错误。20.A,B,C,D解析：WAF可支持透明网桥、反向代理、旁路监控（镜像）、路由模式等四种主要部署方式。三、填空题21.254解析：/24子网可用主机数为2^8-2=254。22.56；256解析：DES实际有效密钥长度为56位（8位校验位不计）；AES支持128、192、256位。23.750解析：rwxr-x---=4+2+1/4+0+1/0=750。24.401；未找到（NotFound）25.MS17-010（或“永恒之蓝”漏洞，EternalBlue）26.来源（或身份）解析：MAC同时提供完整性验证和消息来源认证。27.Potato（或JuicyPotato/PrintSpoofer，任填一个即可）28.五；等级保护测评（或安全检测评估）29.8080解析：BurpSuite默认代理监听端口为8080。30.完整性四、判断题31.×解析：对称加密存在密钥分发难题。32.×解析：传统防火墙默认策略通常是“黑名单”模式（默认允许），但安全设计原则倾向于默认拒绝（白名单）。33.√34.×解析：POST、Cookie、HTTP头等位置均可注入。35.√36.√37.√38.√39.×解析：同源策略禁止跨域读取DOM。40.×解析：应急响应应先保护现场、保留证据，再进行分析和处置。五、简答题41.参考答案：（1）区别：对称加密：加密和解密使用同一密钥，运算速度快，适合加密大量数据；缺点是密钥分发和管理困难。典型算法：AES、DES、3DES。非对称加密：加密和解密使用一对密钥（公钥和私钥），公钥公开、私钥保密，安全性高，但运算速度慢。典型算法：RSA、ECC。（2）协同工作：在HTTPS的TLS握手中，客户端和服务器使用非对称加密（如RSA）协商生成一个临时的对称会话密钥（Pre-masterSecret），后续所有业务数据传输均使用对称加密（如AES）进行，兼顾了安全性和效率。42.参考答案：（1）基本步骤：①探测与判断：在输入点（如URL参数、表单字段）提交单引号、特殊字符等，观察报错信息或页面回显差异，判断是否存在注入点。②获取信息：通过`ORDERBY`或`UNIONSELECT`判断查询字段数量；利用`DATABASE()`、`VERSION()`、`USER()`等函数获取数据库名、版本、用户权限等基本信息。③脱取数据：查询系统表（如MySQL的`information_schema.tables`和`columns`）获取所有表名和字段名，进而脱取敏感数据（如用户名、密码哈希）。④提权或后渗透：若数据库权限较高，可尝试使用`INTOOUTFILE`写入Webshell，或者读取服务器敏感文件，最终控制服务器。（2）防御原理：参数化查询（PreparedStatement）将SQL语句的结构（模板）和数据参数分离开来。数据库引擎首先编译SQL结构模板，之后将参数作为纯数据绑定传入，无论参数中是否包含恶意SQL代码，均不会改变已编译的SQL语句结构，从而彻底阻断注入。43.参考答案：（1）定义：中间人攻击是指攻击者位于通信双方之间，在双方毫不知情的情况下，拦截、转发甚至篡改双方的通信内容。（2）ARP欺骗实施过程：①攻击者向目标主机A发送伪造的ARP应答，声称自己是网关（例如IP，MAC为攻击者MAC）。②攻击者向网关发送伪造的ARP应答，声称自己是主机A。③此后，主机A发给网关的数据包实际发送到攻击者主机，攻击者再将数据包转发给真正的网关，实现透明拦截。（3）危害：窃取敏感信息（账号密码、邮件内容）、篡改传输数据（如注入恶意代码）、劫持会话。（4）防御措施：①使用静态ARP表，避免动态ARP学习。②部署DHCPSnooping+动态ARP检测（DAI）功能，过滤非法ARP报文。③通信全程启用加密协议（如SSH、HTTPS），即使数据被截获也无法解密。④使用端口安全特性限制交换机端口MAC地址学习数量。六、综合应用题44.参考答案：(1)连接成功建立。判断依据：三次握手完整——第一次SYN（seq=1000），第二次SYN-ACK（seq=5000,ack=1001），第三次ACK（ack=5001）。ACK确认号等于对方序列号加1，符合TCP协议规范。(2)客户端发送数据包的序列号为`1001`（seq=1001），服务器收到后回复的ACK确认号为`2001`（ack=1001+1000=2001）。(3)RST包的序列号条件：攻击者伪造的RST包中的序列号必须在目标主机当前期望接收的序列号范围内（即等于或包含在对方接收窗口内）。具体来说，若目标主机当前期望的下一个序列号为`N`，则RST包的`seq`必须等于`N`（或位于接收窗口`[N,N+WindowSize-1]`内），才能被对方接受并重置连接。TCP会话劫持原理：攻击者通过嗅探或猜测，获取TCP连接双方的序列号和确认号。在合法主机不发送数据的时间窗口内，攻击者伪造源IP、源端口、目的IP、目的端口均匹配的数据包（或RST包）