公安机关特殊职位(公务员)人民警察考试(网络安全技术职位)试题及答案解析(天门2026年)

公安机关特殊职位(公务员)人民警察考试(网络安全技术职位)试题及答案解析(天门2026年)一、单项选择题（共20题，每题1.5分，共30分）1.在OSI七层模型中，负责为网络应用程序提供访问网络服务的接口层是（）。A.物理层B.网络层C.传输层D.应用层2.某公安机关在侦办一起网络诈骗案件时，需要对嫌疑人的计算机进行电子数据取证。为了确保电子数据的完整性和不可抵赖性，取证人员首先应当对原始介质进行（）。A.逻辑备份B.哈希值计算C.碎片整理D.格式化3.在Linux系统中，权限设置为rwxr-xr--的文件，其对应的八进制数值表示为（）。A.754B.751C.764D.7454.下列关于TCP/IP协议栈中协议的描述，错误的是（）。A.TCP是传输层协议，提供可靠的面向连接的服务B.UDP是传输层协议，提供无连接的不可靠服务C.IP是网络层协议，负责数据包的路由和转发D.ARP是应用层协议，用于将IP地址解析为MAC地址5.某Web应用程序存在SQL注入漏洞，攻击者通过构造恶意的输入数据，成功获取了数据库中的用户表信息。这种攻击的主要原因是（）。A.未对用户输入进行严格的过滤和验证B.数据库权限配置过低C.Web服务器配置错误D.使用了HTTPS加密协议6.在密码学中，RSA算法是一种典型的非对称加密算法。其安全性主要基于（）。A.大整数分解困难问题B.离散对数困难问题C.椭圆曲线离散对数困难问题D.背包问题7.公安机关网络安全保卫部门在对某关键信息基础设施进行安全检查时，发现该系统使用了DES加密算法对敏感数据进行加密存储。从安全角度出发，应建议其更换为（）。A.MD5B.SHA-1C.AES-256D.RC48.在Wireshark抓包分析中，若要过滤出所有HTTPPOST请求的数据包，应使用的过滤器语法是（）。A.http.request.method=="POST"B.http.method==POSTC.http.post==trueD.http.request=="POST"9.某内网终端突然出现CPU占用率极高、网络流量异常增大的情况，且无法正常关闭任务管理器。该终端最可能感染了（）。A.蠕虫病毒B.逻辑炸弹C.勒索软件D.木马后门10.我国《网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施，在网络安全等级保护制度的基础上，实行（）。A.重点保护B.等级保护C.分级保护D.专网保护11.在Windows注册表中，很多恶意软件会通过设置注册表键值来实现开机自启动。下列常见的自启动注册表路径是（）。A.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunB.HKEY_CLASSES_ROOT\*C.HKEY_CURRENT_USER\AppEventsD.HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services12.下列关于防火墙技术的描述，正确的是（）。A.防火墙可以完全防止内部网络受到攻击B.防火墙可以查杀所有计算机病毒C.防火墙是一种访问控制技术，用于控制进出网络的数据流D.防火墙只能工作在网络层13.在一次渗透测试中，测试人员使用Nmap工具对目标服务器进行扫描。命令`nmap-sS-Pn-p1-655350`的作用是（）。A.UDP扫描，不进行Ping检测，扫描全端口B.TCPSYN扫描，不进行Ping检测，扫描全端口C.TCPConnect扫描，进行Ping检测，扫描常见端口D.操作系统指纹识别，不进行Ping检测14.某网站为了防止自动化工具批量注册账号，要求用户识别并输入图片中的扭曲字符。这种安全机制被称为（）。A.访问控制列表B.CAPTCHA（全自动区分计算机和人类的公开图灵测试）C.数字水印D.入侵检测系统15.在IPv6地址中，地址`::1`表示的是（）。A.全网广播地址B.未指定地址C.环回地址D.链路本地地址16.下列关于XSS（跨站脚本攻击）的描述中，错误的是（）。A.XSS攻击主要分为存储型、反射型和DOM型B.XSS攻击的目的是在受害者的浏览器中执行恶意脚本C.XSS攻击可以窃取用户的Cookie，从而劫持用户会话D.所有XSS攻击都需要攻击者诱导用户点击特定的恶意链接才能触发17.公安机关在办理刑事案件时，对于电子数据的收集提取，应当制作笔录，记录案由、对象、内容、收集提取的时间、地点、方法、过程，并附（）。A.电子数据清单B.证人证言C.辨认笔录D.搜查证18.在Python中，使用`pickle`模块进行反序列化操作时存在安全风险。攻击者可以利用该漏洞执行任意系统命令。这是因为`pickle`在反序列化时会自动执行对象中定义的（）方法。A.`__init__`B.`__str__`C.`__reduce__`D.`__del__`19.在公钥基础设施（PKI）系统中，CA（证书颁发机构）的主要作用是（）。A.存储用户的私钥B.颁发和管理数字证书C.加密用户数据D.防火墙策略配置20.某单位内部网络发生ARP欺骗攻击，导致局域网内大量用户无法正常上网。该攻击的原理是（）。A.攻击者伪造网关IP地址和自己的MAC地址发送给受害者B.攻击者向受害者发送大量TCPSYN包C.攻击者向受害者发送含有恶意代码的邮件D.攻击者篡改DNS服务器的解析记录二、多项选择题（共15题，每题3分，共45分。多选、少选、错选均不得分）1.下列属于网络安全CIA三要素的是（）。A.机密性B.完整性C.可用性D.可追溯性2.下列关于数字签名的说法，正确的有（）。A.数字签名可以验证消息的来源B.数字签名可以保证消息在传输过程中未被篡改C.数字签名具有不可抵赖性D.数字签名使用发送者的私钥进行生成3.常见的Web安全漏洞包括（）。A.SQL注入B.文件包含C.跨站脚本攻击（XSS）D.跨站请求伪造（CSRF）4.在电子数据取证中，常见的镜像文件格式包括（）。A.E01B.DDC.AFFD.ISO5.下列属于DDoS攻击（分布式拒绝服务攻击）常见类型的有（）。A.SYNFloodB.UDPFloodC.ICMPFloodD.HTTPGetFlood6.我国《刑法》中，与计算机网络犯罪相关的罪名包括（）。A.非法侵入计算机信息系统罪B.非法获取计算机信息系统数据罪C.破坏计算机信息系统罪D.提供侵入、非法控制计算机信息系统程序、工具罪7.在Linux系统中，用于查看系统网络连接状态的命令有（）。A.netstatB.ssC.ifconfigD.ipaddr8.下列关于数据库安全的描述，正确的有（）。A.应遵循最小权限原则为数据库用户分配权限B.敏感字段在存储时应进行加密处理C.数据库管理员账号应避免使用弱口令D.数据库服务默认端口必须修改，否则一定不安全9.下列属于恶意代码分析技术的有（）。A.静态分析B.动态分析C.代码审计D.数字取证10.在Windows系统中，EventViewer（事件查看器）是非常重要的日志分析工具。下列关于Windows日志ID的说法，正确的有（）。A.4624表示账号登录成功B.4625表示账号登录失败C.4720表示创建用户D.1102表示日志清除11.下列属于入侵检测系统（IDS）工作模式的有（）。A.异常检测B.误用检测C.签名检测D.协议检测12.为了保障移动终端的安全，下列做法正确的有（）。A.及时安装系统补丁B.从官方应用商店下载APPC.连接不明WiFi时自动进行VPN连接D.任意开启Root权限以获取更多功能13.下列关于HTTPS协议的描述，正确的有（）。A.HTTPS使用HTTP协议进行通信B.HTTPS通过SSL/TLS协议对数据进行加密C.HTTPS可以防止数据在传输过程中被窃听D.HTTPS网站不需要申请数字证书14.公安机关在处置网络安全事件时，可以采取的紧急措施包括（）。A.责令暂停传输、删除相关信息B.冻结涉案账户C.查封涉案场所D.扣押涉案物品15.下列关于身份认证技术的描述，属于多因素认证的有（）。A.密码+短信验证码B.指纹+人脸识别C.USBKey+密码D.用户名+密码三、判断题（共10题，每题1分，共10分。正确的选A，错误的选B）1.TCP协议是面向连接的协议，在数据传输前需要建立三次握手连接，传输结束后需要四次挥手断开连接。（）2.MD5算法由于其碰撞漏洞，已被证明不再适合用于数字签名等安全性要求极高的场景，但仍可用于文件完整性校验。（）3.在网络安全等级保护2.0标准中，第三级及以上系统需要每年进行一次等级测评。（）4.特洛伊木马是一种自我复制的程序，它不需要依附于其他程序即可独立运行。（）5.只要使用了防火墙，内网就是绝对安全的，不需要部署入侵检测系统。（）6.电子数据具有易变性、易丢失性、无形性等特点，因此在取证过程中必须注重保全原始介质。（）7.社会工程学攻击主要是利用人性的弱点（如好奇、贪婪、恐惧等）进行欺骗，而非纯技术手段。（）8.在Linux系统中，root用户拥有最高权限，可以执行任何操作，因此无法通过日志审计追踪root用户的行为。（）9.VPN（虚拟专用网络）技术可以在公共网络上建立加密通道，实现远程安全访问。（）10.所有的网络攻击行为都会导致目标主机网络服务中断或不可用。（）四、填空题（共10题，每题1.5分，共15分）1.在网络协议中，`HTTP`默认使用的端口号是\_\_\_\_\_\_，`SSH`默认使用的端口号是\_\_\_\_\_\_。2.将二进制数`101101`转换为十进制数，结果是\_\_\_\_\_\_。3.在SQL注入攻击中，若要获取数据库的版本信息，通常会使用MySQL中的\_\_\_\_\_\_函数。4.在Linux系统中，用于查看当前系统进程信息的命令是\_\_\_\_\_\_。5.电子数据取证中，用于计算文件哈希值的常用算法包括MD5和\_\_\_\_\_\_。6.我国《数据安全法》于\_\_\_\_\_\_年正式施行。7.在公钥密码体制中，加密使用\_\_\_\_\_\_，解密使用\_\_\_\_\_\_。8.某IP地址为`/24`，则该网段的广播地址是\_\_\_\_\_\_。9.计算机病毒的生命周期一般包括：潜伏期、传播期、发作期和\_\_\_\_\_\_。10.Web应用防火墙（WAF）主要工作在OSI模型的\_\_\_\_\_\_层和第7层。五、简答题（共4题，每题5分，共20分）1.请简述TCP三次握手的过程，并说明为什么需要三次握手而不是两次。2.请列举至少五种常见的Web漏洞，并分别给出一种简单的防御建议。3.什么是中间人攻击（MITM）？请简述其攻击原理及常见的防御手段。4.请简述我国《网络安全法》中规定的网络运营者的安全保护义务（至少列举四项）。六、综合应用题（共3题，共40分）1.流量分析题（15分）某公安局网安支队接到报案，某政府网站服务器出现异常流量，怀疑被黑客植入后门并发生数据外传。为了查清事实，民警截获了一段网络流量数据包（假设已通过Wireshark打开）。(1)请描述如何利用Wireshark快速筛选出该服务器与外部IP地址建立的TCP连接？（3分）(2)在分析过程中，发现大量来自特定外部IP的TCP数据包，其Payload特征包含`cmd.exe`或`/bin/sh`字符串。这通常表明发生了什么类型的攻击或行为？（4分）(3)进一步分析发现，黑客通过HTTPPOST请求向服务器上的`/admin/upload.php`接口上传了名为`shell.php`的文件，且随后该服务器向外部IP发起了连接。请分析黑客可能利用了什么漏洞，并写出上传后门文件通常使用的PHP函数示例。（4分）(4)作为取证人员，除了流量包外，还应该提取服务器上的哪些关键证据以确定攻击路径和影响范围？（4分）2.密码学与计算题（10分）(1)已知RSA算法中，取两个素数p=11，a.请计算模数n和欧拉函数ϕ(b.若选取公钥指数e=7，请计算私钥指数d（满足c.简述公钥(n,e3.案例分析题（15分）某大型电商平台遭遇了一起大规模的用户数据泄露事件。经调查，原因是开发人员在编写代码时，直接将用户的SQL查询语句拼接到了数据库查询命令中，且未对特殊字符进行转义，导致黑客可以通过登录框进行SQL注入，获取了整个用户表（包含用户名、MD5加密的密码哈希值、手机号等）。(1)请详细描述SQL注入攻击的原理，并给出一个基于布尔盲注的攻击Payload示例（假设目标表名为`users`，字段为`username`和`password`）。（6分）(2)针对该案例中泄露的MD5哈希密码，黑客通常如何破解？请列举两种常见的破解方法。作为安全管理人员，应如何改进密码存储机制以增强安全性？（5分）(3)除了SQL注入外，电商平台还容易面临CSRF（跨站请求伪造）攻击。请解释CSRF攻击的原理，并说明在开发中如何利用Token机制来防御CSRF攻击。（4分）答案及解析一、单项选择题1.D解析：OSI模型从下到上依次为物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。应用层直接为用户的应用程序（如浏览器、邮件客户端）提供服务，包括HTTP、FTP、SMTP等协议。2.B解析：电子数据取证的首要原则是保持原始介质的完整性。在接触原始介质之前或之后立即进行哈希值计算（如MD5,SHA-1,SHA-256），是验证数据在后续处理过程中是否被篡改的唯一标准方法。逻辑备份不保证原始数据的完整性验证，碎片整理和格式化会破坏原始数据。3.A解析：Linux权限rwx=4+2+1=7，r-x=4+0+1=5，r--=4+0+0=4。组合起来即为754。4.D解析：ARP（AddressResolutionProtocol）是网络层协议（也有观点认为是数据链路层），用于将IP地址解析为MAC地址，而非应用层协议。5.A解析：SQL注入漏洞的根本原因在于应用程序将用户输入直接拼接到SQL查询语句中，导致数据库引擎将用户输入当作代码执行。未对输入进行过滤验证是核心原因。6.A解析：RSA的安全性基于大整数分解难题。即给定两个大素数的乘积n，很难将其分解回原来的素数p和q。7.C解析：DES密钥过短（56位有效密钥），存在暴力破解风险，已被认为不安全。MD5和SHA-1是哈希算法，用于完整性校验，不适合用于加密存储。RC4存在流密码攻击漏洞。AES-256是目前公认安全的对称加密算法。8.A解析：在Wireshark中，http.request.method=="POST"是正确的显示过滤器语法，用于筛选HTTP请求方法为POST的数据包。9.A解析：CPU占用率高、网络流量大、无法关闭安全软件是蠕虫病毒爆发或进行网络传播的典型特征。虽然勒索软件和木马也可能导致资源占用，但“无法关闭任务管理器”和“流量异常增大”更倾向于蠕虫的自我传播行为。10.A解析：《网络安全法》第三十一条规定，国家对关键信息基础设施在网络安全等级保护制度的基础上，实行重点保护。11.A解析：`HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run`是Windows系统中最常见的开机自启动注册表键值之一。12.C解析：防火墙是访问控制设备，用于控制网络边界的流量。它不能防止所有内部攻击（如内部人员作案），也不能查杀所有病毒（那是杀毒软件的事），且现代防火墙可以工作在应用层（代理防火墙）。13.B解析：`-sS`表示TCPSYN扫描（半开扫描）；`-Pn`表示跳过Ping检测（假设主机存活）；`-p1-65535`表示扫描所有端口。14.B解析：CAPTCHA全称为全自动区分计算机和人类的公开图灵测试，用于区分真实用户和自动化程序。15.C解析：在IPv6中，`::1`是环回地址，相当于IPv4的``。`::`是未指定地址。16.D解析：存储型XSS（持久化XSS）只要用户访问了被植入恶意脚本的页面就会触发，不需要点击特定链接。因此D选项错误。17.A解析：根据《公安机关办理刑事案件程序规定》及电子数据取证规范，收集提取电子数据应当制作笔录，并附电子数据清单。18.C解析：Python的`pickle`模块在反序列化时，如果对象定义了`__reduce__`方法，会自动执行该方法。攻击者可以构造恶意的`__reduce__`方法来执行系统命令（如`__reduce__(os.system,('whoami',))`）。19.B解析：CA（CertificateAuthority）的核心职责是颁发、管理和撤销数字证书，它是PKI系统的信任核心。20.A解析：ARP欺骗攻击的原理是攻击者发送伪造的ARP响应包，将网关的IP地址映射到攻击者的MAC地址（欺骗受害者），或者将受害者的IP地址映射到攻击者的MAC地址（欺骗网关），从而实施中间人攻击或断网攻击。二、多项选择题1.ABC解析：网络安全三大核心要素是机密性、完整性、可用性。可追溯性属于安全属性，但不属于CIA核心三要素。2.ABCD解析：数字签名利用私钥签名，公钥验证。它可以验证来源（身份认证）、保证完整性（防篡改）、具有不可抵赖性。3.ABCD解析：OWASPTop10中常见的包括SQL注入、XSS、CSRF、文件包含、敏感信息泄露等。4.ABC解析：E01(EnCase),DD(原始格式),AFF(AdvancedForensicFormat)都是常见的取证镜像格式。ISO是光盘镜像格式，虽可用于存储，但不是专业的取证封装格式。5.ABCD解析：SYNFlood,UDPFlood,ICMPFlood属于协议层Flood，HTTPGetFlood属于应用层Flood，均为DDoS常见攻击方式。6.ABCD解析：以上四项均为《刑法》第二百八十五条、二百八十六条规定的计算机犯罪相关罪名。7.AB解析：`netstat`和`ss`是用于查看网络连接、端口监听状态的命令。`ifconfig`和`ipaddr`主要用于配置和查看网络接口信息（IP地址等）。8.ABC解析：最小权限原则、敏感数据加密、避免弱口令都是基本的安全措施。D选项过于绝对，修改默认端口是“隐蔽式安全”，不能保证“一定”安全，且有时受业务限制无法修改。9.AB解析：恶意代码分析主要分为静态分析（不运行代码分析结构）和动态分析（在沙箱中运行监控行为）。代码审计是源码层面的分析，数字取证是事后证据提取。10.ABCD解析：4624登录成功，4625登录失败，4720创建用户，1102日志清除。这些都是Windows安全日志中常见的事件ID。11.AB解析：IDS的主要检测模式是异常检测和误用检测（特征匹配）。签名检测通常归类于误用检测。12.AB解析：及时打补丁和从官方下载APP是安全习惯。连接不明WiFi时使用VPN虽然能加密隧道，但若VPN客户端本身有问题或DNS泄露仍有风险，且不能保证绝对安全；开启Root权限会破坏系统沙箱机制，增加被攻击面，不推荐普通用户随意开启。13.ABC解析：HTTPS=HTTP+SSL/TLS，具有加密、认证、完整性校验功能。需要申请数字证书来证明身份。14.ABCD解析：《网络安全法》赋予了公安机关在处置网络安全事件时采取必要措施的权力，包括断网、删除违法信息、冻结账户、查扣物品等。15.ABC解析：多因素认证（MFA）是指使用两种或以上的认证因素。因素包括：知识（密码）、拥有（手机、Token）、特征（指纹、人脸）。A是知识+拥有，B是特征+特征，C是拥有+知识。D仅包含知识和拥有，但若“用户名”仅作为ID而非认证要素，则仅为单因素（密码）；若用户名也算一种，通常也是知识+知识，不如ABC典型，且通常认为用户名是公开标识。在此题语境下，ABC明显属于多因素认证。三、判断题1.A解析：正确。TCP是面向连接的可靠协议，三次握手建立连接，四次挥手断开连接。2.A解析：正确。虽然MD5存在碰撞风险（即两个不同文件可能有相同哈希），但在非对抗性环境下（如校验非恶意文件是否误传），其计算速度快，仍被广泛使用。但在对抗性环境（如数字签名）中已不安全。3.A解析：正确。根据网络安全等级保护2.0标准，第三级系统要求每年至少进行一次等级测评，第四级要求每半年至少一次。4.B解析：错误。特洛伊木马通常伪装成合法程序，需要依附或诱导用户运行，一般不具备自我复制能力。自我复制是病毒和蠕虫的特征。5.B解析：错误。没有绝对的安全。防火墙无法防御内部攻击、应用层攻击（除非是应用层防火墙）或病毒穿过防火墙。6.A解析：正确。电子数据极易被修改或丢失，且以二进制形式存在，取证过程必须遵循镜像备份、写保护等原则。7.A解析：正确。社会工程学攻击的是“人”这一系统中最薄弱的环节。8.B解析：错误。即使root用户执行操作，系统日志（如`.bash_history`,`/var/log/audit/`）依然会记录其行为，可以通过日志审计追踪。9.A解析：正确。VPN利用隧道技术和加密技术，在公网建立专用逻辑网络。10.B解析：错误。并非所有攻击都导致拒绝服务。例如，窃听、数据篡改、木马潜伏等攻击旨在获取数据或控制权，可能不会导致服务中断。四、填空题1.80；22解析：HTTP默认80端口，HTTPS默认443；SSH默认22端口。2.45解析：1×3.version()解析：在MySQL中，`version()`或`@@version`用于获取数据库版本信息。4.ps解析：`ps`(ProcessStatus)命令用于查看当前进程快照。5.SHA-256(或SHA-1)解析：SHA系列算法（SHA-1,SHA-256等）常用于完整性校验，其中SHA-256更为常用。6.2021解析：《中华人民共和国数据安全法》于2021年6月10日通过，自2021年9月1日起施行。7.公钥；私钥解析：公钥用于加密（或验证签名），私钥用于解密（或生成签名）。0.255解析：C类网段，子网掩码，主机位全1即为广播地址。9.消除期(或清除期)解析：病毒生命周期通常包括：编写/潜伏、传播、发作、触发/被发现、清除。10.应用(或7)解析：WAF主要工作在应用层，针对HTTP/HTTPS流量进行过滤。五、简答题1.答：TCP三次握手过程：1.客户端发送SYN包（seq=x）给服务器，请求建立连接，客户端进入SYN_SENT状态。2.服务器收到SYN包，发送SYN+ACK包（ack=x+1,seq=y）给客户端，确认客户端的请求，并同时请求建立反向连接，服务器进入SYN_RCVD状态。3.客户端收到SYN+ACK包，发送ACK包（ack=y+1）给服务器，确认服务器的连接请求。客户端进入ESTABLISHED状态。服务器收到ACK后也进入ESTABLISHED状态。为什么需要三次握手：主要为了防止失效的连接请求报文段突然又传送到了服务端，因而产生错误。如果只有两次握手，假设客户端发送的第一个连接请求在网络中滞留，延误到连接释放后才到达服务器。服务器误以为是新的连接请求，于是向客户端发送确认，建立连接，等待客户端发数据。客户端并没有发起新连接，因此忽略服务器的确认，而服务器一直等待，造成资源浪费。三次握手可以确认双方的收发能力都是正常的。2.答：常见Web漏洞及防御建议：1.SQL注入：防御-使用预编译语句或参数化查询。2.跨站脚本攻击（XSS）：防御-对用户输入进行HTML实体编码。3.跨站请求伪造（CSRF）：防御-使用Anti-CSRFToken并验证Referer。4.文件上传漏洞：防御-严格校验文件类型、后缀名、内容，重命名文件，禁止执行权限。5.命令注入：防御-避免直接调用系统命令，使用特定库函数替代，或对输入严格转义。3.答：中间人攻击（MITM）是指攻击者秘密拦截并可能篡改两个正在通信的方之间消息的攻击。攻击者通过让双方都以为自己在直接与对方通信，从而建立了一个独立的连接。攻击原理：攻击者需要将自己置于通信双方之间。常见手段包括ARP欺骗（欺骗网关自己是受害者，欺骗受害者自己是网关）、DNS劫持（将域名解析到攻击者IP）、伪造HTTPS证书等。防御手段：1.使用强加密协议（如HTTPS/TLS）。2.验证数字证书的有效性，不信任自签名或未知证书。3.在公共WiFi环境下使用VPN。4.部署ARP静态绑定或动态ARP检测工具。4.答：《网络安全法》第二十一条规定，网络运营者应当履行下列安全保护义务：1.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；2.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；3.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；4.采取数据分类、重要数据备份和加密等措施；5.（其他义务）法律、行政法规规定的其他义务。六、综合应用题1.答：(1)筛选TCP连接：在Wireshark过滤器栏输入`tcp`或`ip.addr==[服务器IP地址]`。若要只看已建立的连接，可使用`tcp.flags.syn==1andtcp.flags.ack==1`来观察握手，或者使用`tcp.stream`追踪流。(2)攻击行为：这通常表明发生了远程命令执行（RCE）或WebShell后门执行攻击。`cmd.exe`是Windows系统命令行，`/bin/sh`是LinuxShell，流量中出现这些字符说明攻击者通过服务器漏洞在服务器端执行了系统命令。(3)漏洞分析：黑客利用了文件上传漏洞（绕过前端验证，配合解析漏洞等）将`shell.php`上传到了服务器。上传后门文件常用的PHP函数示例：