2026年江苏省特殊专技职位人民警察公务员考试（网络安全技术网络安全防护）经典试题及答案

2026年江苏省特殊专技职位人民警察公务员考试（网络安全技术网络安全防护）经典试题及答案一、单项选择题（共20题，每题1.5分，共30分）1.在TCP/IP协议栈中，负责提供端到端可靠传输服务的协议是（）。A.IPB.TCPC.UDPD.ICMP2.某网络安全工程师在对公司内部网络进行渗透测试时，使用Nmap工具扫描目标主机。命令`nmap-sS-Pn-p1-655350`的主要作用是（）。A.UDP扫描B.TCPSYN扫描（半开扫描）C.TCPConnect扫描D.操作系统指纹识别3.在公钥密码体制中，用户A想要向用户B发送保密信息，A应该使用（）对明文进行加密。A.A的公钥B.A的私钥C.B的公钥D.B的私钥4.下列关于SQL注入攻击的描述中，错误的是（）。A.攻击者通过在Web表单输入框中注入恶意SQL代码来攻击数据库B.使用预编译语句可以有效防御大多数SQL注入攻击C.SQL注入只能通过GET请求方式发起，POST请求是安全的D.盲注是SQL注入的一种，当页面不返回详细错误信息时常用5.某文件的后缀名为.exe，但通过文件头（MagicNumber）识别发现其开头为`504B0304`，该文件的实际格式可能是（）。A.PNG图片B.ZIP压缩包C.PE可执行文件D.PDF文档6.在Windows操作系统中，用于查看当前网络连接状态（包括本地地址、外部地址、PID等）的命令是（）。A.ipconfigB.netstat-anoC.nslookupD.routeprint7.我国《网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施，其安全保护等级通常不低于（）。A.第一级B.第二级C.第三级D.第四级8.在公钥基础设施（PKI）系统中，CA（证书颁发机构）的主要作用是（）。A.存储用户的私钥B.颁发和管理数字证书C.加密用户数据D.防火墙策略配置9.某黑客通过伪造ARP请求包，将网关的MAC地址修改为自己的MAC地址，导致局域网内其他用户的数据流量经过该黑客主机。这种攻击被称为（）。A.DNS欺骗B.MAC洪泛C.ARP欺骗D.ICMP重定向10.下列哪种算法属于非对称加密算法？（）A.AESB.DESC.RSAD.RC411.在Linux系统中，权限设置为`rwxr-xr--`的文件，其对应的八进制数值表示为（）。A.754B.751C.764D.74512.Web应用防火墙（WAF）主要工作在OSI模型的哪一层？（）A.网络层B.传输层C.应用层D.数据链路层13.某单位内部网络规划使用CIDR（无类别域间路由）技术，分配的网段为`/23`，则该网段包含的可用IP地址数量约为（）。A.256B.512C.1024D.12814.在入侵检测系统（IDS）中，基于特征的检测技术主要依赖于（）。A.异常流量统计模型B.预定义的攻击特征库C.机器学习算法D.用户行为基线15.数字签名的主要功能不包括（）。A.保证数据完整性B.验证发送者身份C.保证数据机密性D.防止发送方抵赖16.在Windows注册表中，很多恶意软件会设置自启动项。下列哪个注册表路径常用于实现开机自启动？（）A.HKEY_LOCAL_MACHINE\System\CurrentControlSet\ServicesB.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunC.HKEY_CLASSES_ROOT\*D.HKEY_USERS\.DEFAULT17.著名的“中间人攻击”（Man-in-the-MiddleAttack）通常利用了协议或通信过程中的什么缺陷？（）A.认证机制的缺失或缺陷B.加密算法强度不够C.数据压缩率过高D.网络带宽不足18.在应急响应中，为了保留电子证据的法律效力，对现场数据进行提取和固定时，首要遵循的原则是（）。A.及时性原则B.合法性原则C.环境安全性原则D.最小化原则19.某APP在安装时申请了“读取通话记录”、“读取短信”等敏感权限，但实际业务逻辑并不需要这些权限。这种行为属于（）。A.组件暴露风险B.代码逻辑漏洞C.权限滥用D.SQL注入20.在使用Wireshark抓包分析时，若想过滤出所有HTTPPOST请求的数据包，应使用的过滤表达式是（）。A.http.request.method=="GET"B.http.method=="POST"C.http.request.method=="POST"D.http.post==true二、多项选择题（共10题，每题3分，共30分。多选、少选、错选均不得分）1.下列关于XSS（跨站脚本攻击）的描述，正确的有（）。A.存储型XSS恶意脚本存储在服务器数据库中B.反射型XSS恶意脚本通过URL参数传递，非持久化C.DOM型XSS通过修改DOM树触发，不经过服务器D.所有XSS攻击都可以通过HTTPOnlyCookie完全防御2.根据我国《数据安全法》，国家建立数据分类分级保护制度。以下属于核心数据特征的有（）。A.关系国家安全B.关系国民经济命脉C.关系重要民生D.一旦遭到泄露可能对公共利益造成严重影响3.常见的端口扫描技术包括（）。A.TCPConnectB.TCPSYNC.UDPScanD.FINScan4.下列哪些措施可以增强Web服务器的安全性？（）A.定期更新操作系统和应用软件补丁B.关闭不必要的服务和端口C.部署SSL/TLS证书D.在生产环境输出详细的错误调试信息5.在计算机取证中，易失性数据通常包括（）。A.内存中的进程列表B.硬盘上的文件系统C.ARP缓存D.网络连接状态6.常见的拒绝服务攻击类型有（）。A.SYNFloodB.UDPFloodC.ICMPFloodD.HTTPFlood7.下列关于IPSec协议簇的描述，正确的有（）。A.AH协议提供数据源认证和完整性保护，但不提供机密性B.ESP协议提供机密性、数据源认证、完整性保护C.IPSec可以工作在传输模式和隧道模式D.IPSec主要用于OSI模型的数据链路层8.缓冲区溢出攻击利用的漏洞成因包括（）。A.编程语言未对数组边界进行严格检查B.程序使用了不安全的库函数（如strcpy）C.栈空间分配过大D.用户输入数据未经过滤直接写入固定长度的缓冲区9.在网络安全等级保护2.0标准中，第三级安全要求覆盖的主要层面包括（）。A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心10.下列属于恶意代码检测技术的有（）。A.特征码匹配B.启发式扫描C.行为监控D.云沙箱分析三、填空题（共10题，每题2分，共20分）1.在OSI七层模型中，位于网络层之上，传输层之下的层是__________。2.HTTP协议默认使用TCP端口__________，HTTPS协议默认使用TCP端口__________。3.在Linux系统中，用于查看系统日志文件（如/var/log/messages）的常用命令是__________。4.某个IPv6地址为`2001:0db8:85a3::8a2e:0370:7334`，其中“::”表示__________。5.在数字证书中，包含证书持有者的公钥、身份信息以及__________的签名。6.常见的Web漏洞扫描工具中，开源且支持插件扩展的是__________（填工具名称，如BurpSuite,AWVS,OWASPZAP等）。7.在网络安全中，CIA三元组指的是机密性、完整性和__________。8.在Windows系统中，用于远程登录的默认服务端口是__________。9.非对称加密算法RSA的安全性基于大整数__________的数学困难性。10.我国《个人信息保护法》规定，处理个人信息应当遵循__________、正当、必要和诚信原则。四、简答题（共5题，每题6分，共30分）1.请简述TCP三次握手的过程，并解释SYNFlood攻击是如何利用该过程进行攻击的。2.请列举至少五种常见的Web应用安全漏洞，并分别给出简要的修复建议。3.什么是DDoS攻击？请描述反射型DDoS攻击的基本原理。4.在网络安全应急响应中，通常遵循PDCERF模型。请写出PDCERF模型中六个字母分别代表的阶段名称。5.请简述对称加密算法与非对称加密算法的主要区别，并说明为什么在实际通信中通常结合使用两者。五、综合分析题（共3题，共40分）1.（15分）某公司Web服务器遭受了SQL注入攻击，安全人员提取了相关的Web服务器日志片段如下：`00--[15/Oct/2023:10:23:45+0800]"GET/product.php?id=1'UNIONSELECT1,username,passwordFROMusers---HTTP/1.1"2001234``00--[15/Oct/2023:10:24:02+0800]"GET/product.php?id=1OR1=1HTTP/1.1"2005678`(1)请分析上述日志片段，判断攻击者尝试使用了哪些SQL注入技术？（4分）(2)针对`UNIONSELECT`注入，攻击者的意图是什么？（3分）(3)作为防御方，除了使用WAF外，请给出三种代码层面的防御措施。（8分）2.（10分）在一次网络攻击事件中，安全分析师捕获了一个可疑的流量文件。分析发现流量中包含大量如下特征的数据包：源IP地址随机变化，目的IP地址为受害服务器IP0，目的端口为80。TCP标志位显示为SYN，且ACK=0。受害服务器回复了大量SYN+ACK包，但从未收到对应的ACK包，导致连接队列被占满。(1)请判断这是哪种类型的DDoS攻击？（3分）(2)请解释该攻击造成服务器无法响应正常服务请求的原理。（4分）(3)请列举两种针对该攻击的防御或缓解技术。（3分）3.（15分）某公安机关网安部门在侦办一起非法侵入计算机信息系统案件时，扣押了嫌疑人使用的笔记本电脑。请结合电子数据取证的相关知识，回答以下问题：(1)在对笔记本电脑进行开机取证前，应当采取哪些保护现场和易失性数据的措施？（至少列举四点）（6分）(2)假设嫌疑人使用了全盘加密技术（如BitLocker），取证人员无法直接读取硬盘数据。此时应如何获取硬盘内的数据？（4分）(3)在获取了嫌疑人硬盘镜像后，为了分析其Web浏览历史，应重点检查哪些文件或目录？（请以Windows系统为例，至少列举三个位置）（5分）参考答案及详细解析一、单项选择题1.答案：B解析：TCP（传输控制协议）提供面向连接的、可靠的字节流服务。IP是网络层协议，负责路由；UDP提供无连接的不可靠传输；ICMP是控制报文协议，用于诊断网络问题。2.答案：B解析：`-sS`参数指定使用TCPSYN扫描，也称为半开扫描，这是Nmap默认且最常用的扫描方式。`-Pn`表示跳过Ping发现，直接扫描。`-p1-65535`表示扫描全端口。3.答案：C解析：在公钥体制中，若要发送保密信息给B，应使用B的公钥加密，因为只有B的私钥才能解密。使用A的公钥加密只有A能解密；使用私钥加密用于签名，而非保密。4.答案：C解析：SQL注入可以通过GET、POST、Cookie、Header等多种HTTP请求方式发起。POST请求中的Body参数同样可以被注入恶意代码。5.答案：B解析：文件头`504B0304`对应ASCII字符`PK..`，是ZIP压缩包文件的标准文件头。PE文件通常以`4D5A`(MZ)开头；PNG以`89504E47`开头。6.答案：B解析：`netstat-ano`用于显示网络连接、路由表和网络接口统计信息。`-a`显示所有连接，`-n`以数字形式显示地址和端口号，`-o`显示拥有进程的PID。7.答案：C解析：根据《网络安全法》及关键信息基础设施安全保护条例，关键信息基础设施的安全保护等级原则上不低于第三级。8.答案：B解析：CA（CertificateAuthority）的核心职责是签发证书、管理证书生命周期（吊销、更新等）以及维护证书撤销列表（CRL）。它不存储私钥（私钥由用户自己保管），也不直接加密数据。9.答案：C解析：ARP欺骗是通过发送伪造的ARP消息将目标主机的IP地址解析为攻击者的MAC地址，从而实现流量劫持。10.答案：C解析：RSA是非对称加密算法。AES、DES、RC4均为对称加密算法。11.答案：A解析：`rwx`(Owner)=4+2+1=7;`r-x`(Group)=4+0+1=5;`r--`(Other)=4+0+0=4。组合起来为754。12.答案：C解析：WAF主要检测和过滤HTTP/HTTPS流量，工作在应用层（第7层）。13.答案：B解析：`/23`表示子网掩码中有23个1，即9个0。主机位数为9位，可用IP地址数量为=51214.答案：B解析：基于特征的检测（误用检测）将捕获的数据包与已知的攻击特征库进行比对。15.答案：C解析：数字签名提供完整性、身份认证和不可否认性。它不提供机密性，因为签名过程通常是对明文的哈希值加密，且验证签名需要公钥，公开可见。若需机密性，需结合加密技术。16.答案：B解析：`HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run`是用户级常见的自启动注册表项。A是服务自启动项。17.答案：A解析：中间人攻击的核心在于攻击者能够截获并可能篡改通信双方的消息，这通常是因为通信双方未能严格验证对方的身份（如缺乏双向SSL/TLS认证）。18.答案：A解析：电子证据具有易失性，特别是在内存中的数据。因此，在接触现场的第一时间，必须遵循及时性原则，优先对易失性数据进行提取和固定。19.答案：C解析：申请了不必要的敏感权限属于权限滥用。这增加了用户隐私泄露的风险。20.答案：C解析：Wireshark过滤器中，`http.request.method`表示请求方法。C选项正确匹配了POST请求。二、多项选择题1.答案：ABC解析：A、B、C分别描述了存储型、反射型和DOM型XSS的正确定义。D错误，HTTPOnly只能防止窃取Cookie的XSSpayload，无法防止所有类型的XSS（如基于DOM的窃取页面内容或钓鱼）。2.答案：ABC解析：根据《数据安全法》，核心数据关系国家安全、国民经济命脉、重要民生。D选项描述的是重要数据。3.答案：ABCD解析：TCPConnect（全连接）、TCPSYN（半连接）、UDPScan、FINScan（隐蔽扫描）均为常见的端口扫描技术。4.答案：ABC解析：A、B、C均为增强安全性的有效措施。D是错误做法，在生产环境输出详细错误信息会泄露敏感路径和版本信息，增加风险。5.答案：ACD解析：易失性数据是指系统断电或重启后会丢失的数据。内存进程、ARP缓存、网络连接状态均属于此类。硬盘数据属于非易失性数据。6.答案：ABCD解析：SYNFlood、UDPFlood、ICMPFlood、HTTPFlood均为典型的拒绝服务攻击方式。7.答案：ABC解析：AH不加密，ESP加密；两者均有传输和隧道模式。D错误，IPSec工作在网络层（第3层）。8.答案：ABD解析：缓冲区溢出是因为编程语言（如C/C++）不检查边界，使用了不安全函数，且输入数据未受控。C选项栈空间过大不是直接原因，甚至可能延缓溢出。9.答案：ABCDE解析：等保2.0要求从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个方面进行防护。10.答案：ABCD解析：特征码匹配、启发式扫描、行为监控、云沙箱分析均为当前主流的恶意代码检测技术。三、填空题1.答案：会话层解析：OSI七层模型为：物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。2.答案：80；443解析：HTTP标准端口为80，HTTPS标准端口为443。3.答案：cat或less或more或tail解析：均为查看文本内容的命令，如`cat/var/log/messages`。4.答案：连续的零块被压缩解析：`::`是IPv6中用于缩写连续的一组或多组全0的语法。5.答案：证书颁发机构（CA）解析：数字证书必须由CA签名才具有可信性。6.答案：OWASPZAP解析：OWASPZAP是开源的；BurpSuiteProfessional是收费的（有社区版）；AWVS是收费商业软件。7.答案：可用性解析：CIA即Confidentiality（机密性）、Integrity（完整性）、Availability（可用性）。8.答案：3389解析：Windows远程桌面服务（RDP）默认使用TCP3389端口。9.答案：分解解析：RSA的安全性基于大整数分解难题，即将一个大合数分解为两个素数的乘积在计算上是不可行的。10.答案：合法解析：《个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则。四、简答题1.答案：TCP三次握手过程：(1)客户端发送SYN包（seq=x）给服务器，进入SYN_SENT状态。(2)服务器收到SYN包，回复SYN+ACK包（seq=y,ack=x+1），进入SYN_RCVD状态。(3)客户端收到SYN+ACK包，回复ACK包（ack=y+1），进入ESTABLISHED状态。服务器收到ACK后也进入ESTABLISHED状态。SYNFlood攻击原理：攻击者向服务器发送大量伪造源IP地址的TCPSYN包。服务器收到后回复SYN+ACK并建立半连接（SYN_RCVD状态），放入Backlog队列。由于源IP是伪造的，服务器永远收不到第三个ACK包，导致大量半连接堆积，直到队列被占满。此时，正常的合法用户无法完成三次握手，服务器拒绝服务。2.答案：(1)SQL注入：修复建议是使用参数化查询（预编译语句）。(2)XSS（跨站脚本）：修复建议是对用户输入进行严格的HTML实体编码，设置CSP头。(3)CSRF（跨站请求伪造）：修复建议是使用CSRFToken并验证Referer头。(4)文件上传漏洞：修复建议是限制上传文件的后缀名、重命名文件、设置文件目录不可执行权限。(5)未授权访问：修复建议是在每个敏感功能入口处严格校验用户Session及权限。3.答案：DDoS攻击（分布式拒绝服务攻击）是指利用处于不同位置的多个攻击者（僵尸网络），同时向一个或多个目标发动攻击，致使目标服务器网络拥塞、系统资源耗尽或业务中断，无法提供正常服务。反射型DDoS攻击原理：攻击者利用网络协议中具有请求-响应特性的服务（如DNS、NTP、SNMP）。攻击者伪造目标服务器的IP地址作为源IP，向大量的反射器（第三方服务器）发送请求。反射器收到请求后，会将响应数据发送给被伪造的目标服务器。通过控制大量反射器，巨大的响应流量汇聚到目标，形成攻击流量。4.答案：PDCERF模型包含以下六个阶段：(1)Preparation（准备阶段）(2)Detection（检测阶段）(3)Containment（抑制阶段）(4)Eradication（根除阶段）(5)Recovery（恢复阶段）(6)Follow-up（跟踪阶段）5.答案：主要区别：(1)密钥数量：对称加密使用一个密钥（加解密共用）；非对称加密使用一对密钥（公钥和私钥）。(2)处理速度：对称加密速度快，适合加密大量数据；非对称加密计算复杂，速度慢。(3)用途：对称加密主要用于数据加密；非对称加密主要用于密钥分发和数字签名。结合使用原因：利用非对称加密的安全性来协商或传输对称密钥，然后利用对称加密的高效性来加密实际的通信数据。这样既保证了密钥分发的安全，又保证了数据传输的效率（即混合加密体制）。五、综合分析题1.答案：(1)注入技术分析：`UNIONSELECT...`：使用了联合查询注入。`OR1=1`：使用了布尔盲注（或者简单的逻辑绕过）。(2)攻击意图：攻击者意图通过`UNIONSELECT`将`users`表中的`username`和`password`字段的数据拼接到原始查询结果中返回，从而窃取数据库中的用户凭据。(3)代码层面防御措施：使用预编译语句：如Java中的PreparedStatement，将SQL语句结构与参数分离，彻底防止注入。输入验证与过滤：对输入的id参数进行严格的类型检查（例如强制转换为整数），拒绝包含特殊字符（如单引号、分号）的输入。最小权限原则：限制连接数据库的账号权限，禁止该账号访问系统表（如information_schema）或无关的敏感表（如users），防止拖库。错误信息处理：配置数据库或应用服务器，禁止向前端输出详细的数据库错误信息，防止报错注入。2.答案：(1)攻击类型：这是典型的SYNFlood攻击。(2)攻击原理：攻击者发送大量TCPSYN包，并伪造源IP。服务器收到SYN包后，分配资源建立TCB传输控制块，发送SYN+ACK包，并将连接处于SYN_RCVD状态，放入半连接队列。由于源IP是伪造的，服务器永远收不到客户端的ACK包，导致半连接队列中的连接无法释放。当队列被填满后，服务器将丢弃新的SYN连接请求（包括正常用户的请求），导致无法建立新连接，从而拒绝服务。(3)防御/缓解技术：SYNCookies：服务器不分配资源建立TCB，而是根据特定算法计算一个编码的ACK序列号（Cookie）发送给客户端。只有当收到合法的ACK携带正确的Cookie时，才建立连接。增加半连接队列长度：调整系统内核参数（如tcp_max_syn_backlog），增加Backlog队列容量，暂时缓解压力。开启RST过滤：在防火墙或网关处，对于未收到SYN包的SYN+ACK包或异常ACK包进行过滤。流量清洗：使用专业的抗DDoS设备或服务，识别并清洗掉伪造源IP的SY