2026年网络攻防技术模拟试题(含答案)

2026年网络攻防技术模拟试题(含答案)一、单项选择题（每题2分，共20分）1.在网络攻击中，攻击者向目标主机发送大量半连接请求，耗尽目标系统资源，使其无法响应合法请求，这种攻击属于（）。A.缓冲区溢出攻击B.拒绝服务攻击C.中间人攻击D.恶意代码攻击答案B解析SYNFlood是典型的拒绝服务攻击（DoS）。攻击者发送大量SYN报文但不完成三次握手，使目标系统的半连接队列被占满，无法接受新的合法连接。2.SQL注入攻击的主要成因是（）。A.服务器操作系统存在漏洞B.程序未对用户输入进行严格的过滤和参数化处理C.数据库口令过于简单D.Web服务器配置错误答案B解析SQL注入的本质是程序将用户输入直接拼接进SQL语句执行，攻击者通过构造特殊输入改变SQL语句的语义。参数化查询和输入过滤是主要防御手段。3.在对称加密算法中，加密和解密使用的密钥关系是（）。A.相同B.不同且无法互相推导C.不同但可互相推导D.随机变化答案A解析对称加密（如AES、DES）的加密密钥和解密密钥相同，或可以轻易互相推导。非对称加密（如RSA）才使用一对不同且不能互相推导的密钥。4.下列不属于网络嗅探（Sniffing）防护措施的是（）。A.使用交换机代替集线器B.采用SSH协议替代TelnetC.在网络中部署防火墙过滤ICMP报文D.使用HTTPS协议传输敏感数据答案C解析嗅探攻击主要利用共享介质捕获数据包。使用交换机、加密传输（SSH/HTTPS）可有效防范嗅探。过滤ICMP报文主要防范的是利用ICMP的探测和隧道攻击，与防范嗅探无直接关系。5.在Linux系统中，下列文件存储了用户账号的加密口令信息的是（）。A./etc/passwdB./etc/shadowC./etc/groupD./etc/profile答案B解析/etc/shadow文件以加密形式保存用户口令及口令有效期等信息，仅root用户可读。/etc/passwd保存用户基本信息，口令字段通常显示为x。6.在入侵检测系统（IDS）中，基于特征（Signature-based）检测方法的主要缺点是（）。A.无法检测已知攻击B.会产生大量误报C.无法检测未知的新型攻击D.检测效率过低答案C解析特征检测通过匹配已知攻击的特征模式来发现入侵，因此对未知攻击（零日攻击）和已知攻击的变种无能为力。基于异常的检测可以发现未知攻击，但误报率较高。7.下列关于防火墙的说法，正确的是（）。A.防火墙可以完全替代入侵检测系统B.防火墙能够防御所有来自内部的攻击C.状态检测防火墙能够记录和跟踪连接的状态信息D.包过滤防火墙工作在应用层答案C解析状态检测防火墙通过维护连接状态表，动态判断数据包是否属于合法连接。包过滤防火墙工作在网络层和传输层，而非应用层。防火墙无法防御内部攻击，也不能完全替代IDS。8.在Web应用中，跨站脚本攻击（XSS）的根本成因是（）。A.服务器未对输出数据进行编码和过滤B.数据库存储空间不足C.浏览器存在缓冲区溢出漏洞D.网络传输未加密答案A解析XSS是程序未对用户可控数据在输出到页面时进行编码或过滤，导致恶意脚本被执行。存储型、反射型和DOM型XSS都源于此。9.在渗透测试中，Metasploit框架的"exploit"组件的主要作用是（）。A.扫描目标端口B.利用目标系统漏洞建立控制通道C.破解目标密码D.隐藏攻击者的真实IP地址答案B解析Metasploit框架中，exploit是用于利用漏洞的代码模块，配合payload（载荷）在目标系统上执行攻击者想要的操作。端口扫描由auxiliary模块完成。10.下列算法中，属于非对称加密算法的是（）。A.AESB.DESC.3DESD.RSA答案D解析RSA是非对称加密算法，基于大整数分解难题。AES、DES、3DES均为对称加密算法。二、多项选择题（每题2分，共10分）1.下列属于社会工程学攻击常见形式的有（）。A.钓鱼邮件B.伪造客服电话骗取密码C.SQL注入D.尾随进入受限区域答案ABD解析社会工程学攻击利用人的心理弱点而非技术漏洞，包括钓鱼邮件、电话诈骗、尾随（Tailgating）等。SQL注入属于技术性攻击。2.下列措施中，能够有效防御ARP欺骗攻击的有（）。A.配置静态ARP表B.在交换机上启用DHCPSnooping和动态ARP检测C.使用HTTPS加密通信D.部署入侵检测系统监控异常ARP报文答案ABD解析静态ARP表可防止网关MAC被篡改；DHCPSnooping和DAI可过滤非法ARP报文；IDS可发现异常ARP流量。HTTPS加密的是应用层数据，无法阻止ARP欺骗本身，但在一定程度上能降低被窃取数据的风险——不过就本题而言，C选项并不能防止ARP欺骗，故不选。3.在Linux系统中，下列命令可用于查看网络连接和监听端口的有（）。A.netstatB.ssC.lsofD.ps答案ABC解析netstat和ss可显示网络连接、路由表、端口监听状态；lsof-i可查看端口被哪些进程占用。ps用于查看进程状态，不直接查看网络连接。4.下列关于DDoS攻击的描述，正确的有（）。A.DDoS攻击通常利用大量受控主机（僵尸网络）同时发起攻击B.DDoS攻击的目的是破坏数据的机密性C.流量型DDoS攻击可通过流量清洗服务进行缓解D.DDoS攻击可能造成目标服务不可用答案ACD解析DDoS（分布式拒绝服务）利用僵尸网络集中发起海量请求，消耗目标带宽或系统资源，导致服务不可用。其目的是破坏可用性而非机密性。流量清洗和黑洞路由是常见缓解手段。5.在Windows系统中，下列哪些日志记录了系统安全相关的事件（）。A.应用程序日志B.安全日志C.系统日志D.转发事件日志答案BC解析Windows事件日志中，安全日志记录登录尝试、权限使用等安全事件；系统日志记录系统组件事件。应用程序日志记录应用软件事件，转发事件日志用于接收远程事件，二者不属于标准的安全审计范围。三、判断题（每题1分，共10分）1.对称加密算法的加密速度通常快于非对称加密算法。答案正确2.在密码学中，Kerckhoffs原则指出密码体制的安全性不应依赖于算法的保密，而应依赖于密钥的保密。答案正确3.防火墙默认情况下允许所有流量通过，除非明确设置了拒绝规则。答案错误解析防火墙通常采用"默认拒绝"或"默认允许"策略，大多数安全型防火墙的默认策略是拒绝所有未明确允许的流量。4.SQL注入攻击只能影响Web应用的数据保密性，不会破坏数据完整性。答案错误解析SQL注入不仅可以拖库窃取数据，还可以执行UPDATE、DELETE、INSERT等操作，破坏数据完整性，甚至通过堆叠注入执行系统命令。5.在渗透测试中，信息收集阶段通常在漏洞扫描之后进行。答案错误解析信息收集是渗透测试的第一步，之后才是漏洞扫描和漏洞利用。6.在Linux中，chmod755表示文件所有者拥有读、写、执行权限，组用户和其他用户拥有读和执行权限。答案正确7.HTTPS协议通过在TCP和HTTP之间加入TLS层来提供加密和身份认证功能。答案正确8.使用VPN可以完全匿名地访问互联网，所有网络行为都无法被追踪。答案错误解析VPN主要加密客户端与VPN服务器之间的通信，但VPN服务商仍可能记录日志，且目标网站可见流量来源为VPN服务器IP，并非完全匿名。9.蜜罐（Honeypot）是一种主动防御技术，通过诱骗攻击者攻击虚假目标来收集攻击信息。答案正确10.在应急响应过程中，取证时应先断开受害主机的网络连接，防止攻击者远程销毁证据。答案正确解析先隔离网络可防止攻击者继续破坏和销毁证据，但在某些情况下需先保存内存中的易失性数据，再断开网络。本题表述总体符合应急响应的基本顺序。四、简答题（每题5分，共20分）1.简述缓冲区溢出攻击的基本原理及常见防御措施。答案缓冲区溢出攻击的原理：程序向固定长度的缓冲区写入超出其容量的数据时，多余数据会覆盖相邻内存区域（包括返回地址、局部变量等）。攻击者精心构造溢出数据，将返回地址改写为恶意代码的地址，使程序跳转执行攻击者注入的代码（Shellcode），从而获得系统控制权。常见防御措施：(1)使用安全函数，如strncpy替代strcpy，并严格检查边界；(2)启用栈保护机制，如GCC的StackCanary；(3)采用地址空间布局随机化（ASLR）和数据执行保护（DEP/NX）；(4)使用内存安全的编程语言（如Rust、Go）或安全开发框架；(5)及时安装操作系统和应用补丁。2.简述纵深防御（DefenseinDepth）策略的核心思想，并列举至少三个层次的实现。答案纵深防御的核心思想是通过多层、互补的安全防护措施，使攻击者在突破某一层防护后，仍会遭遇下一层防护，从而大幅增加攻击成本和难度，避免单点失效导致整体沦陷。典型层次：(1)物理安全：门禁系统、监控摄像头、机房锁控；(2)网络安全：防火墙、入侵检测/防御系统、VPN、网络分段；(3)主机安全：主机加固、防病毒软件、补丁管理、主机入侵检测；(4)应用安全：安全编码、Web应用防火墙、输入验证；(5)数据安全：数据加密、访问控制、备份与容灾。3.什么是中间人攻击（MITM）？简述其常见实施方式。答案中间人攻击是指攻击者在通信双方之间秘密地拦截、转发甚至篡改数据，使双方误以为仍在直接通信。攻击者位于通信链路的中间位置，完全控制会话内容。常见实施方式：(1)ARP欺骗：在局域网内伪造ARP响应，使受害者的流量经过攻击者主机；(2)DNS欺骗：篡改DNS解析结果，将用户引导至恶意服务器；(3)伪造Wi-Fi热点：搭建同名无线网络诱骗用户接入；(4)SSL剥离：将HTTPS降级为HTTP，截获明文流量。4.简述数字签名的作用及其基本实现过程。答案数字签名的作用：(1)完整性：证明消息在传输过程中未被篡改；(2)真实性（身份认证）：确认消息确实来自声称的发送者；(3)不可否认性：发送者无法否认自己签署过该消息。基本实现过程：(1)发送方使用哈希算法（如SHA-256）对消息计算摘要；(2)发送方使用自己的私钥对摘要进行加密（签名）；(3)发送方将消息和签名一并发送给接收方；(4)接收方使用发送方的公钥解密签名，得到摘要A；(5)接收方对收到的消息重新计算哈希，得到摘要B；(6)若摘要A与摘要B一致，则验证通过。五、综合分析题（每题20分，共40分）1.某企业Web服务器近期遭受攻击，安全日志显示大量来自不同IP的请求，请求中包含类似'OR'1'='1'--和`<script>alert(1)</script>`的字符串。请回答：(1)该服务器可能遭到了哪两类Web攻击？请分别说明其攻击原理。（8分）(2)请针对这两类攻击各提出至少三种有效的防御措施。（12分）答案(1)攻击类型：①SQL注入攻击。请求中的'OR'1'='1'--是典型的SQL注入载荷。其原理是程序未对用户输入进行过滤，将输入直接拼接到SQL语句中，攻击者通过构造闭合单引号、恒真条件和注释符，改变SQL语句的原始逻辑，从而绕过认证、非法读取或篡改数据库数据。②跨站脚本攻击（XSS）。请求中的<script>alert(1)</script>是典型的XSS测试载荷。其原理是程序未对用户输入进行输出编码，导致恶意脚本被浏览器解析执行。攻击者可在输入框中提交该脚本，若服务器未过滤直接存储并展示给其他用户，脚本将在其他用户浏览器中执行，可窃取Cookie、会话令牌等敏感信息。(2)防御措施：SQL注入防御：①使用参数化查询（PreparedStatement）或存储过程，禁止拼接SQL语句；②对用户输入进行严格的过滤和校验，包括类型、长度、格式白名单；③使用最小权限原则配置数据库账号，Web应用账号禁用DDL等高权限操作；④部署Web应用防火墙（WAF），过滤恶意请求；⑤对数据库错误信息进行统一处理，避免向用户泄露敏感报错信息。XSS防御：①对输出到HTML页面的数据进行上下文感知的编码（如HTML实体编码、JavaScript编码）；②使用ContentSecurityPolicy（CSP）限制脚本来源；③对用户输入进行过滤，使用白名单机制去除危险标签和事件属性；④设置HttpOnlyCookie，防止脚本窃取会话令牌；⑤使用前端框架（如React、Vue）默认的转义机制，避免直接使用innerHTML等危险方法。2.某公司内网服务器被入侵，管理员发现服务器上存在异常进程xmrig，CPU占用率持续接近100%，且攻击者设置了定时任务和自启动服务以确保恶意程序持续运行。请回答：(1)根据异常进程名称，判断该服务器最可能被用于何种恶意目的？（4分）(2)写出应急响应的基本流程，并针对该场景给出具体的处置步骤。（16分）答案(1)xmrig是知名的开源门罗币（Monero）挖矿程序。该服务器最可能被攻击者植入挖矿木马，利用服务器CPU资源进行加密货币挖矿牟利。(2)应急响应基本流程：准备→检测→抑制→根除→恢复→总结。针对该场景的具体处置步骤：①检测与确认：•使用top、psaux等命令确认xmrig进程及其父进程，记录进程PID、启动用户、启动时间、完整路径；•使用ls-l/proc/<PID>/exe查看