2025年本科网络空间安全(网络攻击与防御)试题及答案

2025年本科网络空间安全(网络攻击与防御)试题及答案一、单项选择题（每题2分，共20分）1.基于大模型生成的深度伪造钓鱼邮件，相较于传统模板化钓鱼邮件，最核心的优势特征是A.邮件发送速度更快B.伪装性和个性化程度更高C.必然携带恶意代码附件D.发送源地址更难追溯2.以下选项中，符合网络安全领域零日漏洞定义的是A.NVD已公开编号、但厂商未发布补丁的漏洞B.攻击者独家发现、未公开披露、厂商未知晓的漏洞C.厂商已发布补丁、但超过80%用户未完成更新的漏洞D.开源第三方组件中存在的已知可利用漏洞3.在DDoS攻击分类中，利用TCP三次握手设计缺陷发起的攻击类型是A.UDP洪水攻击B.SYN洪水攻击C.DNS放大攻击D.HTTP洪水攻击4.零信任安全架构的核心默认访问控制策略是A.默认信任内部网络，仅验证外部访问主体B.默认不信任任何主体，持续验证每次访问C.默认信任已认证终端，按需分配访问权限D.默认信任特权账号，对普通账号执行最小权限5.以下攻击方式中，属于侧信道攻击范畴的是A.针对RSA加密算法密钥的计时攻击B.针对动态网站的SQL注入攻击C.针对物联网设备固件的逆向破解攻击D.针对应用程序的缓冲区溢出攻击6.近年来针对软件开发供应链的投毒攻击中，攻击者最常用的入口方式是A.攻破软件厂商官网下载服务器植入恶意代码B.钓鱼攻击诱导开发人员下载恶意开发工具C.污染开源软件仓库的依赖包，利用开发人员引入恶意依赖D.利用操作系统漏洞入侵开发人员本地环境植入后门7.以下能力中，不属于Web应用防火墙（WAF）核心功能的是A.拦截SQL注入、XSS等常见Web攻击B.检测并阻断密集请求型CC攻击C.解密HTTPS流量完成内容层攻击检测D.自动修复网站源码中存在的安全漏洞8.攻击者通过篡改递归DNS服务器的缓存记录，将合法域名解析到恶意IP地址的攻击方式是A.DNS链路劫持B.DNS缓存投毒C.DNS放大攻击D.域名抢注9.针对大语言模型的提示注入攻击中，“越狱提示”的核心目的是A.窃取大模型训练数据中的敏感信息B.绕过大模型的安全对齐限制，执行攻击者预设的恶意指令C.诱导大模型输出错误内容造成服务崩溃D.篡改大模型的参数权重植入后门10.根据网络安全等级保护2.0三级要求，以下哪项能力不属于区域边界防护的强制要求A.不同安全区域之间实现访问控制规则配置B.对区域边界流量实现入侵攻击检测与告警C.对跨区域流量实现恶意代码检测与阻断D.对区域内终端实现应用白名单管控单项选择题参考答案及解析：1.B解析：传统钓鱼邮件多为统一模板生成，内容同质化高，容易被用户和邮件网关识别；大模型可以基于目标用户的公开社交信息、工作内容生成高度个性化的邮件内容，伪装性远高于传统钓鱼，这是其核心特征，因此B正确。A选项，发送速度取决于僵尸网络规模，不是大模型钓鱼的核心特征；C选项，大模型钓鱼也可通过钓鱼链接实施，不一定携带附件；D选项，发送源地址追溯难度和传统钓鱼无本质差异。2.B解析：零日漏洞的核心定义是未被公众、厂商知晓，仅被攻击者发现的漏洞，因此B正确。A选项属于公开未补丁漏洞，不属于零日；C选项属于未修复的已知漏洞，不属于零日；D选项属于已知开源漏洞，不符合定义。3.B解析：SYN洪水攻击利用TCP三次握手，发送大量伪造源IP的SYN请求耗尽目标半连接资源，因此B正确。4.B解析：零信任的核心原则是“永不信任，始终验证”，默认不信任任何内外部主体，每次访问都需要重新验证授权，因此B正确。5.A解析：侧信道攻击不针对算法本身，而是利用密码实现过程中泄露的物理信息（时间、功耗、电磁辐射等）破解密钥，计时攻击是典型的侧信道攻击，因此A正确。6.C解析：近年来多起重大供应链攻击都是通过污染开源软件仓库的依赖包实现，开发人员通常会直接引入公开依赖，因此攻击者污染依赖后即可将恶意代码带入最终产品，这是当前最常见的供应链攻击入口，因此C正确。7.D解析：WAF是网络层防护设备，只能拦截攻击利用，无法修改网站源码修复漏洞本身，因此D不属于WAF核心能力。8.B解析：DNS缓存投毒的核心就是篡改递归DNS服务器的缓存记录，将合法域名指向恶意IP，因此B正确。DNS链路劫持是指在传输层篡改DNS响应，不是篡改缓存，因此A错误。9.B解析：越狱提示是指攻击者构造特殊提示词绕过大模型的安全防护规则，让大模型执行原本被禁止的恶意指令，因此B正确。10.D解析：应用白名单管控属于终端计算环境的防护要求，不属于区域边界防护要求，因此D正确。二、多项选择题（每题3分，共15分，多选、少选、错选均不得分）1.以下攻击类型中，属于典型Web应用层攻击的有A.跨站脚本攻击（XSS）B.跨站请求伪造（CSRF）C.操作系统命令注入攻击D.Java反序列化漏洞攻击E.路由欺骗攻击2.勒索病毒常见的传播与入侵途径包括A.钓鱼邮件携带恶意宏附件B.利用未打补丁的公网服务漏洞入侵C.攻击者初始入侵后通过RDP服务横向移动传播D.第三方软件安装包被植入勒索病毒E.物联网设备预置恶意固件传播3.针对APT攻击的有效防御措施包括以下哪些选项A.全网实施零信任访问控制架构B.部署EDR/XDR实现持续威胁检测C.定期开展漏洞扫描与补丁更新，缩小攻击面D.核心业务数据执行定期离线备份E.禁止所有外部网络访问阻断攻击路径4.大语言模型普及后衍生的新型网络攻击场景包括A.自动生成高度个性化的钓鱼邮件内容B.辅助攻击者自动挖掘软件零日漏洞C.自动生成免杀恶意代码躲避杀毒软件检测D.生成深度伪造音视频用于社会工程学诈骗E.窃取大模型训练数据中的敏感用户信息5.网络入侵检测系统（NIDS）的固有局限性包括A.未配置解密能力时无法检测HTTPS加密流量中的攻击B.基于特征库检测，对零日未知攻击的检测准确率低C.旁路部署，仅能告警无法主动阻断攻击行为D.针对IP分片、分片偏移等畸形流量容易被绕过E.针对正常流量中的攻击特征容易产生误报多项选择题参考答案及解析：1.ABCD解析：路由欺骗攻击属于网络层攻击，针对路由协议实现，不属于Web应用层攻击，其余四项均为常见Web应用层攻击，因此答案为ABCD。2.ABCDE解析：以上五种均为当前勒索病毒常见的入侵传播途径，因此全选。3.ABCD解析：禁止所有外部访问会导致企业业务无法正常开展，不具备可行性，其余四项均为APT攻击的有效防御措施，因此答案为ABCD。4.ABCDE解析：以上五种均为大语言模型带来的新型网络攻击场景，因此全选。5.ABCDE解析：以上五项均为NIDS的固有局限性，因此全选。三、简答题（每题5分，共25分）1.简述SYN洪水攻击的原理及常用防御方法。参考答案：SYN洪水攻击原理：利用TCP三次握手的设计缺陷实施，攻击者向目标服务器发送大量伪造源IP地址的SYN连接请求，目标服务器收到请求后会回复SYN+ACK报文，并为每个半连接分配内存资源，等待客户端返回ACK报文完成连接建立；由于源地址为伪造，攻击者不会返回对应ACK报文，导致大量半连接长期占用目标服务器的连接队列与内存资源，最终耗尽目标系统资源，无法处理正常用户的连接请求。（3分）常用防御方法：SYNCookie技术，收到SYN请求时不提前分配半连接资源，通过生成加密Cookie验证客户端合法性，验证通过后再分配资源；缩短半连接超时时间，快速释放无效半连接；部署流量清洗设备，过滤恶意SYN流量；前端反向代理分担请求，过滤无效连接。（答对2点即可得2分，满分5分）2.简述大模型提示注入攻击的概念，以及常见的防御方法。参考答案：提示注入攻击是针对大语言模型的新型攻击方式，攻击者通过在用户输入中嵌入特殊构造的指令，覆盖或绕过模型预设的系统提示规则，诱导大模型绕过安全对齐限制，执行攻击者预设的恶意指令，可分为直接提示注入和间接提示注入（攻击指令隐藏在文档、网页等外部输入中）两类。（2分）常见防御方法：对系统提示和用户输入做严格分隔，避免用户输入篡改系统提示逻辑；对输入输出做恶意内容检测，识别越狱提示和恶意输出；做权限隔离，限制大模型调用外部工具的权限，降低攻击危害；通过对抗训练提升模型对提示注入攻击的识别能力。（答对3点即可得3分，满分5分）3.简述网络攻击中横向移动的概念，列举攻击者常用的横向移动手段。参考答案：横向移动是指攻击者攻破网络边界某一节点后，为获取更高权限、访问核心资产，在目标内部网络中从已攻破节点向其他内部节点渗透的过程，是APT攻击、勒索攻击中不可或缺的环节。（2分）常用手段：哈希传递（PasstheHash）攻击，窃取WindowsNTLM哈希无需破解明文即可完成认证；窃取内部凭证后，通过RDP、SSH等远程管理服务登录其他节点；利用内部服务的未修复漏洞获取权限；LLMNR/NBT-NS投毒窃取内部身份凭证；滥用企业内部合法的远程运维工具移动渗透。（答对3点即可得3分，满分5分）4.简述防火墙与入侵检测系统（IDS）的核心区别。参考答案：（1）功能定位不同：防火墙核心功能是基于预设规则对流量进行放行和拦截，实现边界访问控制，主动阻断违规访问；IDS核心功能是对流量进行分析检测，识别攻击行为后产生告警，本身不直接阻断攻击。（2分）（2）部署与工作模式不同：防火墙一般串联部署在网络边界，所有流量必须经过防火墙检测后才能转发，默认拒绝未授权访问；IDS一般旁路部署，仅复制流量进行检测，不改变原有流量路径。（1分）（3）检测深度不同：防火墙以五元组规则过滤为主，侧重访问控制，对应用层内容检测深度有限；IDS对应用层内容做深度检测，通过匹配攻击特征识别攻击行为。（1分）（4）对未知攻击的能力不同：二者对未知攻击的防护能力都有限，但防火墙侧重规则拦截，IDS可以通过异常流量识别发现未知攻击的迹象。（1分，满分5分）5.简述CSRF跨站请求伪造攻击的原理及主流防御方法。参考答案：原理：攻击者利用用户在目标网站留存的已认证身份Cookie，诱导用户访问攻击者构造的恶意页面，恶意页面会自动在用户浏览器上下文下向目标网站发起授权请求，利用用户的身份权限执行攻击者指定的操作（如修改密码、转账等）；攻击成立的核心原因是目标网站仅依赖Cookie验证请求身份，不验证请求是否为用户主动发起、是否来自合法来源。（2分）防御方法：添加随机Token验证，请求中携带存储在Session中的随机Token，攻击者无法跨域获取Token，可有效阻断攻击；设置Cookie的SameSite属性，禁止跨域请求携带Cookie，阻断攻击利用；关键操作添加验证码验证，要求用户主动交互，避免自动请求；验证请求的Referer字段，拦截跨域来源的非法请求。（答对3点即可得3分，满分5分）四、综合分析题（共2小题，每小题20分，共40分）1.某互联网企业用户官网出现大规模用户信息泄露事件，安全团队排查后确认，攻击者利用官网留言板模块的SQL注入漏洞，获取了数据库中全部用户的明文用户名、手机号、密码信息，造成恶劣影响。请结合该案例回答以下问题：（1）简述SQL注入漏洞的形成原因，分析该漏洞在本案例中可能造成的危害。（10分）（2）从开发、运维、防护三个层面，说明针对SQL注入漏洞的多层防御方案。（10分）参考答案：（1）SQL注入漏洞形成原因：Web应用开发过程中，未对用户可控输入参数进行严格的过滤、转义处理，直接将用户输入拼接到原始SQL语句中，导致攻击者可以通过构造特殊输入修改SQL语句的执行逻辑，执行任意SQL命令。（4分）本案例中漏洞带来的危害：①敏感数据泄露，案例中攻击者获取了所有用户的身份、账号信息，会导致用户遭遇诈骗、账号盗号等风险，企业需要承担合规责任，损害企业声誉；②攻击者可修改或删除数据库数据，篡改官网网页内容，植入黑链或恶意内容，影响企业正常业务开展；③攻击者可通过SQL注入获取服务器权限，多数数据库支持执行系统命令，攻击者可进一步上传木马控制整个Web服务器，将服务器作为跳板入侵内部网络；④攻击者可利用漏洞进行DDoS攻击，耗尽数据库资源导致网站瘫痪。（每点2分，答对3点即可得6分，本小题满分10分）（2）多层防御方案：①开发层面：从源头避免漏洞产生，采用参数化预编译SQL语句，参数由数据库驱动处理，无法修改SQL语句逻辑；采用ORM框架，避免手动拼接SQL语句；对所有用户输入进行严格过滤，转义特殊字符，限制输入格式与长度；敏感数据采用加密加盐存储，即便是数据泄露也无法获取明文，降低危害。（4分，答对2点即可）②运维层面：遵循最小权限原则配置数据库账号，Web应用连接数据库的账号仅分配必要权限，禁止分配数据库超级权限，降低攻击者可造成的危害；关闭数据库错误回显，避免攻击者通过错误信息获取数据库结构等敏感信息；定期开展漏洞扫描和人工渗透测试，及时发现并修复未修补的漏洞；定期全量备份数据库，发生数据破坏或泄露后可快速恢复。（3分，答对2点即可）③防护层面：部署Web应用防火墙（WAF），通过规则识别并拦截常见的SQL注入攻击，阻断攻击者的探测与利用；禁止数据库服务直接对公网开放，仅允许应用服务器访问数据库，限制访问来源；开启数据库审计，记录所有数据库操作，发现异常访问后及时告警溯源。（3分，答对2点即可，本小题满分20分）2.某制造企业核心生产系统遭遇勒索病毒攻击，所有生产数据被加密，攻击者索要数百万赎金。应急响应团队排查后确认，攻击入口是企业公网开放的SSLVPN设备存在未修复的零日漏洞，攻击者利用漏洞获取VPN权限后，通过横向移动进入核心生产服务器区域，最终投放勒索病毒加密数据。请结合案例回答以下问题：（1）梳理本次攻击的完整攻击链路，说明每个阶段攻击者的核心操作。（10分）（2）从技术和管理两个层面，说明企业应当采取哪些改进措施避免同类事件再次发生。（10分）参考答案：（1）本次攻击为典型的勒索攻击，完整攻击链路与核心操作如下：①侦察打点阶段：攻击者通过资产探测工具收集企业公网开放资产，发现公网开放的SSLVPN设备，收集VPN设备的型号、版本信息，结合已掌握的零日漏洞信息，确认漏洞可利用，准备漏洞利用代码。（2分）②初始入侵阶段：攻击者向VPN设备发送构造好的漏洞利用请求，利用零日漏洞绕过身份验证，获取VPN设备的管理员权限，完成初始入侵。（2分）③权限维持阶段：攻击者在VPN设备中植入后门程序，创建隐藏管理员账号，清理入侵日志，保证后续可以持