2026年网络安全工程师招聘笔试全真模拟卷及答案

2026年网络安全工程师招聘笔试全真模拟卷及答案一、考试说明本卷以真实岗位能力需求为基准，重点考察候选人面对实际安全场景时的判断、分析与处置能力，而非单纯记忆概念。试卷共分六类题型，满分150分，闭卷作答，考试时间150分钟，合格线为90分。题型题量每题分值小计建议用时单项选择题2024025分钟多项选择题1033020分钟判断题1011010分钟简答题452030分钟案例分析题2153040分钟实操题1202025分钟注意事项：答题过程中禁止使用手机、智能手表等电子设备；涉及法律法规的题目必须使用全称；实操题需写明具体命令或配置步骤，只写“进行扫描”“做好防护”等空洞表述不得分。二、模拟试卷（题目部分）（一）单项选择题（每题2分，共20题，共40分）1.TCP三次握手过程中，第二次握手数据包中SYN和ACK标志位的状态是（）。•A.SYN=1，ACK=0•B.SYN=1，ACK=1•C.SYN=0，ACK=1•D.SYN=0，ACK=02.以下加密算法中，属于对称加密算法的是（）。•A.RSA•B.ECC•C.AES-256•D.DSA3.某登录页面存在SQL注入漏洞，攻击者输入'OR'1'='1'--后最可能实现的效果是（）。•A.引发数据库报错，暴露表结构•B.绕过密码验证直接登录•C.使服务器CPU满载，拒绝服务•D.劫持DNS解析记录4.Linux系统中，直接显示当前用户所属全部组的命令是（）。•A.id•B.whoami•C.groups•D.ls-l5.零信任架构的核心原则是（）。•A.内外网边界明确，内网默认可信•B.默认拒绝一切访问，持续验证身份与设备•C.仅对远程访问启用强认证•D.以防火墙为主、终端杀毒为辅6.根据《中华人民共和国网络安全法》，关键信息基础设施运营者在中国境内运营中收集和产生的个人信息和重要数据应当在境内存储。确需向境外提供的，应当进行（）。•A.安全评估•B.脱敏处理•C.加密传输•D.向行业主管部门备案即可7.HTTP响应头中，用于防止页面被其他网站通过iframe嵌入（点击劫持）的是（）。•A.Content-Security-Policy•B.X-Frame-Options•C.Strict-Transport-Security•D.X-Content-Type-Options8.风险评估中，某漏洞被利用的可能性为“高”，造成的影响程度为“严重”，则其风险等级应为（）。•A.低•B.中•C.高•D.极高9.Windows安全日志中，事件ID4625代表（）。•A.账户登录成功•B.账户登录失败•C.账户被锁定•D.用户权限变更10.攻击者向DNS服务器发送伪造的响应包，使缓存中域名对应IP被篡改，这种攻击称为（）。•A.ARP欺骗•B.DNS缓存投毒•C.SYNFlood•D.端口扫描11.PKI体系中，用于发布已撤销证书序列号的列表英文缩写是（）。•A.CRL•B.OCSP•C.CA•D.RA12.使用Nmap对目标进行半开扫描（SYN扫描）的正确命令是（）。•A.nmap-sT•B.nmap-sS•C.nmap-sU•D.nmap-sP13.依据《中华人民共和国个人信息保护法》，以下属于敏感个人信息的是（）。•A.姓名•B.工作单位•C.身份证号码•D.性别14.AWS云环境中，充当实例虚拟防火墙、控制入站和出站流量的服务是（）。•A.IAM•B.SecurityGroup•C.VPC•D.S315.发现某服务器感染勒索软件后，第一响应动作应当是（）。•A.立即支付赎金换取解密密钥•B.断开该服务器网络连接并隔离•C.格式化硬盘重装系统•D.重启服务器观察是否自动恢复16.用于安全传输Web页面的协议是（）。•A.HTTP•B.FTP•C.HTTPS•D.Telnet17.OWASPTop102021中排名第一的Web应用安全风险是（）。•A.SQL注入•B.跨站脚本XSS•C.失效的访问控制•D.加密机制失效18.Kerberos协议在域环境中主要提供（）。•A.文件共享与传输•B.双向身份认证•C.数据库加密•D.网络负载均衡19.服务器CPU占用率持续100%，进程列表中出现大量名为xmrig的进程，最可能是感染了（）。•A.远程控制木马•B.挖矿病毒•C.勒索软件•D.蠕虫病毒20.《中华人民共和国个人信息保护法》规定的个人信息处理原则不包括（）。•A.合法、正当、必要•B.公开透明•C.最小范围•D.默认收集（二）多项选择题（每题3分，共10题，共30分。多选、少选、错选均不得分）1.以下属于常见Web应用漏洞的有（）。•A.SQL注入•B.跨站脚本XSS•C.跨站请求伪造CSRF•D.缓冲区溢出2.以下协议中，能够提供加密传输的有（）。•A.TLS1.3•B.IPsec•C.SSH•D.FTP3.使用Volatility工具对内存镜像进行分析时，可以提取的信息包括（）。•A.进程列表•B.网络连接•C.注册表项•D.内存中残留的明文密码4.依据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，第三级安全要求涵盖的技术层面有（）。•A.物理和环境安全•B.网络和通信安全•C.设备和计算安全•D.应用和数据安全5.下列属于社会工程学攻击的有（）。•A.发送伪造的银行钓鱼邮件•B.尾随授权员工进入机房•C.电话冒充IT部门索要VPN密码•D.对Web服务器进行SQL注入6.以下属于威胁建模方法论的有（）。•A.STRIDE•B.DREAD•C.ATT&CK•D.CVSS7.Linux系统中，与用户账户信息相关的文件有（）。•A./etc/passwd•B./etc/shadow•C./etc/group•D./etc/hosts8.密钥管理的最佳实践包括（）。•A.定期轮换密钥•B.密钥与加密数据分开存储•C.在代码中硬编码密钥方便调用•D.按最小权限原则分配密钥访问权限9.云安全责任共担模型中，以下由云服务商负责的安全内容包括（）。•A.数据中心物理安全•B.虚拟化层隔离•C.客户在云上部署的数据库加密配置•D.云平台底层网络基础设施10.入侵检测系统（IDS）按部署位置和数据来源可分为（）。•A.基于主机的HIDS•B.基于网络的NIDS•C.基于应用的AIDS•D.混合型IDS（三）判断题（每题1分，共10题，共10分。正确写“√”，错误写“×”并简要改正）1.SQL注入漏洞只能使用参数化查询来修复。（）2.使用HTTPS协议可以完全避免中间人攻击。（）3.零信任模型中，内部网络默认可信，外部网络不可信。（）4.防火墙能够完全阻止所有类型的网络攻击。（）5.《中华人民共和国网络安全法》禁止任何个人和组织从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。（）6.使用强密码并定期更换可以完全防止密码被暴力破解。（）7.蜜罐是一种主动防御技术，通过伪造易受攻击的系统诱捕攻击者并记录其行为。（）8.PKI体系中，CA的私钥一旦泄露，整个信任体系将失效。（）9.所有安全漏洞都可以通过安装补丁来彻底修复。（）10.开展渗透测试前，必须获得目标系统所属单位的书面授权，并明确测试范围和规则。（）（四）简答题（每题5分，共4题，共20分）1.简述SQL注入漏洞的形成原因、可能造成的三种危害，并给出三种不同的防御措施。2.描述一次完整的网络安全应急响应流程，从事件发现到恢复闭环，说明每个阶段的关键动作和产出物。3.解释“纵深防御”的含义，并针对Web应用安全给出三个层次的落地示例（从网络层到应用层）。4.根据《中华人民共和国数据安全法》，数据处理者应当履行的数据安全保护义务至少列出五项。（五）案例分析题（每题15分，共2题，共30分）案例一：某电商平台近期监测到大量用户账户在短时间内出现异常登录，涉及IP地址分布在全球多个国家。经调查发现，攻击者利用其他网站泄露的用户名和密码组合，使用自动化工具对改电商平台进行撞库尝试，成功登录部分账户后窃取优惠券、订单信息并篡改收货地址。请回答：1.分析撞库攻击的原理及其风险演化路径（5分）。2.针对该攻击，从技术和管理两个层面提出至少四项具体防护措施（6分）。3.若已确认某用户账户被撞库成功并发生信息篡改，应如何进行应急处置？（4分）案例二：某制造企业一台运行ERP系统的服务器遭勒索软件加密，屏幕上弹出勒索信息，要求72小时内支付比特币以获取解密密钥。该服务器未配置离线备份，但每天凌晨会自动将数据库导出到另一台同网段的文件服务器。攻击者已经删除了文件服务器上的备份文件，并将文件服务器也加密。目前生产业务完全中断。请回答：1.第一响应步骤应当是什么？说明原因（5分）。2.在不向攻击者支付赎金的前提下，有哪些可能的数据恢复途径？（5分）3.为防止类似事件再次发生，应从哪些方面进行安全加固和管理改进？（5分）（六）实操题（共1题，20分）某企业委托你对其内网进行授权渗透测试，授权范围为/24网段，禁止使用破坏性攻击手段。请设计一份完整的渗透测试实施方案，需包含：1.测试前期准备阶段：信息收集方式、拟使用的工具清单及用途（5分）。2.测试执行阶段：按照“漏洞扫描—漏洞利用—后渗透”三个环节，详细说明每个环节的操作步骤、注意事项及关键命令示例（10分）。3.测试报告应包含哪些核心章节和内容（5分）。三、参考答案及解析（一）单项选择题1.B。TCP三次握手中，第一次由客户端发送SYN=1的包；第二次由服务器回应，SYN=1、ACK=1，同时确认客户端的序列号；第三次客户端发送ACK=1完成握手。选B。2.C。RSA、ECC、DSA均为非对称算法，AES属于对称加密算法，AES-256表示密钥长度256位。选C。3.B。'OR'1'='1'--构造永真条件，如果登录查询为SELECT*FROMusersWHEREusername='...'ANDpassword='...'，注入后条件恒真，且注释掉后续内容，可绕过密码验证直接登录。A选项错误，因为注释符使报错概率降低；C、D与SQL注入原理无关。选B。4.C。groups命令直接显示当前用户所属的所有组；id显示UID、GID及所属组但输出中包含更多信息；whoami只显示用户名；ls-l列出文件。选C最直接。5.B。零信任核心是“永不信任，始终验证”，不区分内外网，每次访问都需要验证身份、设备、权限和上下文。选B。6.A。《中华人民共和国网络安全法》第三十七条规定，关键信息基础设施运营者向境外提供数据应当进行安全评估，具体办法由相关部门制定。选A。7.B。X-Frame-Options控制页面能否被iframe嵌入，防止点击劫持；CSP是更强的内容安全策略，但题目最直接的答案是B；HSTS强制HTTPS；X-Content-Type-Options防止MIME类型嗅探。选B。8.D。风险等级通常由可能性和影响程度矩阵判定：高可能性×严重影响=极高风险。选D。9.B。Windows事件ID4625表示登录失败，4624表示登录成功，4740表示账户锁定。选B。10.B。DNS缓存投毒通过向DNS解析器发送伪造响应，使解析器缓存错误的IP映射。ARP欺骗针对局域网MAC表，SYNFlood是拒绝服务攻击，端口扫描是探测行为。选B。11.A。CRL（CertificateRevocationList）证书吊销列表；OCSP在线证书状态协议；CA证书颁发机构；RA注册机构。选A。12.B。nmap-sS为半开SYN扫描，-sT为全连接扫描，-sUUDP扫描，-sP主机存活扫描。选B。13.C。《个人信息保护法》规定敏感个人信息包括身份证号码、生物识别、宗教信仰、特定身份、医疗健康、金融账户等，一旦泄露或非法使用容易导致人格尊严或人身财产安全受损。姓名、单位、性别不属于敏感。选C。14.B。SecurityGroup是实例级别的虚拟防火墙，控制入站出站流量；IAM是身份权限管理；VPC是虚拟私有云；S3是对象存储。选B。15.B。感染勒索软件后第一动作是隔离主机，防止横向传播和进一步破坏；支付赎金不推荐且可能无法恢复；格式化会丢失数据；重启可能导致加密过程继续或加密更多文件。选B。16.C。HTTPS=HTTP+TLS，安全传输Web页面；FTP明文文件传输；Telnet明文远程登录。选C。17.C。OWASPTop102021中，A01为失效的访问控制（BrokenAccessControl），取代了2017年的注入类；SQL注入排名第三，XSS排名继续靠前但不第一。选C。18.B。Kerberos是基于票据的认证协议，提供双向身份认证，有效防止中间人攻击，常用于Windows域环境。选B。19.B。xmrig是知名的开源挖矿程序，常被恶意植入用于挖门罗币，导致CPU满载。选B。20.D。《个人信息保护法》规定处理个人信息应遵循合法、正当、必要、诚信原则，公开透明，最小范围，明确目的，不得过度收集。默认收集违反最小必要原则。选D。（二）多项选择题1.ABC。SQL注入、XSS、CSRF均为OWASPTop10中的Web应用漏洞；缓冲区溢出属于系统层漏洞，通常出现在本地应用程序或内核中，不属于典型Web漏洞。选ABC。2.ABC。TLS、IPsec、SSH均提供加密通道；FTP明文传输，FTPS或SFTP才安全。选ABC。3.ABCD。Volatility是内存取证框架，可分析进程列表、网络连接、注册表、文件、命令历史、明文密码等内存残留信息。选ABCD。4.ABCD。等保2.0第三级安全要求包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个技术层面，以及管理层面。四个选项均属于技术层面。选ABCD。5.ABC。钓鱼邮件、尾随、电话冒充均利用人的信任与疏忽，是社会工程学；SQL注入针对技术漏洞，不属于社会工程学。选ABC。6.ABC。STRIDE、DREAD是微软提出的威胁建模方法；ATT&CK是威胁行为分析框架；CVSS是漏洞评分系统，不是建模方法论。选ABC。7.ABC。/etc/passwd存储账户基本信息，/etc/shadow存储密码哈希，/etc/group存储组信息；/etc/hosts用于本地域名解析。选ABC。8.ABD。定期轮换、分开存储、最小权限均为密钥管理最佳实践；硬编码密钥一旦源码泄露即暴露，属于高风险行为。选ABD。9.ABD。责任共担模型中，云服务商负责底层基础设施（物理、网络、虚拟化层）；客户负责自己在云上的数据、配置、访问管理等。数据库加密配置属于客户责任。选ABD。10.ABD。IDS按数据源分为基于主机HIDS、基于网络NIDS及混合型；AIDS不常见且非标准分类。选ABD。（三）判断题1.×。SQL注入修复方法包括参数化查询、ORM框架、存储过程、输入校验过滤、使用WAF等，参数化查询是最根本的方法，但不是唯一。2.×。HTTPS使用TLS加密并验证证书，但如果客户端不校验证书、中间人持有合法证书或私钥泄露，仍然可能遭受中间人攻击。3.×。零信任模型默认不信任任何网络流量，无论来自内部还是外部，每一次访问都必须经过严格验证和授权。4.×。防火墙基于IP、端口和协议进行过滤，无法阻止应用层攻击（如SQL注入、XSS）、加密流量中的恶意内容、内部威胁等，需要配合其他安全措施。5.√。《中华人民共和国网络安全法》明确禁止侵入他人网络、干扰正常功能、窃取网络数据等行为。6.×。强密码和定期更换能提高破解难度，但无法完全防止暴力破解，还需结合账户锁定策略、多因素认证、登录行为分析等措施。7.√。蜜罐是主动防御技术，通过模拟存在漏洞的系统吸引攻击者，记录攻击行为并分析攻击手法。8.√。CA私钥用于签发证书，一旦泄露，攻击者可签发任意伪造证书，整个PKI信任链条崩溃。9.×。有些漏洞源于架构设计缺陷、逻辑错误、配置不当或业务逻辑问题，不是单纯打补丁能解决的，需修改设计或加强流程管理。10.√。渗透测试必须获得书面授权，明确测试范围、时间、方法，否则属于未授权入侵，触犯法律。（四）简答题1.SQL注入漏洞：形成原因、危害与防御措施•形成原因：应用程序对用户输入未做充分校验和参数化处理，将恶意SQL语句拼接进查询语句并提交给数据库执行。•三种危害：①未授权访问敏感数据（拖库）；②绕过认证（如登录绕过）；③篡改或删除数据（破坏完整性）；还可引发命令执行、权限提升。•三种防御措施：①使用预编译语句或参数化查询（如JDBCPreparedStatement），从根本消除注入；②采用ORM框架（如MyBatis、Hibernate）自动处理参数绑定；③部署WAF并配置SQL注入检测规则，作为纵深防御；同时对数据库账号实施最小权限，限制可执行操作。2.应急响应流程一次完整的应急响应遵循PDCA闭环，分为六个阶段：•准备：建立应急组织，定义角色（指挥、分析、处置、沟通），维护联系人名单、工具集（磁盘镜像、内存取证、日志分析）和预案。•检测与确认：通过SIEM、EDR、IDS告警发现异常，确认事件真实性、范围和影响。产出：初步事件报告。•遏制：隔离受感染主机（断网、禁用账户）、阻断攻击IP、停止相关服务，防止横向扩散。产出：隔离清单、阻断规则。•根除：清除恶意程序、删除后门、修复漏洞、还原或重装系统。产出：根除报告、补丁记录。•恢复：从干净备份恢复数据，验证业务功能，逐步上线。产出：恢复确认单。•复盘与改进：召开复盘会，分析根本原因，更新预案和安全策略，培训人员。产出：复盘报告、改进项清单。3.纵深防御及其Web应用落地纵深防御指在信息系统各层次部署相互独立、相互补充的安全控制措施，使单一防线失效时其他防线仍能阻止攻击。Web应用落地示例：•网络层：部署防火墙限制仅开放80/443，WAF过滤恶意流量（如SQL注入、XSS），IPS检测已知攻击特征。•应用层：开发阶段采用安全编码规范，输入校验、输出编码、参数化查询；运行时实施强认证和会话管理。•数据层：数据库最小权限授权，敏感数据加密存储，审计日志独立保存防止篡改；定期漏洞扫描和渗透测试验证防护有效性。4.《数据安全法》数据处理者义务根据《中华人民共和国数据安全法》第二十七条等要求，数据处理者应当：•建立健全全流程数据安全管理制度；•组织开展数据安全教育培训；•采取相应的技术措施和其他必要措施保障数据安全；•对数据处理活动进行风险评估，重要数据需定期风险评估并向主管部门报告；•发生数据安全事件时，立即采取处置措施并按规定及时告知用户和报告主管部门；•遵守数据分类分级保护制度，对重要数据重点保护；•配合监管机关的审查和执法。（五）案例分析题案例一解析1.撞库攻击原理与风险演化路径（5分）撞库攻击基于用户在不同平台使用相同密码的习惯。攻击者首先从已泄露的数据库中获取大量用户名和密码组合（撞库字典），然后利用自动化工具（如Selenium、HTTP请求脚本）在目标电商平台批量尝试登录。由于同一密码在多站复用，部分尝试会成功。风险演化路径：外部数据泄露→攻击者获取明文或可破解的口令→自动化撞库尝试→成功登录合法账户→窃取优惠券、订单信息、篡改收货地址→资金或商品损失、用户投诉、监管处罚、品牌声誉受损。风险阻断点可设置在登录环节（多因素认证、设备指纹、行为检测）。2.防护措施（6分，任答四项，每项1.5分）：•技术层面：•启用多因素认证（MFA），即使密码正确也需第二因子验证；•部署设备指纹和风险引擎，识别自动化工具（浏览器指纹、操作频率、IP信誉）；•设置登录速率限制和账户锁定策略，如单账户连续5次失败锁定15分钟；•监测异常登录行为，如短时间多IP登录同一账户、高频尝试不同用户名，触发验证码或阻断；•管理层面：•向用户推送密码安全提醒，鼓励使用密码管理器生成强随机密码；•建立泄露密码库比对机制，发现用户密码出现在公开泄露库中时强制要求修改。3.应急处置（4分）：一旦确认账户被撞库并篡改信息，应执行：•立即冻结该账户，停止对外操作；•重置密码并强制下线所有会话；•恢复被篡改的收货地址、订单信息（从备份或操作日志中追溯）；•通知用户登录记录和修改情况，建议其检查其他平台是否同样被撞库；•提取攻击日志（IP、时间、User-Agent、设备指纹）保留证据并加强监控。案例二解析1.第一响应步骤及原因（5分）第一响应动作：立即断开被加密服务器及文件服务器的网络连接（物理拔线或关闭交换机端口），同时保留现场。原因：勒索软件可能仍在通过网络横向传播或与C2通信，断网阻断加密扩散和赎金支付通道；同时防止攻击者远程删除更多数据或日志。不得支付赎金，因为支付不保证解密且助长犯罪。断网后进行内存镜像和磁盘快照，以便后续分析勒索软件家族和可能的免费解密工具。2.可能的数据恢复途径（5分）：•查找离线备份：是否有磁带、云备份、旧硬盘或测试环境副本，即使过期也比没有好；•尝试公开解密工具：根据勒索扩展名和勒索信息，查询NoMoreRansom项目或安全厂商是否发布了该家族的免费解密器；•卷影副本恢复：某些勒索软件会删除卷影副本，但若不彻底，可使用Windows卷影副本或LinuxLVM快照尝试恢复；•数据恢复服务：若磁盘未被完全覆盖，可委托专业数据恢复公司进行底层提取；•与攻击者周旋：通过谈判争取时间（不建议支付），但可借此判断解密工具真实性，不支付赎金前提下谨慎尝试。3.安全加固与管理改进（5分）：•备份策略：实施3-2-1备份规则——至少3份备份、2种不同介质、1份离线或异地存储，并定期演练恢复；•网络隔离：ERP服务器与文件服务器分属不同VLAN，禁止服务器间随意访问，限制SMB/RDP等端口；•端点防护：部署EDR终端检测响应，启用行为检测和勒索防护功能；•补丁与漏洞管理：定期扫描并更新服务器操作系统、数据库、应用补丁；•访问控制：限制管理员权限使用，实施最小权限、多因素认证，审计远程访问；•安全意识培训：教育员工识别钓鱼邮件、不随意下载附件，定期开展模拟钓鱼演练。（六）实操题参考答案渗透测试实施方案（20分）1.测试前期准备（5分）•信息收集：确认测试范围/24，获取网络拓扑图和资产清单；利用开源情报收集域名、IP段、子域、开放端口、服务版本（工具：Nmap、masscan、Amass、theHarvester）；通过搜索引擎、GitHub查找泄露信息；使用Shodan/Censys查看历史暴露信息。•工具清单：•端口扫描：Nmap（nmap-sS-Pn-p-/24）•漏洞扫描：OpenVAS、Nessus（若有授权）、Nuclei（POC扫描）•Web应用扫描：BurpSuite、OWASPZAP、Acunetix（可选）•漏洞利用框架：Metasploit、searchsploit•密码破解：Hydra、JohntheRipper、hashcat•后渗透：Mimikatz、Procdump、PowerShellEmpire、CobaltStrike（若为商业授权）•所有操作需遵守授权范围和时间窗口，避免造成业务影响。2.测试执行流程（10分）漏洞扫描阶段：•使用Nmap进行全端口扫描，识别开放服务及版本，输出XML格式结果便于分析；•运行Nessus/OpenVAS对存活主机进行漏洞扫描，重点关注高危漏洞（如MS17-010、CVE-2021-44228Log4j）；•对Web应用使用BurpSuite进行主动扫描，检测SQL注入、XSS、文件上传等漏洞；•注意事项：扫描前确认目标允许扫描，控制扫描速率（如Nmap-T3），避免触发WAF或IPS阻断，记录所有扫描输出