2026年信息安全试题及答案

2026年信息安全试题及答案一、单项选择题（每题2分，共20分）1.在信息安全领域，CIA三元组是指哪三个基本属性？A.机密性、完整性、可用性B.机密性、完整性、真实性C.完整性、可用性、可控性D.机密性、可用性、可审计性2.下列哪种算法属于对称加密算法？A.RSAB.AESC.ECCD.SHA-2563.攻击者通过伪造源IP地址发送大量数据包，使目标系统资源耗尽、无法提供正常服务。这类攻击属于？A.SQL注入B.DoS攻击C.撞库攻击D.中间人攻击4.SQL注入漏洞产生的根本原因是？A.服务端未对用户输入进行充分过滤与参数化处理B.数据库明文存储密码C.使用HTTP明文传输D.操作系统未及时打补丁5.数字签名的主要作用是？A.加密传输数据B.验证数据完整性与来源真实性C.压缩数据D.防止数据被篡改6.TLS握手中，客户端与服务器协商会话密钥主要使用哪种密码技术？A.对称加密B.非对称加密C.哈希函数D.数字水印7.包过滤防火墙主要工作在OSI模型的哪一层？A.物理层B.数据链路层C.网络层D.应用层8.关于密码哈希函数，下列说法正确的是？A.哈希运算是可逆的B.输入长度与输出长度相同C.哈希函数是不可逆的D.输出长度随输入长度变化9.RSA公钥加密算法的安全性建立在哪个数学难题之上？A.离散对数问题B.大整数分解问题C.背包问题D.椭圆曲线离散对数问题10.HTTPS默认使用哪个TCP端口？A.21B.80C.443D.3389二、多项选择题（每题3分，共15分）1.下列属于对称加密算法的有？A.DESB.3DESC.AESD.RSA2.下列属于常见网络攻击方式的有？A.ARP欺骗B.分布式拒绝服务攻击（DDoS）C.SQL注入D.电容耦合3.常见的访问控制模型包括？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.索引访问控制（IAC）4.密码学能够提供的安全服务包括？A.机密性B.完整性C.认证性D.不可否认性E.并发性5.关于渗透测试，下列说法正确的有？A.渗透测试需要获取系统所有者的书面授权B.渗透测试可以全面替代日常安全审计C.渗透测试通常包括信息收集、漏洞发现、漏洞利用等阶段D.渗透测试应在保障业务可用的前提下严格控制测试范围三、判断题（每题1分，共10分）1.对称加密的加解密速度通常快于非对称加密。2.HTTPS使用SSL/TLS协议保护传输数据，因此能够防御所有中间人攻击。3.公钥密码体制中，用户的公钥可以公开分发而不影响系统安全性。4.沙箱技术可以在隔离环境中运行不可信程序，防止其对宿主系统造成影响。5.防火墙可以阻止所有类型的网络攻击。6.彩虹表是一种通过预先计算哈希链来加速口令破解的技术。7.数字证书的作用是将用户的公钥与其身份信息绑定，并交由CA签名。8.SQL注入只能针对基于关系数据库的网站，对NoSQL数据库无效。9.在零信任安全模型中，位于内部网络的设备默认被信任。10.访问控制的三个基本要素是主体、客体和控制策略。四、简答题（每题10分，共30分）1.简述网络安全的CIA三元组，并说明各自含义。2.比较对称加密与非对称加密，从密钥管理、加解密速度、典型算法三个角度说明。3.简述纵深防御（DefenseinDepth）思想，并列举至少三个具体实现层次。五、综合分析题（共25分）1.（12分）某公司近期发现大量客户数据在网上流传。经排查，攻击者利用公司客服系统的一个SQL注入点获取了数据库中的客户信息。(1)简述SQL注入攻击的基本原理；(2)结合本例，提出至少四项针对SQL注入漏洞的防御措施。2.（13分）请设计一个基于混合加密的安全通信方案，用于客户端与服务器之间可靠地传输会话数据。要求：(1)写出方案中使用的密码技术组合；(2)描述密钥交换、会话加密和完整性验证的完整流程；(3)说明该方案相对纯对称加密或纯非对称加密的优势。参考答案与解析一、单项选择题1.答案：A2.答案：B解析：RSA、ECC属于非对称加密算法，SHA-256属于密码哈希算法；AES是典型的分组对称加密算法。3.答案：B4.答案：A5.答案：B解析：数字签名通过私钥签名、公钥验证，可同时提供完整性保护与不可否认性，但不对数据本身加密。6.答案：B7.答案：C8.答案：C9.答案：B10.答案：C二、多项选择题1.答案：ABC解析：RSA是公钥（非对称）加密算法。对称加密使用同一密钥完成加解密运算。2.答案：ABC解析：电容耦合是物理层串扰现象，不属于网络攻击方式。ARP欺骗、DDoS、SQL注入均为常见攻击手段。3.答案：ABC解析：访问控制模型主要包括自主访问控制、强制访问控制和基于角色的访问控制三类，不存在"索引访问控制"这一标准模型。4.答案：ABCD解析：并发性是系统性能属性，不属于密码学安全服务。机密性、完整性、认证性、不可否认性均依赖密码技术实现。5.答案：ACD解析：渗透测试是安全审计的手段之一，但不能覆盖安全审计的全部内容，如制度审计、合规审计等。三、判断题1.答案：正确2.答案：错误解析：HTTPS能有效防止被动窃听和部分篡改，但若客户端不验证证书，仍可能遭受中间人攻击。3.答案：正确4.答案：正确5.答案：错误6.答案：正确7.答案：正确8.答案：错误解析：NoSQL数据库同样存在查询注入风险，例如MongoDB的$where注入，只是注入形式不同。9.答案：错误解析：零信任的核心原则是"永不信任，始终验证"，无论设备位于内网还是外网，均不默认信任。10.答案：正确四、简答题1.答案：CIA三元组是信息安全的三个基本属性：(1)机密性（Confidentiality）：保证信息不被未授权的实体访问或泄露；(2)完整性（Integrity）：保证信息在存储、处理或传输过程中未被篡改、破坏或丢失；(3)可用性（Availability）：保证授权的用户在需要时能够正常访问信息及相关资源。三者相互制约、相互依赖。实际安全设计中需要在三者之间取得平衡，例如强加密可能降低可用性，过度冗余可能影响机密性管理。解析：需准确写出三个属性的英文名称与中文含义。扩充属性如真实性、不可否认性等可作补充表述，不影响核心采分点。2.答案：(1)密钥管理：对称加密使用同一密钥进行加密和解密，密钥分发与安全管理困难；非对称加密使用公钥加密、私钥解密，公钥可公开分发，密钥管理更为方便。(2)加解密速度：对称加密运算简单、效率高，适合大量数据的加密；非对称加密基于复杂数学问题，计算开销大、速度慢，通常只用于加密会话密钥或生成数字签名。(3)典型算法：对称加密包括AES、DES、3DES、SM4等；非对称加密包括RSA、ECC、SM2等。实际应用中常采用混合加密体系：先用非对称加密安全协商对称密钥，再用对称加密高效传输业务数据。解析：需从三个指定维度逐一对比，混合加密思想可作为加分表述。3.答案：纵深防御是指不依赖单一安全机制，而是通过多层、互补的安全防护手段构建整体防御体系。当某一层防线被突破时，其他层次仍能提供保护，从而增加攻击成本、降低威胁造成的影响。具体实现层次举例：(1)物理层防护：机房门禁、监控、环境控制；(2)网络层防护：防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、VPN；(3)主机层防护：主机加固、防病毒软件、补丁管理；(4)应用层防护：代码审计、Web应用防火墙（WAF）、输入验证；(5)数据层防护：加密存储、备份与容灾；(6)管理层防护：安全策略、安全意识培训、应急响应预案。解析：答出"多层防御、不依赖单点、层层设防"的核心思想得4分，每个合法层次得2分，任答三个层次即可得满分。五、综合分析题1.答案：(1)SQL注入原理：应用程序未对用户输入进行严格的过滤与参数化校验，而是将用户输入直接拼接到SQL查询语句中。攻击者通过构造恶意输入，改变原始SQL语句的结构和语义，从而在数据库中执行未授权的查询或操作。例如在用户名输入框中提交'OR'1'='1，可能绕过身份认证或越权读取其他数据。(2)防御措施：①使用参数化查询（预编译语句）或存储过程，避免动态拼接SQL；②对用户输入进行白名单校验，严格过滤单引号、分号、注释符等特殊字符；③部署Web应用防火墙（WAF），拦截典型的SQL注入攻击载荷；④遵循最小权限原则，应用账号不授予数据库管理员权限；⑤对数据库中的敏感字段进行加密存储，降低数据泄露后的影响；⑥定期开展代码安全审计与渗透测试，及时修复漏洞。解析：第(1)问需说明"输入拼接导致语句结构改变"这一关键点。第(2)问为开放性题目，每项合理措施2分，答出4项得8分，满分8分封顶。2.答案：(1)技术组合：非对称加密（如RSA、ECC）+对称加密（如AES）+哈希函数（如SHA-256）。(2)完整流程：①客户端向服务器发起连接请求，服务器将其包含公钥的数字证书发送给客户端；②客户端验证证书的有效性（CA签名、有效期、域名匹配等）；③客户端生成一个随机会话密钥（对称密钥），使用服务器公钥加密后发送给服务器；④服务器使用自己的私钥解密，得到会话密钥；⑤此后双方使用该会话密钥，通过对称加密算法（如AES）加密业务数据；⑥对每条消息附加基于哈希函数生成的消息认证码（HMAC），用于完整性校验，防止数据被篡改。(3)方案优势：①