CNCIW网络安全综合考试试题及详细答案（全真考场版）

CNCIW网络安全综合考试试题及详细答案（全真考场版）考试说明：本试卷满分100分，考试时长90分钟，题型包含选择题、判断题、简答题、实操应用题，贴合CNCIW网络安全认证核心考点，无偏题怪题，适配认证备考、岗位考核使用。一、单项选择题（共20题，每题2分，共40分）1.网络分层模型中，负责建立、管理和终止应用程序会话连接的层级是（）A.传输层B.会话层C.应用层D.网络层2.以下哪种协议属于无连接、不可靠的传输层协议（）A.TCPB.UDPC.HTTPD.FTP3.防火墙工作在网络层，可基于IP地址、端口进行数据包过滤的技术是（）A.包过滤技术B.代理技术C.状态检测技术D.应用网关技术4.常见的SQL注入攻击，主要针对的目标是（）A.服务器系统漏洞B.数据库交互接口C.客户端浏览器漏洞D.网络传输链路5.下列IP地址中，属于私有内网地址的是（）A.B.00C.14D.6.HTTPS协议默认使用的端口号是（）A.80B.443C.8080D.227.用于解决局域网环路问题、防止广播风暴的二层协议是（）A.OSPFB.STPC.RIPD.DHCP8.以下不属于对称加密算法的是（）A.AESB.DESC.RSAD.3DES9.入侵检测系统（IDS）的核心作用是（）A.主动阻断攻击流量B.实时监测、告警网络异常攻击行为C.修复系统漏洞D.加密网络传输数据10.企业中部署VPN的主要目的是（）A.提升网络网速B.实现公网环境下安全的内网远程接入C.防止局域网病毒传播D.优化网络路由路径11.证书固定（CertificatePinning）技术的主要作用是（）A.简化证书部署流程B.防范中间人SSL劫持攻击C.自动更新数字证书D.提升证书加密强度12.网络攻击中，DDoS攻击的核心原理是（）A.窃取用户数据B.利用海量虚假请求占用目标资源，导致服务瘫痪C.植入木马后门D.破解账号密码13.DHCP协议的主要功能是（）A.域名解析B.自动分配IP地址C.路由转发D.文件传输14.下列安全操作中，属于API密钥规范管理的是（）A.前端JS直接嵌入API密钥B.服务器环境变量存储密钥，不对外暴露C.密钥上传至公开代码仓库D.通过GET参数传输密钥15.访问控制策略中，“最小权限原则”是指（）A.禁止所有用户访问核心资源B.仅为用户分配完成工作所需的最低权限C.所有用户权限统一最小化D.定期清空用户所有权限16.以下哪种漏洞属于高危远程代码执行漏洞（）A.XSS跨站脚本B.RCE漏洞C.弱口令漏洞D.目录遍历漏洞17.网络地址转换（NAT）的主要作用是（）A.加密内网数据B.实现内网私有IP与公网IP转换，节约公网地址C.防止内网病毒扩散D.提升网络传输稳定性18.应急响应流程中，首要步骤是（）A.清除攻击痕迹B.事件检测与确认C.恢复系统服务D.漏洞溯源修复19.不属于Web常见安全漏洞的是（）A.CSRF跨站请求伪造B.端口映射漏洞C.SQL注入D.XSS跨站脚本20.数据备份中，增量备份的特点是（）A.备份所有数据，速度慢、占用空间大B.仅备份上次备份后新增、修改的数据C.仅备份系统核心数据D.实时同步所有数据二、判断题（共10题，每题1分，共10分，对的打√，错的打×）1.TCP协议通过三次握手建立连接，四次挥手断开连接，传输稳定可靠。（）2.所有内网IP地址都可以直接在公网中路由访问。（）3.IDS可以主动拦截攻击流量，实现主动防御。（）4.HTTPS是HTTP+SSL/TLS的组合，可实现网页数据加密传输。（）5.对称加密算法加密速度快，适合大批量数据加密传输。（）6.STP协议开启后，可以完全杜绝局域网所有网络攻击。（）7.弱口令、密码复用是企业内网最常见的安全风险之一。（）8.API密钥可以长期固定使用，无需定期轮换更新。（）9.增量备份恢复数据时，需要结合全量备份和所有增量备份文件。（）10.防火墙可以完全防范内网用户的恶意攻击行为。（）三、简答题（共4题，每题5分，共20分）1.简述TCP与UDP协议的核心区别及各自适用场景。2.简述SQL注入漏洞的成因、危害及基础防护措施。3.简述IDS与IPS的核心区别。4.企业日常网络安全运维中，最小权限原则的具体落地方式有哪些？四、实操应用题（共3题，每题10分，共30分）1.某企业局域网部署多台交换机，近期频繁出现网络卡顿、广播风暴问题，请分析故障原因，并给出对应的解决方案。2.某官网后台被检测出存在SQL注入漏洞，可被非法获取用户账号、密码数据，请写出完整的应急处置流程和长期防护方案。3.简述中小型企业远程办公VPN部署的核心配置思路及安全防护要点。参考答案及详细解析一、单项选择题答案及解析1.答案：B解析：会话层核心职责是建立、管控、终止设备间的会话连接；传输层负责端到端数据传输，应用层为用户提供服务，网络层负责路由寻址。2.答案：B解析：UDP无连接、无确认机制，传输不可靠但速度快；TCP面向连接、可靠传输；HTTP、FTP属于应用层协议。3.答案：A解析：包过滤防火墙工作在网络层，基于IP、端口、协议进行数据包过滤，是最基础的防火墙技术；状态检测会跟踪会话状态，代理网关工作在应用层。4.答案：B解析：SQL注入利用Web程序对用户输入过滤不严格的漏洞，通过构造恶意SQL语句，攻击网站数据库交互接口，窃取、篡改数据库数据。5.答案：B解析：私有内网IP段：/16、/8、/12，其余选项均为公网IP地址。6.答案：B解析：HTTP默认80端口，HTTPS默认443端口，SSH默认22端口，8080为常用备用Web端口。7.答案：B解析：STP生成树协议用于二层交换机环路防护，自动阻塞冗余链路，杜绝广播风暴；OSPF、RIP为三层路由协议，DHCP为地址分配协议。8.答案：C解析：RSA是非对称加密算法；AES、DES、3DES均为主流对称加密算法。9.答案：B解析：IDS入侵检测系统仅负责监测、告警异常攻击，无主动阻断能力；IPS入侵防御系统可主动拦截攻击流量。10.答案：B解析：VPN通过隧道加密技术，在公网搭建专属安全通道，实现远程员工安全接入企业内网，核心价值是远程安全办公。11.答案：B解析：证书固定会强制客户端校验服务器证书指纹，拒绝伪造证书连接，有效防范中间人SSL劫持、钓鱼攻击。12.答案：B解析：DDoS分布式拒绝服务攻击，通过控制大量傀儡主机发送海量无效请求，耗尽目标服务器带宽、算力资源，导致正常服务无法访问。13.答案：B解析：DHCP动态主机配置协议，可自动为局域网设备分配IP地址、子网掩码、网关等网络参数，减少手动配置工作量。14.答案：B解析：API密钥禁止前端暴露、明文传输、公开存储，正确做法是服务器端环境变量存储、权限隔离、定期轮换，避免密钥泄露导致接口被滥用攻击。15.答案：B解析：最小权限原则是网络安全核心原则，只为用户、程序分配完成本职工作的最低权限，避免权限过大引发数据泄露、系统篡改风险。16.答案：B解析：RCE远程代码执行漏洞属于高危漏洞，攻击者可通过漏洞在服务器执行任意系统命令，完全控制服务器；其余漏洞风险等级低于RCE。17.答案：B解析：NAT网络地址转换，实现内网私有IP与公网IP映射转换，解决公网IP资源短缺问题，同时隐藏内网设备真实地址，提升基础安全性。18.答案：B解析：网络安全应急响应标准流程：事件检测确认→隔离止损→溯源分析→漏洞修复→服务恢复→复盘总结，首要步骤为检测确认事件。19.答案：B解析：XSS、CSRF、SQL注入均为Web应用高频漏洞，端口映射属于网络配置，不属于Web安全漏洞。20.答案：B解析：增量备份仅备份上次全量/增量备份后新增、修改的数据，占用空间小、备份速度快；缺点是恢复流程复杂，依赖历史备份文件。二、判断题答案及解析1.√解析：TCP三次握手建连、四次挥手断连，具备重传、校验机制，传输可靠稳定。2.×解析：私有内网IP无法在公网路由，必须通过NAT转换为公网IP才可访问外网。3.×解析：IDS仅监测告警，无法主动拦截攻击，IPS具备主动防御、流量阻断能力。4.√解析：HTTPS基于SSL/TLS加密通道传输HTTP数据，解决明文传输的窃听、篡改风险。5.√解析：对称加密算法运算简单、速度快，适合大批量文件、网络数据加密；非对称加密速度慢，多用于密钥协商、签名校验。6.×解析：STP仅解决二层环路、广播风暴问题，无法防范病毒、渗透、攻击等安全风险。7.√解析：弱口令、密码长期不更换、多平台密码复用，是企业内网最普遍的安全隐患，极易被暴力破解。8.×解析：API密钥需定期轮换更新，同时做好权限管控，长期固定密钥会大幅提升泄露滥用风险。9.√解析：增量备份无完整数据，恢复时必须依赖初始全量备份+所有增量备份文件，缺一不可。10.×解析：防火墙主要防护外网向内网的攻击，无法防范内网用户之间的恶意攻击、违规操作。三、简答题参考答案1.TCP与UDP核心区别及适用场景核心区别：①TCP是面向连接的可靠传输协议，需三次握手建连，具备确认、重传、校验机制，传输无丢失、无错乱；UDP是无连接不可靠协议，无需建连，无校验重传机制，传输速度快、开销小。②TCP资源占用高、传输延迟大；UDP开销极低、实时性强。适用场景：TCP适用于文件传输、网页访问、邮件传输等对数据完整性要求高的场景；UDP适用于视频直播、游戏、语音通话等对实时性要求高、可容忍少量数据丢失的场景。2.SQL注入漏洞成因、危害及基础防护措施成因：Web程序未对用户输入的参数、接口数据做严格过滤、转义，直接拼接SQL语句执行，导致恶意SQL语句被数据库解析执行。危害：非法查询、窃取数据库敏感数据；篡改、删除数据库数据；获取数据库权限，进而控制网站服务器；拖库导致用户信息批量泄露。防护措施：采用预编译语句（PDO、MyBatis）杜绝SQL拼接；对所有用户输入做严格过滤、特殊字符转义；关闭数据库不必要权限；部署WAF防火墙；定期扫描漏洞。3.IDS与IPS的核心区别①工作机制：IDS入侵检测系统为旁路部署，仅监听、监测网络流量，发现攻击后仅告警记录，不影响正常网络流量；IPS入侵防御系统为串接部署，流量全程经过设备，可实时检测并主动拦截、阻断攻击流量。②核心能力：IDS侧重事后监测、溯源、审计；IPS侧重事前实时防御、主动止损。③适用场景：IDS适合网络安全审计、攻击溯源；IPS适合边界实时防御、阻断实时攻击。4.最小权限原则落地方式①账号权限管控：普通员工仅开放办公、业务所需基础权限，禁止赋予管理员、超级权限；离职、调岗员工及时回收权限。②系统权限管控：服务器、数据库、业务系统分级授权，运维人员按需分配操作权限，禁止通用超级账号共用。③接口与设备权限：API接口、网络设备按需开放访问权限，关闭多余端口、无用服务。④权限定期审计：每月梳理全员权限，清理冗余、过期权限，杜绝权限堆积、越权操作。四、实操应用题参考答案1.局域网广播风暴故障分析及解决方案故障原因：企业多交换机组网存在物理环路，且未开启STP生成树协议；交换机冗余链路未做管控，数据包在环路中无限循环、扩散，形成广播风暴，导致网络拥堵卡顿。解决方案：①核心操作：所有接入交换机、核心交换机开启STP协议，自动阻塞冗余环路端口，保留唯一正常转发路径，从根源杜绝环路风暴；②优化配置：规范交换机布线，减少无效物理环路；③日常运维：关闭交换机未使用端口，防止私自接线形成环路；④终端管控：查杀局域网终端病毒、木马，避免终端恶意发包加剧网络拥堵。2.网站SQL注入漏洞应急处置与长期防护方案应急处置（短期止损）：①立即隔离：临时关闭后台漏洞接口，或限制接口访问权限，阻断攻击利用通道；②溯源核查：查看网站日志、数据库操作日志，核查是否存在数据泄露、篡改行为，统计受损数据范围；③临时防护：紧急部署WAF防护规则，添加SQL注入特征拦截策略；④漏洞修复：快速对代码输入点做字符转义，替换预编译SQL语句，临时封堵漏洞。长期防护（长效加固）：①代码整改：全站采用预编译SQL，杜绝动态拼接SQL，统一输入过滤、输出转义规则；②权限加固：降低网站数据库账号权限，禁止数据库账号拥有删改、超级权限；③安全检测：接入常态化漏洞扫描工具，定期对网站进行渗透测试；④运维规范：上线前开展代码安全审计，员工定期开展Web安全培训。3.中小企业VPN部署思路及安全防护要点核心配置思路：①选型适配：选用L2TP+IPSec或SSLVPN协议，适配中小企业远程办公场景，兼顾稳定性和安全性；②地址