Web安全测试试题及详细答案

Web安全测试试题及详细答案考试说明：本次试题满分100分，考试时长90分钟，题型包含选择题、判断题、简答题、实操分析题，侧重Web安全常见漏洞原理、利用方式及防御方案，贴合实战应用。一、单项选择题（共15题，每题2分，共30分）1.以下不属于Web常见高危漏洞的是（）A.SQL注入B.XSS跨站脚本C.本地文件包含D.本地端口扫描2.SQL注入漏洞的核心成因是（）A.服务器端口对外开放B.前端输入数据未过滤，直接拼接SQL语句执行C.网页代码未加密D.域名未备案3.可窃取用户Cookie、劫持用户会话的漏洞是（）A.CSRFB.XSSC.SSRFD.文件上传漏洞4.跨站请求伪造（CSRF）漏洞主要利用的是（）A.用户已登录的身份凭证B.服务器代码漏洞C.浏览器缓存漏洞D.网络传输明文数据5.以下文件后缀中，大概率可被解析执行Web木马的是（）A..txtB..phpC..jpgD..png6.SSRF漏洞的主要攻击目标是（）A.客户端用户B.服务器内网资源C.第三方域名D.本地电脑文件7.目录遍历漏洞（路径穿越）主要可以实现的操作是（）A.读取服务器任意目录文件B.植入木马后门C.篡改网页内容D.拦截用户请求8.HTTP请求中，用于防止CSRF攻击的常用字段是（）A.User-AgentB.RefererC.TokenD.Cookie9.存储型XSS与反射型XSS最核心的区别是（）A.攻击代码长度不同B.是否永久存储在服务器数据库中C.攻击效果不同D.触发方式不同10.文件包含漏洞中，远程文件包含需要满足的条件是（）A.服务器开启allow_url_includeB.服务器关闭防火墙C.网页无权限校验D.文件无后缀限制11.以下哪种传输方式存在明文泄露风险（）A.HTTPSB.HTTPC.SSHD.SFTP12.弱口令漏洞带来的最直接风险是（）A.网页卡顿B.账号被暴力破解、非法登录C.服务器宕机D.数据无法存储13.网页响应头中，Content-Security-Policy的主要作用是（）A.防止SQL注入B.防御XSS跨站脚本攻击C.防止文件上传D.加密传输数据14.暴力破解后台登录页面，最有效的防御方式是（）A.修改页面名称B.增加登录次数限制+验证码C.隐藏后台入口D.关闭页面访问权限15.以下不属于越权漏洞的是（）A.普通用户查看管理员数据B.用户修改他人订单信息C.游客访问公开首页D.低权限用户操作高权限功能二、判断题（共10题，每题1分，共10分，对的打√，错的打×）1.只要前端对输入数据做过滤，就能完全杜绝SQL注入漏洞。（）2.HTTPS协议可以杜绝数据传输过程中的窃听和篡改风险。（）3.反射型XSS需要用户点击恶意链接才能触发攻击。（）4.CSRF攻击可以直接获取用户的Cookie明文数据。（）5.仅修改文件后缀为图片格式，即可绕过所有文件上传检测。（）6.目录遍历漏洞可以读取服务器的配置文件、密钥文件等敏感数据。（）7.所有的PHP文件包含漏洞都可以实现远程代码执行。（）8.复杂密码、定期更换密码可以有效防范弱口令爆破攻击。（）9.越权漏洞分为水平越权和垂直越权两种类型。（）10.SSRF漏洞只能攻击外网服务器，无法访问内网地址。（）三、简答题（共5题，每题6分，共30分）1.简述SQL注入漏洞的原理、危害及核心防御方案。2.简述存储型XSS和反射型XSS的区别、危害场景。3.什么是水平越权、垂直越权？分别举例说明。4.简述文件上传漏洞的成因、常见绕过方式及防御措施。5.简述CSRF漏洞的攻击流程和主流防御手段。四、实操分析题（共3题，每题10分，共30分）1.某网站登录接口参数为user=xxx&pwd=xxx，攻击者传入参数user=admin'or1=1#&pwd=123即可无需密码登录后台，请分析该漏洞成因，并给出修复代码思路。2.某评论网站未做输入过滤，用户可随意输入HTML、JS代码，其他用户打开评论页面时会触发恶意脚本，请判断漏洞类型，分析攻击危害，并给出完整防御方案。3.某后台文件下载接口地址为down.php?file=test.txt，攻击者修改参数为down.php?file=../../etc/passwd可读取服务器系统文件，请指出漏洞名称、成因，同时给出详细修复方案。参考答案及详细解析一、单项选择题答案及解析1.D解析：端口扫描属于网络探测行为，不属于Web应用漏洞，SQL注入、XSS、文件包含均为Web高危漏洞。2.B解析：SQL注入的核心是用户可控输入未过滤，直接拼接到后端SQL语句中执行，导致数据库被非法操作。3.B解析：XSS跨站脚本可执行恶意JS代码，窃取用户Cookie、会话信息、劫持页面操作。4.A解析：CSRF利用用户已登录的有效身份凭证，诱导用户在不知情的情况下发起非法请求。5.B解析：.php为PHP脚本执行文件，上传后可被服务器解析执行木马代码，其余后缀为静态资源文件，无法执行代码。6.B解析：SSRF即服务器端请求伪造，攻击者利用服务器作为跳板，探测、攻击内网资源。7.A解析：目录遍历（路径穿越）通过../跳转目录，突破文件访问限制，读取服务器任意敏感文件。8.C解析：随机Token是防御CSRF的核心手段，每次请求携带唯一校验令牌，可防止伪造请求；Referer仅为辅助校验。9.B解析：存储型XSS会将恶意代码永久存入服务器数据库，所有访问页面的用户都会触发；反射型仅临时响应触发，不存储数据。10.A解析：远程文件包含需要PHP配置开启allow_url_include，支持远程URL文件引入，否则仅支持本地文件包含。11.B解析：HTTP为明文传输协议，账号、密码、Cookie等数据可被抓包窃取；HTTPS为加密传输。12.B解析：弱口令极易被暴力破解、字典爆破，导致账号非法登录、数据泄露、权限滥用等风险。13.B解析：CSP响应头通过限制脚本加载来源、禁止内联脚本执行，从根源防御XSS攻击。14.B解析：登录验证码、登录次数限制、IP封禁是防范暴力破解的核心有效手段，隐藏入口仅能规避扫描，无法根治。15.C解析：越权是指超出自身权限操作数据或功能，游客访问公开页面属于正常权限访问，不属于越权。二、判断题答案及解析1.×解析：前端过滤可被绕过，必须在后端服务层做参数过滤、预处理，仅前端防护无安全意义。2.√解析：HTTPS通过SSL/TLS加密传输，可有效防止数据窃听、篡改和中间人劫持。3.√解析：反射型XSS属于一次性触发，需要诱导用户点击携带恶意代码的专属链接才能生效。4.×解析：CSRF无法获取用户Cookie，仅能利用用户已有身份发起请求，XSS才可窃取Cookie数据。5.×解析：简单修改后缀仅能绕过前端检测，后端文件类型、文件内容校验可直接拦截伪造图片文件。6.√解析：目录遍历漏洞可跳转系统目录，读取配置文件、密钥、用户数据等核心敏感文件。7.×解析：仅远程文件包含可引入远程恶意代码实现执行，本地文件包含仅能读取本地文件，无法直接执行代码。8.√解析：高强度、无规律、定期更换的密码，可极大降低字典爆破、暴力破解的成功率。9.√解析：越权漏洞分为水平越权（同权限用户互相操作数据）和垂直越权（低权限操作高权限功能）。10.×解析：SSRF核心危害就是探测内网IP、端口、服务，攻击内网未暴露的业务系统。三、简答题详细答案1.SQL注入漏洞原理：Web应用未对用户输入的参数做过滤、转义，直接将可控参数拼接至后端SQL语句中执行，攻击者可构造恶意SQL语句，篡改数据库查询逻辑。危害：非法查询、泄露数据库所有数据；篡改、删除数据库数据；获取数据库权限，上传木马、控制服务器；拖库导致用户信息批量泄露。防御方案：核心使用预编译语句+参数绑定，杜绝SQL拼接；对用户输入做严格过滤、特殊字符转义；最小权限配置数据库账号，禁止数据库账号拥有服务器最高权限；关闭数据库错误回显，避免泄露语句结构；定期更新数据库补丁。2.存储型XSS与反射型XSS区别及危害场景核心区别：存储型XSS的恶意JS代码会永久存储在服务器数据库、文件中，无需特定链接，所有访问对应页面的用户都会触发攻击；反射型XSS恶意代码不存储在服务器，仅通过URL参数传递，需要用户点击专属恶意链接临时触发。危害场景：存储型XSS多用于论坛、评论区、留言板等公开交互页面，危害范围广、持续时间久，可批量窃取用户信息、挂马、篡改页面；反射型XSS多用于钓鱼攻击，诱导单个用户点击链接，劫持用户会话、窃取单次登录信息。3.水平越权、垂直越权定义及案例水平越权：同一权限等级的用户，非法查看、修改、删除其他同等级用户的数据，权限层级未改变，仅数据访问越界。案例：A用户可通过修改订单ID，查看、修改B用户的个人订单信息；普通用户互相查看对方个人资料。垂直越权：低权限用户非法操作高权限用户的功能、数据，权限层级越级。案例：普通前台用户访问后台管理员登录接口、操作后台配置功能；会员用户修改超级管理员账号信息。4.文件上传漏洞成因、绕过方式及防御成因：Web应用对上传文件的后缀、类型、内容校验不严格，允许上传脚本可执行文件，且上传目录具备执行权限，导致恶意木马文件可被服务器解析运行。常见绕过方式：前端JS校验绕过（抓包修改文件后缀）；后缀大小写绕过（Php、ASP）；特殊后缀绕过（php5、phtml）；文件头伪造绕过（图片木马）；双后缀绕过（php.jpg）。防御措施：后端强制校验文件后缀，仅允许白名单合法后缀；校验文件头部真实类型，杜绝伪造文件；上传目录设置为不可执行权限；随机重命名上传文件，避免脚本解析；限制上传文件大小，拦截异常文件。5.CSRF漏洞攻击流程及防御手段攻击流程：攻击者搭建恶意页面，构造网站合法的操作请求（改密、转账、修改资料等）；诱导已登录目标网站的用户访问恶意页面；浏览器自动携带用户的Cookie身份凭证，向目标网站发起伪造请求；网站校验通过，执行非法操作，全程用户无感知。主流防御手段：核心部署随机CSRFToken，每次关键请求携带唯一令牌，后端校验一致性；校验请求Referer/Origin来源，拦截跨域非法请求；关键操作增加二次验证（短信验证码、密码验证）；SameSiteCookie属性限制Cookie跨域携带。四、实操分析题详细答案1.登录SQL注入漏洞分析及修复漏洞名称：万能密码SQL注入漏洞成因：后端登录逻辑直接拼接用户传入的user、pwd参数，未做过滤和预编译处理。攻击者传入的admin'or1=1#会闭合原有SQL语句，1=1为恒真条件，#注释掉后续密码校验语句，导致无需匹配密码即可登录管理员账号。修复思路：摒弃字符串拼接SQL的写法，采用PDO、MYSQLI预编译+参数绑定模式；对单引号、or、and、#、--等SQL特殊字符做转义过滤；禁止用户输入特殊SQL关键字；关闭数据库错误信息回显。2.评论区XSS漏洞分析及防御漏洞类型：存储型XSS跨站脚本漏洞攻击危害：攻击者植入恶意JS代码，所有访问评论页面的用户都会触发脚本；可窃取所有用户Cookie、劫持用户会话、伪造用户操作、弹窗钓鱼、植入恶意跳转链接，批量危害访问用户。完整防御方案：用户输入内容做HTML实体转义，将<、>、"、'等标签字符转为实体字符，禁止HTML/JS代码解析；后端过滤script、iframe、onload等恶意标签和事件；配置CSP响应头，限制脚本执行来源；前端渲染数据时采用文本输出模式，禁止解析富文本恶意代码。3.文件下载路径穿越漏洞分析及修复漏洞名称：目录遍历漏洞（路