2026年网络安全攻防演练培训考试题库及答案(实战演练试题)

2026年网络安全攻防演练培训考试题库及答案(实战演练试题)一、单项选择题（每题1分，共20分）1.攻防演练中，红队实施攻击的第一步通常是？A.信息收集B.漏洞利用C.权限提升D.横向移动答案：A解析：信息收集是攻击链的前置基础，后续入口选择与利用方案均基于侦察结果制定。若跳过信息收集直接利用漏洞，命中率与成功率都会大幅下降。2.下列哪个工具主要用于漏洞利用而非漏洞扫描？A.NessusB.MetasploitC.AppScanD.AWVS答案：B解析：Nessus、AWVS、AppScan属于扫描与检测类工具，Metasploit是集漏洞利用、后渗透于一体的渗透框架，核心能力在“利用”而非“扫描”。3.在Windows域环境中，Mimikatz最常用于？A.抓取系统内存中的明文口令与密码哈希B.端口扫描C.网络流量嗅探D.SQL注入答案：A解析：Mimikatz可通过读取LSASS进程内存，提取系统账户、域用户的明文口令、NTLM哈希与Kerberos票据，是红队凭据窃取阶段的常备工具。4.万能口令'or1=1--能够绕过登录认证，本质原因是？A.登录页面存在XSS漏洞B.服务器密码强度策略不足C.登录SQL语句直接拼接用户输入且未参数化D.域控策略配置错误答案：C解析：拼接后SQL条件恒为真，且--注释掉了后续校验，使认证逻辑被绕过。修复方式是使用预编译语句或参数化查询。5.关于HTTPS，下列说法正确的是？A.HTTPS保护传输机密性，但无法消除应用层漏洞B.使用HTTPS后所有网络攻击都会失效C.HTTPS可以彻底防御DDoS攻击D.HTTPS与钓鱼邮件没有任何关系答案：A解析：HTTPS仅保障传输链路加密，SQL注入、越权、XSS等应用层漏洞依然有效，甚至攻击者常直接架设HTTPS站点提升钓鱼可信度。6.蓝队开展攻击监测之前，最需要完成的基础性工作是？A.大量部署蜜罐B.直接封禁所有外部访问C.完成资产梳理、日志集中采集与行为基线确定D.采购并堆叠更多安全设备答案：C解析：监测的前提是“知道有哪些资产、日志在哪里、什么是正常行为”。没有资产清单与行为基线，任何告警都无法闭环研判。7.以下哪项不属于权限维持（持久化）手段？A.创建隐藏账户B.替换系统服务C.注册计划任务D.删除系统日志答案：D解析：删除系统日志属于痕迹清理（反取证）范畴，目的是销毁证据；其余三项均用于保障攻击者在重启或人员变更后仍能恢复权限。8.黄金票据（GoldenTicket）攻击针对的认证协议是？A.LDAPB.RADIUSC.KerberosD.OAuth2.0答案：C解析：黄金票据通过获取域控KRBTGT账户哈希后离线伪造KerberosTGT票据，从而实现以任意用户身份访问域资源。9.下列属于主动信息收集方式的是？A.对目标端口与服务进行扫描B.WHOIS域名信息查询C.搜索引擎语法探测D.DNS历史记录查询答案：A解析：主动扫描会向目标系统发送探测报文，产生可被日志记录的网络交互；其余选项均通过第三方数据源完成，属于被动收集。10.云原生环境下，容器逃逸攻击的首要目标是？A.关闭目标容器B.重置容器应用密码C.删除容器日志D.获取宿主机或容器管理面权限答案：D解析：容器逃逸的核心危害在于突破容器隔离边界，进一步控制宿主机乃至Kubernetes管理面，从而横向控制整个集群。11.鱼叉式钓鱼（SpearPhishing）与普通广撒网钓鱼的主要区别是？A.鱼叉式钓鱼不需要邮件载体B.鱼叉式钓鱼更具目标针对性与内容定制化C.鱼叉式钓鱼只能针对政府机构D.鱼叉式钓鱼不需要受害者执行任何操作答案：B解析：鱼叉式钓鱼基于目标个人信息定制话术与载荷，欺骗性和成功率远高于套模板的广撒网钓鱼。12.零信任安全架构的核心思想是？A.永不信任，持续验证B.内网天然比外网可信C.用边界防火墙替代所有安全措施D.关闭所有远程接入通道答案：A解析：零信任假设网络环境已失陷，对每个访问请求都基于身份、设备、上下文进行持续授权与验证，不再区分内网外网信任等级。13.供应链攻击的主要切入点是？A.目标办公楼物理门禁B.目标自身的边界设备漏洞C.目标所依赖的供应商、服务商或软件分发渠道D.目标员工的个人社交媒体账号答案：C解析：供应链攻击通过污染上游厂商、更新服务器或第三方服务体系，借助目标对供应链的信任链实施“借道”入侵。14.应急响应中，“抑制（Containment）”阶段的核心目标是？A.定位漏洞触发点B.防止事件影响范围进一步扩大C.删除磁盘上所有恶意文件D.立即重建全部业务系统答案：B解析：抑制阶段的重点是隔离受影响系统、阻断攻击扩散路径，在保障关键业务的前提下控制事件半径，随后再进行根除与恢复。15.蓝队发现内网某主机持续向未知IP发起加密外联时，最优先的操作是？A.立即格式化该系统磁盘B.查看该主机的进程、服务与网络连接关联信息并研判C.重新插拔网线D.直接修改主机IP地址答案：B解析：应先分析进程、连接、计划任务等痕迹确认是否失陷及失陷范围，避免贸然操作破坏现场证据，确认后再按预案执行断网隔离。16.“水坑攻击”（WateringHoleAttack）是指？A.向目标服务器发送大量垃圾流量B.通过短信批量发送钓鱼链接C.在目标群体常访问的网站植入恶意代码以伏击特定人群D.对主机实施字典暴力破解答案：C解析：水坑攻击选择目标“必经之路”的站点进行投毒，属于被动守株待兔式攻击，隐蔽性强，不易被目标察觉。17.蜜罐技术对防守方的核心价值在于？A.替代生产业务系统对外服务B.迷惑攻击者、采集攻击手法并消耗攻击者资源C.作为唯一的日志存储介质D.对所有流量进行深度加密答案：B解析：蜜罐通过伪装高价值目标诱导攻击者交互，在获取攻击证据的同时拖延其攻击进程，为威胁情报与溯源反制提供支撑。18.Windows注册表CurrentVersion\Run键常被攻击者用于？A.提权漏洞验证B.修改系统防火墙规则C.重置账户密码D.实现开机自启的权限维持答案：D解析：写入Run键的恶意程序会在系统登录启动时自动执行，是最经典的Windows持久化手法之一，也是加固排查的重点。19.与手工编写相比，利用大语言模型（LLM）生成的钓鱼邮件最显著的变化是？A.语言更自然，支持高度个性化定制，识别难度增大B.语法错误和拼写错误明显更多C.载荷只能以纯文本形式存在D.不再需要诱导受害者执行操作答案：A解析：LLM可模拟指定身份、行业术语与上下文，生成低语言破绽、高拟真度的钓鱼话术，对传统基于文本特征检测的邮件网关形成较大挑战。20.攻防演练期间，对防火墙等边界设备的策略调整应遵循？A.直接断开边界互联B.最小化开放原则，关闭与业务无关端口C.只保留80端口即可D.全部暂时开放以便业务运行答案：B解析：策略调整应在保障业务可用性的前提下收缩暴露面，宁可“少开、快关”，也不能因演练盲目全开或全关，两者都会引发业务中断或安全风险。二、多项选择题（每题2分，共20分）1.红队攻防演练的整体流程通常包含哪些阶段？A.信息收集B.漏洞利用C.权限提升D.横向移动E.痕迹清理答案：ABCDE解析：完整攻击链包括侦察、利用、提权、横移、持久化、痕迹清理与报告输出，各阶段在真实演练中常交叉迭代，但缺一不可。2.以下属于OWASPTop10中Web应用常见风险的是？A.注入（Injection）B.失效的访问控制（BrokenAccessControl）C.安全配置错误D.加密失败E.硬件故障答案：ABCD解析：OWASPTop10聚焦软件应用自身的安全风险，硬件故障属于基础设施范畴，不在该清单内。3.蓝队开展威胁监测时，可依赖的数据源包括？A.网络全流量镜像B.终端EDR日志C.域控身份认证日志D.Web应用访问日志E.员工考勤记录答案：ABCD解析：流量、终端、身份认证与应用日志构成监测与分析的主要数据基础；员工考勤记录与攻击检测无直接关联。4.以下哪些属于常见的权限维持（持久化）方式？A.注册表自启动项B.计划任务C.WMI事件订阅D.修改SSH的authorized_keysE.更换操作系统主题答案：ABCD解析：持久化的核心目标是系统重启或凭据变更后仍能恢复访问。前四项均为操作系统或服务的持久化机制，更换主题不产生任何持久效果。5.C2（命令与控制）信道常用的隐藏手法有？A.域前置（DomainFronting）B.加密DNS隧道C.借用CDN或云函数转发流量D.使用随机域名轮换混合通信E.明文Telnet直连答案：ABCD解析：C2隐藏的核心是降低流量特征并规避IP封禁。明文Telnet流量特征显著、易被协议识别与阻断，是不推荐的高风险手法。6.应急响应的整体流程通常涵盖哪些阶段？A.准备（Preparation）B.检测与研判（Detection&Analysis）C.抑制、根除与恢复（Containment,Eradication&Recovery）D.事后复盘与改进（Post-IncidentActivity）E.对低危告警直接忽略答案：ABCD解析：应急响应是闭环管理体系，忽略任何告警都可能导致小事件扩散为大事故，复盘改进是沉淀防御能力的必要环节。7.以下哪些属于社会工程学攻击方式？A.鱼叉式钓鱼邮件B.伪装客服骗取短信验证码C.尾随进入受限办公区域D.翻找垃圾桶获取敏感纸质文档E.对登录接口实施撞库攻击答案：ABCD解析：社会工程学核心是利用“人的信任与失误”而非纯技术漏洞。撞库属于基于已有凭据的自动化技术攻击，不属于社会工程学。8.网络攻击溯源常用的方法包括？A.对攻击IP进行历史行为与威胁情报关联分析B.采集蜜罐与诱捕日志取证C.对恶意样本进行同源性比对D.反查C2域名的注册与托管信息E.直接对疑似攻击者实施反向渗透答案：ABCD解析：溯源应基于被动分析与情报关联合法开展；反向渗透疑似攻击者超出授权且法律风险极高，不属于标准溯源手段。9.以下哪些工具或框架属于红队实战常用装备？A.NmapB.BurpSuiteC.CobaltStrikeD.MetasploitE.Wireshark答案：ABCDE解析：Nmap负责探测扫描，BurpSuite用于Web应用测试，CobaltStrike与Metasploit用于利用与后渗透，Wireshark用于流量分析，均为红队技能栈中的常见工具。10.攻防演练中，以下哪些属于蓝队应重点关注的高风险弱项？A.弱口令与默认口令普遍存在B.敏感数据与内部文件泄露至公网C.高危漏洞长期未修补D.权限管控缺失、越权访问普遍E.办公网与生产网之间实现严格隔离答案：ABCD解析：办公网与生产网严格隔离是正确且推荐的防御基线，是蓝队的加分项而非弱点；其余四项恰恰是红队最常利用的突破口。三、判断题（每题1分，共10分）1.攻防演练是在获得授权的前提下，模拟真实攻击行为检验防御体系的活动。答案：正确2.红队在攻防演练中可以对业务数据实施破坏性操作，以证明漏洞危害程度。答案：错误解析：演练协议通常明确禁止删除、篡改或破坏业务数据。红队应以最小影响方式证明风险，如创建标记文件、截图留证或拷贝脱敏样本。3.被动信息收集不直接与目标系统交互，因此隐蔽性更高。答案：正确4.部署了WAF之后，Web应用就不会再被SQL注入等攻击突破。答案：错误解析：WAF依赖规则、语义分析与流量上下文，可被编码混淆、分块传输等方法绕过，且对业务逻辑漏洞基本无能为力。5.蜜罐本质上属于欺骗防御技术，可用于记录攻击行为并辅助溯源。答案：正确6.为防止被攻破，攻防演练期间蓝队应关闭全部对外端口与业务系统。答案：错误解析：关闭所有服务等同于放弃业务可用性。正确做法是基于资产分级做暴露面收敛，保留必要业务并加强监测。7.在内网横向移动中，PasstheHash攻击不需要获取明文密码，只需要用户的NTLM哈希即可完成身份认证。答案：正确8.使用HTTPS后，网络层中间人攻击的难度显著增加，但应用层漏洞依然可能存在。答案：正确9.攻防演练期间，红队可以无视授权范围为所欲为，不受任何规则约束。答案：错误解析：红队的一切行为必须在授权书与演练规则约定范围内，超出授权目标、时间或方式的攻击将被认定为违规，甚至触犯法律。10.演练结束后，红队在目标系统上植入的持久化后门必须清理干净，或完整移交蓝队处理。答案：正确解析：残留后门若未清理，演练结束后可能被真实攻击者利用，或在后续审计与加固中造成误解与新的安全事件。四、简答题（每题6分，共30分）1.简述攻防演练中红队攻击的基本流程。答案：（1）信息收集：在授权范围内，通过主动与被动方式测绘目标资产、端口、服务、供应链与人员信息；（2）漏洞发现与利用：基于资产测绘结果开展漏洞扫描与人工验证，寻找可突破的入口；（3）权限获取与提升：获取初始立足点后，利用系统漏洞、错误配置或窃取凭据提升至更高权限；（4）横向移动：以已控主机为跳板，利用凭据复用、漏洞利用等方式在内网逐步扩张；（5）权限维持与目标达成：部署持久化后门，访问并标记关键目标资产，确认影响范围；（6）痕迹清理与报告输出：清理操作痕迹，梳理攻击路径、利用手法与影响面，输出演练报告与整改建议。2.简述APT攻击生命周期的主要阶段（至少写出5个阶段）。答案：（1）情报侦察（Reconnaissance）：收集目标组织结构、人员、系统与网络信息；（2）武器化与投递（Weaponization&Delivery）：构造恶意载荷并通过鱼叉邮件、水坑站点、移动介质等途径投递；（3）漏洞利用与植入（Exploitation&Installation）：触发漏洞执行恶意代码，植入后门或植入物；（4）命令与控制（Command&Control）：建立隐蔽C2信道，维持对受控主机的远程指挥能力；（5）横向移动与持久化（LateralMovement&Persistence）：窃取凭据、渗透内网，设置多重持久化机制；（6）目标行动（ActionsonObjectives）：窃取数据、加密勒索或破坏关键系统，达成攻击最终目的。3.列举至少4种Windows系统权限提升的常用方法。答案：（1）利用未修补的系统内核漏洞提权，如PrintNightmare等经典漏洞；（2）服务配置错误提权，包括可写服务路径、不受保护的服务权限、DLL劫持等；（3）凭据窃取提权，通过Mimikatz等工具抓取内存中的明文口令、哈希或票据后直接提升权限；（4）令牌窃取（TokenImpersonation），冒充更高权限账户的令牌执行操作；（5）计划任务或启动目录可写利用，将恶意载荷以高权限用户身份执行；（6）sudo或本地安全策略配置不当，使普通用户获得额外特权。4.简述蓝队在攻防演练中构建安全监测与防御体系的基本思路。答案：（1）资产梳理与暴露面收敛：全面测绘内外网资产，收缩对外开放端口、服务与接口；（2）日志集中与关联分析：统一收集网络流量、终端EDR、身份认证、Web应用与安全设备的日志，建立集中分析平台；（3）检测规则与威胁建模：基于ATT&CK等框架，针对攻击链各阶段构建行为检测规则与异常模型；（4）主动防御设施：部署蜜罐、威胁情报、欺骗防御与主机加固措施，提高攻击者在网内的感知与被发现成本；（5）应急响应机制：建立告警分级、研判分析、上报决策、隔离处置与复盘改进的闭环流程，明确岗位分工与时限要求。5.写出《中华人民共和国网络安全法》中至少3条与攻防演练相关的合规要求。答案：（1）网络运营者应按照网络安全等级保护制度要求，采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施（第21条）；（2）网络运营者应采取监测、记录网络运行状态和网络安全事件的技术措施，并按照规定留存相关网络日志不少于六个月（第21条）；（3）网络运营者应制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应补救措施，并按规定向有关主管部门报告（第25条）；（4）关键信息基础设施运营者应制定网络安全事件应急预案，并定期进行演练；定期对从业人员进行网络安全教育、技术培训和技能考核（第34条）。五、案例分析题（共1题，20分）1.某城市商业银行开展2026年度网络安全攻防演练。红队前期通过公开情报收集，发现该行某支行员工的办公终端曾将一份包含内部员工编号的表格上传至公网网盘，且部分员工邮箱地址出现在互联网泄露数据库中。红队据此定制了一封主题为“季度绩效复核”的鱼叉式钓鱼邮件，附件为含恶意宏的Excel文件。某员工打开附件并启用宏后，终端被植入CobaltStrikeBeacon，红队获得初步立足点。此后，红队利用该终端缓存中的域用户凭据，通过哈希传递在支行网络内横向移动，并进一步获取域控制器权限后伪造黄金票据，最终访问了核心数据备份服务器，读取并标记了备份目录中的脱敏数据文件（演练协议允许对脱敏数据做标记拷贝，禁止真实泄露）。整个攻击链持续约72小时。蓝队在攻击后期通过流量监测发现异常加密SMB会话，启动应急响应与溯源分析，最终定位攻击来源并复盘总结。（1）请指出红队在本案例中采用的初始入侵手法，并分析该手法能够成功的关键原因。（6分）（2）请解释哈希传递（PasstheHash）与黄金票据（GoldenTicket）两种攻击的原理，并分别说明其成功的前提条件。（8分）（3）请从组织管理、技术防护、监测响应三个维度，为蓝队设计一套针对此类攻击链的改进方案。（6分）答案：（1）初始入侵手法为“基于开源情报（OSINT）的鱼叉式钓鱼攻击”。红队利用网盘泄露文件与邮箱泄露数据库进行情报关联，生成高度定制化的恶意宏邮件，诱导员工执行。其成功的关键原因包括：员工安全意识不足，盲目打开陌生附件并启用宏；邮件网关未对含宏附件实施沙箱动态检测；终端未部署EDR或EDR未覆盖“Office进程启动脚本解释器”类行为检测；红队基于真实情报定制话术，显著提升了钓鱼邮件的可信度与点击率。（2）哈希传递与黄金票据的攻击原理及前提条件如下：哈希传递（PasstheHash）：WindowsNTLM认证允许客户端使用密码哈希直接完成挑战—响应认证。攻击者在获得某域用户的NTLM哈希后，无需破解明文密码即可在局域网内以该用户身份登录目标主机或访问共享资源。其成功前提包括：目标主机开放SMB（445端口）等远程管理端口；网络层面未启用CredentialGuard、ProtectedUsers等哈希访问缓解措施；被