2026年校招-网络安全工程师题目及答案

2026年校招:网络安全工程师题目及答案一、单项选择题（每题1分，共20分）1.下列哪个端口默认用于SSH远程管理服务？A.21B.22C.23D.4432.以下属于对称加密算法的是？A.AESB.RSAC.ECCD.DSA3.下列哪种方法能最有效防御SQL注入攻击？A.对输入进行黑名单过滤B.使用参数化查询（预编译语句）C.对输出进行HTML编码D.关闭数据库错误回显4.存储型XSS攻击与反射型XSS攻击最本质的区别在于？A.前者需要诱导用户点击链接，后者不需要B.前者将恶意脚本持久化存储在服务器端，后者直接反映在响应中且不持久化C.前者只能影响管理员，后者只能影响普通用户D.前者只能利用GET请求，后者只能利用POST请求5.分布式拒绝服务攻击（DDoS）与普通拒绝服务攻击（DoS）最主要的区别是？A.DDoS攻击只能针对Web服务，DoS只能针对操作系统B.DDoS攻击利用系统漏洞，DoS攻击利用协议缺陷C.DDoS攻击由大量分布在不同位置的攻击源协同发起，DoS通常由单一攻击源发起D.DDoS攻击只消耗带宽，DoS只消耗CPU资源6.数字签名能够提供以下哪种安全特性？A.机密性B.可用性C.可追溯性D.完整性和不可否认性7.防火墙将网络划分为内网、外网和非军事区（DMZ），通常对外提供服务的Web服务器应放置在？A.内网B.DMZ区C.外网D.管理网段8.关于密码哈希存储，使用bcrypt算法比使用MD5更安全的主要原因是？A.bcrypt输出长度更长，难以暴力破解B.bcrypt内置随机盐且计算速度慢，可有效抵御彩虹表和暴力破解C.bcrypt是国际标准算法，MD5不是D.bcrypt不需要存储盐值9.会话固定攻击（SessionFixation）的核心原理是？A.攻击者预先设置一个会话ID，并诱使用户使用该会话ID登录B.攻击者通过暴力枚举目标会话IDC.攻击者将恶意脚本注入用户浏览器D.攻击者窃取用户浏览器中的Cookie10.在TCP三次握手过程中，第二次握手时服务器向客户端发送的标志位组合是？A.SYNB.ACKC.SYN+ACKD.FIN11.ARP欺骗攻击主要发生在哪个网络层次？A.数据链路层B.网络层C.传输层D.应用层12.下列哪项措施最能有效防御CSRF（跨站请求伪造）攻击？A.对用户输入进行转义B.使用HTTPS协议C.在表单中嵌入随机Token并进行校验D.设置HTTPOnlyCookie13.针对银行卡刷卡设备的侧录攻击（Skimming）属于哪种攻击类型？A.网络钓鱼B.物理攻击C.恶意代码攻击D.拒绝服务攻击14.在数据备份的“3-2-1原则”中，“1”指的是？A.每天至少备份1次B.至少保留1份异地离线备份C.至少使用1种加密方式D.至少有1名专人负责15.JWT（JSONWebToken）的典型结构是？A.头部.载荷.签名B.用户名.密码.签名C.时间戳.会话ID.校验值D.密钥.密文.摘要16.安全运营中心（SOC）中的Playbook通常指？A.网络拓扑图B.针对特定安全事件的标准化响应处置流程C.安全设备日志格式规范D.漏洞扫描报告模板17.在OWASPTop10（2021年版）中，排名第一的Web应用安全风险是？A.注入B.失效的访问控制C.安全配置错误D.敏感数据泄露18.零信任安全模型的核心思想是？A.以边界防御为主，默认信任内网用户B.“永不信任，持续验证”，对每一次访问请求都进行身份验证和授权检查C.完全依靠防火墙和VPN保障网络通信安全D.只对高权限用户进行持续监控19.为保护系统日志的完整性，防止攻击者删除或篡改日志，最有效的措施是？A.将日志权限设置为仅管理员可读B.将日志实时同步到远程日志服务器并启用哈希链校验C.定期手动备份日志到U盘D.删除过期日志以减少存储开销20.在安全编码实践中，为防止命令注入漏洞，下列做法最可靠的是？A.对用户输入进行黑名单过滤后拼接到系统命令中B.使用eval()函数执行用户输入C.对用户输入进行Base64编码后再拼接D.优先使用安全API，避免直接调用系统命令；必须调用时使用白名单校验参数二、多项选择题（每题2分，共20分）1.下列属于安全编码最佳实践的有？A.使用参数化查询处理数据库操作B.对输出到HTML的内容进行编码C.遵循最小权限原则，按需分配用户权限D.在开发测试阶段使用模糊测试挖掘输入处理缺陷2.下列算法中属于对称加密算法的有？A.AESB.RSAC.3DESD.SM43.下列哪些属于常见的DDoS攻击方式？A.SYNFlood攻击B.DNS反射放大攻击C.HTTP慢速连接攻击D.Smurf攻击4.在应用系统中，安全审计日志至少应包含哪些关键要素？A.操作用户标识B.操作的源IP地址C.操作时间戳D.操作行为及结果5.下列属于双因素认证（MFA）场景的是？A.密码+手机短信验证码B.U盾+PIN码C.密码+安全提示问题D.指纹+智能卡6.以下网络安全术语与其含义对应正确的有？A.CVE：公开的已知安全漏洞编号库B.IDOR：不安全的直接对象引用，可能导致越权访问C.SSRF：服务端请求伪造，攻击者可诱导服务器发起恶意请求D.RCE：远程代码执行，属于严重高危漏洞7.对服务器进行安全基线加固时，下列操作合理的有？A.及时安装操作系统和中间件安全补丁B.关闭不必要的服务端口C.配置高强度密码策略和账户锁定策略D.开启系统审计策略和日志记录功能8.下列协议中具备加密通信能力的有？A.TLSB.IPsecC.SSHD.SNMPv39.在安全运营中心（SOC）中，安全分析师分析一起告警时，通常会参考哪些数据源？A.SIEM平台聚合的日志B.防火墙和入侵检测系统告警C.终端检测与响应（EDR）采集的进程行为D.威胁情报平台提供的失陷指标10.下列哪些措施能有效缓解服务器端请求伪造（SSRF）漏洞？A.对请求目标URL的地址和端口进行白名单限制B.禁用服务器向内网网段发起请求C.对内网DNS解析结果进行二次校验，防止DNSRebindingD.对服务器响应内容进行严格校验，防止信息回传三、判断题（每题1分，共10分）1.使用HTTPS协议可以完全抵御中间人攻击。2.部署防火墙后，内网主机就不再需要安装杀毒软件。3.对称加密算法与非对称加密算法相比，在相同安全强度下计算速度通常更快。4.在信息安全管理中，人的因素往往是最薄弱的环节，社会工程学攻击正是利用这一弱点。5.网络安全威胁只可能来自外部攻击者，内部人员风险可以忽略不计。6.Nmap可以通过发送特制的ICMP、TCP或UDP报文来探测目标主机是否存活。7.使用bcrypt存储密码明文的安全性高于使用MD5存储明文密码。8.CSRF攻击与XSS攻击的本质相同，都属于客户端代码注入漏洞。9.国产商用密码算法SM2、SM3、SM4分别对应椭圆曲线公钥密码算法、密码杂凑算法和分组对称密码算法。10.对业务系统进行数据加密后，即可满足所有网络安全等级保护要求。四、简答题（每题10分，共30分）1.请列举三类常见的跨站脚本攻击（XSS），并简述每种类型的攻击特点及至少两条防御措施。2.请简述基于角色的访问控制（RBAC）的基本原理，并说明它在大型企业权限管理中的优势。3.请简述网络安全等级保护（等保2.0）中定级对象确定的基本流程，并列举出三个典型的安全计算环境检查项。五、综合分析题（每题10分，共20分）1.某互联网公司新上线一款Web应用，计划在上线前进行一次完整的安全测试。你作为渗透测试工程师，请规划一次标准的渗透测试流程，并说明每个阶段的主要工作内容。2.某企业内网大量终端被勒索病毒加密，文件后缀被统一修改。你作为安全应急响应工程师，请描述应急响应的应急处置与根因分析思路。参考答案与解析一、单项选择题1.答案：B解析：SSH默认端口为22。21为FTP，23为Telnet，443为HTTPS。Telnet明文传输，SSH加密传输，因此生产环境中远程管理应使用SSH。2.答案：A解析：AES、DES、3DES、SM4等属于对称加密算法。RSA、ECC、DSA属于非对称加密算法。3.答案：B解析：参数化查询将SQL结构与用户输入数据分离，数据库不会再解析输入中的SQL关键字，是防御SQL注入最根本的手段。黑名单过滤、关闭错误回显可作为辅助措施，但均存在被绕过的风险。4.答案：B解析：存储型XSS将恶意脚本写入数据库等持久化存储中，每次访问相关页面都会触发；反射型XSS将恶意脚本拼接在URL中，服务端立即将其反映在响应页面上，不持久化。二者对用户的影响范围不同。5.答案：C解析：DDoS借助僵尸网络等大量分散的攻击源同时发起攻击，难以通过封锁单一IP来防御；DoS通常由单台主机或少量攻击源发起，防御相对容易。6.答案：D解析：数字签名使用发送方私钥对消息摘要进行加密，接收方用发送方公钥验证，能够确保消息在传输过程中未被篡改（完整性），同时由于私钥仅发送方持有，发送方无法否认其签名行为（不可否认性）。机密性需通过加密实现。7.答案：B解析：DMZ是介于内网与外网之间的缓冲区域，放置对外提供服务的服务器。即使DMZ中的服务器被攻破，攻击者也无法直接进入内网。8.答案：B解析：MD5计算速度快且无内置盐，攻击者可利用彩虹表或高速暴力破解工具快速还原弱口令。bcrypt自动引入随机盐，并且迭代计算开销大，显著提高了暴力破解成本。9.答案：A解析：会话固定攻击中，攻击者先获取一个有效的会话ID，再诱导受害者使用该ID完成登录。登录后，攻击者便可以通过该会话ID冒充受害者。防御方法是登录成功后重新生成会话ID。10.答案：C解析：三次握手依次为：客户端发送SYN；服务器回复SYN+ACK；客户端回复ACK。11.答案：A解析：ARP协议工作在数据链路层，用于将IP地址解析为MAC地址。ARP欺骗通过伪造IP与MAC的映射关系，实现中间人攻击或流量劫持。12.答案：C解析：CSRF利用浏览器自动携带Cookie的特性，诱导用户发起非预期请求。服务端校验请求中携带的随机Token可确认请求来源合法性。HTTPOnly仅能防止XSS窃取Cookie，无法防御CSRF。13.答案：B解析：侧录攻击指攻击者在ATM或POS机上加装窃录设备，物理获取银行卡磁道数据及密码，属于物理层面的攻击手段。14.答案：B解析：“3-2-1原则”指至少3份数据副本、存储于2种不同介质、其中1份存放在异地离线位置，以抵御勒索软件、火灾、机房故障等灾害。15.答案：A解析：JWT由三部分组成，以点号分隔：Header（头部）、Payload（载荷）、Signature（签名）。16.答案：B解析：Playbook是SOC团队预先编写的剧本化处置手册，将检测、分析、遏制、清除、恢复等步骤标准化，帮助安全分析师快速响应各类安全事件。17.答案：B解析：2021年版OWASPTop10将失效的访问控制列为第一位，原因是此类漏洞数量多、影响范围广且常被实际利用。注入风险在该版本中位列第三。18.答案：B解析：零信任假设网络环境已被攻陷，不再区分内网与外网的信任等级，对所有访问请求均进行最小权限授权和持续风险评估。19.答案：B解析：将日志实时外发到独立于被保护主机的远程日志服务器，并通过哈希链将每条日志与前一条日志关联，攻击者即使获取本地权限，也难以篡改远程日志而不被发现。20.答案：D解析：黑名单过滤、编码等手段均存在绕过可能。最可靠的方式是避免拼接系统命令，或对命令参数进行严格的类型与内容白名单校验。二、多项选择题1.答案：ABCD解析：四者分别对应注入防御、XSS防御、访问控制和输入安全，均为典型的安全编码实践。2.答案：ACD解析：AES、3DES、SM4均为对称加密算法，RSA为非对称加密算法。3.答案：ABCD解析：SYNFlood通过发送大量半连接耗尽资源；DNS反射放大利用小请求触发大响应；慢速连接攻击占用Web服务器连接池；Smurf攻击利用ICMP广播放大流量。四者均属于DDoS的典型手法。4.答案：ABCD解析：完整的安全日志应具备“谁、何时、从哪来、做了什么、结果如何”，缺少任何一项都会影响事后溯源分析。5.答案：ABD解析：双因素认证需要同时使用两种不同类型的认证因子。密码、PIN、安全问题同属“所知”类别，组合在一起仍为单因素。U盾、智能卡、手机为“所有”类，指纹为“所是”类。6.答案：ABCD解析：CVE是全球公开的漏洞编号标准；IDOR通过修改对象标识符越权访问；SSRF可利用服务器作为跳板访问内网；RCE可让攻击者在目标系统上执行任意命令。7.答案：ABCD解析：安全基线加固的目的就是缩小攻击面、增强身份鉴别能力、保证可审计性，四项均为标准加固项。8.答案：ABCD解析：TLS用于应用层加密传输；IPsec常用于VPN；SSH加密远程管理会话；SNMPv3支持认证与加密。SNMPv1/v2c默认明文传输，存在安全风险。9.答案：ABCD解析：SOC分析需要结合网络流量日志、终端行为、威胁情报等多维度数据，相互关联验证后才能判断告警是否为真实攻击。10.答案：ABCD解析：SSRF的根源在于服务器发起了非预期的请求。限制目标地址、禁止内网寻址、校验DNS解析结果、管控响应内容均为有效缓解手段。三、判断题1.答案：错误解析：HTTPS仅在客户端正确验证服务器证书、双方密钥协商未被篡改的前提下可防范中间人攻击。若客户端忽略证书告警或被植入恶意根证书，HTTPS同样可被绕过。2.答案：错误解析：防火墙属于边界访问控制设备，无法检测和查杀已进入内网的恶意代码、钓鱼附件等威胁，主机安全防护仍需终端杀毒与EDR。3.答案：正确解析：对称加密基于替换、置换等简单运算，计算开销小，适合加密大量数据；非对称加密依赖大整数模幂等复杂数学运算，速度慢，常用于密钥交换和数字签名。4.答案：正确解析：钓鱼邮件、伪装客服、虚假电话等社会工程学手法，目标都是绕过技术防护，诱导人员泄露凭据或执行恶意操作。5.答案：错误解析：内部人员既掌握一定权限，又了解网络结构，恶意内部人员或账号被窃取后造成的危害往往比外部攻击更大。安全的重点是“内外兼防”。6.答案：正确解析：Nmap的主机发现功能正是通过多种探测报文组合判断主机在线状态，例如ICMPEchoRequest、TCPSYN到常见端口等。7.答案：错误解析：任何哈希算法都不可逆，bcrypt的加盐和慢哈希特性使其比MD5更难破解。但“安全性高于明文”这类表达本身荒谬——直接存储明文密码是应当彻底禁止的做法。比较对象应是不同哈希方案之间的差异。8.答案：错误解析：XSS是向页面注入恶意脚本，本质是“用户输入被当作代码执行”；CSRF是利用用户身份伪造请求，本质是“浏览器自动携带凭据导致请求难以区分来源”。二者原理不同，不能混为一谈。9.答案：正确解析：SM2用于数字签名和密钥交换，SM3生成256位杂凑值，SM4为128位分组密码，三者已广泛应用于金融、政务等领域。10.答案：错误解析：等保合规涉及安全通信网络、安全区域边界、安全计算环境、安全管理中心等多项要求，数据加密仅是其中一部分，还需要访问控制、入侵防范、审计、安全管理制度等支持。四、简答题1.答案：（1）反射型XSS：恶意脚本拼接在URL中，服务器将参数内容直接输出到页面，脚本随响应返回并执行。攻击者必须诱导用户点击构造好的恶意链接。（2）存储型XSS：恶意脚本被持久化存储在服务器端（如评论区、用户昵称），所有访问相关页面的用户都会触发，危害范围最大。（3）基于DOM的XSS：恶意脚本在浏览器端通过修改DOM环境触发，不经过服务器端，可绕过部分服务端过滤。防御措施：（1）对所有输出到HTML上下文的数据执行上下文感知编码，如HTML实体编码、JavaScript编码、URL编码；（2）开启CSP（内容安全策略），限制脚本来源；（3）对用户输入实施严格的长度、字符白名单校验；（4）为Cookie设置HTTPOnly和Secure属性，降低会话被窃取的风险。解析：反射型、存储型和DOM型三类XSS的触发位置和持久化能力不同，防御思路应围绕“输入校验”和“输出编码”两条主线展开。CSP是缓解XSS的有效纵深防御手段。2.答案：RBAC基本原理：将“权限”赋予“角色”，再将“角色”授予“用户”。用户通过所拥有的角色间接获得权限集合，权限不再与具体用户直接绑定。核心要素包括：用户（User）、角色（Role）、权限（Permission）、会话（Session）。系统在收到访问请求时，先判断用户拥有的角色，再检查该角色是否具备所需权限。主要优势：（1）管理简便：在人员流动频繁的大型企业中，新增或离职用户只需分配或回收角色，无需逐一修改权限；（2）职责分离：可将敏感操作拆分为多个角色，实施审批制衡；（3）符合最小权限原则：按岗位职责预定义角色权限，避免权限泛滥；（4）便于审计：角色与权限关系清晰，权限分配有据可查。解析：RBAC是解决“用户数远大于角色数”场景下权限管理效率问题的经典模型，强调用户与权限解耦，通过角色这一中间层实现批量授权和权限回收。3.答案：定级流程：（1）确定定级对象，如信息系统、云计算平台、物联网、工业控制系统等；（2）分析客体受影响的程度，确定业务信息安全和系统服务安全两个维度的受侵害客体；（3）根据受侵害客体及侵害程度，确定系统安全保护等级（第一级到第五级）；（4）组织专家评审、主管部门核准，并到公安机关备案。安全计算环境典型检查项：（1）身份鉴别：是否采用双因素认证，是否存在弱口令、默认口令；（2）访问控制：是否按最小权限原则分配账户权限，是否对默认账户和多余账户进行清理；（3）安全审计：是否开启审计功能，审计日志是否覆盖所有用户操作并被妥善保护；（4）入侵防范：是否关闭不需要的系统服务和默认共享，是否安装防恶意代码软件并更新病毒库。解析：等保2.0于2019年正式实施，将定级对象扩展至云计算、移动互联、物联网、工业控制等新场景。安全计算环境是等保测评中的核心技术部分，重点关注身份鉴别、访问控制、安全审计、入侵防范和数据安全。五、综合分析题1.答案：（1）授权与范围确认阶段签订书面授权书，明确测试目标、测试时间窗口、允许的测试方式（黑盒/白盒）、应急联系人以及不得触碰的生产数据范围。此阶段是合法渗透测试的前提。（2）信息收集阶段通过主动扫描（Nmap、Dirsearch等）与被动收集（WHOIS、子域名枚举、搜索引擎过滤语法等）获取目标系统的IP段、开放端口、Web中间件版本、DNS记录、暴露的源码或备份文件等信息。信息收集的完整度直接决定后续测试的深入程度。（3）漏洞发现与验证阶段使用自动化扫描器（AWVS、Nessus、Xray等）与手工测试相结合，重点排查SQL注入、XSS、SSRF、越权访问（IDOR）、文件上传绕过、业