网络安全攻防实战模拟试卷及答案

网络安全攻防实战模拟试卷及答案考试时间：______分钟总分：______分姓名：______一、操作题1.你正在对目标公司`/24`网段进行端口扫描，希望快速发现其中运行常见服务的服务器。请写出使用Nmap命令进行扫描的步骤，要求至少使用两个扫描技术选项，并说明每个选项的作用。2.你捕获到一段网络流量（假设已保存在`capture.pcap`文件中），怀疑其中包含加密的敏感信息。请使用Wireshark分析该文件，找出至少两种可能的加密应用（如HTTPS、SSH），并简述你判断的依据（例如，查看协议字段、端口、包特征等）。3.目标服务器`00`上运行着一个存在已知SQL注入漏洞的Web应用（假设URL为`00/app`）。请使用Metasploit框架，配置并执行一个模块，尝试利用该漏洞获取目标服务器的Webshell。请写出具体的Metasploit命令步骤，包括选择模块、设置目标、执行攻击等。4.你发现一台内部主机`01`的安全日志（如`/var/log/auth.log`或类似文件）中出现了多次失败的密码登录尝试。请写出使用Linux命令查找并分析这些失败记录的步骤，并说明如何根据这些记录尝试猜测该主机的用户名或密码。5.你需要为一台Web服务器（IP:`02`）配置防火墙规则，要求：*允许来自任何内部主机（`/24`子网）的SSH连接（端口22）。*允许来自任何地方的HTTPS连接（端口443）。*默认情况下阻止所有其他进出流量。*请分别针对Linux(使用`iptables`命令)和Windows(使用`netshadvfirewallfirewalladdrule`命令)系统写出配置防火墙规则的命令序列。6.假设你成功入侵了一台目标Windows主机，但希望以系统管理员权限长期潜伏。请写出使用Metasploit或其他常用工具/命令，在目标系统上创建一个具有管理员权限的新用户账户（用户名：`eviladmin`，密码：`P@ssw0rd`）并使其自动登录的步骤。7.目标网络中部署了Snort入侵检测系统，其日志文件位于`/var/log/snort.log`。近期日志中频繁出现关于特定恶意IP地址``的攻击告警（如TCPSYNFlood、UDPFragmentationAttack）。请写出使用Linux命令查询这些告警记录的步骤，并说明如何将Snort的告警信息发送到你的邮箱（假设邮箱服务器地址为``，需要身份验证的用户名为`alert@`）。8.你正在对一家公司的无线网络进行安全评估。请列举至少三种常见的无线网络攻击类型，并简要说明每种攻击的基本原理和可能造成的危害。9.你注意到目标网站``的用户登录页面响应速度异常缓慢。你怀疑可能遭受了中间人攻击或网站被篡改。请简述你将采取哪些步骤来排查这个问题？（至少列出四步）10.你在目标系统的某个目录下发现了一个可疑的二进制文件`evil_binary`。为了分析其功能和是否包含恶意代码，请写出你将采取的排查步骤，包括使用哪些工具以及进行分析的重点。二、分析与简答题1.某公司员工收到一封邮件，声称是公司HR发来的，要求点击邮件附件中的链接更新个人信息，否则账号将被冻结。请分析这是一种什么样的社会工程学攻击，并说明其通常的攻击流程和防范措施。2.你在渗透测试中成功获取了目标Web服务器的一张图片文件`flag.png`，但文件内容被加密。图片的元数据中包含一段Base64编码的字符串：`TWV0YWRhdGE=`*请解码该字符串，并解释其可能含义。*如果你知道该加密方式是简单的异或（XOR）加密，且密钥未知，你将如何尝试破解这个加密图片？（请简述思路）3.简述TCP连接的三次握手和四次挥手过程。为什么说TCP连接的建立是可靠的，而释放过程不一定可靠？4.你在目标服务器的`/tmp`目录下发现了一个Webshell文件`shell.php`。为了使其更隐蔽，攻击者可能采取了哪些措施？（请列举至少三种）5.什么是APT（高级持续性威胁）攻击？它通常具备哪些特点？防御APT攻击与防御普通网络攻击相比，有哪些不同的侧重点？三、配置与策略题1.某部门的服务器需要访问公司内部数据库（IP:``，端口3306），同时需要从互联网下载更新（端口80,443）。但该部门的服务器位于一个安全的隔离网络区域（DMZ），与公司内部核心网络（`/8`）之间有两层防火墙。请简述如何在两层防火墙上都进行必要的配置，以允许DMZ中的服务器访问内部数据库和下载更新，同时最大限度地限制外部直接访问DMZ服务器。2.公司规定，所有离开办公区域的员工笔记本电脑必须连接到VPN才能访问公司内部资源。请简述实施这项策略的技术要点和管理措施。3.你负责公司的安全事件响应团队。请简述制定一份安全事件响应计划（IRP）时，需要包含哪些关键要素？为什么这些要素对于有效应对安全事件至关重要？四、填空题1.在TCP/IP模型中，与OSI模型的数据链路层和物理层对应的是________层。2.用于检测网络流量异常和潜在攻击行为的系统称为________。3.在密码学中，将信息转换为不可读格式以保护其机密性称为________。4.攻击者通过欺骗用户泄露敏感信息的技术称为________。5.在进行渗透测试时，模拟攻击者逐步深入目标系统的过程，通常遵循的框架是________。五、判断题1.使用强密码可以有效抵御密码破解攻击。（）2.无线网络信号无法被屏蔽，因此具有天然的安全优势。（）3.入侵检测系统可以主动阻止攻击行为的发生。（）4.社会工程学攻击不涉及任何技术手段，纯粹依靠欺骗。（）5.所有安全漏洞都会被厂商及时发现并发布补丁。（）试卷答案一、操作题1.`nmap-sS-sV-oAscan_report/24`*解析思路：`-sS`使用TCPSYN扫描（StealthScan），不易被检测；`-sV`尝试确定运行的服务和版本；`-oAscan_report`将扫描结果以多种格式保存到`scan_report`文件中。该命令能快速发现活动主机和开放端口，同时获取服务版本信息，有助于后续针对性攻击。2.使用Wireshark打开`capture.pcap`。*查找使用TCP端口443的连接。HTTPS默认使用443端口，其流量经过TLS/SSL加密，数据包内容在解码前是乱码。*查找使用TCP端口22的连接。SSH默认使用22端口，其流量经过加密（通常是SSH协议自身加密或AES密钥交换加密），数据包内容也是乱码。*解析思路：通过识别常见的加密应用端口（HTTPS:443,SSH:22），并观察对应流量的内容特征（乱码），可以判断可能的加密应用。还可以查看协议字段和包结构特征进一步确认。3.`useauxiliary/scanner/http/sql_injection_sqlmap`*`setRHOSTS00`*`setRPORT80`*`setURIPATH/app`*`setTARGETURI/app`*`run`*解析思路：选择SQLMap模块（`sql_injection_sqlmap`），设置目标主机和端口，指定目标Web应用路径。SQLMap会自动检测支持的SQL注入类型和数据库类型，并尝试利用漏洞获取系统访问权限或提权。此命令利用了Metasploit的图形化或脚本化界面简化了攻击过程。4.`grep'Failedpassword'/var/log/auth.log|grep'01'`*解析思路：使用`grep`命令在`/var/log/auth.log`（或类似日志文件）中搜索包含"Failedpassword"的记录，并结合主机IP`01`进行筛选，可以找到该主机失败的登录尝试。这些记录可能包含尝试登录的用户名（如果输入错误）、尝试的密码哈希（有时）、使用的服务（如sshd）等信息，可用于猜测。5.Linux(iptables):*`iptables-AINPUT-ptcp-s/24-mmultiport--dports22-jACCEPT`*`iptables-AINPUT-ptcp-mmultiport--dports443-jACCEPT`*`iptables-PINPUTDROP`*解析思路：使用`-AINPUT`将规则添加到INPUT链末尾。`-ptcp`指定TCP协议。`-s/24`指定源地址为内部网络。`-mmultiport`和`--dports`指定目标端口。`-jACCEPT`表示接受该流量。默认策略`iptables-PINPUTDROP`确保所有未明确允许的流量都被拒绝。*Windows(netsh):*`netshadvfirewallfirewalladdrulename="AllowSSHfromInternal"dir=inaction=allowprotocol=TCPlocalport=22remoteip=/24`*`netshadvfirewallfirewalladdrulename="AllowHTTPSfromAny"dir=inaction=allowprotocol=TCPlocalport=443`*`netshadvfirewallfirewallsetrulegroup="All"newenable=disable`(或更精确地设置默认阻止)*解析思路：使用`netshadvfirewallfirewall`命令添加入站规则。`name`为规则命名。`dir=in`表示入站规则。`action=allow`表示允许。`protocol=TCP`指定TCP协议。`localport`指定本地端口。`remoteip`指定远程IP地址范围。最后一个命令用于禁用所有防火墙入站规则（需谨慎使用，或精确设置默认阻止）。6.方法一(Metasploit):*`usepost/windows/gather/smbenumusers`*`setRHOSTS02`*`run`(获取用户列表)*`usepost/windows/user/CreateUser`*`setUSEReviladmin`*`setPASSP@ssw0rd`*`setGROUPadministrators`(或`SYSTEM`等)*`run`*方法二(命令行-需提权):*假设已有`net`命令访问权限:*`netusereviladminP@ssw0rd/add`*`netlocalgroupadministratorseviladmin/add`*解析思路：方法一使用Metasploit的用户创建模块，可以直接添加用户并指定用户组和密码。方法二使用Windows命令行工具`net`。注意，创建管理员账户通常需要管理员权限，可能需要先利用其他漏洞提权。7.Linux命令:*`grep''/var/log/snort.log|grep'alert'`*设置SNORT日志到邮箱:*编辑`/etc/snort/snort.conf`(或类似配置文件)，找到`snort.conf`中的`mailserver`、`smtpserver`、`sender`、`recipient`等配置项，修改为你的邮箱服务器信息。*重启SNORT服务。*解析思路：使用`grep`组合搜索包含攻击源IP``和`alert`关键字的日志行。配置SNORT邮件通知功能需要修改其配置文件，指定邮件服务器和相关参数，使Snort在检测到alert时能自动发送邮件通知。8.常见攻击类型:*ARP欺骗(ARPSpoofing):攻击者伪造自己的MAC地址或目标主机的MAC地址，截获或重定向网络流量。*无线窃听(WirelessEavesdropping):攻击者在未经授权的情况下监听无线网络流量。*中间人攻击(Man-in-the-Middle,MitM):攻击者位于通信双方之间，拦截、读取甚至篡改双方通信内容。*WPS暴力破解:利用Wi-Fi保护设置(WPS)的PIN码进行暴力破解。*解析思路：列举三种或更多常见且具有代表性的无线攻击方式，并简要说明其原理和危害，如窃取信息、干扰通信、控制网络等。9.排查步骤:*检查网站源码:查看HTML、JS代码中是否有异常脚本、硬编码的密码或重定向。*检查网络连接:使用`curl-v`或浏览器开发者工具检查HTTP请求和响应头，看是否有异常的Host头、证书问题(HTTPS)，或被重定向到可疑地址。*检查服务器日志:查看Web服务器(`apache`,`nginx`)、应用服务器和系统日志，看是否有错误、异常访问或未知进程。*使用安全扫描工具:使用工具（如`nmap`,`Nikto`,`BurpSuite`）扫描网站漏洞或恶意代码。*检查DNS解析:查看域名DNS解析记录是否异常。*解析思路：从客户端（检查代码、连接）、服务器（检查日志）、网络（检查流量）、基础设施（检查DNS）等多个层面排查，结合使用多种工具和方法。10.排查步骤:*检查文件属性和权限:使用`ls-l`查看文件类型（是否为可执行文件）、所有者、权限。使用`fileevil_binary`尝试识别文件类型。*静态分析:*查看字符串：`stringsevil_binary`，寻找可读的文本信息（如字符串、版本号、URL、密码等）。*查看符号表：`nmevil_binary`（Linux）或`dumpbin/SYMBOLSevil_binary`（Windows），分析函数入口点。*查看导入库：`lddevil_binary`（Linux）或`dumpbin/DEPENDENTSevil_binary`（Windows），了解依赖的库文件。*动态分析(沙箱环境):*使用`strace`(Linux)或`WinDbg`/`ProcessMonitor`(Windows)跟踪程序执行时的系统调用。*使用`gdb`(Linux)或`x64dbg`(Windows)进行调试，观察程序执行流程、内存变化、注册表修改等。*监控文件系统变化：使用`inotify`(Linux)或工具监控文件创建、修改。*监控网络连接：使用`tcpdump`或`Wireshark`监控程序产生的网络流量。*解析思路：先通过文件命令了解基本属性，然后通过静态分析工具（字符串、符号表、导入库）初步了解文件内容、功能和依赖。最后在安全可控的沙箱环境中进行动态分析，监控其在运行时的行为（系统调用、文件操作、网络连接等），以判断其功能和是否恶意。二、分析与简答题1.攻击类型:社会工程学攻击(具体为钓鱼攻击)。攻击流程:*收集目标信息（如员工姓名、部门）。*编写伪造的、看似合法的邮件（如模仿HR邮箱）。*附加恶意附件（如包含木马或钓鱼链接的文档）。*发送邮件给大量员工。*诱导员工点击链接或打开附件。防范措施:*加强员工安全意识培训，识别钓鱼邮件特征（如拼写错误、可疑链接、紧急要求）。*实施邮件过滤系统，拦截可疑邮件。*建立多因素认证(MFA)。*制定严格的安全策略，禁止打开未知来源附件。解析思路：识别攻击类型，描述其欺骗性流程，并列出有效的防范手段，涵盖技术和管理层面。2.解码:Base64解码得到字符串`HTTP/1.1`。含义:这可能是HTTP协议的版本信息。破解思路:如果是简单异或加密，且密钥未知：*尝试常见的简单密钥，如空字符(`""`)、重复字符(`"aaaa..."`)、简单单词(`"key"`)。*使用`strings`工具查看解码后内容是否有意义。*尝试XOR差分分析，如果图片文件有冗余信息（如重复区块），比较相同区块的XOR结果可能猜测密钥。*如果知道图片格式（如PNG），可以尝试分析图片文件头部的异或模式。解析思路：首先完成解码获取原始数据。对于简单加密，从最简单、最常见的密钥开始尝试。利用工具辅助分析，并考虑文件本身的特性。3.TCP三次握手:*主机A发送SYN包给主机B，请求建立连接，SYN=1。*主机B收到SYN包，回复SYN-ACK包给主机A，ACK=1,SYN=1，表示同意连接。*主机A收到SYN-ACK包，发送ACK包给主机B，ACK=1，表示连接建立成功。TCP四次挥手:*主机A发送FIN包给主机B，表示数据发送完毕，请求关闭连接，FIN=1。*主机B收到FIN包，回复ACK包给主机A，ACK=1，表示收到关闭请求。*主机B发送FIN包给主机A，表示其数据也发送完毕，请求关闭连接，FIN=1。*主机A收到FIN包，发送ACK包给主机B，ACK=1，表示收到关闭确认。可靠性原因(握手):三次握手确保双方都确认了连接请求和接收能力，且同步了初始序列号，为可靠数据传输奠定了基础。不一定可靠原因(挥手):TCP协议设计时认为主机B发送FIN包后，主机A可能还有数据要发送。主机A收到FIN后进入FIN_WAIT_2状态，等待主机B的ACK确认。如果主机B挂断或网络中断，这个ACK可能永远无法到达主机A，导致主机A长时间无法关闭TCP连接。解析思路：准确描述握手的四个阶段和挥手（断开连接）的四个阶段。解释握手通过确认和序列号同步确保连接建立是可靠的，而挥手过程由于ACK的丢失可能导致连接无法正常、及时地关闭。4.隐蔽措施:*混淆(Obfuscation):修改Webshell代码，使用无意义变量名、增加无用代码、使用Base64编码或JavaScript代码片段执行等方式，使其难以阅读和理解。*反分析(Anti-Analysis):添加检测代码，检查是否在调试器或虚拟机中运行，如果是则退出或显示错误信息，增加动态分析难度。*持久化(Persistence):将Webshell以系统服务、计划任务、注册表项或其他不易被常规扫描发现的机制添加到系统中，确保重启后仍然存在。*加密(Encryption):对Webshell内容进行加密，并在服务器上解密执行，增加静态分析难度。*压缩(Compression):压缩Webshell代码，减小文件体积，并在线解压执行。*解析思路：列举攻击者可能采取的多种手段来隐藏Webshell，使其不易被安全扫描工具发现、分析或清除。5.定义:高级持续性威胁(APT)攻击是指由高度组织化的攻击团体发起的、具有明确目标的、长期潜伏于目标网络内部、旨在窃取敏感信息或进行破坏的网络攻击行为。特点:*高度针对性:针对特定国家、组织或行业。*长期潜伏:使用多种手段（如零日漏洞、社会工程学）进入网络并长时间存在。*复杂手段:使用多种攻击工具和技术（如自定义工具、零日漏洞、APT工具箱）。*目标明确:主要目标是窃取知识产权、商业机密、国家机密或进行破坏活动。*低与高误报率:恶意活动非常隐蔽，产生的日志和告警较少，难以被传统安全设备发现。防御侧重点:*加强基础安全:确保网络、主机、应用的安全基线。*部署高级威胁检测:使用EDR、HIDS、SIEM、威胁情报等综合检测手段。*网络分段与监控:精细化网络划分，加强流量监控和分析。*应急响应与溯源:建立完善的应急响应能力，具备溯源分析能力。*持续监控与情报:结合威胁情报，持续监控异常行为。解析思路：首先定义APT攻击。然后列举其显著特点。最后说明防御APT攻击需要超越传统防御，侧重于高阶威胁检测、基础加固、网络监控和快速响应溯源能力。三、配置与策略题1.防火墙配置:*在DMZ区域防火墙（靠近核心网络的一侧）上：*允许来自核心网络`/8`的TCP端口3306流量到达DMZ服务器`02`。*允许来自核心网络`/8`的TCP端口80,443流量到达DMZ服务器`02`。*在核心网络防火墙（靠近DMZ的一侧）上：*允许来自DMZ网络`/24`的TCP端口22,3389(假设是RDP)流量到达核心网络服务器（如果需要）。*允许来自DMZ网络`/24`的TCP端口3306,80,443流量到达核心网络数据库服务器``。*默认情况下阻止所有其他进出流量。*解析思路：遵循最小权限原则，在每一层防火墙上只允许完成特定任务所必需的流量。明确区分不同网络区域间的访问权限，确保核心网络的安全。2.技术要点与管理措施:*VPN技术:采用IPsecVPN、OpenVPN或其他VPN协议，确保远程连接的加密性。*认证机制:使用强认证方式，如用户名密码+动态令牌、证书或多因