2025年计算机网络安全技术试卷及答案

2025年计算机网络安全技术试卷及答案一、单项选择题（每题2分，共20分）1.网络安全的基本属性“CIA三要素”不包括（）。A.机密性(Confidentiality)B.完整性(Integrity)C.可用性(Availability)D.不可否认性(Non-repudiation)答案D2.以下算法中，属于对称加密算法的是（）。A.RSAB.AESC.ECCD.DSA答案B3.拒绝服务攻击（DoS）主要破坏了网络安全的（）。A.机密性B.完整性C.可用性D.真实性答案C4.在OSI参考模型中，IPsec协议主要工作在（）。A.数据链路层B.网络层C.传输层D.应用层答案B5.以下哪种攻击属于被动攻击？（）A.流量分析B.伪造邮件C.拒绝服务D.重放攻击答案A6.数字证书中不包含以下哪项信息？（）A.证书持有者的公钥B.证书持有者的私钥C.证书颁发机构的数字签名D.证书的有效期答案B7.用于防范重放攻击的常见机制不包括（）。A.时间戳B.序列号C.挑战-响应（Nonce）D.数据压缩答案D8.状态检测防火墙与包过滤防火墙相比，其主要优势在于（）。A.能够深度解析应用层协议B.能够跟踪连接状态并基于状态进行过滤C.加密传输的数据D.完全防止SQL注入攻击答案B9.在公钥基础设施（PKI）中，负责签发和管理数字证书的机构是（）。A.RA(注册机构)B.CA(证书授权中心)C.CRL(证书吊销列表)D.OCSP(在线证书状态协议)答案B10.以下关于跨站脚本攻击（XSS）的描述，正确的是（）。A.XSS是一种针对服务器数据库的攻击B.XSS攻击的目的是获取服务器操作系统的最高权限C.XSS攻击通过在网页中注入恶意脚本，在用户浏览器端执行D.存储型XSS的危害通常小于反射型XSS答案C二、填空题（每空1分，共10分）1.现代密码体制主要分为对称密码体制和__________密码体制。答案非对称（或公钥）2.散列函数（Hash）具有两个重要特性：单向性和__________性。答案抗碰撞3.防火墙的基本体系结构主要有双宿主主机结构、屏蔽主机结构和__________结构。答案屏蔽子网4.入侵检测系统（IDS）的两种主要数据分析方法是误用检测（特征检测）和__________检测。答案异常5.在TCP/IP协议簇中，ARP协议的主要功能是将IP地址解析为__________地址。答案MAC（或物理）6.计算机病毒按感染方式可分为引导区型病毒、文件型病毒和__________病毒。答案混合型7.信息隐藏技术主要包括隐写术和__________。答案数字水印8.为了防范SQL注入攻击，最有效的代码级防御手段是使用__________。答案参数化查询（或预编译语句）9.常见的网络攻击中，通过伪造源IP地址来欺骗系统的方法称为__________。答案IP欺骗10.堡垒机（跳板机）的主要作用是集中管理运维权限并__________操作行为。答案审计（或记录）三、判断题（每题1分，共10分）1.对称加密算法的加密密钥和解密密钥是相同的。答案正确2.RSA算法既可以用于数据加密，也可以用于数字签名。答案正确3.应用级网关防火墙能够深度检查应用层数据，因此其处理速度通常比包过滤防火墙快。答案错误4.数字证书中包含了持有者的私钥信息，以便接收方进行解密。答案错误5.零日漏洞（0-day）是指已经被发现并公开，且官方尚未发布安全补丁的漏洞。答案正确6.蠕虫病毒主要通过移动存储介质（如U盘）进行传播，不需要网络连接。答案错误7.在Kerberos认证协议中，使用了非对称加密算法来分发会话密钥。答案错误8.虚拟专用网（VPN）利用隧道技术可以在公共网络上建立安全的私有连接。答案正确9.跨站请求伪造（CSRF）攻击的本质是盗用用户的身份凭证，在用户不知情的情况下执行恶意操作。答案正确10.MAC地址过滤可以有效防止IP地址欺骗攻击。答案错误四、简答题（每题5分，共20分）1.简述对称加密与非对称加密的主要区别及其各自的应用场景。答案(1)主要区别：对称加密使用相同的密钥进行加密和解密，速度快、效率高，但密钥分发和管理困难；非对称加密使用公钥加密、私钥解密（或私钥签名、公钥验签），解决了密钥分发问题，但计算复杂、速度慢。(2)应用场景：对称加密适用于大量数据的加密（如文件加密、通信数据加密）；非对称加密适用于密钥交换、数字签名、身份认证等小数据量场景。实际应用中常结合使用（如数字信封技术）。2.什么是SQL注入攻击？请列举至少三种防御措施。答案(1)SQL注入攻击是指攻击者通过在Web表单输入框、URL参数等位置插入恶意的SQL命令，欺骗后端数据库服务器执行非授权的任意查询，从而窃取、篡改数据或破坏数据库的攻击方式。(2)防御措施：①使用参数化查询（预编译语句），严格分离代码与数据；②对用户输入进行严格的验证和过滤（白名单机制）；③遵循最小权限原则，限制数据库连接账户的权限；④部署Web应用防火墙（WAF）进行特征拦截。3.简述防火墙的主要功能及其局限性。答案(1)主要功能：访问控制（过滤进出网络的数据包）、状态检测、网络地址转换（NAT）、内容过滤、日志记录与审计等。(2)局限性：①无法防御绕过防火墙的攻击（如内部人员作案或通过拨号/移动网络接入）；②无法完全防御基于应用层漏洞的攻击（如复杂的SQL注入、XSS，除非是下一代防火墙/WAF）；③无法防御病毒和恶意代码的传输（需配合防病毒网关）；④无法防御数据驱动型攻击（如通过邮件附件发送的恶意数据）。4.简述数字签名的工作原理及其在网络安全中的作用。答案(1)工作原理：发送方首先使用散列函数对原始报文生成数字摘要，然后使用自己的私钥对该摘要进行加密，生成数字签名，并将签名附加在原始报文后发送。接收方收到后，使用相同的散列函数对原始报文生成新的摘要，同时使用发送方的公钥对数字签名进行解密得到原摘要，对比两者是否一致。(2)作用：实现身份认证（确认发送方身份）、数据完整性校验（确认数据未被篡改）以及不可否认性（发送方无法否认发送过该数据）。五、综合应用与分析题（每题20分，共40分）1.场景分析题：某公司Web服务器部署在DMZ区，内部数据库服务器在内网。近期发现Web服务器遭受了大规模的SYNFlood攻击，且内部员工反映访问外网速度极慢。(1)简述SYNFlood攻击的原理。（8分）(2)针对SYNFlood攻击，提出至少三种缓解或防御措施。（6分）(3)为了保护内部数据库服务器，请写出在边界防火墙上应配置的核心访问控制策略（ACL规则思路）。（6分）答案(1)SYNFlood攻击原理：攻击者利用TCP三次握手过程，向目标服务器发送大量伪造源IP地址的SYN报文。服务器回复SYN-ACK后，由于源IP是伪造的，不会收到最终的ACK响应，导致服务器维持大量半连接状态，耗尽连接队列资源，从而无法响应正常用户的连接请求。(2)缓解或防御措施：①启用SYNCookie机制，不在内存中保存半连接状态，而是将其编码在SYN-ACK的序列号中；②调整操作系统的TCP参数，如减小SYN超时时间、增加半连接队列大小；③部署专业的抗DDoS设备或清洗中心，通过流量牵引和清洗过滤恶意SYN报文；④在边界防火墙或路由器上配置SYN代理或限制单个IP的SYN报文速率。(3)核心访问控制策略（ACL规则思路）：①仅允许DMZ区的Web服务器IP访问内部数据库服务器的特定端口（如TCP3306或1521）；②拒绝内网其他所有主机直接访问数据库服务器的数据库端口；③拒绝DMZ区和外网直接访问内网数据库服务器；④允许内网主机访问数据库服务器的管理端口（如SSH/RDP），但需限制源IP为特定的运维管理网段。解析SYNFlood是经典的网络层DDoS攻击，核心考点在于TCP三次握手机制及半连接队列耗尽原理。防御措施需从操作系统内核参数、协议栈优化及专业安全设备三个维度作答。ACL策略设计需遵循“最小权限原则”，严格限制DMZ到内网的访问路径，仅开放业务必需端口。2.密码学与认证分析题：Alice和Bob使用RSA算法进行安全通信。(1)简述Alice如何使用RSA算法向Bob发送一条机密消息M并附带数字签名。（10分）(2)在公钥基础设施（PKI）中，CA的作用是什么？如果Bob需要验证Alice的数字证书，他需要获取哪些信息？（10分）答案(1)发送机密消息并附带签名的过程：①签名过程：Alice首先使用散列函数对消息M计算摘要H(M)，然后使用Alice自己的私钥SKA②加密过程：Alice使用Bob的公钥PKB对消息M和签名Sig的组合进行加密。为高效起见，通常Alice生成一个对称会话密钥K，用K加密M和Si③发送：Alice将加密后的密文发送给Bob。(2)CA的作用及验证信息：①CA的作用：作为可信的第三方机构，负责数字证书的签发、管理、更新和吊销。它通过自己的私钥对用户的公钥及身份信息进行签名，生成数字证书，从而建立公钥与用户身份之间的信任绑定。②Bob验证Alice证书需要获取的信息：•Alice的数字证书（包含Alice的身份信息、Alice的公钥、CA的数字签名、有效期等）；•CA的公钥（用于验证CA对Alice证书的数字签