1月1+x網絡安全評估練習題庫與答案一、單選題（共10題，每題1分，共10分）1.試題：下面說法正確的是？【A】有一定安全意識的人可以防御一些反射型xss【B】一般現(xiàn)在的瀏覽器不帶xss防御功能【C】xss攻擊只能進行會話劫持【D】https也可以防御xss2.試題：關于命令執(zhí)行漏洞，以下說法錯誤的是？【A】沒有對用戶輸入進行過濾或過濾不嚴可能會導致此漏洞【B】命令執(zhí)行漏洞是指攻擊者可以隨意執(zhí)行系統(tǒng)命令【C】命令執(zhí)行漏洞只發(fā)生在PHP的環(huán)境中【D】該漏洞可導致黑客控制整個網站甚至控制服務器3.試題：XSS跨站腳本攻擊可以插入什么代碼？【A】PHP【B】JAVA【C】ASP【D】Javascript4.試題：防御XSS漏洞的核心思想為（）【A】減少使用數(shù)據(jù)庫【B】不要點擊未知鏈接【C】輸入過濾、輸出編碼【D】禁止用戶輸入5.試題：下面哪個選項不是NAT技術具備的優(yōu)點？【A】提高連接到因特網的靈活性【B】節(jié)省合法地址【C】提高連接到因特網的速度【D】保護內部網絡6.試題：下列哪一個選項不屬于XSS跨站腳本漏洞危害？【A】SQL數(shù)據(jù)泄露【B】釣魚欺騙【C】網站掛馬【D】身份盜用7.試題：會話劫持最重要的是哪一步？【A】誘使用戶登錄【B】獲得用戶的會話標識（如sessionid）【C】使用拿到的標識登錄8.試題：若一個用戶同時屬于多個用戶組，則其權限適用原則不包括？【A】最大權限原則【B】拒絕權限超越其他所有權限的原則【C】文件權限超越文件夾權限原則【D】最小權限原則FTP9.試題：以下哪種攻擊不能獲取用戶的會話標識？【A】XSS【B】憑證預測【C】SQL注入【D】會話憑證10.試題：以下哪種方法不能執(zhí)行命令（）【A】system(whoami)【B】system('whoami')【C】system('eval(whoami)')【D】eval('system(whoami)')二、多選題（共10題，每題1分，共10分）1.試題：信息安全范疇包括下列哪幾個：【A】物聯(lián)網（IoT）設備成為薄弱環(huán)節(jié)【B】計算機安全【C】通信安全【D】信息本身的安全2.試題：選擇關于Cookie正確的選項【A】同父域的兩個子域名可以通過設置共享Cookie【B】Cookie是同協(xié)議、同域名、同端口的【C】瀏覽器可以將持續(xù)時間為負數(shù)的Cookie保存為文件【D】修改Cookie只能用一個同名Cookie將其覆蓋3.試題：下列哪幾條屬于防電信詐騙十條中的守則：【A】閉口不談卡號和密碼【B】釣魚網站要提防【C】凡是索要短信驗證碼的全是騙子【D】手機短信內的鏈接都別點4.試題：屬于xss跨站漏洞危害的是（）?。【A】釣魚欺騙【B】身份盜用【C】網站掛馬【D】sql數(shù)據(jù)泄露5.試題：下列哪個描述的是防范虛構事實的詐騙：【A】通過子女所在學校、單位、同學、朋友聯(lián)系，進行核實，確認情況的真實性?！綛】切不可貪圖便宜，與市價相差較大的網絡商品，不要相信。【C】對于好友QQ、微信、手機發(fā)送過來涉及到借錢、匯款等信息，一定要電話聯(lián)系到本人進行確認【D】接到親人被綁架、受傷住院、被扣留拘禁等電話或短信時，一定要冷靜應對，弄清情況，請及時報警6.試題：php://filter/read=convert.base64-encode/resource=../../../../../etc/passwd假設某PHP頁面存在文件包含漏洞，上述Payload可以獲得哪些信息【A】系統(tǒng)中各個用戶的權限以及可執(zhí)行文件所在目錄【B】用戶密碼【C】Linux系統(tǒng)中所有的用戶名【D】Windows系統(tǒng)中所有的用戶名7.試題：上網安全中的兩種公共設備謹慎用，指的是：【A】計算機安全【B】公共WIFI【C】公共手機充電樁【D】物聯(lián)網（IoT）設備成為薄弱環(huán)節(jié)8.試題：文件包含漏洞的危害有哪些？【A】執(zhí)行任意腳本代碼【B】服務器費用增加【C】控制網站【D】控制整臺服務器9.試題：根據(jù)《網絡安全法》的規(guī)定，任何個人和組織（）。【A】明知他人從事危害網絡安全的活動的，可以為其進行廣告推廣【B】明知他人從事危害網絡安全的活動的，不得為其提供技術支持【C】不得從事非法侵入他人網絡干擾他人網絡正常功能等危害網絡安全的活動【D】不得提供專門用于從事侵入網絡干擾網絡正常功能等危害網絡安全活動的程序10.試題：任何個人和組織應當對其使用網絡的行為負責，不得設立用于（）違法犯罪活動的網站通訊群組，不得利用網絡發(fā)布涉及實施詐騙，制作或者銷售違禁物品管制物品以及其他違法犯罪活動的信息?！続】制作或者銷售違禁物品【B】傳授犯罪方法【C】制作或者銷售管制物品【D】實施詐騙三、判斷題（共30題，每題1分，共30分）1.試題：使用量較高的軟件就不會出現(xiàn)邏輯漏洞【A】正確【B】錯誤2.試題：Nmap是一款優(yōu)秀的端口掃描工具【A】正確【B】錯誤3.試題：一個高級用戶可以訪問低級用戶信息是向上越權【A】正確【B】錯誤4.試題：網絡運營者不得泄露篡改毀損其收集的個人信息【A】正確【B】錯誤5.試題：部署網站時端口的設置與網頁能否顯示密切相關【A】正確【B】錯誤6.試題：社會工程攻擊中常用到人性漏洞進行攻擊，主要是利用了以下幾個心理：喜歡驚喜、畏懼權威、成為“有用”人才、害怕失去、懶惰心理、自尊心、專業(yè)知識不全等。【A】正確【B】錯誤7.試題：邏輯錯誤漏洞是指由于程序邏輯不嚴或邏輯太復雜，導致一些邏輯分支不能夠正常處理或處理錯誤【A】正確【B】錯誤8.試題：IP協(xié)議具有無連接、不可靠傳輸?shù)奶攸c?！続】正確【B】錯誤9.試題：網絡拓撲結構設計也直接影響到網絡系統(tǒng)的安全性【A】正確【B】錯誤10.試題：Sqlmap是一款強有力的注入工具【A】正確【B】錯誤11.試題：在非對稱密鑰密碼體制中，發(fā)信方與收信方使用不同的密鑰【A】正確【B】錯誤12.試題：文件包含漏洞危害比sql注入漏洞危害小得多【A】正確【B】錯誤13.試題：早期的靜態(tài)網頁僅僅是向用戶展示信息而已【A】正確【B】錯誤14.試題：被掃描的主機是不會主動聯(lián)系掃描主機的，所以被動掃描只能通過截獲網絡上散落的數(shù)據(jù)包進行判斷?！続】正確【B】錯誤15.試題：任何個人和組織有權對危害網絡安全的行為向網信電信公安等部門舉報【A】正確【B】錯誤16.試題：謹慎授予權限：謹慎授予應用“發(fā)送短信”、“讀取短信”、“查看通訊錄”、“讀取定位信息”等權限?！続】正確【B】錯誤17.試題：IP包頭首部長度為8字節(jié)?！続】正確【B】錯誤18.試題：文件包含分為本地文件包含和遠程文件包含【A】正確【B】錯誤19.試題：防病毒軟件主要是用來檢測和抵御可通過各種渠道進行傳播、擴散的計算機病毒。【A】正確【B】錯誤20.試題：XSS跨站腳本漏洞主要影響的是客戶端瀏覽用戶【A】正確【B】錯誤21.試題：正規(guī)機構、正規(guī)網站組織抽獎活動，不會讓中獎者先交錢，后兌獎。【A】正確【B】錯誤22.試題：密碼可以不用經常更換，存在瀏覽器里很安全【A】正確【B】錯誤23.試題：網絡運營者應當對其收集的用戶信息嚴格保密【A】正確【B】錯誤24.試題：瀏覽器手動選擇代理后，關閉burp仍然能夠正常上網【A】正確【B】錯誤25.試題：TCP/IP是7層模型【A】正確【B】錯誤26.試題：代碼執(zhí)行漏洞是調用系統(tǒng)命令的漏洞，命令執(zhí)行漏洞是直接執(zhí)行系統(tǒng)命令，又稱為os命令執(zhí)行漏洞?！続】正確【B】錯誤27.試題：登機牌條碼不包含個人信息?！続】正確【B】錯誤28.試題：子網掩碼可用于區(qū)分IP地址中的網絡位和主機位?！続】正確【B】錯誤29.試題：所有的協(xié)議都可以利用數(shù)據(jù)包過濾進行處理?！続】正確【B】錯誤30.試題：關鍵信息基礎設施的運營者可自行采購網絡產品和服務不通過安全審查【A】正確【B】錯誤答案與解析一、單選題答案1.正確答案：A詳解：選項A中XSS攻擊不僅能進行會話劫持，還有其他危害，A錯誤；選項B現(xiàn)在很多瀏覽器都帶有XSS防御功能，B錯誤；選項C有一定安全意識的人可以通過不輕易點擊可疑鏈接等方式防御一些反射型XSS，C正確；選項DHTTPS主要用于加密傳輸防止中間人攻擊等，不能直接防御XSS，D錯誤。2.正確答案：C詳解：命令執(zhí)行漏洞不僅僅發(fā)生在PHP環(huán)境中，在其他支持命令執(zhí)行的環(huán)境如ASP、JSP等中也可能存在，所以選項B說法錯誤。選項A，命令執(zhí)行漏洞如果被黑客利用，確實可能導致控制整個網站甚至服務器；選項C，用戶輸入過濾不嚴是導致命令執(zhí)行漏洞的常見原因之一；選項D，攻擊者利用命令執(zhí)行漏洞可以執(zhí)行系統(tǒng)命令來達到其攻擊目的，這是對命令執(zhí)行漏洞的正確描述。3.正確答案：D4.正確答案：C詳解：XSS漏洞的防御核心在于對用戶輸入進行嚴格過濾，去除其中可能包含的惡意腳本，同時對輸出進行編碼，將特殊字符轉換為安全的表示形式，防止惡意腳本被瀏覽器執(zhí)行。禁止用戶輸入過于絕對且不現(xiàn)實；不要點擊未知鏈接主要是針對防范釣魚等其他風險，并非XSS漏洞防御核心；減少使用數(shù)據(jù)庫與防御XSS漏洞無關。5.正確答案：C詳解：NAT技術的優(yōu)點包括保護內部網絡、節(jié)省合法地址、提高連接到因特網的靈活性等。但NAT技術本身并不會直接提高連接到因特網的速度，它主要是在地址轉換和網絡地址復用等方面發(fā)揮作用，而不是針對網絡連接速度進行優(yōu)化。6.正確答案：A詳解：XSS跨站腳本漏洞危害主要包括釣魚欺騙、身份盜用、網站掛馬等。而SQL數(shù)據(jù)泄露通常不是XSS跨站腳本漏洞直接導致的危害，它更多的是與SQL注入等其他類型的漏洞相關。7.正確答案：B詳解：會話劫持是指攻擊者通過某種手段獲取用戶的會話標識（如sessionid），進而利用該標識冒充合法用戶與服務器進行交互。獲得用戶的會話標識是會話劫持最為關鍵的一步。如果沒有拿到會話標識，就無法進行后續(xù)的登錄或冒充等操作。誘使用戶登錄不是會話劫持的核心步驟，它主要是為了引發(fā)會話的產生，但不是會話劫持重點所在。使用拿到的標識登錄是基于已經獲得會話標識之后的行為，核心還是先獲取會話標識。8.正確答案：D詳解：最小權限原則是指用戶僅擁有完成其工作所需的最少權限，而不是適用于用戶同時屬于多個用戶組時的權限適用原則。當一個用戶同時屬于多個用戶組時，其權限適用原則通常包括最大權限原則，即用戶擁有其所屬所有用戶組的權限總和；文件權限超越文件夾權限原則，即文件上設置的權限會覆蓋文件夾的權限；拒絕權限超越其他所有權限的原則，即明確的拒絕權限會優(yōu)先于其他權限。9.正確答案：C10.正確答案：C詳解：在PHP中，`system`函數(shù)用于執(zhí)行外部命令，直接將命令作為參數(shù)傳入即可，如選項B。而選項A中雖然形式不太常規(guī)，但理論上也可嘗試執(zhí)行命令。選項D通過`eval`函數(shù)來執(zhí)行包含`system(whoami)`的字符串，也能達到執(zhí)行命令的目的。而選項C中`system('eval(whoami)')`，這里是想在`system`函數(shù)內部執(zhí)行`eval(whoami)`，`eval`函數(shù)是將字符串作為PHP代碼執(zhí)行，在`system`函數(shù)參數(shù)中這樣寫并不能正確執(zhí)行命令，它會嘗試執(zhí)行`eval(whoami)`這段PHP代碼，而不是執(zhí)行系統(tǒng)命令`whoami`。二、多選題答案1.正確答案：BCD2.正確答案：AB詳解：選項A，Cookie確實是同協(xié)議、同域名、同端口的，該說法正確；選項B，修改Cookie可以使用同名Cookie覆蓋，也可以通過修改其屬性等方式，該選項說只能用覆蓋的方式太絕對，錯誤；選項C，持續(xù)時間為負數(shù)的Cookie會被瀏覽器立即刪除，而不是保存為文件，錯誤；選項D，同父域的兩個子域名可以通過設置共享Cookie，說法正確。3.正確答案：ABD4.正確答案：ABC詳解：XSS跨站漏洞危害主要包括身份盜用、釣魚欺騙、網站掛馬等。身份盜用是指攻擊者利用漏洞獲取用戶身份信息進行非法操作；釣魚欺騙是引導用戶進入虛假網站騙取信息；網站掛馬則是在目標網站植入惡意代碼。而SQL數(shù)據(jù)泄露通常不是XSS跨站漏洞直接導致的危害，更多是與SQL注入等漏洞相關。5.正確答案：AD6.正確答案：AC詳解：該payload通過讀取`/etc/passwd`文件，`/etc/passwd`文件在Linux系統(tǒng)中記錄了系統(tǒng)中所有用戶的信息，包括用戶名等，所以能獲取Linux系統(tǒng)中所有的用戶名，A選項正確；Windows系統(tǒng)中沒有`/etc/passwd`這樣的文件，B選項錯誤；`/etc/passwd`文件中包含了用戶的UID、GID、家目錄、登錄shell等信息，通過分析這些信息可以了解系統(tǒng)中各個用戶的權限以及可執(zhí)行文件所在目錄等，C選項正確；`/etc/passwd`文件中并不包含用戶密碼，D選項錯誤。7.正確答案：BC詳解：選項B公共WIFI和選項C公共手機充電樁存在安全風險，可能導致個人信息泄露、遭受網絡攻擊等，所以上網安全中這兩種公共設備要謹慎使用。選項A計算機安全不屬于公共設備范疇；選項D物聯(lián)網（IoT）設備成為薄弱環(huán)節(jié)表述寬泛，不是具體所指的兩種公共設備。8.正確答案：ACD詳解：文件包含漏洞可能導致執(zhí)行任意腳本代碼，進而利用該腳本控制網站，甚至如果條件允許還能控制整臺服務器。而服務器費用增加并不是文件包含漏