2025年大學(xué)生網(wǎng)絡(luò)安全知識競賽題庫及答案一、單項選擇題（每題2分，共20題）1.以下哪個協(xié)議是用于安全傳輸HTTP數(shù)據(jù)的？A.FTPB.HTTPSC.SMTPD.DNS答案：B2.下列哪種攻擊方式通過發(fā)送大量偽造的請求耗盡目標服務(wù)器資源？A.釣魚攻擊B.DDoS攻擊C.SQL注入D.跨站腳本攻擊（XSS）答案：B3.依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》，網(wǎng)絡(luò)運營者應(yīng)當按照（）的要求，履行網(wǎng)絡(luò)安全保護義務(wù)。A.行業(yè)標準B.企業(yè)制度C.國家標準的強制性D.地方規(guī)定答案：C4.以下哪種加密算法屬于對稱加密？A.RSAB.ECCC.AESD.橢圓曲線加密答案：C5.某用戶收到一封郵件，內(nèi)容為“您的銀行賬戶異常，點擊鏈接驗證”，這最可能是哪種攻擊？A.社會工程學(xué)攻擊B.緩沖區(qū)溢出攻擊C.中間人攻擊D.暴力破解答案：A6.在OSI參考模型中，負責(zé)將數(shù)據(jù)轉(zhuǎn)換為物理信號的是哪一層？A.傳輸層B.網(wǎng)絡(luò)層C.物理層D.數(shù)據(jù)鏈路層答案：C7.以下哪項不是常見的弱口令特征？A.123456B.包含大小寫字母、數(shù)字和符號的組合C.用戶名與密碼相同D.生日日期（如19990101）答案：B8.區(qū)塊鏈技術(shù)中，防止雙重支付的核心機制是？A.共識算法（如PoW）B.智能合約C.哈希函數(shù)D.分布式賬本答案：A9.根據(jù)《個人信息保護法》，處理敏感個人信息應(yīng)當取得個人的（），法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當取得書面同意的，從其規(guī)定。A.口頭同意B.一般同意C.單獨同意D.無需同意答案：C10.以下哪種漏洞屬于應(yīng)用層漏洞？A.緩沖區(qū)溢出B.ARP欺騙C.SQL注入D.DNS劫持答案：C11.量子計算對現(xiàn)有密碼體系的最大威脅是？A.加速對稱加密算法B.破解基于大整數(shù)分解的公鑰加密（如RSA）C.增強哈希函數(shù)的碰撞抵抗性D.提高數(shù)字簽名的速度答案：B12.某網(wǎng)站登錄頁面要求輸入驗證碼，其主要目的是？A.防止機器人批量注冊或登錄B.提升用戶體驗C.加密傳輸數(shù)據(jù)D.驗證用戶郵箱有效性答案：A13.以下哪項是物聯(lián)網(wǎng)設(shè)備常見的安全風(fēng)險？A.默認弱密碼B.支持5G通信C.存儲容量大D.運行Linux系統(tǒng)答案：A14.在網(wǎng)絡(luò)安全等級保護制度中，第三級信息系統(tǒng)的安全保護要求是？A.自主保護級B.指導(dǎo)保護級C.監(jiān)督保護級D.強制保護級答案：C15.以下哪種技術(shù)用于檢測未知病毒？A.特征碼掃描B.沙盒技術(shù)C.防火墻D.入侵檢測系統(tǒng)（IDS）答案：B16.微信支付過程中使用的“支付密碼+指紋驗證”屬于哪種安全機制？A.單因素認證B.雙因素認證C.多因素認證D.無密碼認證答案：B17.以下哪項不屬于數(shù)據(jù)脫敏技術(shù)？A.數(shù)據(jù)加密B.數(shù)據(jù)替換（如將身份證號部分隱藏）C.數(shù)據(jù)變形（如隨機偏移姓名）D.數(shù)據(jù)匿名化（如去除用戶手機號）答案：A18.釣魚網(wǎng)站的典型特征不包括？A.域名與正規(guī)網(wǎng)站高度相似（如“”）B.要求輸入銀行卡號、密碼等敏感信息C.頁面設(shè)計與正規(guī)網(wǎng)站完全一致D.通過社交媒體或郵件發(fā)送鏈接答案：C19.以下哪種協(xié)議用于安全遠程登錄？A.TelnetB.SSHC.FTPD.SMTP答案：B20.根據(jù)《網(wǎng)絡(luò)安全審查辦法》，關(guān)鍵信息基礎(chǔ)設(shè)施運營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)，影響或可能影響（）的，應(yīng)當進行網(wǎng)絡(luò)安全審查。A.企業(yè)利潤B.網(wǎng)絡(luò)安全C.國家安全D.用戶隱私答案：C二、多項選擇題（每題3分，共10題）1.以下屬于個人敏感信息的有？A.身份證號碼B.手機號碼C.家庭住址D.銀行賬戶信息答案：ABCD2.常見的網(wǎng)絡(luò)攻擊手段包括？A.勒索軟件攻擊B.社會工程學(xué)欺騙C.端口掃描D.漏洞利用答案：ABCD3.以下哪些措施可以防范SQL注入攻擊？A.使用參數(shù)化查詢（PreparedStatement）B.對用戶輸入進行嚴格過濾和轉(zhuǎn)義C.關(guān)閉數(shù)據(jù)庫錯誤信息的明文輸出D.定期更新數(shù)據(jù)庫管理系統(tǒng)補丁答案：ABCD4.數(shù)據(jù)泄露的常見途徑包括？A.內(nèi)部人員誤操作或惡意泄露B.外部黑客攻擊（如拖庫）C.移動存儲設(shè)備丟失（如U盤）D.云服務(wù)配置錯誤（如S3存儲桶未設(shè)權(quán)限）答案：ABCD5.以下屬于密碼學(xué)基本目標的是？A.機密性（Confidentiality）B.完整性（Integrity）C.可用性（Availability）D.不可否認性（Non-repudiation）答案：ABD6.物聯(lián)網(wǎng)（IoT）設(shè)備面臨的安全挑戰(zhàn)包括？A.資源受限（計算/存儲能力弱）B.大量設(shè)備難以統(tǒng)一管理C.固件更新不及時D.通信協(xié)議安全性不足（如舊版MQTT）答案：ABCD7.根據(jù)《數(shù)據(jù)安全法》，數(shù)據(jù)處理者應(yīng)當建立健全數(shù)據(jù)安全管理制度，包括？A.數(shù)據(jù)分類分級制度B.數(shù)據(jù)安全應(yīng)急處置制度C.數(shù)據(jù)安全責(zé)任制度D.數(shù)據(jù)交易管理制度答案：ABC8.以下哪些行為可能導(dǎo)致個人信息泄露？A.在公共WiFi下使用網(wǎng)銀B.掃描來路不明的二維碼C.點擊郵件中的陌生鏈接D.在社交平臺公開詳細行程答案：ABCD9.以下屬于零信任架構(gòu)（ZeroTrust）核心原則的是？A.永不信任，始終驗證（NeverTrust,AlwaysVerify）B.最小權(quán)限訪問（LeastPrivilegeAccess）C.持續(xù)動態(tài)評估（ContinuousDynamicAssessment）D.基于網(wǎng)絡(luò)邊界的信任（TrustBasedonNetworkPerimeter）答案：ABC10.防范DDoS攻擊的措施包括？A.使用流量清洗服務(wù)（如Cloudflare）B.限制單IP的連接數(shù)C.升級服務(wù)器帶寬D.部署入侵防御系統(tǒng)（IPS）答案：ABCD三、判斷題（每題1分，共10題）1.只要安裝了殺毒軟件，計算機就絕對安全。（）答案：×（殺毒軟件無法防范所有新型威脅，需結(jié)合其他安全措施）2.公共WiFi可以放心使用，因為商家已經(jīng)設(shè)置了安全防護。（）答案：×（公共WiFi可能被中間人攻擊，需使用VPN）3.弱口令只是個人習(xí)慣問題，不會影響企業(yè)網(wǎng)絡(luò)安全。（）答案：×（弱口令是常見攻擊入口，可能導(dǎo)致整個系統(tǒng)被入侵）4.區(qū)塊鏈的“不可篡改”特性意味著數(shù)據(jù)一旦上鏈就無法修改。（）答案：√（通過哈希鏈和共識機制保證）5.掃描二維碼前無需確認來源，因為二維碼本身無法攜帶惡意代碼。（）答案：×（二維碼可指向惡意網(wǎng)站或下載惡意文件）6.操作系統(tǒng)漏洞補丁可以隨意選擇是否安裝，不影響安全。（）答案：×（漏洞補丁修復(fù)已知安全風(fēng)險，必須及時安裝）7.社交媒體上公開個人身份證照片用于實名認證是安全的。（）答案：×（可能被他人盜用身份信息）8.釣魚郵件的主題通常包含緊急或威脅性內(nèi)容（如“賬戶即將凍結(jié)”）。（）答案：√（利用用戶恐慌心理誘導(dǎo)點擊）9.云計算中，“數(shù)據(jù)主權(quán)”意味著用戶對存儲在云端的數(shù)據(jù)擁有完全控制權(quán)。（）答案：√（根據(jù)《數(shù)據(jù)安全法》，用戶數(shù)據(jù)所有權(quán)歸用戶）10.量子計算機可以瞬間破解所有現(xiàn)有加密算法。（）答案：×（僅對基于大整數(shù)分解和離散對數(shù)的算法有威脅，如RSA、ECC）四、簡答題（每題5分，共10題）1.簡述“最小權(quán)限原則”（PrincipleofLeastPrivilege）在網(wǎng)絡(luò)安全中的應(yīng)用。答案：最小權(quán)限原則要求用戶或進程僅被授予完成任務(wù)所需的最小權(quán)限，避免因權(quán)限過高導(dǎo)致的潛在風(fēng)險。例如：服務(wù)器管理員僅分配數(shù)據(jù)庫查詢權(quán)限而非刪除權(quán)限；普通用戶無法訪問系統(tǒng)核心配置文件。該原則可限制攻擊面，減少越權(quán)操作導(dǎo)致的數(shù)據(jù)泄露或系統(tǒng)破壞。2.什么是“中間人攻擊”（Man-in-the-MiddleAttack）？舉例說明其常見場景。答案：中間人攻擊是攻擊者通過攔截并篡改通信雙方的信息，偽裝成正常通信方的攻擊方式。常見場景：公共WiFi下，攻擊者通過ARP欺騙劫持用戶與網(wǎng)站的通信，攔截賬號密碼；或在未加密的HTTP網(wǎng)站中，攻擊者篡改頁面內(nèi)容，插入惡意鏈接。3.簡述《個人信息保護法》中“告知-同意”原則的具體要求。答案：處理個人信息前，需以顯著方式、清晰易懂的語言告知個人信息處理的目的、方式、范圍、保存期限等；處理敏感個人信息需取得單獨同意；個人有權(quán)撤回同意，撤回不影響已進行的處理。4.什么是“勒索軟件”（Ransomware）？防范勒索軟件的主要措施有哪些？答案：勒索軟件是通過加密用戶文件或鎖定系統(tǒng)，威脅支付贖金才解密的惡意軟件。防范措施包括：定期備份重要數(shù)據(jù)（離線存儲）；啟用自動更新安裝系統(tǒng)補??；不點擊陌生鏈接或下載未知文件；安裝殺毒軟件并開啟實時監(jiān)控。5.比較對稱加密與非對稱加密的區(qū)別（至少列出3點）。答案：①密鑰數(shù)量：對稱加密使用相同密鑰（加密/解密），非對稱加密使用公鑰（加密）和私鑰（解密）；②計算效率：對稱加密（如AES）速度快，適合大數(shù)據(jù)加密；非對稱加密（如RSA）速度慢，適合小數(shù)據(jù)或密鑰交換；③密鑰管理：對稱加密需安全傳輸共享密鑰，易泄露；非對稱加密公鑰可公開，私鑰需保密，更易管理。6.簡述“零信任網(wǎng)絡(luò)”（ZeroTrustNetwork）的核心設(shè)計理念。答案：零信任網(wǎng)絡(luò)假設(shè)網(wǎng)絡(luò)內(nèi)部和外部均不安全，所有訪問請求必須經(jīng)過驗證和授權(quán)，不依賴傳統(tǒng)邊界防御（如防火墻）。其核心是“持續(xù)驗證”，通過身份認證、設(shè)備安全狀態(tài)檢查、上下文信息（如位置、時間）動態(tài)評估訪問風(fēng)險，僅允許最小權(quán)限的訪問。7.什么是“SQL注入”（SQLInjection）？如何防范？答案：SQL注入是攻擊者通過在用戶輸入中插入惡意SQL代碼，篡改原SQL語句邏輯，從而獲取或破壞數(shù)據(jù)庫數(shù)據(jù)的攻擊方式。防范措施：使用參數(shù)化查詢（PreparedStatement）而非字符串拼接；對用戶輸入進行嚴格過濾（如禁止特殊字符）；限制數(shù)據(jù)庫賬戶權(quán)限（僅允許查詢，禁止刪除）；關(guān)閉數(shù)據(jù)庫錯誤信息的明文輸出。8.簡述“社會工程學(xué)攻擊”（SocialEngineering）的常見手段及防范方法。答案：常見手段：釣魚郵件（偽裝成官方機構(gòu)要求提供信息）、冒充客服（以“賬戶異?！睘橛伤饕艽a）、物理滲透（混入公司盜取設(shè)備）。防范方法：提高安全意識，核實信息來源（如通過官方電話確認）；不隨意透露個人敏感信息；對員工進行安全培訓(xùn)。9.什么是“DNS劫持”？如何檢測和防范？答案：DNS劫持是攻擊者篡改DNS解析結(jié)果，將用戶指向惡意網(wǎng)站的攻擊。檢測方法：通過“nslookup”命令查看目標域名的IP是否與官方一致；訪問網(wǎng)站時觀察URL是否被跳轉(zhuǎn)。防范方法：使用加密DNS（如DNS-over-HTTPS）；定期檢查路由器DNS設(shè)置；安裝瀏覽器安全擴展（如uBlockOrigin）。10.簡述“數(shù)據(jù)脫敏”（DataMasking）的常見技術(shù)及應(yīng)用場景。答案：常見技術(shù)：①替換（如將身份證號替換為“11010101011234”）；②變形（如隨機修改姓名中的一個字）；③加密（如對手機號進行AES加密）；④截斷（如只保留銀行卡前4位和后4位）。應(yīng)用場景：測試環(huán)境使用脫敏后的生產(chǎn)數(shù)據(jù)，避免泄露真實用戶信息；對外提供數(shù)據(jù)報表時隱藏敏感字段。五、案例分析題（每題10分，共2題）案例1：某高校教務(wù)系統(tǒng)被攻擊事件2024年12月，某高校教務(wù)系統(tǒng)突然無法訪問，頁面顯示“您的文件已被加密，支付5枚比特幣解鎖”。經(jīng)技術(shù)團隊排查，發(fā)現(xiàn)攻擊發(fā)生前一天，有教師賬號因弱口令（密碼為“jiaoshi123”）被暴力破解，攻擊者通過該賬號登錄系統(tǒng)并植入勒索軟件。問題：（1）分析此次攻擊的主要漏洞和攻擊路徑。（2）提出至少3條針對性的防御措施。答案：（1）漏洞：教師賬號使用弱口令（“jiaoshi123”），易被暴力破解；教務(wù)系統(tǒng)未啟用多因素認證（如短信驗證碼）；勒索軟件防護機制缺失（如未部署文件監(jiān)控）。攻擊路徑：攻擊者通過暴力破解獲取教師賬號→登錄教務(wù)系統(tǒng)→上傳并執(zhí)行勒索軟件→加密服務(wù)器文件→顯示勒索信息。（2）防御措施：①強制賬號密碼復(fù)雜度（要求至少8位，包含字母、數(shù)字、符號），定期修改密碼；②啟用雙因素認證（如賬號+短信驗證碼或硬件令牌）；③部署文件監(jiān)控系統(tǒng)，檢測異常文件加密行為并