2025年全國大學(xué)生網(wǎng)絡(luò)安全知識競賽試題庫及答案一、單項選擇題（每題2分，共40分）1.以下哪種加密算法屬于對稱加密？A.RSAB.ECCC.AESD.橢圓曲線加密答案：C解析：AES（高級加密標(biāo)準(zhǔn)）是典型的對稱加密算法，加密和解密使用相同密鑰；RSA、ECC（橢圓曲線加密）屬于非對稱加密。2.某網(wǎng)站用戶登錄界面提示“密碼需包含大寫字母、小寫字母、數(shù)字和特殊符號，長度至少8位”，這一要求主要是為了防范：A.暴力破解攻擊B.SQL注入攻擊C.DDoS攻擊D.跨站腳本攻擊（XSS）答案：A解析：復(fù)雜密碼策略通過增加密碼熵值，提高暴力破解的時間成本，直接防范暴力破解攻擊。3.以下哪項是DNS劫持的典型表現(xiàn)？A.訪問“”時跳轉(zhuǎn)到惡意網(wǎng)站B.電腦硬盤突然被加密并要求支付贖金C.網(wǎng)頁中彈出大量無關(guān)廣告窗口D.網(wǎng)絡(luò)傳輸速度突然大幅下降答案：A解析：DNS劫持通過篡改域名解析結(jié)果，將合法域名指向惡意IP，導(dǎo)致用戶訪問被劫持到釣魚或惡意網(wǎng)站。4.根據(jù)《中華人民共和國數(shù)據(jù)安全法》，重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對其數(shù)據(jù)處理活動定期開展：A.數(shù)據(jù)備份演練B.風(fēng)險評估C.加密強度測試D.用戶權(quán)限審計答案：B解析：《數(shù)據(jù)安全法》第三十條規(guī)定，重要數(shù)據(jù)的處理者應(yīng)定期開展風(fēng)險評估，并向有關(guān)部門報送評估報告。5.在滲透測試中，“信息收集”階段的主要目的是：A.植入惡意代碼B.獲取目標(biāo)系統(tǒng)權(quán)限C.分析目標(biāo)系統(tǒng)弱點D.繪制目標(biāo)網(wǎng)絡(luò)拓?fù)浯鸢福篋解析：信息收集階段通過公開信息、端口掃描等手段，繪制目標(biāo)網(wǎng)絡(luò)拓?fù)?、識別開放服務(wù)，為后續(xù)漏洞分析提供基礎(chǔ)。6.以下哪種協(xié)議默認(rèn)使用SSL/TLS加密？A.FTPB.SMTPC.HTTPSD.Telnet答案：C解析：HTTPS（超文本傳輸安全協(xié)議）默認(rèn)通過SSL/TLS加密傳輸數(shù)據(jù)，保障通信安全。7.某企業(yè)員工收到一封郵件，主題為“工資條更新通知”，附件為“2024年12月工資條.pdf”，但附件實際為惡意木馬。這種攻擊方式屬于：A.水坑攻擊B.釣魚攻擊C.中間人攻擊D.零日攻擊答案：B解析：釣魚攻擊通過偽造可信來源（如公司內(nèi)部通知）誘導(dǎo)用戶點擊惡意鏈接或附件，竊取信息或植入惡意程序。8.以下哪項是防范SQL注入攻擊的最佳措施？A.對用戶輸入進(jìn)行轉(zhuǎn)義處理B.關(guān)閉數(shù)據(jù)庫錯誤提示C.定期備份數(shù)據(jù)庫D.限制數(shù)據(jù)庫管理員權(quán)限答案：A解析：SQL注入的核心是用戶輸入未經(jīng)驗證直接拼接至SQL語句，對輸入進(jìn)行轉(zhuǎn)義（如使用預(yù)編譯語句）可有效阻斷攻擊。9.物聯(lián)網(wǎng)設(shè)備（IoT）常見的安全隱患不包括：A.默認(rèn)弱口令B.固件更新不及時C.支持5G通信D.缺乏數(shù)據(jù)加密傳輸答案：C解析：5G是通信技術(shù)，本身不構(gòu)成安全隱患；默認(rèn)弱口令、固件漏洞、未加密傳輸是IoT設(shè)備的典型安全問題。10.以下哪種哈希算法已被證明存在碰撞漏洞，不建議用于安全場景？A.SHA256B.MD5C.SHA3D.BLAKE3答案：B解析：MD5算法因碰撞攻擊成本低（如可偽造相同哈希值的不同文件），已被廣泛認(rèn)為不適合用于需要抗碰撞的安全場景。11.在網(wǎng)絡(luò)安全領(lǐng)域，“零信任模型”的核心原則是：A.信任內(nèi)部網(wǎng)絡(luò)所有設(shè)備B.持續(xù)驗證訪問請求的合法性C.僅允許白名單內(nèi)的IP訪問D.關(guān)閉所有不必要的網(wǎng)絡(luò)端口答案：B解析：零信任模型遵循“永不信任，始終驗證”原則，要求對所有訪問請求（無論內(nèi)外）進(jìn)行身份、設(shè)備、環(huán)境等多因素驗證。12.某系統(tǒng)日志顯示“用戶admin嘗試登錄失敗15次”，最可能的攻擊是：A.緩沖區(qū)溢出B.字典攻擊C.跨站請求偽造（CSRF）D.拒絕服務(wù)攻擊（DoS）答案：B解析：字典攻擊通過預(yù)先生成的密碼字典（如常見密碼列表）嘗試登錄，導(dǎo)致大量失敗記錄。13.以下哪項屬于數(shù)據(jù)脫敏技術(shù)？A.對數(shù)據(jù)庫進(jìn)行加密B.將真實姓名替換為“用戶XXX”C.定期刪除過期數(shù)據(jù)D.限制數(shù)據(jù)庫查詢權(quán)限答案：B解析：數(shù)據(jù)脫敏通過替換、變形等方式將敏感信息（如姓名、身份證號）轉(zhuǎn)換為非敏感形式，保護(hù)隱私。14.以下哪種攻擊利用了操作系統(tǒng)或軟件未公開的漏洞？A.已知漏洞攻擊B.零日攻擊（ZerodayAttack）C.分布式拒絕服務(wù)攻擊（DDoS）D.社會工程學(xué)攻擊答案：B解析：零日攻擊針對未被修復(fù)或未被公開的漏洞（0天漏洞），攻擊者在官方補丁發(fā)布前利用漏洞實施攻擊。15.在Wireshark抓包工具中，過濾HTTP協(xié)議的正確表達(dá)式是：A.tcp.port==80B.udp.port==80C.ip.addr==80D.http.request答案：A解析：HTTP默認(rèn)使用TCP80端口，因此過濾TCP端口80可捕獲HTTP流量；http.request僅過濾請求包，范圍較窄。16.根據(jù)《個人信息保護(hù)法》，處理敏感個人信息應(yīng)當(dāng)取得個人的：A.口頭同意B.書面同意C.單獨同意D.默示同意答案：C解析：《個人信息保護(hù)法》第二十九條規(guī)定，處理敏感個人信息應(yīng)取得個人的單獨同意，明確告知處理的必要性和對個人權(quán)益的影響。17.以下哪種技術(shù)可以實現(xiàn)網(wǎng)絡(luò)流量的深度包檢測（DPI）？A.防火墻B.入侵檢測系統(tǒng)（IDS）C.虛擬專用網(wǎng)絡(luò)（VPN）D.負(fù)載均衡器答案：B解析：IDS（入侵檢測系統(tǒng)）通過深度包檢測分析流量內(nèi)容，識別攻擊特征；防火墻多基于規(guī)則過濾，DPI能力較弱。18.某網(wǎng)站用戶注冊頁面要求輸入手機號并發(fā)送驗證碼，這一機制主要用于：A.防范SQL注入B.實現(xiàn)雙因素認(rèn)證（2FA）C.防止暴力破解D.驗證用戶真實性答案：D解析：短信驗證碼通過驗證用戶擁有目標(biāo)手機號，確認(rèn)注冊者的真實性，屬于身份驗證的一部分；雙因素認(rèn)證需結(jié)合另一種憑證（如密碼）。19.以下哪種加密方式屬于端到端加密（E2EE）？A.微信消息通過服務(wù)器加密傳輸B.電子郵件在傳輸過程中由SMTP加密C.手機銀行APP與服務(wù)器建立TLS連接D.Signal應(yīng)用直接對消息內(nèi)容加密，僅發(fā)送方和接收方可見答案：D解析：端到端加密（E2EE）確保數(shù)據(jù)僅在發(fā)送方和接收方解密，中間節(jié)點（如服務(wù)器）無法獲取明文；Signal是典型E2EE應(yīng)用。20.以下哪項是防范DDoS攻擊的有效措施？A.關(guān)閉ICMP協(xié)議B.使用內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）C.禁用JavaScriptD.限制數(shù)據(jù)庫連接數(shù)答案：B解析：CDN通過分布式節(jié)點分擔(dān)流量，可有效緩解DDoS攻擊中的流量洪泛；關(guān)閉ICMP可能影響網(wǎng)絡(luò)診斷，效果有限。二、多項選擇題（每題3分，共30分。多選、少選、錯選均不得分）1.以下屬于常見Web安全漏洞的有：A.跨站腳本攻擊（XSS）B.文件包含漏洞C.緩沖區(qū)溢出D.SQL注入答案：ABD解析：緩沖區(qū)溢出是程序內(nèi)存管理漏洞，常見于二進(jìn)制程序，不屬于Web應(yīng)用特有漏洞；XSS、文件包含、SQL注入均為Web應(yīng)用典型漏洞。2.根據(jù)《網(wǎng)絡(luò)安全法》，網(wǎng)絡(luò)運營者應(yīng)當(dāng)履行的安全義務(wù)包括：A.制定內(nèi)部安全管理制度和操作規(guī)程B.采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施C.為公安機關(guān)提供技術(shù)支持和協(xié)助D.定期開展網(wǎng)絡(luò)安全培訓(xùn)答案：ABCD解析：《網(wǎng)絡(luò)安全法》第二十一條、第二十八條等條款明確要求網(wǎng)絡(luò)運營者落實安全管理制度、數(shù)據(jù)保護(hù)、協(xié)助執(zhí)法和人員培訓(xùn)。3.以下哪些行為可能導(dǎo)致個人信息泄露？A.使用公共WiFi連接銀行APPB.掃描陌生二維碼C.在社交平臺公開發(fā)布火車票照片（含個人信息）D.安裝手機應(yīng)用時勾選“同意隱私政策”答案：ABC解析：公共WiFi可能被中間人攻擊截獲數(shù)據(jù)；陌生二維碼可能指向惡意網(wǎng)站；火車票照片包含姓名、身份證號等敏感信息，公開后易被提?。还催x隱私政策是正常流程，不必然導(dǎo)致泄露（取決于應(yīng)用是否合規(guī)）。4.以下屬于非對稱加密應(yīng)用場景的有：A.數(shù)字簽名B.密鑰交換（如TLS握手）C.大文件加密傳輸D.設(shè)備身份認(rèn)證答案：ABD解析：非對稱加密計算成本高，適合小數(shù)據(jù)（如密鑰、簽名）加密；大文件通常使用對稱加密（如AES），結(jié)合非對稱加密傳輸對稱密鑰。5.防范勒索軟件攻擊的措施包括：A.定期備份重要數(shù)據(jù)（離線存儲）B.及時更新系統(tǒng)和軟件補丁C.禁用宏功能（如Office文檔）D.安裝多引擎殺毒軟件答案：ABCD解析：勒索軟件常通過漏洞、惡意文檔傳播，備份數(shù)據(jù)可恢復(fù)被加密文件；補丁修復(fù)漏洞；禁用宏阻止文檔攻擊；殺毒軟件檢測惡意程序。6.以下哪些協(xié)議用于安全遠(yuǎn)程登錄？A.SSHB.TelnetC.RDP（遠(yuǎn)程桌面協(xié)議）D.SFTP答案：ACD解析：Telnet明文傳輸數(shù)據(jù)，不安全；SSH（安全外殼協(xié)議）、RDP（默認(rèn)啟用加密）、SFTP（SSH文件傳輸協(xié)議）均支持安全遠(yuǎn)程連接。7.物聯(lián)網(wǎng)（IoT）設(shè)備的安全加固措施包括：A.更改默認(rèn)用戶名和密碼B.關(guān)閉不必要的服務(wù)和端口C.定期更新固件D.啟用設(shè)備訪問控制列表（ACL）答案：ABCD解析：默認(rèn)弱口令、冗余服務(wù)、過期固件、無訪問控制是IoT設(shè)備的主要隱患，上述措施可針對性加固。8.以下屬于數(shù)據(jù)安全技術(shù)的有：A.數(shù)據(jù)脫敏B.數(shù)據(jù)加密C.數(shù)據(jù)備份D.數(shù)據(jù)擦除答案：ABCD解析：數(shù)據(jù)脫敏保護(hù)隱私，加密保障傳輸/存儲安全，備份防止丟失，擦除確保數(shù)據(jù)徹底銷毀，均屬數(shù)據(jù)安全范疇。9.以下哪些行為符合《網(wǎng)絡(luò)安全法》對個人信息保護(hù)的要求？A.某APP僅收集實現(xiàn)功能必需的最少個人信息B.某網(wǎng)站在用戶注冊時默認(rèn)勾選“同意共享個人信息給第三方”C.某公司在用戶注銷賬號后立即刪除其個人信息D.某平臺向用戶提供個人信息查詢和修改的功能答案：ACD解析：《網(wǎng)絡(luò)安全法》要求最小必要原則（A正確）、明示同意（B錯誤，默認(rèn)勾選違反自愿原則）、用戶權(quán)利（查詢、修改、注銷后刪除，C、D正確）。10.以下屬于網(wǎng)絡(luò)攻擊檢測技術(shù)的有：A.日志分析B.流量異常檢測C.蜜罐誘捕D.漏洞掃描答案：ABC解析：日志分析（審計攻擊痕跡）、流量異常檢測（識別異常流量模式）、蜜罐（模擬目標(biāo)吸引攻擊并分析）均屬攻擊檢測；漏洞掃描是風(fēng)險評估手段，非檢測技術(shù)。三、判斷題（每題1分，共10分。正確填“√”，錯誤填“×”）1.所有HTTPS網(wǎng)站都絕對安全，用戶無需擔(dān)心信息泄露。（）答案：×解析：HTTPS僅保障傳輸層加密，若網(wǎng)站服務(wù)器存在漏洞（如證書被篡改、后端數(shù)據(jù)庫泄露），仍可能導(dǎo)致信息泄露。2.弱口令屬于身份認(rèn)證環(huán)節(jié)的安全隱患。（）答案：√解析：弱口令易被暴力破解，直接影響身份認(rèn)證的有效性。3.手機“開發(fā)者模式”開啟后不會影響設(shè)備安全。（）答案：×解析：開發(fā)者模式允許高級調(diào)試功能（如USB調(diào)試），可能被攻擊者利用獲取設(shè)備權(quán)限，需謹(jǐn)慎啟用。4.電子郵件的“已讀回執(zhí)”功能可以完全防止郵件被轉(zhuǎn)發(fā)。（）答案：×解析：已讀回執(zhí)僅通知發(fā)件人郵件被打開，無法阻止收件人轉(zhuǎn)發(fā)郵件內(nèi)容。5.區(qū)塊鏈技術(shù)的“不可篡改性”意味著所有上鏈數(shù)據(jù)無法被刪除。（）答案：×解析：區(qū)塊鏈通過哈希鏈接保證數(shù)據(jù)不可篡改，但部分聯(lián)盟鏈或私有鏈支持權(quán)限控制下的數(shù)據(jù)刪除（如符合法規(guī)要求時）。6.關(guān)閉瀏覽器的“Cookies”功能可以完全防止跨站腳本攻擊（XSS）。（）答案：×解析：XSS攻擊通過注入惡意腳本竊取信息或劫持會話，關(guān)閉Cookies無法阻止腳本執(zhí)行，需通過輸入過濾、輸出編碼等措施防范。7.某公司將員工指紋信息存儲為哈希值，符合個人信息保護(hù)的“最小必要”原則。（）答案：×解析：“最小必要”原則要求僅收集實現(xiàn)功能必需的信息，指紋屬于生物識別信息（敏感信息），存儲哈希值雖增強安全性，但仍需評估收集的必要性。8.物聯(lián)網(wǎng)設(shè)備（IoT）無需安裝殺毒軟件，因為其系統(tǒng)簡單且無用戶交互。（）答案：×解析：部分IoT設(shè)備（如智能攝像頭、路由器）運行操作系統(tǒng)，可能感染惡意程序（如Mirai僵尸網(wǎng)絡(luò)），需通過固件安全、訪問控制等措施防護(hù)。9.網(wǎng)絡(luò)安全等級保護(hù)（等保2.0）要求第三級信息系統(tǒng)每年至少開展一次安全測評。（）答案：√解析：等保2.0規(guī)定，第三級系統(tǒng)需每年至少一次安全測評，第四級每半年一次。10.微信支付的“指紋支付”屬于單因素認(rèn)證。（）答案：×解析：指紋支付結(jié)合了生物特征（指紋）和設(shè)備綁定（手機），屬于多因素認(rèn)證（2FA）。四、案例分析題（每題10分，共20分）案例1：某高校圖書館管理系統(tǒng)數(shù)據(jù)泄露事件2024年11月，某高校圖書館管理系統(tǒng)被曝用戶數(shù)據(jù)泄露，泄露信息包括學(xué)生姓名、學(xué)號、借閱記錄（含圖書名稱）及部分身份證號。經(jīng)調(diào)查，攻擊路徑如下：攻擊者通過掃描發(fā)現(xiàn)系統(tǒng)存在未修復(fù)的SQL注入漏洞；利用漏洞獲取數(shù)據(jù)庫管理員（DBA）賬號密碼；通過DBA權(quán)限導(dǎo)出全部用戶數(shù)據(jù)并上傳至境外服務(wù)器。問題：1.分析該事件中暴露的主要安全隱患。（5分）2.提出至少3條針對性的整改措施。（5分）答案：1.主要安全隱患：系統(tǒng)漏洞未及時修復(fù)（SQL注入漏洞長期存在）；數(shù)據(jù)庫權(quán)限管理不當(dāng)（DBA賬號權(quán)限過高，未實施最小權(quán)限原則）；敏感數(shù)據(jù)（身份證號）未加密存儲；缺乏入侵檢測機制（未及時發(fā)現(xiàn)漏洞利用和數(shù)據(jù)導(dǎo)出行為）。2.整改措施：立即修復(fù)SQL注入漏洞（如使用預(yù)編譯語句、對用戶輸入進(jìn)行嚴(yán)格校驗）；限制DBA賬號權(quán)限（如僅授予必要的數(shù)據(jù)庫操作權(quán)限，啟用多因素認(rèn)證）；對敏感數(shù)據(jù)（身份證號、借閱記錄）進(jìn)行加密存儲（如AES加密）或脫敏處理（如隱藏部分字符）；部署入侵檢測系統(tǒng)（IDS）或Web應(yīng)用防火墻（WAF），監(jiān)控異常數(shù)據(jù)庫操作（如大批量數(shù)據(jù)導(dǎo)出）；定期開展安全漏洞掃描和滲透測試，及時發(fā)現(xiàn)并修復(fù)隱患。案例2：某企業(yè)遭遇勒索軟件攻擊2024年12月，某制造企業(yè)生產(chǎn)管理系統(tǒng)突發(fā)異常，所有文件被加密，攻擊者要求支付50枚比特幣（約200萬美元）解鎖。經(jīng)分析，攻擊源于員工點擊了一封主題為“設(shè)備采購報價單”的釣魚郵件，附件為惡意Word文檔（啟用宏后觸發(fā)勒索程序）。問題：1.說明該勒索軟件的傳播路徑。（3分）2.列出企業(yè)應(yīng)采取的應(yīng)急響應(yīng)措施。（4分）3.提出長期防范勒索軟件的策略。（3分）答案：1.傳播路徑：攻擊者通過釣魚郵件發(fā)送偽裝成“設(shè)備采購報價單”的惡意Word文檔→員工點擊附件并啟用宏→宏代碼執(zhí)行下載勒索軟件→勒索軟件加密本地及局域網(wǎng)內(nèi)文件。2.應(yīng)急響應(yīng)措施：立即斷開受感染設(shè)備與網(wǎng)絡(luò)的連接（隔離內(nèi)網(wǎng)），防止攻擊擴散；關(guān)閉受影響系統(tǒng)的文件共享服務(wù)，避免勒索軟件通過SMB等協(xié)議傳播至其他設(shè)備；檢查是否存在未被加密的備份數(shù)據(jù)（尤其是離線備份），嘗試通過備份恢復(fù)文件；向公安機關(guān)網(wǎng)絡(luò)安全部門報案，留存攻擊證據(jù)（如郵件、加密文件特征）；聯(lián)系安全廠商分析勒索軟件樣本，嘗試尋找解密工具（若存在公開解密方案）。3.長期防范策略：加強員工安全意識培訓(xùn)（如識別釣魚郵件、不隨意啟用文檔宏功能）；