安全分析師崗位招聘考試試卷及答案填空題（每題1分，共10分）1.允許攻擊者執(zhí)行未授權(quán)系統(tǒng)命令的Web漏洞是______。2.漏洞掃描工具Nessus的核心功能是______。3.TCP三次握手第三次報(bào)文的標(biāo)志位是______。4.ISO27001是______管理體系標(biāo)準(zhǔn)。5.附加到正常程序感染其他文件的惡意軟件是______。6.防火墻按技術(shù)分：包過濾、狀態(tài)檢測、______。7.SHA-256屬于______算法。8.耗盡目標(biāo)資源的攻擊類型是______。9.非對稱加密的兩個(gè)密鑰是公鑰和______。10.滲透測試的第一步通常是______。單項(xiàng)選擇題（每題2分，共20分）1.以下屬于OWASPTop10漏洞的是？A.內(nèi)存泄漏B.命令注入C.磁盤滿D.網(wǎng)卡故障2.用于密碼破解的工具是？A.NmapB.JohntheRipperC.WiresharkD.Metasploit3.狀態(tài)檢測防火墻不檢查以下哪項(xiàng)？A.源IPB.目的端口C.連接狀態(tài)D.應(yīng)用層內(nèi)容4.安全的遠(yuǎn)程管理協(xié)議是？A.TelnetB.SSHC.FTPD.HTTP5.不主動(dòng)傳播的惡意軟件是？A.病毒B.蠕蟲C.木馬D.勒索軟件6.ISO27001的核心是？A.技術(shù)防護(hù)B.風(fēng)險(xiǎn)評估C.人員培訓(xùn)D.設(shè)備采購7.哈希碰撞指？A.不同輸入得相同哈希值B.相同輸入得不同哈希值C.哈希值被篡改D.哈希算法被破解8.滲透測試中權(quán)限提升的目標(biāo)是？A.普通用戶權(quán)限B.管理員權(quán)限C.關(guān)閉防火墻D.清除日志9.屬于網(wǎng)絡(luò)層攻擊的是？A.SQL注入B.XSSC.SYNFloodD.CSRF10.安全事件響應(yīng)第一步是？A.隔離受影響系統(tǒng)B.調(diào)查原因C.報(bào)告管理層D.恢復(fù)系統(tǒng)多項(xiàng)選擇題（每題2分，共20分，多選/少選不得分）1.屬于Web漏洞的有？A.SQL注入B.XSSC.CSRFD.緩沖區(qū)溢出2.屬于網(wǎng)絡(luò)安全工具的有？A.NmapB.WiresharkC.ExcelD.Metasploit3.密碼學(xué)基本目標(biāo)包括？A.機(jī)密性B.完整性C.可用性D.不可否認(rèn)性4.滲透測試階段包括？A.信息收集B.漏洞利用C.權(quán)限提升D.報(bào)告編寫5.屬于惡意軟件的有？A.病毒B.蠕蟲C.木馬D.廣告軟件6.防火墻功能包括？A.訪問控制B.地址轉(zhuǎn)換C.入侵檢測D.病毒查殺7.ISO27001控制域包括？A.安全政策B.資產(chǎn)管理C.訪問控制D.通信安全8.屬于DDoS攻擊的有？A.SYNFloodB.UDPFloodC.慢攻擊D.SQL注入9.安全事件響應(yīng)步驟包括？A.準(zhǔn)備B.檢測分析C.遏制D.恢復(fù)10.屬于非對稱加密算法的有？A.RSAB.AESC.ECCD.DES判斷題（每題2分，共20分，對/錯(cuò)）1.病毒可以自我復(fù)制。2.Telnet是安全的遠(yuǎn)程管理協(xié)議。3.哈希算法是可逆的。4.Nmap只能掃描TCP端口。5.ISO27001要求每年一次內(nèi)部審核。6.木馬會(huì)主動(dòng)傳播。7.Wireshark可以捕獲網(wǎng)絡(luò)流量。8.權(quán)限提升只能在本地進(jìn)行。9.CSRF攻擊不需要用戶登錄。10.DDoS攻擊由單個(gè)主機(jī)發(fā)起。簡答題（每題5分，共20分）1.簡述SQL注入漏洞的原理及危害。2.什么是滲透測試？主要目的是什么？3.簡述信息安全CIA三元組的含義。4.安全事件響應(yīng)“遏制”階段的主要任務(wù)是什么？討論題（每題5分，共10分）1.發(fā)現(xiàn)企業(yè)Web應(yīng)用存在XSS漏洞，作為安全分析師如何處理？2.企業(yè)遭遇DDoS攻擊，應(yīng)采取哪些應(yīng)急措施？---答案填空題1.命令注入2.漏洞檢測3.ACK4.信息安全5.病毒6.應(yīng)用代理7.哈希（散列）8.DDoS（分布式拒絕服務(wù)）9.私鑰10.信息收集單項(xiàng)選擇題1.B2.B3.D4.B5.C6.B7.A8.B9.C10.A多項(xiàng)選擇題1.ABC2.ABD3.ABCD4.ABCD5.ABCD6.AB7.ABCD8.ABC9.ABCD10.AC判斷題1.對2.錯(cuò)3.錯(cuò)4.錯(cuò)5.對6.錯(cuò)7.對8.錯(cuò)9.錯(cuò)10.錯(cuò)簡答題1.原理：攻擊者構(gòu)造含SQL語句的惡意輸入，注入Web應(yīng)用數(shù)據(jù)庫查詢，使數(shù)據(jù)庫執(zhí)行非預(yù)期命令。危害：竊取敏感數(shù)據(jù)（密碼、信用卡）、篡改/刪除數(shù)據(jù)、獲取數(shù)據(jù)庫權(quán)限甚至控制服務(wù)器。2.滲透測試是模擬黑客攻擊，測試目標(biāo)系統(tǒng)安全的過程。目的：發(fā)現(xiàn)漏洞、評估風(fēng)險(xiǎn)、驗(yàn)證防護(hù)有效性、提供修復(fù)建議，提升系統(tǒng)安全性。3.CIA三元組：機(jī)密性（信息不被未授權(quán)訪問）、完整性（信息不被篡改/偽造）、可用性（合法用戶可正常訪問系統(tǒng)/數(shù)據(jù)）。4.遏制階段任務(wù)：隔離受影響系統(tǒng)/網(wǎng)絡(luò)，防止攻擊擴(kuò)散；阻止攻擊者進(jìn)一步訪問；保留證據(jù)（日志、鏡像）；確定攻擊范圍和影響，為后續(xù)做準(zhǔn)備。討論題1.首先確認(rèn)XSS類型（存儲/反射/DOM）及影響；評估風(fēng)險(xiǎn)（是否竊取Cookie、執(zhí)行腳本）；提出修復(fù)建議（輸入驗(yàn)證、輸出編碼、HttpOnlyCoo