2025年全國大學生網絡安全知識競賽試題庫及答案

2025年全國大學生網絡安全知識競賽試題庫及答案一、單項選擇題（每題2分，共40分）1.以下哪種加密算法屬于對稱加密？A.RSAB.ECCC.AESD.橢圓曲線加密答案：C解析：AES（高級加密標準）是典型的對稱加密算法，加密和解密使用相同密鑰；RSA、ECC（橢圓曲線加密）屬于非對稱加密。2.某網站用戶登錄界面提示“密碼需包含大寫字母、小寫字母、數字和特殊符號，長度至少8位”，這一要求主要是為了防范：A.暴力破解攻擊B.SQL注入攻擊C.DDoS攻擊D.跨站腳本攻擊（XSS）答案：A解析：復雜密碼策略通過增加密碼熵值，提高暴力破解的時間成本，直接防范暴力破解攻擊。3.以下哪項是DNS劫持的典型表現？A.訪問“”時跳轉到惡意網站B.電腦硬盤突然被加密并要求支付贖金C.網頁中彈出大量無關廣告窗口D.網絡傳輸速度突然大幅下降答案：A解析：DNS劫持通過篡改域名解析結果，將合法域名指向惡意IP，導致用戶訪問被劫持到釣魚或惡意網站。4.根據《中華人民共和國數據安全法》，重要數據的處理者應當按照規定對其數據處理活動定期開展：A.數據備份演練B.風險評估C.加密強度測試D.用戶權限審計答案：B解析：《數據安全法》第三十條規定，重要數據的處理者應定期開展風險評估，并向有關部門報送評估報告。5.在滲透測試中，“信息收集”階段的主要目的是：A.植入惡意代碼B.獲取目標系統權限C.分析目標系統弱點D.繪制目標網絡拓撲答案：D解析：信息收集階段通過公開信息、端口掃描等手段，繪制目標網絡拓撲、識別開放服務，為后續漏洞分析提供基礎。6.以下哪種協議默認使用SSL/TLS加密？A.FTPB.SMTPC.HTTPSD.Telnet答案：C解析：HTTPS（超文本傳輸安全協議）默認通過SSL/TLS加密傳輸數據，保障通信安全。7.某企業員工收到一封郵件，主題為“工資條更新通知”，附件為“2024年12月工資條.pdf”，但附件實際為惡意木馬。這種攻擊方式屬于：A.水坑攻擊B.釣魚攻擊C.中間人攻擊D.零日攻擊答案：B解析：釣魚攻擊通過偽造可信來源（如公司內部通知）誘導用戶點擊惡意鏈接或附件，竊取信息或植入惡意程序。8.以下哪項是防范SQL注入攻擊的最佳措施？A.對用戶輸入進行轉義處理B.關閉數據庫錯誤提示C.定期備份數據庫D.限制數據庫管理員權限答案：A解析：SQL注入的核心是用戶輸入未經驗證直接拼接至SQL語句，對輸入進行轉義（如使用預編譯語句）可有效阻斷攻擊。9.物聯網設備（IoT）常見的安全隱患不包括：A.默認弱口令B.固件更新不及時C.支持5G通信D.缺乏數據加密傳輸答案：C解析：5G是通信技術，本身不構成安全隱患；默認弱口令、固件漏洞、未加密傳輸是IoT設備的典型安全問題。10.以下哪種哈希算法已被證明存在碰撞漏洞，不建議用于安全場景？A.SHA256B.MD5C.SHA3D.BLAKE3答案：B解析：MD5算法因碰撞攻擊成本低（如可偽造相同哈希值的不同文件），已被廣泛認為不適合用于需要抗碰撞的安全場景。11.在網絡安全領域，“零信任模型”的核心原則是：A.信任內部網絡所有設備B.持續驗證訪問請求的合法性C.僅允許白名單內的IP訪問D.關閉所有不必要的網絡端口答案：B解析：零信任模型遵循“永不信任，始終驗證”原則，要求對所有訪問請求（無論內外）進行身份、設備、環境等多因素驗證。12.某系統日志顯示“用戶admin嘗試登錄失敗15次”，最可能的攻擊是：A.緩沖區溢出B.字典攻擊C.跨站請求偽造（CSRF）D.拒絕服務攻擊（DoS）答案：B解析：字典攻擊通過預先生成的密碼字典（如常見密碼列表）嘗試登錄，導致大量失敗記錄。13.以下哪項屬于數據脫敏技術？A.對數據庫進行加密B.將真實姓名替換為“用戶XXX”C.定期刪除過期數據D.限制數據庫查詢權限答案：B解析：數據脫敏通過替換、變形等方式將敏感信息（如姓名、身份證號）轉換為非敏感形式，保護隱私。14.以下哪種攻擊利用了操作系統或軟件未公開的漏洞？A.已知漏洞攻擊B.零日攻擊（ZerodayAttack）C.分布式拒絕服務攻擊（DDoS）D.社會工程學攻擊答案：B解析：零日攻擊針對未被修復或未被公開的漏洞（0天漏洞），攻擊者在官方補丁發布前利用漏洞實施攻擊。15.在Wireshark抓包工具中，過濾HTTP協議的正確表達式是：A.tcp.port==80B.udp.port==80C.ip.addr==80D.http.request答案：A解析：HTTP默認使用TCP80端口，因此過濾TCP端口80可捕獲HTTP流量；http.request僅過濾請求包，范圍較窄。16.根據《個人信息保護法》，處理敏感個人信息應當取得個人的：A.口頭同意B.書面同意C.單獨同意D.默示同意答案：C解析：《個人信息保護法》第二十九條規定，處理敏感個人信息應取得個人的單獨同意，明確告知處理的必要性和對個人權益的影響。17.以下哪種技術可以實現網絡流量的深度包檢測（DPI）？A.防火墻B.入侵檢測系統（IDS）C.虛擬專用網絡（VPN）D.負載均衡器答案：B解析：IDS（入侵檢測系統）通過深度包檢測分析流量內容，識別攻擊特征；防火墻多基于規則過濾，DPI能力較弱。18.某網站用戶注冊頁面要求輸入手機號并發送驗證碼，這一機制主要用于：A.防范SQL注入B.實現雙因素認證（2FA）C.防止暴力破解D.驗證用戶真實性答案：D解析：短信驗證碼通過驗證用戶擁有目標手機號，確認注冊者的真實性，屬于身份驗證的一部分；雙因素認證需結合另一種憑證（如密碼）。19.以下哪種加密方式屬于端到端加密（E2EE）？A.微信消息通過服務器加密傳輸B.電子郵件在傳輸過程中由SMTP加密C.手機銀行APP與服務器建立TLS連接D.Signal應用直接對消息內容加密，僅發送方和接收方可見答案：D解析：端到端加密（E2EE）確保數據僅在發送方和接收方解密，中間節點（如服務器）無法獲取明文；Signal是典型E2EE應用。20.以下哪項是防范DDoS攻擊的有效措施？A.關閉ICMP協議B.使用內容分發網絡（CDN）C.禁用JavaScriptD.限制數據庫連接數答案：B解析：CDN通過分布式節點分擔流量，可有效緩解DDoS攻擊中的流量洪泛；關閉ICMP可能影響網絡診斷，效果有限。二、多項選擇題（每題3分，共30分。多選、少選、錯選均不得分）1.以下屬于常見Web安全漏洞的有：A.跨站腳本攻擊（XSS）B.文件包含漏洞C.緩沖區溢出D.SQL注入答案：ABD解析：緩沖區溢出是程序內存管理漏洞，常見于二進制程序，不屬于Web應用特有漏洞；XSS、文件包含、SQL注入均為Web應用典型漏洞。2.根據《網絡安全法》，網絡運營者應當履行的安全義務包括：A.制定內部安全管理制度和操作規程B.采取數據分類、重要數據備份和加密等措施C.為公安機關提供技術支持和協助D.定期開展網絡安全培訓答案：ABCD解析：《網絡安全法》第二十一條、第二十八條等條款明確要求網絡運營者落實安全管理制度、數據保護、協助執法和人員培訓。3.以下哪些行為可能導致個人信息泄露？A.使用公共WiFi連接銀行APPB.掃描陌生二維碼C.在社交平臺公開發布火車票照片（含個人信息）D.安裝手機應用時勾選“同意隱私政策”答案：ABC解析：公共WiFi可能被中間人攻擊截獲數據；陌生二維碼可能指向惡意網站；火車票照片包含姓名、身份證號等敏感信息，公開后易被提取；勾選隱私政策是正常流程，不必然導致泄露（取決于應用是否合規）。4.以下屬于非對稱加密應用場景的有：A.數字簽名B.密鑰交換（如TLS握手）C.大文件加密傳輸D.設備身份認證答案：ABD解析：非對稱加密計算成本高，適合小數據（如密鑰、簽名）加密；大文件通常使用對稱加密（如AES），結合非對稱加密傳輸對稱密鑰。5.防范勒索軟件攻擊的措施包括：A.定期備份重要數據（離線存儲）B.及時更新系統和軟件補丁C.禁用宏功能（如Office文檔）D.安裝多引擎殺毒軟件答案：ABCD解析：勒索軟件常通過漏洞、惡意文檔傳播，備份數據可恢復被加密文件；補丁修復漏洞；禁用宏阻止文檔攻擊；殺毒軟件檢測惡意程序。6.以下哪些協議用于安全遠程登錄？A.SSHB.TelnetC.RDP（遠程桌面協議）D.SFTP答案：ACD解析：Telnet明文傳輸數據，不安全；SSH（安全外殼協議）、RDP（默認啟用加密）、SFTP（SSH文件傳輸協議）均支持安全遠程連接。7.物聯網（IoT）設備的安全加固措施包括：A.更改默認用戶名和密碼B.關閉不必要的服務和端口C.定期更新固件D.啟用設備訪問控制列表（ACL）答案：ABCD解析：默認弱口令、冗余服務、過期固件、無訪問控制是IoT設備的主要隱患，上述措施可針對性加固。8.以下屬于數據安全技術的有：A.數據脫敏B.數據加密C.數據備份D.數據擦除答案：ABCD解析：數據脫敏保護隱私，加密保障傳輸/存儲安全，備份防止丟失，擦除確保數據徹底銷毀，均屬數據安全范疇。9.以下哪些行為符合《網絡安全法》對個人信息保護的要求？A.某APP僅收集實現功能必需的最少個人信息B.某網站在用戶注冊時默認勾選“同意共享個人信息給第三方”C.某公司在用戶注銷賬號后立即刪除其個人信息D.某平臺向用戶提供個人信息查詢和修改的功能答案：ACD解析：《網絡安全法》要求最小必要原則（A正確）、明示同意（B錯誤，默認勾選違反自愿原則）、用戶權利（查詢、修改、注銷后刪除，C、D正確）。10.以下屬于網絡攻擊檢測技術的有：A.日志分析B.流量異常檢測C.蜜罐誘捕D.漏洞掃描答案：ABC解析：日志分析（審計攻擊痕跡）、流量異常檢測（識別異常流量模式）、蜜罐（模擬目標吸引攻擊并分析）均屬攻擊檢測；漏洞掃描是風險評估手段，非檢測技術。三、判斷題（每題1分，共10分。正確填“√”，錯誤填“×”）1.所有HTTPS網站都絕對安全，用戶無需擔心信息泄露。（）答案：×解析：HTTPS僅保障傳輸層加密，若網站服務器存在漏洞（如證書被篡改、后端數據庫泄露），仍可能導致信息泄露。2.弱口令屬于身份認證環節的安全隱患。（）答案：√解析：弱口令易被暴力破解，直接影響身份認證的有效性。3.手機“開發者模式”開啟后不會影響設備安全。（）答案：×解析：開發者模式允許高級調試功能（如USB調試），可能被攻擊者利用獲取設備權限，需謹慎啟用。4.電子郵件的“已讀回執”功能可以完全防止郵件被轉發。（）答案：×解析：已讀回執僅通知發件人郵件被打開，無法阻止收件人轉發郵件內容。5.區塊鏈技術的“不可篡改性”意味著所有上鏈數據無法被刪除。（）答案：×解析：區塊鏈通過哈希鏈接保證數據不可篡改，但部分聯盟鏈或私有鏈支持權限控制下的數據刪除（如符合法規要求時）。6.關閉瀏覽器的“Cookies”功能可以完全防止跨站腳本攻擊（XSS）。（）答案：×解析：XSS攻擊通過注入惡意腳本竊取信息或劫持會話，關閉Cookies無法阻止腳本執行，需通過輸入過濾、輸出編碼等措施防范。7.某公司將員工指紋信息存儲為哈希值，符合個人信息保護的“最小必要”原則。（）答案：×解析：“最小必要”原則要求僅收集實現功能必需的信息，指紋屬于生物識別信息（敏感信息），存儲哈希值雖增強安全性，但仍需評估收集的必要性。8.物聯網設備（IoT）無需安裝殺毒軟件，因為其系統簡單且無用戶交互。（）答案：×解析：部分IoT設備（如智能攝像頭、路由器）運行操作系統，可能感染惡意程序（如Mirai僵尸網絡），需通過固件安全、訪問控制等措施防護。9.網絡安全等級保護（等保2.0）要求第三級信息系統每年至少開展一次安全測評。（）答案：√解析：等保2.0規定，第三級系統需每年至少一次安全測評，第四級每半年一次。10.微信支付的“指紋支付”屬于單因素認證。（）答案：×解析：指紋支付結合了生物特征（指紋）和設備綁定（手機），屬于多因素認證（2FA）。四、案例分析題（每題10分，共20分）案例1：某高校圖書館管理系統數據泄露事件2024年11月，某高校圖書館管理系統被曝用戶數據泄露，泄露信息包括學生姓名、學號、借閱記錄（含圖書名稱）及部分身份證號。經調查，攻擊路徑如下：攻擊者通過掃描發現系統存在未修復的SQL注入漏洞；利用漏洞獲取數據庫管理員（DBA）賬號密碼；通過DBA權限導出全部用戶數據并上傳至境外服務器。問題：1.分析該事件中暴露的主要安全隱患。（5分）2.提出至少3條針對性的整改措施。（5分）答案：1.主要安全隱患：系統漏洞未及時修復（SQL注入漏洞長期存在）；數據庫權限管理不當（DBA賬號權限過高，未實施最小權限原則）；敏感數據（身份證號）未加密存儲；缺乏入侵檢測機制（未及時發現漏洞利用和數據導出行為）。2.整改措施：立即修復SQL注入漏洞（如使用預編譯語句、對用戶輸入進行嚴格校驗）；限制DBA賬號權限（如僅授予必要的數據庫操作權限，啟用多因素認證）；對敏感數據（身份證號、借閱記錄）進行加密存儲（如AES加密）或脫敏處理（如隱藏部分字符）；部署入侵檢測系統（IDS）或Web應用防火墻（WAF），監控異常數據庫操作（如大批量數據導出）；定期開展安全漏洞掃描和滲透測試，及時發現并修復隱患。案例2：某企業遭遇勒索軟件攻擊2024年12月，某制造企業生產管理系統突發異常，所有文件被加密，攻擊者要求支付50枚比特幣（約200萬美元）解鎖。經分析，攻擊源于員工點擊了一封主題為“設備采購報價單”的釣魚郵件，附件為惡意Word文檔（啟用宏后觸發勒索程序）。問題：1.說明該勒索軟件的傳播路徑。（3分）2.列出企業應采取的應急響應措施。（4分）3.提出長期防范勒索軟件的策略。（3分）答案：1.傳播路徑：攻擊者通過釣魚郵件發送偽裝成“設備采購報價單”的惡意Word文檔→員工點擊附件并啟用宏→宏代碼執行下載勒索軟件→勒索軟件加密本地及局域網內文件。2.應急響應措施：立即斷開受感染設備與網絡的連接（隔離內網），防止攻擊擴散；關閉受影響系統的文件共享服務，避免勒索軟件通過SMB等協議傳播至其他設備；檢查是否存在未被加密的備份數據（尤其是離線備份），嘗試通過備份恢復文件；向公安機關網絡安全部門報案，留存攻擊證據（如郵件、加密文件特征）；聯系安全廠商分析勒索軟件樣本，嘗試尋找解密工具（若存在公開解密方案）。3.長期防范策略：加強員工安全意識培訓（如識別釣魚郵件、不隨意啟用文檔宏功能）；