2026年網絡攻防基礎理論題庫（含答案）

2026年網絡攻防基礎理論題庫（含答案）一、單項選擇題（每題2分，共30分。每題僅有一個正確選項）1.在TCP/IP協議棧中，攻擊者向目標主機發送大量源IP地址偽造的SYN請求包，但不完成三次握手，導致目標主機的半連接隊列被占滿，從而無法響應合法請求。這種攻擊屬于（）。A.分布式拒絕服務攻擊（DDoS）B.同步洪水攻擊（SYNFlood）C.死亡之ping（PingofDeath）D.慢速連接攻擊（Slowloris）2.下列密碼學算法中，屬于非對稱加密算法且廣泛應用于數字簽名與密鑰交換的是（）。A.AESB.RSAC.SHA-256D.RC43.在SQL注入攻擊中，攻擊者提交`'OR'1'='1`到登錄表單的用戶名字段，其核心利用原理是（）。A.繞過輸入長度限制B.閉合原SQL語句中的引號并改變其邏輯結構C.利用數據庫的存儲過程漏洞D.通過錯誤消息泄露數據庫版本信息4.下列關于防火墻與入侵檢測系統（IDS）的說法，正確的是（）。A.防火墻能夠檢測并阻止所有應用層攻擊B.IDS是串聯在網絡鏈路中的設備，能夠實時阻斷惡意流量C.防火墻主要基于規則匹配進行訪問控制，而IDS側重流量監控與告警D.部署IDS后，防火墻的訪問控制功能可以被完全替代5.在Linux系統中，某普通用戶執行`sudocat/etc/shadow`命令失敗。該現象體現了哪種安全機制（）。A.強制訪問控制（MAC）B.自主訪問控制（DAC）C.基于角色的訪問控制（RBAC）D.基于屬性的訪問控制（ABAC）6.在Web安全領域，跨站腳本攻擊（XSS）與跨站請求偽造（CSRF）的主要區別在于（）。A.XSS利用用戶對網站的信任，CSRF利用網站對用戶的信任B.XSS屬于主動攻擊，CSRF屬于被動攻擊C.XSS攻擊只能影響當前用戶，CSRF攻擊只能影響服務器D.XSS需要JavaScript執行環境，而CSRF不需要7.關于端口掃描技術，以下描述錯誤的是（）。A.TCPConnect掃描會在目標主機上留下完整的連接日志B.SYN半開掃描在掃描過程中不會建立完整的TCP連接C.FIN掃描利用TCP協議中關閉連接的控制位進行探測，適用于所有操作系統D.UDP掃描通常需要等待ICMP端口不可達消息來判斷端口狀態8.在公鑰基礎設施（PKI）體系中，數字證書的吊銷信息通常通過以下哪種機制發布（）。A.CRL（證書吊銷列表）或OCSP（在線證書狀態協議）B.CA（證書頒發機構）的私鑰直接修改證書內容C.使用對稱密鑰對證書進行重新加密D.通過DNS記錄更新證書狀態9.攻擊者通過社會工程學手段，冒充IT管理員向員工發送包含惡意附件的釣魚郵件。從攻擊鏈模型看，該行為屬于哪個階段（）。A.偵察與武器化B.交付與利用C.命令與控制（C2）D.橫向移動10.在滲透測試中，Nmap工具執行`nmap-sS-p1-1000`命令。其中`-sS`參數表示采用（）。A.TCP全連接掃描B.TCPSYN半開掃描C.UDP掃描D.ICMP主機發現掃描11.關于Wireshark抓包分析，在HTTP協議會話中，若需要提取所有包含“password”關鍵字的明文數據包，最有效的顯示過濾器是（）。A.`tcp.port==80`B.`httpcontains"password"`C.`ip.addr==`D.`tcp.flags.syn==1`12.在Windows系統中，用于存儲用戶賬戶密碼哈希（LMHash或NTLMHash）的安全數據庫文件是（）。A.C:\Windows\System32\config\SAMB.C:\Windows\System32\drivers\etc\hostsC.C:\Users\Administrator\NTUSER.DATD.C:\Windows\System32\config\SECURITY13.下列哪種惡意代碼類型具有自我復制能力，且無需宿主文件即可獨立傳播（）。A.計算機病毒B.蠕蟲C.木馬D.邏輯炸彈14.在密碼分析中，已知明文攻擊（Known-PlaintextAttack）指的是攻擊者（）。A.僅擁有若干密文，試圖推導出明文或密鑰B.能夠選擇任意明文并獲取對應的密文C.已知若干明文及其對應的密文，試圖推導出密鑰D.能夠選擇任意密文并獲取對應的明文15.根據ISO/IEC27001信息安全管理體系標準，下列哪項屬于“物理和環境安全”控制措施（）。A.部署Web應用防火墻B.對機房實施門禁系統與視頻監控C.對員工進行安全意識培訓D.制定業務連續性計劃二、多項選擇題（每題3分，共15分。每題有兩個或以上正確選項，少選得1分，多選、錯選不得分）16.下列屬于網絡嗅探（Sniffing）攻擊的防御措施的有（）。A.在網絡中全面部署并啟用SSH、HTTPS等加密協議B.使用靜態ARP表或部署動態ARP檢測（DAI）防止ARP欺騙C.將網絡核心交換機配置為所有端口均處于混雜模式D.使用交換式網絡替代共享式集線器（Hub）17.關于DDoS攻擊的典型類型，以下屬于應用層DDoS攻擊的有（）。A.HTTPFlood（HTTP洪水攻擊）B.DNSAmplification（DNS放大攻擊）C.Slowloris慢速連接攻擊D.針對數據庫的SQL注入攻擊18.在Linux系統加固中，以下操作能夠有效提升SSH遠程登錄安全性的有（）。A.修改默認端口22為非標準端口B.在`/etc/ssh/sshd_config`中設置`PermitRootLoginno`C.配置基于密鑰的認證并禁用密碼認證D.使用`iptables`限制僅允許特定IP地址訪問SSH端口19.關于日志分析與安全審計，以下說法正確的有（）。A.Windows事件日志中，事件ID4624表示賬戶成功登錄B.Linux系統的`/var/log/auth.log`（或`/var/log/secure`）記錄認證授權信息C.安全信息和事件管理（SIEM）系統可對多源日志進行關聯分析D.日志文件一旦生成，其完整性無需保護，因為日志只是參考信息20.關于Web應用防火墻（WAF）的部署模式，以下屬于其常見部署方式的有（）。A.透明網橋模式（串聯部署）B.反向代理模式C.旁路鏡像模式（僅監控不阻斷）D.路由模式（串接在網絡中）三、填空題（每題2分，共20分）21.在TCP/IP協議中，IP地址`/24`所在子網能夠容納的最大可用主機數量為________個（不考慮網關占用）。22.常見的對稱加密算法中，DES算法的密鑰長度為________位（不含奇偶校驗位），而AES算法支持128、192和________位三種密鑰長度。23.在Linux系統中，設置文件`config.php`權限為所有者可讀寫執行、組用戶可讀、其他用戶無任何權限，對應的八進制權限數字為________。24.在HTTP協議中，服務器返回狀態碼________表示“未授權”（Unauthorized），狀態碼404表示________。25.在滲透測試中，Metasploit框架中的常用命令`useexploit/windows/smb/ms17_010_eternalblue`針對的是Windows系統的________漏洞（填寫漏洞名稱或編號）。26.在密碼學中，消息認證碼（MAC）算法同時提供完整性驗證和________驗證功能，HMAC是其中一種基于哈希函數的實現方案。27.在Windows權限提升過程中，若發現當前用戶具有SeImpersonatePrivilege權限，攻擊者通?？梢岳胈_______工具（或技術）進行令牌模擬攻擊，實現本地權限提升。28.在網絡安全等級保護2.0標準（GB/T22239-2019）中，等級保護對象的安全保護等級分為________級，其中第三級要求每年至少開展一次________。29.在BurpSuite工具中，用于攔截并修改HTTP請求/響應的代理監聽默認端口為________。30.在數字取證中，使用md5sum或sha256sum工具計算證據文件的哈希值，其主要目的是保證電子證據的________性。四、判斷題（每題1分，共10分。正確的打“√”，錯誤的打“×”）31.在對稱加密中，加密和解密使用相同的密鑰，因此密鑰分發問題完全不存在。（）32.防火墻的默認安全策略通常是“白名單”模式，即允許所有流量，僅阻斷明確禁止的規則。（）33.在ARP協議中，攻擊者發送偽造的ARP應答包可以將受害者的流量重定向到攻擊者主機，實現中間人攻擊。（）34.SQL注入攻擊只能發生在基于GET請求的表單提交場景中，POST請求不受影響。（）35.在Linux系統中，`chmod777script.sh`命令表示任何用戶對該文件都有讀、寫、執行權限。（）36.公鑰密碼體制中，加密使用的公鑰是公開的，但解密使用的私鑰必須保密；同時，用私鑰簽名后，任何人都可以用對應的公鑰驗證簽名的有效性。（）37.蠕蟲病毒與普通病毒的最大區別在于，蠕蟲不需要宿主程序即可獨立復制和傳播。（）38.Honeypot（蜜罐）技術是一種主動防御手段，其核心價值在于誘騙攻擊者，從而捕獲攻擊行為和分析攻擊工具。（）39.在Web安全中，同源策略規定：不同協議（如http與https）、不同端口或不同域名之間的腳本，默認情況下可以相互讀取DOM（文檔對象模型）數據。（）40.在應急響應過程中，第一步應該是立即斷開受感染主機的網絡連接，然后直接進行系統重裝，無需保留任何現場數據。（）五、簡答題（每題5分，共15分）41.簡述對稱加密與非對稱加密的主要區別，并各舉一個典型算法。在混合加密體系（如HTTPS的TLS握手過程）中，兩者是如何協同工作的？42.描述一次完整的SQL注入攻擊的基本步驟（至少四個階段），并說明參數化查詢（PreparedStatement）為什么能夠有效防御該攻擊。43.什么是“中間人攻擊”（MITM）？以ARP欺騙為例，詳細說明攻擊者實施中間人攻擊的過程、造成的主要危害，以及至少兩種防御措施。六、綜合應用題（每題10分，共20分）44.【網絡流量分析題】某公司網絡管理員在Wireshark中捕獲到一段可疑的TCP流量。已知三次握手的序列號如下：客戶端發送`SYN`，序列號`seq=1000`；服務器回復`SYN-ACK`，序列號`seq=5000`，確認號`ack=1001`；客戶端發送`ACK`，確認號`ack=5001`。(1)請問該TCP連接是否成功建立？請寫出判斷依據。(2)在連接建立后，客戶端發送了一個長度為1000字節的數據包，該數據包的序列號應為多少？服務器收到后回復的ACK確認號應為多少？(3)假設攻擊者在連接建立后，偽造了一個源IP和端口均與服務器相同的RST包發送給客戶端，該RST包的序列號需要滿足什么條件才能成功重置該連接？簡述TCP會話劫持的基本原理。45.【滲透測試綜合分析題】某企業Web服務器（IP:0）疑似被入侵。安全團隊在日志中發現以下異常記錄：記錄一：`GET/admin/login.phpHTTP/1.1`后緊跟`Cookie:PHPSESSID=abc123;admin=1`記錄二：`POST/search.php`的請求體中包含`keyword=1'UNIONSELECTusername,passwordFROMusers---`記錄三：從IP``發起的大批量`GET/index.php`請求，且HTTP頭中`User-Agent`字段為空或異常。(1)請分別分析三條日志記錄可能對應的攻擊類型。(2)針對記錄二所反映的漏洞，請寫出一種利用該漏洞獲取數據庫版本信息的完整注入語句。(3)請結合上述日志，給出至少四項針對該服務器的安全加固建議。試卷答案及解析一、單項選擇題1.B解析：SYNFlood攻擊的核心特征是利用偽造源IP發送SYN包，填滿半連接隊列。2.B解析：RSA是最經典的非對稱加密算法，AES、RC4為對稱加密，SHA-256為哈希算法。3.B解析：`'OR'1'='1`通過閉合單引號，使原SQL語句邏輯恒真，從而繞過身份驗證。4.C解析：防火墻側重訪問控制，IDS側重監測告警，IDS通常旁路部署，無法直接阻斷。5.B解析：普通用戶無法訪問shadow文件，是DAC（用戶對自己文件權限管理）的體現，而root讀取權限屬于ACL擴展。MAC（如SELinux）是強制性的系統級策略。6.A解析：XSS利用用戶對網站的信任執行惡意腳本；CSRF利用網站對已認證用戶的信任發起偽造請求。7.C解析：FIN掃描對Windows系統無效，因為Windows對關閉端口發送的FIN包會回復RST，該描述“適用于所有操作系統”錯誤。8.A解析：CRL是證書吊銷列表，OCSP是在線證書狀態協議。9.B解析：釣魚郵件發送屬于攻擊鏈中的“交付”階段，惡意附件屬于“武器化”，但該行為整體屬于交付與利用。10.B解析：`-sS`是SYN半開掃描（stealthscan）。11.B解析：`httpcontains"password"`是Wireshark中針對HTTP協議內容的顯示過濾器。12.A解析：SAM數據庫存儲Windows本地用戶密碼哈希。13.B解析：蠕蟲具有自我復制和獨立傳播能力，無需宿主文件。14.C解析：已知明文攻擊是同時擁有若干明文和對應密文，試圖推導密鑰。15.B解析：門禁和視頻監控屬于物理與環境安全控制。二、多項選擇題16.A,B,D解析：C選項“端口處于混雜模式”會擴大嗅探面，是攻擊行為，不屬于防御措施。17.A,C解析：DNS放大屬于網絡層/反射型DDoS，SQL注入屬于漏洞利用而非純粹的DDoS流量型攻擊。應用層DDoS主要是HTTPFlood和慢速攻擊。18.A,B,C,D解析：四項均能有效提升SSH安全性。19.A,B,C解析：日志完整性同樣需要保護，D錯誤。20.A,B,C,D解析：WAF可支持透明網橋、反向代理、旁路監控（鏡像）、路由模式等四種主要部署方式。三、填空題21.254解析：/24子網可用主機數為2^8-2=254。22.56；256解析：DES實際有效密鑰長度為56位（8位校驗位不計）；AES支持128、192、256位。23.750解析：rwxr-x---=4+2+1/4+0+1/0=750。24.401；未找到（NotFound）25.MS17-010（或“永恒之藍”漏洞，EternalBlue）26.來源（或身份）解析：MAC同時提供完整性驗證和消息來源認證。27.Potato（或JuicyPotato/PrintSpoofer，任填一個即可）28.五；等級保護測評（或安全檢測評估）29.8080解析：BurpSuite默認代理監聽端口為8080。30.完整性四、判斷題31.×解析：對稱加密存在密鑰分發難題。32.×解析：傳統防火墻默認策略通常是“黑名單”模式（默認允許），但安全設計原則傾向于默認拒絕（白名單）。33.√34.×解析：POST、Cookie、HTTP頭等位置均可注入。35.√36.√37.√38.√39.×解析：同源策略禁止跨域讀取DOM。40.×解析：應急響應應先保護現場、保留證據，再進行分析和處置。五、簡答題41.參考答案：（1）區別：對稱加密：加密和解密使用同一密鑰，運算速度快，適合加密大量數據；缺點是密鑰分發和管理困難。典型算法：AES、DES、3DES。非對稱加密：加密和解密使用一對密鑰（公鑰和私鑰），公鑰公開、私鑰保密，安全性高，但運算速度慢。典型算法：RSA、ECC。（2）協同工作：在HTTPS的TLS握手中，客戶端和服務器使用非對稱加密（如RSA）協商生成一個臨時的對稱會話密鑰（Pre-masterSecret），后續所有業務數據傳輸均使用對稱加密（如AES）進行，兼顧了安全性和效率。42.參考答案：（1）基本步驟：①探測與判斷：在輸入點（如URL參數、表單字段）提交單引號、特殊字符等，觀察報錯信息或頁面回顯差異，判斷是否存在注入點。②獲取信息：通過`ORDERBY`或`UNIONSELECT`判斷查詢字段數量；利用`DATABASE()`、`VERSION()`、`USER()`等函數獲取數據庫名、版本、用戶權限等基本信息。③脫取數據：查詢系統表（如MySQL的`information_schema.tables`和`columns`）獲取所有表名和字段名，進而脫取敏感數據（如用戶名、密碼哈希）。④提權或后滲透：若數據庫權限較高，可嘗試使用`INTOOUTFILE`寫入Webshell，或者讀取服務器敏感文件，最終控制服務器。（2）防御原理：參數化查詢（PreparedStatement）將SQL語句的結構（模板）和數據參數分離開來。數據庫引擎首先編譯SQL結構模板，之后將參數作為純數據綁定傳入，無論參數中是否包含惡意SQL代碼，均不會改變已編譯的SQL語句結構，從而徹底阻斷注入。43.參考答案：（1）定義：中間人攻擊是指攻擊者位于通信雙方之間，在雙方毫不知情的情況下，攔截、轉發甚至篡改雙方的通信內容。（2）ARP欺騙實施過程：①攻擊者向目標主機A發送偽造的ARP應答，聲稱自己是網關（例如IP，MAC為攻擊者MAC）。②攻擊者向網關發送偽造的ARP應答，聲稱自己是主機A。③此后，主機A發給網關的數據包實際發送到攻擊者主機，攻擊者再將數據包轉發給真正的網關，實現透明攔截。（3）危害：竊取敏感信息（賬號密碼、郵件內容）、篡改傳輸數據（如注入惡意代碼）、劫持會話。（4）防御措施：①使用靜態ARP表，避免動態ARP學習。②部署DHCPSnooping+動態ARP檢測（DAI）功能，過濾非法ARP報文。③通信全程啟用加密協議（如SSH、HTTPS），即使數據被截獲也無法解密。④使用端口安全特性限制交換機端口MAC地址學習數量。六、綜合應用題44.參考答案：(1)連接成功建立。判斷依據：三次握手完整——第一次SYN（seq=1000），第二次SYN-ACK（seq=5000,ack=1001），第三次ACK（ack=5001）。ACK確認號等于對方序列號加1，符合TCP協議規范。(2)客戶端發送數據包的序列號為`1001`（seq=1001），服務器收到后回復的ACK確認號為`2001`（ack=1001+1000=2001）。(3)RST包的序列號條件：攻擊者偽造的RST包中的序列號必須在目標主機當前期望接收的序列號范圍內（即等于或包含在對方接收窗口內）。具體來說，若目標主機當前期望的下一個序列號為`N`，則RST包的`seq`必須等于`N`（或位于接收窗口`[N,N+WindowSize-1]`內），才能被對方接受并重置連接。TCP會話劫持原理：攻擊者通過嗅探或猜測，獲取TCP連接雙方的序列號和確認號。在合法主機不發送數據的時間窗口內，攻擊者偽造源IP、源端口、目的IP、目的端口均匹配的數據包（或RST包）