2024年2月1+x網(wǎng)絡(luò)安全評估習(xí)題（附答案解析一、單選題（共50題，每題1分，共50分）1.會話固定的原理是？A、截取目標登錄憑證B、預(yù)測對方登錄可能用到的憑證C、讓目標誤以為攻擊者是服務(wù)器D、讓目標使用自己構(gòu)造好的憑證登錄正確答案：D答案解析：會話固定是指攻擊者通過某種手段使目標用戶使用攻擊者預(yù)先構(gòu)造好的認證憑證進行登錄。選項A截取目標登錄憑證并不是會話固定的原理；選項B預(yù)測對方登錄可能用到的憑證不屬于會話固定的原理；選項C讓目標誤以為攻擊者是服務(wù)器也不是會話固定的原理。所以正確答案是D。2.關(guān)于HTML事件的敘述，錯誤的是A、onerror當(dāng)錯誤執(zhí)行腳本B、onclick鼠標點擊執(zhí)行腳本C、onkeypress當(dāng)按下鍵盤執(zhí)行腳本D、onkeyup松開鍵盤執(zhí)行腳本正確答案：C3.下面哪個功能最不可能存在儲存型xssA、評論B、個人簡介C、提交博客D、點贊正確答案：D答案解析：儲存型XSS攻擊通常是指攻擊者通過在目標網(wǎng)站中注入惡意腳本，并將其存儲在服務(wù)器端，當(dāng)其他用戶訪問該頁面時，惡意腳本會被執(zhí)行，從而達到攻擊目的。評論、個人簡介、提交博客等功能都有可能將用戶輸入的數(shù)據(jù)存儲到服務(wù)器端，存在儲存型XSS的風(fēng)險。而點贊功能一般只是對已有的內(nèi)容進行一個簡單的交互操作，不會將用戶輸入的數(shù)據(jù)存儲到服務(wù)器端，所以最不可能存在儲存型XSS。4.下列不是網(wǎng)站存在XSS漏洞的原因是（）A、網(wǎng)站存在可供用戶輸入的交互模式B、網(wǎng)站對用戶輸入的數(shù)據(jù)未作過濾C、網(wǎng)站未對用戶下的敏感操作進行二次校驗D、網(wǎng)站對輸出的數(shù)據(jù)未做處理正確答案：C答案解析：XSS漏洞產(chǎn)生的原因主要是網(wǎng)站存在用戶輸入交互模式，且對用戶輸入數(shù)據(jù)未進行有效過濾，同時對輸出數(shù)據(jù)未做處理。而未對用戶下的敏感操作進行二次校驗與XSS漏洞的產(chǎn)生沒有直接關(guān)系。5.寬字符SQL注入，主要利用的是哪種漏洞來實現(xiàn)的（）。A、GBK和UTF-8編碼不統(tǒng)一B、GBK長字符和短字符編碼不統(tǒng)一C、UTF-8長字符和短字符編碼不統(tǒng)一D、GBK和UTF-8編碼不一致正確答案：A6.下面哪個函數(shù)可以起到過濾作用？A、replace()B、preg_replace()C、addslashes()D、find()正確答案：B答案解析：preg_replace()函數(shù)用于執(zhí)行正則表達式的搜索和替換，它可以通過正則表達式模式來匹配和處理字符串，起到過濾特定模式的字符串的作用。而replace()函數(shù)通常不是用于過濾的標準函數(shù)名稱；addslashes()主要用于轉(zhuǎn)義字符串中的特殊字符，不是用于過濾；find()也不是一個常見的直接用于過濾的函數(shù)。7.電信詐騙識別公式中的因素不包括下列哪個？A、無法確定人物身份B、用電話、網(wǎng)絡(luò)、短信等溝通工具見不到真人C、匯款、轉(zhuǎn)賬要求D、隱私類正確答案：D答案解析：電信詐騙識別公式中的因素通常包括涉及匯款轉(zhuǎn)賬要求、溝通工具見不到真人、無法確定人物身份等。隱私類并不直接屬于電信詐騙識別公式中典型的識別因素。8.Weevely是一個Kali中集成的webshell工具，它支持的語言有（）。A、ASPB、PHPC、JSPD、C/C++正確答案：B9.著名的nmap軟件工具不能實現(xiàn)下列哪一項功能?A、端口掃描B、安全漏洞掃描C、whois查詢D、操作系統(tǒng)類型探測正確答案：C答案解析：Nmap是一個網(wǎng)絡(luò)掃描工具，可用于端口掃描、安全漏洞掃描、操作系統(tǒng)類型探測等功能。但whois查詢并不是nmap的功能，通常有專門的whois工具來進行相關(guān)查詢。10.（）利用以太網(wǎng)的特點，將設(shè)備網(wǎng)卡設(shè)置為“混雜模式”，從而能夠接受到整個以太網(wǎng)內(nèi)的網(wǎng)絡(luò)數(shù)據(jù)信息？A、嗅探程序B、木馬程序C、拒絕服務(wù)攻擊D、緩沖區(qū)溢出攻擊木馬正確答案：A答案解析：嗅探程序工作原理是利用以太網(wǎng)的特點，將設(shè)備網(wǎng)卡設(shè)置為“混雜模式”，這樣就能接收到整個以太網(wǎng)內(nèi)的網(wǎng)絡(luò)數(shù)據(jù)信息，用于捕獲網(wǎng)絡(luò)中的數(shù)據(jù)包等信息，所以答案是A。木馬程序主要是用于遠程控制、竊取信息等；拒絕服務(wù)攻擊是通過消耗目標系統(tǒng)資源來使其無法正常提供服務(wù)；緩沖區(qū)溢出攻擊主要是利用程序緩沖區(qū)處理數(shù)據(jù)的漏洞來進行攻擊，它們都不具備將網(wǎng)卡設(shè)置為混雜模式接收網(wǎng)絡(luò)數(shù)據(jù)信息的特點。11.禁用windows賬戶AAA的命令是（）。A、netuserAAA/active:noB、netuserAAA/active:yesC、netAAA/active:yesD、netAAA/active:no正確答案：A答案解析：要禁用Windows賬戶AAA，使用的命令是“netuserAAA/active:no”?！皀etuser”用于管理用戶賬戶，“/active:no”表示將該賬戶設(shè)置為禁用狀態(tài)。選項B中“/active:yes”是啟用賬戶；選項C和D命令格式錯誤，“net”后應(yīng)接“user”來操作賬戶。12.PHP關(guān)閉顯示所有錯誤提示信息方法A、error_reporting(0)B、error_reporting(E_ERROR)C、error_reporting(E_WARNING)D、error_reporting(E_NOTICE)正確答案：A答案解析：要關(guān)閉顯示所有錯誤提示信息，應(yīng)將錯誤報告級別設(shè)置為0，error_reporting(0)會禁用所有錯誤報告，包括E_ERROR、E_WARNING、E_NOTICE等所有級別的錯誤。而error_reporting(E_ERROR)只顯示致命錯誤；error_reporting(E_WARNING)只顯示警告；error_reporting(E_NOTICE)只顯示通知。13.XSS不能用來干什么？A、固定會話B、預(yù)測會話憑證C、劫持用戶會話D、獲取用戶cookie正確答案：B14.Cookie沒有以下哪個作用？A、維持用戶會話B、儲存信息C、執(zhí)行代碼正確答案：C答案解析：Cookie的主要作用包括維持用戶會話，比如在網(wǎng)站中記錄用戶的登錄狀態(tài)等；儲存信息，像用戶的偏好設(shè)置等。但它本身并不具備執(zhí)行代碼的功能。15.交換機（非擴展類）是工作在以下哪一層的設(shè)備？A、物理層B、鏈路層C、網(wǎng)絡(luò)層D、傳輸層正確答案：B答案解析：交換機工作在鏈路層，主要功能是根據(jù)MAC地址轉(zhuǎn)發(fā)數(shù)據(jù)幀，實現(xiàn)不同設(shè)備之間的通信。它能夠?qū)W習(xí)連接到其端口的設(shè)備的MAC地址，并建立MAC地址表，當(dāng)收到數(shù)據(jù)幀時，根據(jù)目的MAC地址在MAC地址表中查找對應(yīng)的端口，然后將數(shù)據(jù)幀轉(zhuǎn)發(fā)到該端口。所以答案是B。16.郵件攻擊類型不包括下列哪一個？A、勒索病毒B、仿冒企業(yè)郵件C、商業(yè)郵件詐騙D、水坑攻擊正確答案：D17.B類IP地址，有多少位主機號？A、8B、16C、24D、31正確答案：B答案解析：B類IP地址的默認子網(wǎng)掩碼是，前16位是網(wǎng)絡(luò)號，后16位是主機號，所以有16位主機號。18.alert()函數(shù)是用來干什么的？A、彈窗B、打開新頁面C、關(guān)閉當(dāng)前頁面D、重新打開頁面正確答案：A答案解析：alert()函數(shù)用于創(chuàng)建一個彈出框，向用戶顯示指定的消息，起到彈窗提示的作用。而打開新頁面通常使用window.open()函數(shù)；關(guān)閉當(dāng)前頁面一般使用window.close()函數(shù)；重新打開頁面并沒有一個特定的、普遍使用的函數(shù)是專門做這個的，且在常見瀏覽器操作中也不是一個常規(guī)操作指令。19.Burp的Intruder模塊中，哪種模式只使用一個payload，每次替換所有位置？A、SniperB、BatteringramC、PitchforkD、Clusterbomb正確答案：B答案解析：在Burp的Intruder模塊中，Batteringram模式只使用一個payload，每次替換所有位置。Sniper模式是針對每個位置依次使用不同的payload；Pitchfork模式是針對不同位置使用不同的payload集合；Clusterbomb模式是針對每個位置使用所有的payload組合。20.PC安全不包括下列哪一個？A、安裝防病毒軟件和防火墻軟件B、定期備份重要數(shù)據(jù)C、不隨意安裝來歷不明的軟件D、虛擬空間正確答案：D答案解析：PC安全涵蓋多個方面，安裝防病毒軟件和防火墻軟件可抵御病毒和網(wǎng)絡(luò)攻擊；定期備份重要數(shù)據(jù)能防止數(shù)據(jù)丟失；不隨意安裝來歷不明軟件可避免引入惡意程序。而虛擬空間本身并非PC安全的直接范疇，它主要涉及到計算機內(nèi)存、存儲等方面提供的一種虛擬環(huán)境概念，與保障PC安全的直接關(guān)聯(lián)較小。21.httponly可以防御什么？A、Js代碼獲取cookieB、Js代碼獲取網(wǎng)頁內(nèi)容C、中間人攻擊D、會話憑證預(yù)測正確答案：A答案解析：HttpOnly是一個瀏覽器的安全機制，它會阻止JavaScript腳本訪問某些敏感的Cookie。設(shè)置了HttpOnly屬性的Cookie，在JavaScript腳本中是無法通過document.cookie屬性獲取到的，從而有效防御通過JavaScript代碼獲取Cookie的攻擊行為。而對于獲取網(wǎng)頁內(nèi)容、中間人攻擊、會話憑證預(yù)測等方面，HttpOnly并沒有直接的防御作用。22.A類IP地址，有多少位主機號？A、8B、16C、24D、31正確答案：C23.Windows操作系統(tǒng)中查看ARP緩存表的命令是（）。A、arp-aB、arp-dC、arp-sD、arp-n正確答案：A24.防御XSS漏洞的核心思想為（）A、禁止用戶輸入B、輸入過濾、輸出編碼C、不要點擊未知鏈接D、減少使用數(shù)據(jù)庫正確答案：B答案解析：XSS漏洞的防御核心在于對用戶輸入進行嚴格過濾，去除其中可能包含的惡意腳本，同時對輸出進行編碼，將特殊字符轉(zhuǎn)換為安全的表示形式，防止惡意腳本被瀏覽器執(zhí)行。禁止用戶輸入過于絕對且不現(xiàn)實；不要點擊未知鏈接主要是針對防范釣魚等其他風(fēng)險，并非XSS漏洞防御核心；減少使用數(shù)據(jù)庫與防御XSS漏洞無關(guān)。25.關(guān)于HTML格式的說法，錯誤的是A、<!doctypehtml>用于聲明文檔，無大小寫限制B、<meta>常用于確定頁面字符編碼方式C、<P>用于定義一個標題D、<!---->為html的注釋正確答案：C答案解析：<P>標簽用于定義一個段落，而不是標題。標題通常使用<h1>-<h6>標簽來定義。<!doctypehtml>聲明文檔類型，無大小寫限制；<meta>標簽常用于設(shè)置頁面的元數(shù)據(jù)，如字符編碼方式等；<!---->用于書寫HTML注釋。26.IP協(xié)議工作在TCP/IP模型的哪一層？A、物理層B、鏈路層C、網(wǎng)絡(luò)層D、傳輸層正確答案：C答案解析：IP協(xié)議是TCP/IP模型網(wǎng)絡(luò)層的核心協(xié)議，主要負責(zé)將數(shù)據(jù)包從源主機傳輸?shù)侥繕酥鳈C，實現(xiàn)不同網(wǎng)絡(luò)之間的互聯(lián)，所以工作在網(wǎng)絡(luò)層。27.需要進行數(shù)據(jù)庫交互的是哪種xss漏洞？A、儲存型xssB、反射型xssC、DOM型xss正確答案：A答案解析：儲存型XSS漏洞會將惡意腳本存儲在服務(wù)器端的數(shù)據(jù)庫中，當(dāng)其他用戶訪問相關(guān)頁面時，惡意腳本會從數(shù)據(jù)庫中讀取并執(zhí)行，所以需要進行數(shù)據(jù)庫交互。而反射型XSS是一次性攻擊，攻擊者構(gòu)造惡意鏈接，受害者點擊后，惡意數(shù)據(jù)在URL中反射回服務(wù)器并執(zhí)行，一般不涉及數(shù)據(jù)庫交互。DOM型XSS是基于文檔對象模型的攻擊，通過修改頁面DOM結(jié)構(gòu)來執(zhí)行惡意腳本，也不涉及數(shù)據(jù)庫交互。28.下面哪個不是IP協(xié)議的頭部信息?A、版本號B、首部長度C、生存時間D、端口號正確答案：D答案解析：IP協(xié)議頭部信息主要包括版本號、首部長度、生存時間等，用于網(wǎng)絡(luò)數(shù)據(jù)的傳輸和路由等功能。而端口號是傳輸層（如TCP、UDP）協(xié)議頭部中的信息，不是IP協(xié)議頭部信息。29.下面說法正確的是？A、xss攻擊只能進行會話劫持B、一般現(xiàn)在的瀏覽器不帶xss防御功能C、有一定安全意識的人可以防御一些反射型xssD、https也可以防御xss正確答案：C答案解析：選項A中XSS攻擊不僅能進行會話劫持，還有其他危害，A錯誤；選項B現(xiàn)在很多瀏覽器都帶有XSS防御功能，B錯誤；選項C有一定安全意識的人可以通過不輕易點擊可疑鏈接等方式防御一些反射型XSS，C正確；選項DHTTPS主要用于加密傳輸防止中間人攻擊等，不能直接防御XSS，D錯誤。30.《中華人民共和國網(wǎng)絡(luò)安全法》施行時間：A、2017年6月1日B、2016年12月31日C、2016年11月7日D、2017年1月1日正確答案：A答案解析：《中華人民共和國網(wǎng)絡(luò)安全法》于2016年11月7日發(fā)布，自2017年6月1日起施行。31.下面說法正確的是？A、只需要在輸入處過濾xss就可以了B、在輸入和輸出處都要過濾xss攻擊C、使用防止sql注入的函數(shù)也可以防御xssD、htmlspecialchars()可以完全杜絕xss攻擊正確答案：B32.HTTPBASIC認證中，使用了哪一種加密方法A、Base32B、Base64C、Md5D、AES正確答案：B答案解析：在HTTPBASIC認證中，是將用戶名和密碼組合后進行Base64編碼，而不是Base32、Md5、AES等其他加密方法。33.Linux防火墻的主要功能是：（）。A、入侵檢測B、記錄IP數(shù)據(jù)包C、嗅探IP數(shù)據(jù)包D、進行訪問控制正確答案：D答案解析：Linux防火墻主要功能之一就是進行訪問控制，它可以根據(jù)預(yù)先設(shè)定的規(guī)則，允許或拒絕特定來源、目的地址、端口的網(wǎng)絡(luò)流量通過，從而保護系統(tǒng)安全，防止未經(jīng)授權(quán)的訪問。入侵檢測不是防火墻的主要功能；記錄IP數(shù)據(jù)包是其部分功能但不是主要功能；嗅探IP數(shù)據(jù)包不是防火墻的功能。34.故意制作、傳播計算機病毒等破壞性程序，影響計算機系統(tǒng)正常運行，后果嚴重的，將受到什么處罰？A、處五年以下有期徒刑或者拘役B、拘留C、罰款D、警告正確答案：A答案解析：根據(jù)《中華人民共和國刑法》規(guī)定，故意制作、傳播計算機病毒等破壞性程序，影響計算機系統(tǒng)正常運行，后果嚴重的，處五年以下有期徒刑或者拘役；后果特別嚴重的，處五年以上有期徒刑。所以該題選A。該行為構(gòu)成破壞計算機信息系統(tǒng)罪，選項A符合其相應(yīng)的量刑處罰規(guī)定，選項B拘留一般不屬于針對此罪的主要處罰方式，選項C罰款不是該罪的處罰，選項D警告也不符合此罪處罰。35.SqlMap一般調(diào)用其文件夾內(nèi)哪一類文件來繞過WAF檢測（）。A、Nano腳本B、Scripts腳本C、Tamper腳本D、Nmap腳本正確答案：C答案解析：SqlMap一般調(diào)用其文件夾內(nèi)的Tamper腳本（即選項C）來繞過WAF檢測。Tamper腳本能夠?qū)QL注入語句進行變形等操作，從而達到繞過Web應(yīng)用防火墻（WAF）檢測的目的。Nano腳本、Scripts腳本、Nmap腳本與SqlMap繞過WAF檢測并無直接關(guān)聯(lián)。36.下面哪個函數(shù)不能起到xss過濾作用？A、str_replace()B、preg_replace()C、addslashes()D、htmlspecialchars()正確答案：C答案解析：addslashes()函數(shù)主要用于在字符串中添加反斜杠，它并不是專門用于防范XSS攻擊的函數(shù)。str_replace()可用于替換字符串中的特定內(nèi)容；preg_replace()能進行正則表達式的字符串替換；htmlspecialchars()可將特殊字符轉(zhuǎn)換為HTML實體，這些都對防范XSS有幫助。37.下面哪個選項不是NAT技術(shù)具備的優(yōu)點？A、保護內(nèi)部網(wǎng)絡(luò)B、節(jié)省合法地址C、提高連接到因特網(wǎng)的速度D、提高連接到因特網(wǎng)的靈活性正確答案：C答案解析：NAT技術(shù)的優(yōu)點包括保護內(nèi)部網(wǎng)絡(luò)、節(jié)省合法地址、提高連接到因特網(wǎng)的靈活性等。但NAT技術(shù)本身并不會直接提高連接到因特網(wǎng)的速度，它主要是在地址轉(zhuǎn)換和網(wǎng)絡(luò)地址復(fù)用等方面發(fā)揮作用，而不是針對網(wǎng)絡(luò)連接速度進行優(yōu)化。38.下面不屬于端口掃描技術(shù)的是？A、TCPconnect掃描攻B、TCPFIN掃描C、IP包分段掃描D、Land掃描正確答案：D39.Apache用來識別用戶后綴的文件是？A、handler.typesB、mime.typesC、handler.confD、mima.conf正確答案：B40.OSI第四層是哪一層（應(yīng)用層為第7層）？A、物理層B、鏈路層C、網(wǎng)絡(luò)層D、傳輸層正確答案：D答案解析：OSI模型的第四層是傳輸層。物理層是第一層，鏈路層是第二層，網(wǎng)絡(luò)層是第三層，傳輸層是第四層，會話層是第五層，表示層是第六層，應(yīng)用層是第七層。41.密碼使用的場景通訊類不包括下列哪個？A、QQB、微信C、陌陌D、購物賬戶正確答案：D答案解析：密碼使用的場景通訊類指的是用于通訊交流的工具，如QQ、微信、陌陌等。而購物賬戶主要用于購物相關(guān)操作，不是專門用于通訊的場景，所以答案選D。42.《網(wǎng)絡(luò)安全法》規(guī)定，網(wǎng)絡(luò)運營者應(yīng)當(dāng)制定（），及時處置系統(tǒng)漏洞計算機病毒網(wǎng)絡(luò)攻擊網(wǎng)絡(luò)侵入等安全風(fēng)險。A、網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案B、網(wǎng)絡(luò)安全事件應(yīng)急演練方案C、網(wǎng)站安全規(guī)章制度D、網(wǎng)絡(luò)安全事件補救措施正確答案：A答案解析：網(wǎng)絡(luò)運營者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，及時處置系統(tǒng)漏洞、計算機病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安全風(fēng)險。這是為了在面對各類網(wǎng)絡(luò)安全威脅時，能夠迅速、有效地采取應(yīng)對措施，降低安全事件對網(wǎng)絡(luò)系統(tǒng)和用戶造成的損失，保障網(wǎng)絡(luò)的安全穩(wěn)定運行。43.以下哪種方法不能執(zhí)行命令（）A、system(whoami)B、system('whoami')C、system('eval(whoami)')D、eval('system(whoami)')正確答案：C答案解析：在PHP中，`system`函數(shù)用于執(zhí)行外部命令，直接將命令作為參數(shù)傳入即可，如選項B。而選項A中雖然形式不太常規(guī)，但理論上也可嘗試執(zhí)行命令。選項D通過`eval`函數(shù)來執(zhí)行包含`system(whoami)`的字符串，也能達到執(zhí)行命令的目的。而選項C中`system('eval(whoami)')`，這里是想在`system`函數(shù)內(nèi)部執(zhí)行`eval(whoami)`，`eval`函數(shù)是將字符串作為PHP代碼執(zhí)行，在`system`函數(shù)參數(shù)中這樣寫并不能正確執(zhí)行命令，它會嘗試執(zhí)行`eval(whoami)`這段PHP代碼，而不是執(zhí)行系統(tǒng)命令`whoami`。44.盜取Cookie是用做什么？A、劫持用戶會話B、固定用戶會話C、釣魚D、預(yù)測用戶下一步的會話憑證正確答案：A答案解析：盜取Cookie主要目的之一是劫持用戶會話。通過獲取用戶的Cookie，攻擊者可以偽裝成該用戶進行操作，從而控制用戶的會話，比如訪問用戶的賬戶、執(zhí)行相關(guān)操作等，這就是劫持用戶會話。而固定用戶會話不需要通過盜取Cookie來實現(xiàn)；釣魚通常重點不在于直接盜取Cookie來進行會話劫持；預(yù)測用戶下一步會話憑證與盜取Cookie的主要用途不符。45.下列哪一個是web容器A、IISB、JSPC、UDPD、MD5正確答案：A答案解析：IIS（InternetInformationServices）是微軟提供的Web服務(wù)器軟件，屬于Web容器。JSP是一種動態(tài)網(wǎng)頁技術(shù)標準；UDP是用戶數(shù)據(jù)報協(xié)議，用于傳輸層；MD5是一種哈希算法。所以只有IIS是Web容器。46.以下哪種防火墻不能檢測sql注入攻擊（）A、WAF(WebApplicationFirewall)B、下一代防火墻C、IPTABLESD、高層檢測防火墻正確答案：C答案解析：IPTABLES是基于包過濾的防火墻，主要工作在網(wǎng)絡(luò)層，它主要根據(jù)數(shù)據(jù)包的源地址、目的地址、端口號等信息來決定是否允許數(shù)據(jù)包通過，無法檢測應(yīng)用層的SQL注入攻擊。而WAF（WebApplicationFirewall）專門用于檢測和防范Web應(yīng)用程序的攻擊，包括SQL注入；下一代防火墻通常具備多種應(yīng)用層檢測功能，能檢測SQL注入等攻擊；高層檢測防火墻同樣可以對高層應(yīng)用協(xié)議進行檢測，能檢測SQL注入攻擊。47.關(guān)于PHP文件包含利用方法，錯誤的是（）A、利用php://input偽協(xié)議需開啟allow_url_include配置B、遠程文件包含需服務(wù)器開啟allow_url_fopen配置C、文件包含漏洞常可以配合文件上傳漏洞共同利用D、利用文件包含漏洞需被包含文件為.php格式正確答案：D48.以下哪種攻擊不能獲取用戶的會話標識？A、憑證預(yù)測B、SQL注入C、會話憑證D、XSS正確答案：B49.協(xié)議的三要素不包括哪項？A、語義B、標點C、時序（同步）D、語法正確答案：B答案解析：協(xié)議的三要素包括語法、語義、時序（同步），標點不屬于協(xié)議的三要素。50.httponly屬性起到的作用是（）A、禁止除HTTP/HTTPS以外的協(xié)議讀取cookieB、僅允許HTTPS協(xié)議讀取cookieC、防御XSS攻擊D、對HTTP數(shù)據(jù)包加密正確答案：A二、多選題（共20題，每題1分，共20分）1.信息安全范疇包括下列哪幾個：A、信息本身的安全B、計算機安全C、物聯(lián)網(wǎng)（IoT）設(shè)備成為薄弱環(huán)節(jié)D、通信安全正確答案：ABD2.php://filter/read=convert.base64-encode/resource=../../../../../etc/passwd假設(shè)某PHP頁面存在文件包含漏洞，上述Payload可以獲得哪些信息A、Linux系統(tǒng)中所有的用戶名B、Windows系統(tǒng)中所有的用戶名C、系統(tǒng)中各個用戶的權(quán)限以及可執(zhí)行文件所在目錄D、用戶密碼正確答案：AC答案解析：該payload通過讀取`/etc/passwd`文件，`/etc/passwd`文件在Linux系統(tǒng)中記錄了系統(tǒng)中所有用戶的信息，包括用戶名等，所以能獲取Linux系統(tǒng)中所有的用戶名，A選項正確；Windows系統(tǒng)中沒有`/etc/passwd`這樣的文件，B選項錯誤；`/etc/passwd`文件中包含了用戶的UID、GID、家目錄、登錄shell等信息，通過分析這些信息可以了解系統(tǒng)中各個用戶的權(quán)限以及可執(zhí)行文件所在目錄等，C選項正確；`/etc/passwd`文件中并不包含用戶密碼，D選項錯誤。3.任何個人和組織應(yīng)當(dāng)對其使用網(wǎng)絡(luò)的行為負責(zé)，不得設(shè)立用于（）違法犯罪活動的網(wǎng)站通訊群組，不得利用網(wǎng)絡(luò)發(fā)布涉及實施詐騙，制作或者銷售違禁物品管制物品以及其他違法犯罪活動的信息。A、制作或者銷售違禁物品B、制作或者銷售管制物品C、傳授犯罪方法D、實施詐騙正確答案：ABCD答案解析：《網(wǎng)絡(luò)安全法》第十二條規(guī)定，任何個人和組織應(yīng)當(dāng)對其使用網(wǎng)絡(luò)的行為負責(zé)，不得設(shè)立用于實施詐騙、傳授犯罪方法、制作或者銷售違禁物品、管制物品等違法犯罪活動的網(wǎng)站、通訊群組，不得利用網(wǎng)絡(luò)發(fā)布涉及實施詐騙，制作或者銷售違禁物品、管制物品以及其他違法犯罪活動的信息。4.邏輯漏洞中，兩種繞過授權(quán)驗證方法為?A、方向越權(quán)B、垂直越權(quán)C、交叉越權(quán)D、水平越權(quán)正確答案：BD答案解析：水平越權(quán)是指攻擊者嘗試訪問與自己權(quán)限相同或低于自己權(quán)限的其他用戶資源，通過構(gòu)造請求繞過權(quán)限驗證機制來實現(xiàn)。垂直越權(quán)則是攻擊者試圖訪問高于自己權(quán)限級別的資源，也是繞過授權(quán)驗證的一種方式。交叉越權(quán)和方向越權(quán)并不是常見的繞過授權(quán)驗證的方法類型。5.包含日志文件getshell時，如何讓日志文件插入PHP代碼？A、使用burpsuit抓包訪問B、curl訪問不存在的urlC、先getshell,再插入代碼D、以上說法都對正確答案：AB6.上網(wǎng)安全中提到的三種鏈接別亂點，指的是：A、來歷不明的二維碼B、公用打印機C、網(wǎng)上測試類D、手機短信中的鏈接正確答案：ACD答案解析：網(wǎng)上測試類鏈接可能會引導(dǎo)用戶輸入個人敏感信息，存在信息泄露風(fēng)險；手機短信中的鏈接可能指向惡意網(wǎng)站，用于竊取用戶信息；來歷不明的二維碼同樣可能隱藏著安全威脅，掃描后可能導(dǎo)致手機被植入病毒或遭受其他損失。而公用打印機一般不存在此類安全風(fēng)險，它主要涉及辦公設(shè)備的使用規(guī)范，與上網(wǎng)安全中鏈接的風(fēng)險無關(guān)。7.下面哪個代碼是不安全的,可能存在sql注入漏洞（）正確答案：birth答案解析：scorefromtbl_studentwherenamelike'%$name$%'</select>);([B、]>Stmt=connection.prepareStatement("select*fromarticleswhereuid=?");stmt.setInt(18.下面哪些應(yīng)用使用了UDP協(xié)議承載？A、SMTPB、DNSC、TFTPD、SNMP正確答案：BCD答案解析：UDP是無連接的傳輸層協(xié)議，具有簡單高效的特點。DNS用于域名解析，通常使用UDP協(xié)議進行查詢和響應(yīng)，以提高效率；TFTP是簡單文件傳輸協(xié)議，基于UDP實現(xiàn)快速文件傳輸；SNMP用于網(wǎng)絡(luò)設(shè)備管理，使用UDP承載管理信息的傳輸。而SMTP是簡單郵件傳輸協(xié)議，使用TCP協(xié)議來確保郵件傳輸?shù)目煽啃浴?.IP地址目前有哪幾種版本?A、IPV4B、IPV5C、IPV6D、IPV8正確答案：AC答案解析：目前廣泛使用的IP地址版本主要有IPv4和IPv6。IPv4是互聯(lián)網(wǎng)中最常用的版本，但隨著網(wǎng)絡(luò)的發(fā)展，IPv4地址資源逐漸枯竭，IPv6應(yīng)運而生，它具有更大的地址空間等優(yōu)勢，可滿足日益增長的網(wǎng)絡(luò)設(shè)備聯(lián)網(wǎng)需求。不存在IPv5和IPv8這兩種廣泛應(yīng)用的IP地址版本。10.上傳文件后綴檢查，常見的方法有（）A、PHPaddcslashes（）函數(shù)B、Js調(diào)用selectfile（）函數(shù)C、PHPpathinfo（）函數(shù)D、If（）條件判斷E、Getimagesize（）函數(shù)正確答案：BCD11.下面那些層未在TCP/IP中定義？A、傳輸層B、網(wǎng)絡(luò)C、表示層D、會話層正確答案：CD答案解析：TCP/IP模型包含網(wǎng)絡(luò)接口層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層。表示層和會話層是OSI模型中的層次，未在TCP/IP中定義。12.Burpsuite中有以下這些組件A、ProxyB、RepeaterC、TargetD、Scanner正確答案：ABCD13.查看/etc/passwd文件內(nèi)容，發(fā)現(xiàn)其中一行信息為“root:x:0:0:root:/root:/bin/bash”，以下哪些說法是正確的？A、該行是root用戶的相關(guān)信息B、第2個字段的代表root用戶的密碼為“x”C、該用戶的主目錄為/bin/bashD、該用戶的主目錄為/root正確答案：AD答案解析：在“root:x:0:0:root:/root:/bin/bash”這行信息中，很明顯是root用戶的相關(guān)信息，A正確；第二個字段“x”表示密碼經(jīng)過了shadow機制加密，而不是密碼為“x”，B錯誤；該行中明確主目錄是/root，而/bin/bash是用戶的登錄shell，C錯誤，D正確。14.計算機網(wǎng)絡(luò)主要實現(xiàn)哪些功能？A、通信B、資源共享C、提高可靠性D、協(xié)同工作正確答案：ABCD答案解析：計算機網(wǎng)絡(luò)的主要功能包括：通信功能，實現(xiàn)計算機之間的數(shù)據(jù)傳輸；資源共享，可共享硬件、軟件和數(shù)據(jù)等資源；提高可靠性，通過冗余設(shè)計等方式提高系統(tǒng)可靠性；協(xié)同工作，方便用戶在不同地點協(xié)同完成任務(wù)。所以ABCD四個選項均正確。15.網(wǎng)絡(luò)運營者收集使用個人信息，應(yīng)當(dāng)遵循______________的原則，公開收集使用規(guī)則，明示收集使用信息的目的方式和范圍，并經(jīng)被收集者同意。A、真實B、合法C、正當(dāng)D、必要正確答案：BCD答案解析：網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。真實并不是該原則中的內(nèi)容，所以選BCD。16.以下哪些是繞過IP地址過濾的方法（）A、@B、進制轉(zhuǎn)換C、短地址D、xip.ioE、。正確答案：ABCDE17.以下哪些是常用的XSS繞過編碼（）A、URL編碼B、HTML實體編碼C、JS編碼D、復(fù)合編碼正確答案：ABCD答案解析：-**A、JS編碼**：通過將惡意腳本轉(zhuǎn)換為JS可識別的編碼形式來繞過檢測。-**B、URL編碼**：將特殊字符轉(zhuǎn)換為URL格式的編碼，可用于繞過一些基于URL檢測的XSS防護。-**C、HTML實體編碼**：把字符轉(zhuǎn)換為HTML實體，繞過對特定字符的過濾。-**D、復(fù)合編碼**：綜合運用多種編碼方式，增加繞過的可能性。18.上網(wǎng)安全中的兩種公共設(shè)備謹慎用，指的是：A、計算機安全B、公共WIFIC、公共手機充電樁D、物聯(lián)網(wǎng)（IoT）設(shè)備成為薄弱環(huán)節(jié)正確答案：BC答案解析：選項B公共WIFI和選項C公共手機充電樁存在安全風(fēng)險，可能導(dǎo)致個人信息泄露、遭受網(wǎng)絡(luò)攻擊等，所以上網(wǎng)安全中這兩種公共設(shè)備要謹慎使用。選項A計算機安全不屬于公共設(shè)備范疇；選項D物聯(lián)網(wǎng)（IoT）設(shè)備成為薄弱環(huán)節(jié)表述寬泛，不是具體所指的兩種公共設(shè)備。19.下面關(guān)于TCP協(xié)議描述，錯誤的是？A、工作在網(wǎng)絡(luò)層B、有重傳機制C、有流量控制機制D、斷開需要3次握手正確答案：AD答案解析：TCP協(xié)議工作在傳輸層，不是網(wǎng)絡(luò)層，A選項錯誤。TCP有重傳機制，用于確保數(shù)據(jù)可靠傳輸，B選項正確。有流量控制機制，防止發(fā)送方發(fā)送數(shù)據(jù)過快導(dǎo)致接收方來不及處理，C選項正確。TCP建立連接需要3次握手，斷開連接需要4次揮手，D選項錯誤。20.apache+Linux日志默認路徑是?A、/etc/httpd/logs/access_logB、/var/log/httpd/access_logC、%SystemDrive%\inetpub\log