cisp-pte客观题笔记

cisp-pte客观题刷题，记录的都是我不熟悉的内容，序号下面的无序序号是扩展的知识

第一份

1. ROP是一种攻击技术
   • PIE, StackCanary, NX/DEP 都是现代操作系统和编译器为了增加二进制程序安全性、使漏洞利用更加困难而引入的防御机制。
     
2. Apache单个进程中php匿名函数的名字为 \x00lambda_%d
   • 其中 \x00（NULL 字符）是 PHP 内部的作用域分隔符
   • %d 是一个递增的编号（每个匿名函数都有唯一的 ID）
3. SHA加密法的字元范围为 [a-f0-9]
   • SHA是一种哈希算法，哈希不可逆
   • 编码用的是十六进制，输出的十六进制通常是小写
4. 在相同的安全强度下，ECC算法的密钥长度比RSA短
   • 对于所有非对称加密算法，密钥长度都是安全性的关键。密钥越短，越容易被暴力破解。
5. URL访问控制不当不包括使用分散登录认证
   • 分散登录认证是一种系统框架选择 一个系统可能有多种独立登录的入口，都可以安全
6. 文件上传常见的防御：
   • 服务端文件扩展名检测
   • 客户端检查机制JavaScript验证
   • 服务的MIME检测
7. 防火墙主要部署在网络边界
8. 安全领域的AAA模型：
   • 标识 (Identification): 你声称你是谁（例如，输入用户名）。
   • 认证 (Authentication): 你证明你是你所声称的人。口令（密码）就是最常见的认证因素（“你知道的东西”）。
   • 授权 (Authorization): 在你被成功认证后，系统决定你被允许做什么（例如，普通用户只能读，管理员可以读和写）。
   • 审计 (Auditing): 记录你做了什么。
9. ARP攻击不是服务拒绝攻击。
   • ARP 攻击（ARP Spoofing / ARP Poisoning） 是一种局域网（LAN）内的攻击方式，利用了 ARP 协议没有认证机制 的漏洞。
   • 局域网通信用到的是ARP缓存知道目标IP对应的MAC地址。攻击者可以伪造 ARP 包，欺骗局域网中的主机或网关，让它们的 ARP 表出现错误映射。
     攻击者可以做到：
     • 窃听流量（嗅探用户名密码、会话Cookie等）
     • 中间人攻击（MITM）（篡改数据、注入恶意代码）
     • 拒绝服务攻击（DoS）（直接让数据流无法到达正确的目标）
10. 拒绝服务攻击包括一下几个
    • Land 攻击： 一种古老的 DoS 攻击，发送源IP和目标IP相同的TCP SYN包，使一些系统崩溃。
    • 畸形报文攻击： 发送不符合协议规范的数据包，可能导致目标系统协议栈崩溃或资源耗尽（如 Ping of Death）。
    • DDoS (分布式拒绝服务): 利用大量主机同时发起攻击，是 DoS 的一种大规模形式。
11. SSL、S-HTTP属于Web中使用的安全协议
    相关的几种协议
    • SSL (Secure Sockets Layer) 以及其后续版本 TLS (Transport Layer Security) 是为 HTTP 提供加密（即 HTTPS）的基础协议，是 Web 安全的核心。
    • S-HTTP (Secure HTTP) 是早期与 HTTPS 竞争的另一个 Web 安全协议，但最终没有流行起来。尽管如此，它在定义上仍然是“Web中使用的安全协议”。
    • S/MIME 和 PEM 主要用于电子邮件的安全（加密和签名）。
12. 几种防止注入攻击函数：
    • mysql_real_escape_string 是 PHP 旧的 mysql 扩展中专门用来对 SQL 查询中的字符串进行转义的函数，以防止SQL注入。在PHP7.0中已被移除 现代代码使用PDO和预处理语句来防御
    • htmlentities 和 htmlspecialchars 用于将特殊字符转换为 HTML 实体，目的是防止 XSS 攻击
    • escapeshellarg 用于转义传递给操作系统命令的参数，目的是防止命令注入
13. 双引号是构造一个合法语法的必要步骤，而不是为了“绕过”或“欺骗”某个特定的过滤规则。它本身是注入行为的基础，而不是绕过技术。
    • A. 扰乱过滤规则： 例如，使用大小写混淆 (<ScRipt>)、双写关键字 (<scr<script>ipt>) 等方式来迷惑基于黑名单的过滤器。
    • B. 利用空字符 (Null Byte)： 插入 \x00 等字符可能会截断过滤器的字符串处理，从而绕过检测。
    • C. 利用HTML标签的属性值：这也是一种绕过技巧。当过滤器严格禁止 <script> 标签时，攻击者会利用 <img>, <a>, <svg> 等标签的事件处理属性（如 onerror, onload, onmouseover）或伪协议（href=”javascript:…”）来执行脚本。这是绕过了对特定标签的过滤。
14. xp_cmdshell 是 Microsoft SQL Server 中一个著名的扩展存储过程，它允许具有相应权限的数据库用户执行操作系统的 shell 命令。对于渗透测试者来说，一旦通过 SQL 注入获得了 sa 或等效权限，执行 xp_cmdshell 来添加系统用户、反弹 shell 或执行其他命令是常见的后渗透操作。
    • xp_dirtree 用于列出目录内容
    • xp_regdeletekey (题目中写为 xpdeletekey) 用于删除注册表键
    • xp_cmdshell 是通用的命令执行入口
15. CDN (Content Delivery Network) 的原理就是将用户的请求导向离他最近的“边缘节点”，这些节点的 IP 地址就是你直接访问时看到的地址。真实 IP (源站 IP) 是隐藏在 CDN 网络之后的。
    可以找到真实ip的方法
    • SSL证书： 通过 Censys、Shodan 等搜索引擎查询网站的 SSL 证书，有时证书的签发历史或关联的其他域名会暴露源站 IP
    • 历史DNS查询： 在网站使用 CDN 之前，其域名可能直接解析到源站 IP。
    • Wireshark抓包（有时可以）：当在局域网、源服务器，CDN没有缓存时抓包可以
    • 子域名/邮件服务器： 网站的某些子域名可能没走CDN
    • 尝试扫描其他端口： 可能只在80/443端口配置了CDN
    • 全球PING：从世界各地 PING 域名，只会得到不同地方的 CDN 边缘节点的 IP，这恰恰证明了 CDN 在正常工作，无法找到源站。但是，存在一种极端情况：如果某个地区的 CDN 网络出现故障
      Wireshark抓包和全球Ping都有可能找不到真实IP
16. PHP CGI解析漏洞出现的原因是cgi.fix_pathinfo配置错误 课程笔记
    • 攻击者可以上传一个内容为 PHP 代码的图片文件（如 shell.jpg），然后访问 http://host/shell.jpg/.php，从而让服务器将图片作为 PHP 代码执行。
17. XXE (XML External Entity Injection) 即 XML 外部实体注入，是一个服务器端漏洞。当应用程序的 XML 解析器配置不当，允许解析来自外部的实体时，攻击者可以构造恶意的 XML 数据来实施攻击。
    XXE 的主要危害：
    • 读取任意文件： 通过 file:// 协议读取服务器上的本地文件，如 。
    • 发起 SSRF 攻击： 通过 http:// 等协议，让服务器作为代理去访问内网或外部资源。
    • 进行 DoS 攻击： 通过“十亿笑弹”(Billion Laughs Attack) 等方式耗尽服务器资源。
18. Tomcat 只能算轻量级 Web 容器，而 WebLogic 是重量级应用服务器，支持更复杂的企业应用。weblogic的默认用户名和默认口令都是weblogic
19. Apache的配置文件中CustomLog定义了访问日志的路径
    • 在 Apache 的配置文件 (httpd.conf) 中，CustomLog 指令用于设置访问日志的文件路径和日志格式。
    • 例如：CustomLog “/var/log/apache2/access.log” common。
    • ErrorLog 指令用于定义错误日志的路径。AccessLog 并不是一个标准的 Apache 指令，虽然文件名通常叫 access.log。
20. 常见的HTTP状态码：
    • 401 Unauthorized (未授权): 表示请求需要 HTTP 认证，或者认证失败。通俗地说，是“你还没登录，或者登录失败”。
    • 403 Forbidden (禁止): 表示服务器理解了请求，但是拒绝执行它。通俗地说，是“你已经登录了，但你的身份没有权限访问这个资源”。这与题目中的“没权限访问”完全对应。
    • 200 OK: 请求成功。
    • 500 Internal Server Error: 服务器内部错误。
21. .htaccess 是 Apache 服务器的分布式配置文件，可以对所在目录及其子目录的配置进行覆盖。
    可以做到的：
    • ErrorDocument 404 /notfound.html 来自定义错误页面。
    • DirectoryIndex index.php default.html 来配置默认文档。
    • Options -Indexes 来禁止目录列表。
    • 还可以设置 URL 重写、访问控制（基于 IP 或用户认证）等。
      不可以做到的:
    • 你可以在 .htaccess 中配置一个目录需要密码保护（AuthType, AuthUserFile 等指令），但用户密码本身是存储在 AuthUserFile 指令所指向的另一个文件（通常是 .htpasswd）中的。.htaccess 文件本身不用于存储或修改密码。
22. 防御文件包含漏洞的方法包括：
    • 禁止文件名中包含字母和数字之外的字符
    • 禁止自定义文件名
    • 文件名中禁止出现目录名
      而禁止为文件上传只能防御文件上传漏洞，攻击者还是可以读取服务器上原有的文件
23. SSRF 是服务端请求伪造漏洞。 CSRF是针对浏览器的请求伪造漏洞
24. .pht不是Apache的默认解析后缀。，它更多地是作为一种绕过上传限制的技巧而被攻击者使用
    • .php3, .php5 (以及 .php4, .php7) 显然是代表不同 PHP 版本时期的后缀，经常被配置。
    • .phtml (PHP in HTML) 也是一个历史悠久且常见的配置，用于表示内嵌 PHP 代码的 HTML 文件。
25. 数据库理论的基础概念
    主键唯一标识表组中的行
    • 主键 (Primary Key): 表中一个或多个字段的组合，它的值能唯一地标识表中的每一行。主键不能为空 (NOT NULL)。
    • 超键 (Superkey): 同样能唯一标识一行的属性集，但它不是最小的。主键是“最小的超键”。（例如，（学号，身份证号）是超键，但学号本身就是主键/最小超键）。
    • 外键 (Foreign Key): 一个表中用于引用另一个表主键的字段，用于建立两个表之间的关联。
    • 本地键 (Local Key): 不是一个标准的关系数据库术语。
26. Tomcat没有出现过解析漏洞 中间件漏洞
    • IIS: 出现过多种解析漏洞，如 xx.asp;xx.jpg（目录解析）、xx.asp/xx.jpg（文件解析）。
    • Nginx: 出现过著名的 PHP CGI 解析漏洞 (/xx.jpg/.php)。
    • Apache: 出现过多后缀解析漏洞（从右向左解析，如 xx.php.rar 会被当做 PHP 执行）。
    • Tomcat: 是一个 Java Servlet 容器和 JSP 引擎。它的请求分发和处理是基于 web.xml 中配置的 Servlet-mapping，而不是像上述服务器那样基于文件后缀。因此，它不容易出现上述类型的“解析漏洞”。虽然 Tomcat 有过很多其他类型的漏洞（如文件上传、反序列化），但这种特定类型的解析漏洞并非其典型特征。
27. 当交换机收到一个目的mac为68-A3-C4-29-82-F2的数据包，但此MAC地址不在交换机的MAC地址表中，交换机会把数据包从所有接口复制发送一遍（除去接收接口）
    • 交换机内部维护一张 MAC 地址表，记录了 MAC 地址与交换机端口的对应关系。
    • 当收到一个数据帧时，交换机查看其目的 MAC 地址：
      • 如果在 MAC 地址表中找到对应的端口，就将该帧只从那个端口转发出去（单播）。
      • 如果找不到对应的端口（未知单播帧），交换机为了确保数据能到达目的地，会采取泛洪 (Flooding) 的方式，即把这个数据帧从除了接收端口之外的所有其他端口转发出去。
    • ARP 请求是路由器或主机用来查找 IP 对应 MAC 地址的，交换机工作在第二层，不处理 ARP 请求。
28. 当一个HTTPS 站点的证书存在问题时，浏览器就会出现警告信息已提醒浏览者注意，不是导致出现提示的必然原因的是 浏览器找不到对应的证书颁发机构
    • B (过期) 和 C (域名不匹配) 都是会导致警告的直接、具体原因。
    • D (证书不被信任) 是一个总括性的原因，几乎所有证书警告都可以归结为此。
    • A (找不到 CA) 是导致 D (不被信任) 的一个具体原因。
    • 那么为什么 A 不是“必然原因”呢？因为一个证书不被信任，还可能有其他原因。例如，浏览器能够找到对应的证书颁发机构（CA 的根证书在浏览器的信任库里），但是这个 CA 最近因为作恶（如 DigiNotar 事件）而被浏览器厂商明确地列入了不信任列表。在这种情况下，D 为真，但 A 为假。因此，“找不到 CA” 只是不被信任的多种原因之一，而不是必然原因。
29. 同源策略不能防御XSS攻击 ^id1
    防御XSS措施有： ^3fa9f3
    • 编码 (Encoding): 在输出用户数据到 HTML 页面时，对 <、>、” 等特殊字符进行 HTML 实体编码，是防御 XSS 的根本方法。
    • 过滤 (Filtering): 在输入或输出时，移除或拦截 script 等危险标签和属性，是一种防御策略，但容易被绕过。
    • CSP (Content Security Policy): 一种强大的现代防御机制，通过 HTTP 头告诉浏览器只允许从指定的来源加载脚本等资源，可以有效缓解 XSS 攻击。
      同源策略：
    • A. 同源策略 (Same-Origin Policy) 是浏览器的一个核心安全机制，它限制了来自一个源的文档或脚本如何与来自另一个源的资源进行交互。然而，XSS 攻击的脚本是在受害者网站的源 (origin) 中执行的，因此同源策略不能阻止 XSS 脚本读取该网站的 Cookie 或操作该网站的 DOM。可以说，XSS 攻击之所以危险，正是因为它绕过了同源策略的限制。
30. 常见服务端口号：
    • 3306: MySQL
    • 1433: Microsoft SQL Server
    • 1521: Oracle Database
    • 6379: Redis
31. 在同一个bash 下依次执行 root@kali：/Desktop# whoami root root@kali：/Desktop# function whoami() { echo 1;} root@kali：~/Desktop# whoami 最后一次执行的whoami 的结果是1
    1. 第一次执行 whoami，Shell 在 PATH 环境变量中找到了 /usr/bin/whoami 这个可执行文件，并执行它，输出 root。
    2. 第二次执行 function whoami() { echo 1;}，在当前 Shell 的内存中定义了一个名为 whoami 的函数。
    3. 第三次执行 whoami，Shell 开始寻找要执行的命令。它的查找顺序通常是：别名 (alias) -> 函数 (function) -> 内建命令 (builtin) -> PATH 中的可执行文件。
    • 由于现在存在一个名为 whoami 的函数，它的优先级高于 PATH 中的 /usr/bin/whoami。因此，Shell 会执行这个函数。
    • 函数的内容是 echo 1，所以最终输出的结果就是 1。
32. 越权、XSS、CSRF都可以大批量获取网站注册用户的身份信息

第二份

1. 黑客控制一台Windows服务器，发现IE浏览器使用了代理，可以访问外网，执行如下命令发现 C:\Users\test>ping www.baidu.com -n 1 正在 Pingwww.a.shifen.com [14.215.177.38] 具有32字节的数据： 请求超时 C:\Users\test>telnet www.baidu.com 80 正在链接www.baidu.com...无法打开到主机的连接。 在端口 80: 连接失败。 通过如上信息判断，以下哪些反弹shell操作会成功 windows/meterpreter/reverse_https windows/meterpreter/reverse_http
   分析：
   1. ping www.baidu.com 请求超时：ping 命令使用的是 ICMP 协议。这个结果表明，出站的 ICMP 流量很可能被防火墙或网络策略阻止了。因此，任何依赖 ICMP 协议的后门（选项 A）都会失败。
   2. telnet www.baidu.com 80 连接失败：telnet 命令尝试建立一个标准的 TCP 连接。这个结果表明，直接向外网 80 端口发起 TCP 连接的流量也被阻止了。因此，标准的 reverse_tcp payload（选项 B）也会因为无法建立连接而失败。
   3. “IE浏览器使用了代理，可以访问外网”：这是最关键的信息。它说明这台服务器并非完全无法访问外网，而是必须通过一个HTTP代理服务器来访问。IE浏览器知道如何使用这个代理，所以能上网。而 ping 和 telnet 这种底层工具默认不会使用代理，所以它们失败了。
   4. 结论：要想成功反弹shell，必须使用一个能够识别并利用系统代理设置的 payload。Metasploit 的 reverse_http 和 reverse_https payload 正是为此设计的。它们会像浏览器一样，通过代理服务器去连接攻击者的监听主机。
   5. C vs D：reverse_https（通常监听443端口）比 reverse_http（通常监听80端口）更优。因为 HTTPS 流量是加密的，在企业环境中更容易被允许通过，且流量内容不易被检测。因此 reverse_httpshttps 的成功率最高。
2. 防火墙是一个 隔离器、控制器、分析器
   • 隔离器 (Isolator): 防火墙的首要作用是将内部可信网络与外部不可信网络进行安全隔离。
   • 控制器 (Controller): 防火墙根据预设的安全策略（规则），对流经它的网络流量进行控制，决定是允许通过（Allow）还是拒绝（Deny）。“限制器”虽然意思相近，但“控制器”更能体现其基于规则的主动管理作用。
   • 分析器 (Analyzer): 防火墙会对网络流量进行检查和分析，以判断其是否符合安全规则。同时，它会记录日志（Logging）供安全审计，现代防火墙还具备更深度的流量分析能力。而“解析器 (Parser)”通常指语法解析，用词不准确。
3. 目前防火墙大的防范主要是： 被动防范
   • 主动防范则通常指入侵检测系统(IDS)、入侵防御系统(IPS)或蜜罐等技术，这些技术会主动分析流量特征、识别攻击行为并作出响应（如报警或阻断）。虽然现代的下一代防火墙（NGFW）集成了IPS等主动防御功能，但防火墙的核心和基础依然是被动的、基于规则的访问控制。
4.  对网络系统进行渗透测试，通常是按什么顺序来进行的 – 侦查阶段、入侵阶段、控制阶段
5. 当成功通过Metasploit黑进对方系统并获得system权限后，不能做开关机
   • SYSTEM 权限是 Windows 系统中的最高权限，拥有它几乎可以对操作系统做任何事情。
   • A, B, C 都是可以轻易做到的：Meterpreter 提供了 screenshot 模块、keyscan_start 模块，而 SYSTEM 权限本身就意味着可以读写系统上的任意文件。
   • D. 开关机 这个选项有歧义。”关机” (shutdown) 和 “重启” (reboot) 是完全可以做到的。但是 “开机” (Power On) 是不可能的。一个已经完全断电关机的计算机，无法通过操作系统层面的指令来启动。这需要带外管理技术（如Intel AMT, iDRAC）或物理接触。因为选项中包含了无法做到的“开机”，所以这是唯一一个“不能”（完全）做的操作。
6. 出现漏洞并发布补丁之后，如果服务器仍然感染就属于系统管理员维护阶段的失误
7. 现代主动安全防御的主要手段是探测、预警、监视、警报
   • 探测 (Detection): 通过各种传感器（如IDS/IPS探头）发现潜在的威胁。
   • 预警 (Early Warning): 在威胁真正造成危害前发出警告。
   • 监视 (Monitoring): 持续地观察网络状态和安全事件。
   • 警报 (Alarm): 当确认有安全事件发生时，发出正式的告警通知，触发应急响应。
8. 1994年我国颁布的第一个与信息安全有关的法规是中华人民共和国计算机信息系统安全保护条例
9. 故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，将受到处五年以下有期徒刑或者拘役
10. 信息安全中PDR模型的关键因素是人
     PDR 模型指防护（Protection）、检测（Detection）和响应（Response）
    • 技术是实现PDR的工具（如防火墙、IDS）。
    • 模型是指导思想。
11. 计算机网络最早出现在20世纪60年代
    • 美国的ARPANET（阿帕网）是现代计算机网络的鼻祖，1969年第一台主机接入网络
12.  最早研究计算机网络的目的是共享计算资源
13. 路由设置是边界防范的基本手段之一
    • 边界路由器上的访问控制列表（ACL）是最早、最基础的网络边界安全措施。通过配置ACL，可以对进出网络的数据包进行基于源/目的IP、端口和协议的过滤。它和防火墙共同构成了网络边界防范的基本手段。
14.  1995年之后信息网络安全问题就是风险管理
    • 人们认识到，安全风险是不可能被完全消除的
    • 这包括对资产进行识别，对威胁和脆弱性进行评估，并采取接受、规避、转移或缓解等策略来将风险控制在可接受的水平。
15. 信息网络安全的第一个年代九十年代中叶前第二个时代九十年代中叶后
    信息安全发展的三个阶段：主机时代，专网时代，多网合一时代
16. PGP可用于安全电子邮件加密
    • PGP (Pretty Good Privacy) 是一套用于数据加密和数字签名的程序，它最经典的应用就是对电子邮件内容本身进行加密和签名。PGP提供的是端到端的加密，确保只有预期的接收者才能阅读邮件内容。
    • SSL (Secure Sockets Layer) 和其继任者 TLS (Transport Layer Security) 是工作在传输层的安全协议。它们可以为上层协议（如HTTP, SMTP）的传输通道加密。例如，SMTP over TLS 可以加密邮件在服务器之间传输的过程，但它不加密邮件本身在服务器上的存储。
    • SET (Secure Electronic Transaction) 是一个早期用于保障网上信用卡支付安全的协议，现已基本被淘汰。
    • 核心区别： SSL/TLS 保护的是“通路”（数据传输过程），而 PGP 保护的是“内容”（数据本身），因此 PGP 是用于安全电子邮件加密的正确答案。
17. 在window系统中用于显示本机各网络端口详细情况的命令是netstat
18. 防火墙的分类：包过滤型、代理型、混合型
    • 包过滤型 (Packet Filtering): 最早的防火墙，工作在网络层，根据IP地址和端口号进行简单的过滤，速度快但安全性低。
    • 代理型 (Proxy Service): 工作在应用层，完全隔离了内外网的直接连接，安全性高但性能开销大。
    • 混合型 (Hybrid): 主要是指状态检测防火墙 (Stateful Inspection)，它结合了前两者的优点，在网络层进行过滤，但能跟踪TCP会话状态，比纯包过滤安全得多，是现代防火墙的基础。现在的下一代防火墙（NGFW）更是集成了IPS、应用识别等多种技术的混合体。
19. NAT是指网络地址转换 NAT 是 Network Address Translation 的缩写
20. 存储型XSS的位置通常在网站的留言板、评论区、用户个人资料页
    • URL位置和搜索栏是反射型XSS的典型触发点，恶意代码存在于URL中，不会被存储。
21. 下列SQL语句给出关系型数据库中的哪一类完整性约束条件?( ) CREATE TABLE Student( id CHAR(8), Sname CHAR(20)NOT NULL, Sage SMALLINT, PRIMARY KEY(id) ); –> 实体完整性
    • 实体完整性 (Entity Integrity) 要求关系中的每个元组（行）都是可区分的，即每个表都必须有主键，且主键的值必须唯一且非空。PRIMARY KEY(id)(主键约束，id 必须唯一且非空) 这个约束正是为了保证实体完整性。
    • 参照完整性 (Referential Integrity) 是通过外键 (FOREIGN KEY) 来保证的，要求外键的值要么为空，要么必须等于其引用的另一个表中的某个主键值。
    • 用户定义完整性 是针对特定业务规则的约束，如 CHECK(Sage > 18)。
    • 域完整性 字段值必须符合定义的类型、取值范围、是否允许空
22.  Windows系统下有效进行共享安全的防护措施
    • 确保所有的共享都有高强度的密码防护
    • 禁止通过“空会话”连接以匿名的方式列举用户、群组、系统配置和注册表键值
    • 删除默认共享net share c$ /delete
23. mysql的注释符有：
    • #：MySQL支持的单行注释。
    • /* … */：C风格的多行注释，MySQL支持。
    • – (注意后面有个空格)：SQL标准的单行注释，MySQL支持。在Web注入中，空格常被编码为%20或用+代替。
      不支持的：
    • ：这是 **HTML** 或 **XML** 的注释语法，MySQL不支持
24.  向有限的空间输入超长的字符串是哪一种攻击手段 – 缓冲区溢出
25. 数据库安全的第一道屏障是操作系统安全
    按照以下顺序突破防线
    • 第一层：操作系统安全（最基础，保证运行环境不被破坏）。
    • 第二层：数据库管理系统安全（DBMS 内部的用户、权限控制）。
    • 第三层：网络安全（防止传输中被截获、伪造）。
    • 第四层：数据库管理员（人为管理和制度保障）。
26. 需要root权限的事不一定要登录到root用户
27. Windows服务的运行不需要用户的交互登录
    • A. windows服务必须是一个独立的可执行程序 错误。多个服务可以共享一个进程，例如托管在 svchost.exe 中的服务就是从DLL文件中加载的。
    • B. 正确。这是服务的核心特性。它们在系统启动后就在后台运行，存在于独立的会话（Session 0）中，与用户是否登录无关。
    • C. windows服务都是随系统启动而启动，无需用户进行干预 错误。服务的启动类型可以设置为“自动”、“自动(延迟启动)”、“手动”或“禁用”。
    • D. windows服务都需要用户进行登录后，以登录用户的权限进行启动 错误。服务在用户登录前就已经运行，并且它们使用特定的账户（如Local System, Network Service）权限运行，而不是当前登录用户的权限。
28. 网络物理隔离是指两个网络间链路层、网络层在任何时刻都不能直接通讯

第三份

1. Windows中的- SAM（Security Accounts Manager） 是 Windows 操作系统中的一个数据库，主要用于存储本地用户账户信息和安全描述符。它包含了 用户名、密码哈希（NTLM Hash）、组成员信息 等敏感数据。 存放位置C:\Windows\System32\config\SAM
   • A: %SystemRoot%\system32\config\sam 是SAM数据库的物理文件路径。
   • B: SAM文件本身就是一个注册表配置单元（Hive），它在系统启动时被加载到注册表的 HKEY_LOCAL_MACHINE\SAM 键下。
   • D: 这准确地描述了SAM的功能和访问机制。
   • C 是错误的。SAM文件受到了极其严格的保护。在Windows系统正常运行时，该文件被LSASS (Local Security Authority Subsystem Service) 进程独占锁定。任何用户，包括Administrator，都无法直接读取或写入这个文件。只有拥有 SYSTEM 权限的LSASS进程才能对其进行操作。这也是为什么黑客需要使用mimikatz等工具从LSASS进程的内存中转储密码哈希，而不是直接去读取SAM文件。
2. 完整性检查和控制是为了防止不合语义的数据、不正确的数据进入数据库
3. 当今任何一个标准的、实际运行的Apache环境中，httpd.conf 是服务器的主配置文件，它包含了或引用了所有的配置，当然也包括访问控制规则。
   在 Apache 早期版本中，配置被清晰地分成了三个文件：
   • httpd.conf: 包含核心的服务器指令。
   • srm.conf (Server Resource Map): 包含资源相关的配置，如 DocumentRoot。
   • access.conf: 专门用于存放访问控制规则，例如 <Directory> 和 <Location> 块中的 Allow, Deny 等指令。
   • inetd.conf 是 Linux/Unix 系统中 inetd 超级守护进程的配置文件，与 Apache 无关。
4. 与数据库的安全有直接关系的是访问控制的粒度
   • 访问控制的粒度 (Granularity) 指的是权限控制可以精确到什么程度。例如，是只能控制到表级别，还是可以控制到列级别，甚至是行级别（行级安全）。粒度越细，安全策略就能制定得越精确，能更好地遵循最小权限原则。这直接关系到数据库的安全性。
5. 审计系统一般包含三个部分：日志记录、日志分析和日志报告
6. 在Unix系统中，/etc/service文件记录一些常用的接口及其所提供的服务的对应关系
   • /etc/inetd.conf： 决定inetd启动网络服务时，启动那些服务
   • /etc/inittab：定义了系统缺省运行级别，系统进入新运行级别需要做什么
   • /etc/init.d/或 /etc/rc.d/： 包含了系统的一些启动脚本
7. windows系统是采用SID(安全标识符)来标识用户对文件或文件夹的权限
   • 在 Windows NT 内核中，每个用户、组或计算机都有一个唯一的安全标识符 (SID)。系统内部的所有访问控制（如文件系统的ACL）都是基于 SID 来判断的，而不是基于可变的用户名。
   • 用户名只是SID的一个方便人们记忆的一个别名
   • winddows默认账户是 Administrator 和 Guest。它们都可以被重命名，但不能被删除
8. 数据库管理员应向DBMS提出一组完整性规则来检查数据库中的数据，数据库的完整性控制机制通常包括
   1. 完整性约束条件 (Constraint): 定义什么是“合法”的数据。例如，PRIMARY KEY, FOREIGN KEY, CHECK。
   2. 完整性检查机制 (Check): 在执行 INSERT, UPDATE, DELETE 等操作时，DBMS 会自动触发检查机制，判断该操作是否会违反约束条件。
   3. 违约处理机制 (Action): 如果检查发现操作违反了约束，DBMS 会执行预定义的处理动作，最常见的动作就是拒绝 (REJECT) 该操作并报错。其他动作还包括级联删除（CASCADE）等。
   • 完整性修复机制不是一个标准的组成部分。DBMS 的职责是防止坏数据进入，而不是自动去修复已经存在的坏数据。数据修复通常需要 DBA 手动进行。
9. 数据库事务日志的用途是数据恢复
10. Cookie欺骗指的是攻击者通过某种方式（如XSS、网络嗅探）窃取了合法用户的Cookie，然后使用这个Cookie来冒充该用户，从而绕过身份验证
    而不是通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗
    • 最普遍、最标准的将会话ID（Session ID）传递给浏览器的方式，就是通过设置一个Cookie！ 浏览器收到的 Set-Cookie 头里会包含类似 PHPSESSID=a1b2c3d4e5f6… 这样的内容。
    • 因此，“Session验证”并没有取代“Cookie验证”，它依赖于Cookie来传递身份凭证（Session ID）。
11. Java安全模型(JSM)是在设计虚拟机(JVN)时，引入沙箱(sandbox)机制，其主要目的是为服务器提供针对恶意客户端代码的保护
    • 沙箱为来自网络的、不可信的代码提供一个受限制的运行环境，严格限制它访问本地系统资源的能力（如读写文件、打开网络连接等）。
12. 在典型的web应用站点的层次结构中，“中间件”是在哪里运行的 – 应用服务器
    在经典的三层/N层架构中：
    • Web服务器 (如 Apache, Nginx): 负责处理静态内容和接受HTTP请求，然后将动态请求转发给应用服务器。
    • 应用服务器 (Application Server): 这是运行业务逻辑的地方。中间件（如 Tomcat, JBoss, WebLogic, ASP.NET Core运行时）就是应用服务器的核心，它负责解释和执行后端代码（Java, C#, PHP等），处理业务流程，并与数据库交互。
    • 数据库服务器 (如 MySQL, Oracle): 负责数据的存储和检索。
13. 病毒的特性： 可感染、依附性
    • 与之相对的是蠕虫 (Worm)，蠕虫是独立的程序，它通过网络自主传播，不需要依附于宿主文件。
14. 杀毒软件报告发现病毒Macro.Melissa,由该病毒名称可以推断出病毒类型是宏病毒
    • 病毒软件厂商的病毒命名通常遵循一定格式：病毒类型.病毒家族名.变种。
15. 信息安全数据的载体有
    • 网络协议 (如IPsec, TLS): 提供了传输过程中的加密和认证机制。
    • 操作系统 (如Linux, Windows): 提供了访问控制、身份认证、日志审计等基础安全功能。
    • 应用系统 (如OA, ERP): 实现了应用层面的权限控制和业务逻辑安全。
16. 有效的缓冲区溢出的防护措施 ^id2
    • B. 严格验证输入字符串长度
    • C. 过滤不合规则的字符
    • D. 使用第三方安全的字符串库操作
      标准C语言中的许多字符串处理函数（如 strcpy, strcat, gets, sprintf）是不进行边界检查的，它们是导致缓冲区溢出漏洞的主要元凶。
17. 蜜罐的功能：
    • 可以吸引或转移攻击者的注意力，延缓他们对真正目标的攻击
    • 吸引入侵者来嗅探、攻击，同时不被觉察地将入侵者的活动记录下来
    • 可以对攻击活动进行监视、检测和分析
    • 蜜网的三大关键技术是数据捕获、数据控制和数据分析
      “攻击检测和实时报警”是典型的入侵检测系统 (IDS) 或入侵防御系统 (IPS) 的功能。不是蜜罐的功能
18. 下列关于计算机病毒感染能力的说法不正确的是 – 能将自身代码注入文本文件中并执行
    • B 能将自身代码注入到文档或模板的宏中代码: 宏病毒就是感染Office文档的宏代码。正确。
    • C 能将自身代码注入到引导区: 引导区病毒就是感染硬盘的主引导记录(MBR)或分区引导记录(DBR)。正确。
    • D 能将自身代码注入到扇区中的文件镜像: 文件型病毒就是感染可执行文件（如.exe, .com）。这个描述虽然不精确，但意指感染文件。正确。
19. 代码注入： 用户输入的数据被一个解释器当作命令或查询语句的一部分执行
20. 某服务器感染了一个木马，安全管理员通过进程分析找到木马进程为s.exe,位置是c:\s.exe文件，但当安全管理员终止该进程后，到c盘查找该文件却看不到这个文件，安全管理员给出了四种木马病毒隐藏自身的方式分析，其中哪一种分析方式是错误的? – D 木马通过设置自身属性为系统、隐藏文件，从而实现在系统中隐藏
    • A 木马采用DLL注入方式伪造进程名称，在进程分析中看起来是在C盘根目录下，实际不在此目录
    • C s.exe是木马在运行起来后生成的，每次退出后会将自身删除，所以在C盘无法查询此病毒
    • D 如果木马只是用了这种初级方法，安全管理员是一定能够看到这个文件的。
    • B 木马利用hook技术获取用户查询才做的消息，然后将自身从内存中的文件结构中删除，使自己实际在C盘，但是在查询时无法看到
21. 通过向被攻击者发送大量的ICMP回应请求，消耗被攻击者的资源来进行响应，直至被攻击者再也无法处理有效的网络信息流时，这种攻击称之为ICMP Flood
    • Smurf攻击是一种放大型的ICMP洪水攻击，它向网络的广播地址发送伪造源IP的ping请求，导致网络中大量主机同时向受害者回应。
    • Ping of Death 是发送一个超大的、畸形的ICMP包来使旧系统崩溃。
    • Land攻击是TCP SYN攻击。 攻击者使用伪造的SYN包，包的源地址和目标地址都被设置成被攻击方的地址，这样被攻击方会给自己发送SYN-ACK消息并发回ACK消息，创建一个空连接，每一个这样的连接都将保持到超时为止，这样过多的空连接会耗尽被攻击方的资源，导致拒绝服务。
22. 安全审计的作用：
    • 辅助辨识和分析未经授权的活动或攻击
    • 对与已建立的安全策略的一致性进行核查
    • 发现需要改进的安全控制措施
23. HTTP工作的架构模式是客户端-服务端模式
24. HTTP响应头信息中，allow允许哪种请求方式 – GET POST OPTIONS
    • Allow 是一个响应头 (Response Header)，它用于响应一个 OPTIONS 请求。
    • OPTIONS 是一个请求方法 (Request Method)，客户端使用 OPTIONS 方法来询问服务器，某个URL资源支持哪些HTTP请求方法（如GET, POST, PUT, DELETE等）。
    • 服务器收到 OPTIONS 请求后，会在响应头中加入 Allow: GET, POST, HEAD 这样的字段来回答。因此，Allow 头与 OPTIONS 方法是直接对应的。
25. OSI七层网络模型 1-7：物理层 数据链路层 网络层 传输层 会话层 表示层 应用层
26. 计算机取证的合法原则是计算机取证在任何时候都必须保证符合相关法律法规

第四份

1. 要在oracle下执行java存储过程，需要具备javasyspriv
   • 在 Oracle 数据库中，为了安全起见，对 Java 的权限进行了严格的划分。
   • connect 和 resource 是最基本的用户角色，分别用于连接和创建对象，权限很低。
   • dba 是数据库管理员，拥有最高权限，当然可以执行 Java 存储过程。但这不是执行该操作所需的最小和最特定的角色。
   • javasyspriv 是一个专门设计的角色，它的全称是 “Java System Privilege”。这个角色授予用户在数据库内部的 Java 虚拟机(JVM)中执行一些系统级操作的权限，例如访问文件系统、执行操作系统命令等。加载和执行 Java 存储过程通常需要这个特定的权限。
2. 系统疑似被入侵，查看系统登录日志wtmp,正确的命令是last-f wtmp
   • wtmp 文件（通常位于 /var/log/wtmp）是一个二进制文件，记录了用户的登录和注销历史。
   • last 命令是专门用来解析和显示 wtmp 文件内容的工具。-f 参数允许你指定要查看的日志文件，而不是使用默认的 /var/log/wtmp
3. 在linux安装应用，哪个命令不需要 –  ./install
   • 在 Linux 下从源代码编译安装软件，标准的 GNU Autotools 流程是三部曲：
     1. ./configure: 检查系统环境，生成 Makefile 配置文件。
     2. make: 根据 Makefile 文件，编译源代码，生成可执行文件。
     3. make install: 将编译好的文件和相关资源复制到系统的标准目录中。
   • ./install 或 ./install.sh 不是这个标准流程的一部分。它是一些软件开发者为了简化安装过程而自己编写的自定义安装脚本，并非通用或必需的命令。
4. 下面哪个类型的rootkit是调用系统级函数来隐藏自己 –  内核层
   • 内核层 Rootkit (Kernel-level Rootkit) 是最强大、最隐蔽的一类。它通过修改操作系统的内核代码或关键数据结构（如系统调用表、中断描述符表）来隐藏自身。当上层应用（如任务管理器、ls 命令）通过系统调用来查询进程、文件等信息时，被修改过的内核会拦截这些调用，并将关于 Rootkit 自身的信息从返回结果中过滤掉。
   • 应用层和运行库层 Rootkit 的隐藏能力较弱，更容易被检测。
5. 以下不属于实现数据库安全性的主要技术和方法 –  出入机房等记或加锁
   数据库系统内部提供的安全技术：
   • 存取控制 (Access Control): 通过 GRANT/REVOKE 实现用户权限管理
   • 视图 (View): 通过创建视图，可以向用户隐藏某些行或列，实现更细粒度的访问控制。
   • 审计 (Auditing): 记录对数据库的操作，用于事后追溯。
6. 全国首例计算机入侵银行系统是通过安装无限MODEM进行攻击
7. 黑客造成的主要安全隐患包括 破坏系统、窃取信息及伪造信息
8. 江泽民主席指出信息战的主要形式是电子战和计算机网络战
9. 在制定任何备份策略之前，第一步永远是识别和定义备份的范围
10. 为了防御网络监听，最常用的方法是 信息加密
11. 最小特权原则： 一个人有且仅有其执行岗位所足够的许可和权限

• 岗位轮换 组织机构内的敏感岗位不能由一个人长期负责
• 职责分离 对重要的工作进行分解，分自己给不同人员完成

12. 我国的计算机年犯罪率的增长是0.6
13. 信息安全风险缺口是指 IT的发展与安全投入，安全意识和安全手段的不平衡
14. 应急小组的简称 CERT。CERT (Computer Emergency Response Team)
15. 下面对访问控制技术描述最准确的是 – 防止对系统资源的非授权访问
    • 访问控制技术通过一系列机制（如身份认证、授权和审计，即AAA模型）来确保只有合法的用户（主体）才能以被允许的方式访问特定的资源（客体）。其根本目的就是防止未经授权的访问和使用。
    • 可靠性、可追查性、可信性都是安全的目标，但“防止非授权访问”是访问控制这一技术手段最直接、最准确的描述。
16. 完整性机制可以防范以下哪种攻击 – 数据传输中被篡改或破坏
17. 通常一个三个字符的口令破解需要18秒
18. 通过口令使用习惯调查发现有大约___%的人使用长度低于5个字符的口令
19. 黑色星期四 指的是1998年11月3日星期四
20. 数据所有者 负有决定信息分类级别的责任
    • 用户 (User): 数据的最终使用者。
    • 审计员 (Auditor): 负责检查安全策略的执行情况。
    • 安全员 (Security Officer): 负责提供安全建议、实施和维护安全控制措施，但最终的定级决策权在所有者手中。
21. 网络安全在多网合一时代的脆弱性体现在管理的脆弱性
22. 操作系统打补丁和系统升级是以下哪种风险控制措施 降低风险
    • 降低风险 (Risk Mitigation/Reduction): 采取措施来减少漏洞或减小攻击成功后的影响。打补丁修复了已知的漏洞，直接降低了系统被利用的可能性，这是最典型的降低风险措施。
    • 规避风险：停止使用该系统或功能。
    • 转移风险：购买网络安全保险。
    • 接受风险：已知风险但决定不采取任何措施。
23. 关于信息保障：
    • A 信息安全保障是一个客观到主观的过程，即通过采取技术、管理、工程等手段，对信息资源的保密性、完整性、可用性提供保护，从而给信息系统所有者以信心
    • 信息安全保障的需求是由信息安全策略所决定的，是自上而下的一个过程，在这个过程中，决策者的能力和决心非常重要
    • 信息系统安全并不追求万无一失，而是要根据资金预算，做到量力而行
24. WindowsNT提供的分布式安全环境又被称为域(Domain)
    • 域 (Domain) 是 Windows Server (源于 NT) 提供的一种集中式管理模型。在一个域中，所有的用户账户、计算机账户和安全策略都存储在名为活动目录 (Active Directory) 的中央数据库中。这使得管理员可以对整个网络进行统一的、分布式的安全管理。
    • 工作组 (Workgroup) 是一种对等的、非集中式的管理模型，每台计算机各自管理自己的账户。
25.  Apache解析规则从右向左
26. 会话固定形成的原因是成功注册后，会话ID没有轮转
    • 会话固定 (Session Fixation) 攻击的核心是：攻击者在用户登录之前，就强制用户使用一个攻击者已知的 Session ID。当用户用这个 Session ID 成功登录后，攻击者就可以利用这个 ID 来冒充用户。
    • 这个漏洞的根本原因是，Web应用在用户成功认证（登录）后，没有废弃旧的会话ID，并重新生成一个新的、安全的会话ID。这个行为被称为会话ID轮转 (Session ID Regeneration)
27.  IIS PUT漏洞存在  IIS6.0

 

第五份

1. 哪个关键字可在CREATE TABLE语句中使用 – UNIQUE
   • CREATE TABLE 是一个DDL语句，用于定义表的结构和约束。UNIQUE 是一个约束，用于确保列中的所有值都是唯一的。它可以在 CREATE TABLE 语句中定义列时使用（例如 email VARCHAR(255) UNIQUE）。
   • DISTINCT, GROUP BY, 和 ORDER BY 都是DQL (SELECT 语句)中使用的关键字，分别用于去重、分组和排序，不能用在 CREATE TABLE 语句中。
2.  中间件未出现过以下哪个漏洞 – 序列化 （序列化不是一个漏洞）
3. IIS没有出现过反序列化漏洞
4. 在渗透测试弱口令检查中，weblogic, guest, system 都是在Oracle产品线（包括Weblogic和Oracle数据库）中非常常见的默认或内置用户名。其中 weblogic/weblogic 是最著名的Weblogic默认管理员账号密码。
5. 数字取证的首要原则是保持证据的原始性和最小化对现场的改变
   • 打开计算机、登录系统、运行程序等任何交互操作都会大量修改系统状态（文件访问时间、注册表、日志、内存），严重污染甚至破坏原始证据。
   • 正确的做法是先对硬盘进行完整的位对位镜像（Imaging），然后在镜像副本上进行分析。
6. 计算哈希值是取证镜像工具最核心、最基本的功能之一
7. MAC地址 (Media Access Control Address)，又称物理地址，是烧录在网卡(NIC)上的全球唯一的地址。它由48位二进制数组成，通常表示为12位的十六进制数（如 00-1A-2B-3C-4D-5E）。
8. 硬盘的第一扇区”0扇区”是主引导记录 MBR
   • 第一个扇区： 系统引导记录 DBR
   • 第二、三个扇区： 分区数据
9. 在计算机取证调查的方法步骤中获取数据会对电子证据进行MD5校验
10. 下列哪个陈述与在犯罪现场获取电子证据有关 – 通过警告标语，组织给入侵者清晰和明确的通知，同意进入该系统并接受该系统监测
11. nbtstat -n用来显示NetBIOS名称表
    • -n: 显示本地机器的 NetBIOS 名称表。
    • -c: 显示 NetBIOS 名称缓存。
    • -r: 显示通过广播和 WINS 解析的名称统计信息。
    • -S: 显示远程机器的会话表。
12. 图像的位深度属性显示了图像中每个像素可用的颜色数
13. NTP (Network Time Protocol) 是一个分层结构。
    • Stratum 0: 权威时间源，如原子钟、GPS。它们不在网络上。
    • Stratum 1: 直接连接到Stratum 0的服务器，是网络上最精确的时间源。
    • Stratum 2: 通过网络从Stratum 1获取时间的服务器。
    • Stratum n: 通过网络从Stratum n-1获取时间的服务器
14. net session (或 net sessions) 命令用于列出或断开本地计算机与网络上其他计算机之间的会话。当在服务器上执行时，它会显示哪些用户（以及他们的IP地址、客户端类型）当前正连接到该服务器。
15. Ntldr读取Boot.ini文件且加载Ntoskrnl.exe.Bootvid.dll，Hal.dll,并且开机启动设备驱动程序
16. 公开源代码隐写隐藏的秘密信息在一个专门设计的模式，对普通读者是不清楚的
17. Metasploit Framework 强烈推荐连接数据库（通常是PostgreSQL）来管理工作空间、主机信息、漏洞数据等
    • db_status 用于查看当前的数据库连接状态。
    • db_connect 用于手动连接到一个已经配置好的数据库。
    • db_import 用于导入外部扫描器的报告（如Nmap XML）。
18. Nmap常见的参数总结：
    -sn：ping扫描，只探测主机是否存活。 -Pn：跳过主机发现 -sS：半开扫描 -sT：TCP Connect扫描 -sU：UDP扫描 -sA：ACK扫描（探测防火墙规则） -p：指定端口范围 -sV：探测服务版本 -O：操作系统指纹识别 -sC：相当于–script=default，执行默认脚本 -T0~T5：速度，T5也最容易被发现 -f：分片扫描，规避防火墙 -D <decoy>：使用诱饵 IP 混淆真实扫描源 -S <IP> ：伪造源 IP
19. Linux文件权限一共10位长度，分成四段
    • 第一段 (第1位): 文件类型 (- 为文件, d 为目录)
    • 第二段 (第2-4位): 文件所有者 (Owner) 的权限 (rwx)
    • 第三段 (第5-7位): 文件所属组 (Group) 的权限 (r-x)
    • 第四段 (第8-10位): 其他用户 (Others) 的权限 (r-x)
20. Linux系统修改账号密码生命周期的配置文件是 /etc/login.defs
21. kill-1955是指重新启动pid 955这个进程
    • -1 是信号 SIGHUP (Hangup)。对于守护进程(daemon)，收到 SIGHUP 信号的约定俗成的行为是重新加载其配置文件并重启服务，而不是终止。
    • -9 (SIGKILL) 是强制终止。
    • -15 (SIGTERM) 是默认的、优雅的终止信号。
22. 当空格被过滤时，攻击者会使用其他空白字符来绕过。这些都是常见的替代品
    • %09: Tab (水平制表符)
    • %0A: Line Feed (换行)
    • %0D: Carriage Return (回车)
    • %0B: Vertical Tab (垂直制表符)
    • 在URL编码中，+ 也可以替代空格。
    • 在MySQL中，还可以使用注释 /**/ 来替代空格。
23. 在MySQL中，所有的用户信息（包括用户名和密码哈希）都存储在名为 mysql 的系统数据库中，具体的表是 user 表
24. nslookup (Name Server Lookup) 是一个用于查询DNS（域名系统）的命令行工具。
25. 在谷歌搜索引擎中，可以使用intext:to parent搜索到一些存在目录遍历的网站

第六份

1. 当今IT的发展与安全投入，安全意识和安全手段之间形成安全风险缺口
2. 信息发送者使用己方的私钥进行数字签名
3. 根据《网络安全法》和相关的国家标准（如《国家网络安全事件应急预案》），网络安全事件的分级主要依据两个维度：影响范围 、造成的危害程度或严重后果
4. DDOS攻击时利用中间代理进行攻击
5. 以下不属于TCP端口扫描方式的是 –  ICMP扫描
   • NULL扫描 (-sN): 发送不含任何标志位的TCP包
   • ACK扫描 (-sA): 发送ACK包，主要用于探测防火墙规则。
   • Xmas扫描 (-sX): 发送设置了FIN, PSH, URG标志位的TCP包。
   • ICMP扫描（如 nmap -sn -PE）是使用ICMP协议（ping）来进行主机发现，而不是TCP端口扫描。
6. TCP协议三次握手的第一步是发送一个SYN包
   1. 第一步: 客户端向服务器发送一个 SYN (Synchronize) 包，请求建立连接。
   2. 第二步: 服务器回复一个 SYN/ACK (Synchronize/Acknowledge) 包，表示同意建立连接。
   3. 第三步: 客户端回复一个 ACK (Acknowledge) 包，表示确认收到，连接建立。
7.  永恒之蓝漏洞利用 445端口
8. MSSQL端口是1433
9. 浏览器的同源策略 (Same-origin Policy) 要求两个URL的协议、域名、端口三者完全一致，才算作同源。
10. ASPX的网站配置文件一般存放在哪个文件里 – web.config
    • ASPX 是 ASP.NET 技术的页面文件扩展名。
    • 在整个.NET Web应用框架中（包括ASP.NET），所有站点的核心配置，如数据库连接字符串、应用设置、模块配置、URL重写规则等，都统一存放在名为 web.config 的XML格式的配置文件中。
11. eval() 函数是一个语言内部的构造。它会将传入的字符串当作PHP代码来执行，而不是操作系统命令 (系统程序)。这是一个非常重要的区别，eval() 导致的是代码注入漏洞，而 system(), exec() 等导致的是命令注入漏洞。
12. 使用 SELECT … INTO OUTFILE ‘…’ 语句将内容写入文件，需要满足几个关键条件：
    • 数据库用户必须拥有 FILE 权限。
    • 必须知道一个服务器上可写目录的绝对路径。Web目录的绝对路径是首选。
    • 注入点必须允许执行完整的 SELECT 语句，最常见的方式就是通过 UNION SELECT (联合查询) 来构造。
13. APT攻击常见手段：
    • 鱼叉攻击 (Spear Phishing): 精心构造的、针对特定个人或组织的高度定制化钓鱼邮件。
    • 水坑攻击 (Watering Hole): 攻击目标群体经常访问的网站，植入恶意代码，守株待兔。
    • 社会工程学 (Social Engineering): 是鱼叉攻击和多种渗透手段的基础。
14. Apache 服务器默认会生成两个主要的日志文件 分别是 access.log error.log
15. 隧道协议是一种网络协议，它通过封装另一种网络协议的数据包，在两个网络之间创建一个逻辑上的通道（隧道）PPTP L2TP IPSec
16. 我司在安全区域划分中DMZ区通常用做对外服务区
    • DMZ (Demilitarized Zone)，即“隔离区”或“非军事区”，是位于内部私有网络和外部公共网络之间的一个中间网络。
17. Smurf攻击是一种经典的放大型DDoS攻击。其核心手法是：
    1. 攻击者伪造ICMP Echo Request（ping请求）包的源IP地址为受害者的IP。
    2. 攻击者将这个伪造的包发送到一个网络的广播地址。
    3. 网络中的所有主机会收到这个广播包，并向伪造的源IP（即受害者）回复ICMP Echo Reply。
    4. 这样，攻击者只发送了一个包，却引发了网络中成百上千台主机的回应，流量被放大，最终淹没受害者
18. 关闭allow_url_include可以防止远程文件包含
19. RDP的端口是3389

第七份

1. 进行网络安全需求分析需要的意识：集成意识、权衡意识、风险意识
2. 下列网络安全技术中，能够对内部攻击、外部攻击和误操作进行实时保护的是 –杀毒软件
   • 保护 (Protection) 意味着防御和阻止，而不仅仅是检测 (Detection)。
   • 入侵检测系统 (IDS) 的核心功能是检测和报警，它本身不具备阻断能力。能够阻断的是入侵防御系统(IPS)。因此，选项B不完全满足“保护”的要求。
   • 防火墙 主要在网络边界进行工作，它能有效防御外部网络攻击，但对内部主机之间的攻击以及主机上的用户误操作（如运行本地的恶意脚本）无能为力。
   • 杀毒软件 (Anti-Virus)，特别是现代的终端防护平台(EPP)，提供了多层次的实时保护：
     • 外部攻击： 能够实时扫描和拦截通过网络下载、邮件附件等方式进入主机的恶意软件。
     • 内部攻击： 能够阻止通过内部网络共享、USB设备等方式传播的恶意代码。
     • 误操作： 这是最关键的一点。当用户试图打开一个带毒文件，或执行一个恶意脚本时，杀毒软件的实时监控会立即介入并阻止这个操作，从而直接对用户的误操作提供了保护。
3. 依据OSI安全体系结构，数据链路层能提供 – 数据完整性服务
   • OSI安全体系 = 安全服务（做什么） + 安全机制（怎么做） + 攻击类型（为什么要做）
4. 在以下的认证方式中，最不安全的是 –  PAP
   • PAP (Password Authentication Protocol) 是最基础、最不安全的认证协议。它的致命弱点是以明文形式在网络上传输用户名和密码。任何能够嗅探网络流量的攻击者都可以直接窃取到凭证。
   • CHAP、MS-CHAP和SPAP都采用了不同形式的挑战-响应机制或混淆，虽然它们也存在各自的弱点，但都比PAP的明文传输要安全。
5. TCP SYN泛洪攻击的原理是利用了TCP三次握手过程
   • SYN Flood 攻击利用了TCP三次握手机制中的一个缺陷。攻击者发送大量的伪造源IP地址的SYN请求包给服务器。
   • 服务器收到SYN后，会分配资源并回复SYN/ACK，然后等待客户端的最后一个ACK包。
   • 由于源IP是伪造的，服务器永远也等不到这个ACK，导致大量的连接处于“半开放”状态，最终耗尽服务器的连接资源，使其无法响应正常用户的请求。****
6. ARP欺骗的最终目的通常是实施中间人攻击
7. ARP欺骗的实质是提供虚拟的MAC与IP地址的组合
8. 信息安全老三样是防火墙、入侵检测、杀毒
9. 常规端口扫描和半开放式扫描的区别是 没有完成三次握手，缺少ACK过程
10. Linux中，什么命令可以控制口令的存活时间 – chage
11. 在一台计算机上向www.baidu.com发起trasert时，返回信息“请求超时”,表示的意思是 ICMP数据包被过滤
    • tracert (Windows) 或 traceroute (Linux) 的工作原理是发送TTL值递增的数据包。当数据包的TTL在某个路由器上减为0时，该路由器会回复一个ICMP “Time Exceeded” 消息。
    • 如果某一跳显示“请求超时”，最常见的原因是该路由器上的防火墙配置为不允许发送出站的ICMP “Time Exceeded” 消息。它并不一定意味着网络不通，只是那一跳的路由器“沉默”了。
12. 设置IP地址MAC绑定的目的是防止非法接入，保护内网安全
13. Windows Server中默认的密码最长使用时间是42天
14. WannaCry勒索病毒利用的是以下哪个系统漏洞MS17-010
    • 2017年席卷全球的WannaCry勒索蠕虫，其传播机制是利用了被NSA泄露的、名为“永恒之蓝 (EternalBlue)”的漏洞利用工具。
    • “永恒之蓝”所利用的Windows SMB协议漏洞，微软发布的安全公告编号正是 MS17-010。
    • MS08-067是著名的“震荡波”蠕虫利用的漏洞；CVE-2019-0708是“BlueKeep”RDP漏洞。
15. 在Windows的安全事件日志中，常见的登录相关事件ID包括
    • 4624: An account was successfully logged on (账户成功登录)。
    • 4625: An account failed to log on (账户登录失败)。
    • 4776: The domain controller attempted to validate the credentials for an account (凭据验证，常见于域环境)。
    • 4672: Special privileges assigned to new logon (为新登录分配了特殊权限)。
16. 应急方法学定义了安全事件处理的流程，这个流程的顺序是 准备-检测-遏制-根除-恢复-跟进
17. 带VPN的防火墙的基本原理流程是先进行流量检查
    • 当一个加密的VPN数据包到达防火墙时，防火墙的第一步是根据其访问控制策略（ACL）对这个加密的、外部的数据包进行检查。例如，判断其源/目的IP、端口（如UDP 500/4500 for IPSec）是否允许通过。
    • 如果允许通过，数据包会进入VPN模块进行解密。
    • 解密后，防火墙会再对内部的、明文的数据包进行第二次流量检查，应用针对内网资源的访问控制策略。
18. Google Hacking语法
    • intext:: 搜索正文中包含特定关键字的页面。
    • intitle:: 搜索标题中包含特定关键字的页面。
    • site:: 将搜索范围限定在特定网站。
    • filetype:: 搜索特定文件类型的文档，例如 filetype:pdf “security” 会搜索所有包含”security”关键字的PDF文件。
19. 反向连接后门区别于普通后门的地方在于主动连接控制端、防火墙配置不严格时可以穿透防火墙
    • 普通后门 (正向连接): 在受害机上监听一个端口，等待攻击者从外部连接进来。这种方式容易被边界防火墙拦截。
    • 反向连接后门 (Reverse Shell): 不在本地监听，而是主动从受害机向外连接到攻击者在公网上的监听主机。
    • 由于大多数防火墙策略是“禁止外部发起，允许内部发起”，这种由内向外的连接请求很容易穿透防火墙，从而建立控制通道。
20. SQL杀手蠕虫病毒发作的特征是大量消耗网络带宽
21. 网络攻击的发展趋势是攻击工具日益先进

第八份

1. IDS 的全称是入侵检测系统 (Intrusion Detection System)。它的核心功能是检测 (Detection) 和分析 (Analysis)。
2. 根据我国信息安全管理体系，党政机关信息网络的安全保卫任务由下列哪个单位负责 – 公安机关
3. 我国的信息安全等级保护制度（等保）将信息系统从低到高划分为五个安全保护等级：
   • 第一级：自主保护级
   • 第二级：指导保护级
   • 第三级：监督保护级
   • 第四级：强制保护级
   • 第五级：专控保护级
4.  口令是验证用户身份的最常用手段，以下哪一种口令的潜在风险影响范围最大 –设备供应商提供的默认口令
5. 文件型病毒的特点有：
   • 病毒以某种形式隐藏在主程序中，并不修改主程序
   • 文件型病毒可以通过检查主程序长度来判断其存在
   • 文件型病毒通常在运行主程序时进入内存
6. 网络攻击与防御处于不对称状态是因为网络软、硬件的复杂性
7. 防火墙通常采用哪两种核心技术 – 包过滤和应用代理
   • 包过滤 (Packet Filtering): 第一代防火墙，工作在网络层，根据IP和端口进行过滤，速度快但功能简单。
   • 应用代理 (Application Proxy): 第二代防火墙，工作在应用层，对特定应用协议进行深度解析和代理，安全性高但性能差。
   • 现代的状态检测防火墙正是结合了这两者优点的产物。
8. 2014年2月，我国成立了中央网络安全和信息化领导小组
9. 网络安全法实施日期是2017年6月1日
10. 《网络安全法》明确规定国家网信部门（即国家互联网信息办公室）负责统筹协调网络安全工作和相关监督管理工作。
11. Linux系统的运行日志存储的目录是**/var/log**
12. 推荐的IIS安全加固措施：
    • A: 避免Web目录和系统目录在同一分区，防止Web漏洞影响操作系统。
    • B: IUSR_MachineName 是默认的匿名访问账户，重命名可以增加攻击者猜测的难度。
    • D: 为不同的网站创建独立的应用程序池，可以实现进程隔离，防止一个网站的漏洞影响到其他网站。
13. SQL语句中，彻底删除一个表的命令是 drop
    • DELETE FROM table_name WHERE …: 删除表中的数据行（DML操作），表结构依然存在。
    • DROP TABLE table_name: 彻底删除整个表，包括其结构和所有数据（DDL操作）。
14. SQL Server默认的具有DBA权限的账号是sa
15. 有关DOMXSS和平常的XSS下列说法正确的是 – DOMxss不是服务端代码造成的，而平常XSS是
    • 平常的XSS (反射型和存储型): 漏洞的根源在于服务端代码没有对用户的输入进行充分的过滤和编码，就将其输出到HTML页面中。
    • DOM XSS: 漏洞的根源在于客户端的JavaScript代码。它从URL的片段标识符 (#)、document.location 等DOM对象中获取数据，并在没有进行安全处理的情况下，动态地修改页面DOM（例如，使用 innerHTML 或 document.write），从而导致了恶意脚本的执行。整个过程可能完全不与服务器交互，或者服务器端看到的只是正常的请求。
16. Windows SID (安全标识符)的最后一部分，称为相对标识符 (RID)，用于标识域或本地计算机内的特定账户和组。
    • 有一些RID是系统预留的、众所周知的：
      • 500: 内置的 Administrator 账户。
      • 501: 内置的 Guest 账户。
      • 1000及以上: 通常是普通用户账户。
17. 以下最有效的防范上传漏洞 – 不做任何验证，上传文件名自动系统修正以字符串加图片后缀形式
18. 网络安全技术可以分为主动防御技术、被动防御技术两大类，以下属于主动防御技术的是 –蜜罐技术