1+x网络安全评估复习题及答案

1+x网络安全评估复习题及答案一、单选题（共60题，每题1分，共60分）1、MD5文摘算法得出的文摘大小是？A、128字节B、160字节C、160位D、128位正确答案：D2、HTTPBASIC认证中，使用了哪一种加密方法A、Base32B、AESC、Base64D、Md5正确答案：C3、Windows操作系统中查看ARP缓存表的命令是（）。A、arp-aB、arp-nC、arp-dD、arp-s正确答案：A4、AWVS是一款什么用途的渗透测试工具（）。A、漏洞扫描B、暴力破解C、XSS攻击D、SQL注入正确答案：A5、PHP关闭显示所有错误提示信息方法A、error_reporting(E_ERROR)B、error_reporting(0)C、error_reporting(E_WARNING)D、error_reporting(E_NOTICE)正确答案：B6、B类IP地址，有多少位主机号？A、8B、31C、24D、16正确答案：D7、Cookie的属性中，Domain是指什么？A、Cookie的名称B、过期时间C、Cookie的值D、关联Cookie的域名正确答案：D8、著名的nmap软件工具不能实现下列哪一项功能?A、端口扫描B、安全漏洞扫描C、whois查询D、操作系统类型探测正确答案：C9、Metasploit框架中的最核心的功能组件是（）。A、PayloadsB、PostC、EncodersD、Exploits正确答案：D10、下列不是网站存在XSS漏洞的原因是（）A、网站对用户输入的数据未作过滤B、网站对输出的数据未做处理C、网站未对用户下的敏感操作进行二次校验D、网站存在可供用户输入的交互模式正确答案：C11、下列哪个选项不属于命令执行漏洞的危害？A、控制服务器B、由命令执行漏洞就能发现sql注入漏洞C、反弹shellD、继承Web服务程序的权限去执行系统命令或读写文件正确答案：B12、使用下面哪个函数过滤xss是最好的？A、addslashes()B、str_replace()C、preg_replace()D、htmlspecialchars()正确答案：D13、alert()函数是用来干什么的？A、打开新页面B、关闭当前页面C、弹窗D、重新打开页面正确答案：C14、TCP/IP模型分几层？A、4B、5C、7D、6正确答案：A15、禁用windows账户AAA的命令是（）。A、netuserAAA/active:noB、netuserAAA/active:yesC、netAAA/active:noD、netAAA/active:yes正确答案：A16、电信诈骗识别公式中的因素不包括下列哪个？A、用电话、网络、短信等沟通工具见不到真人B、汇款、转账要求C、无法确定人物身份D、隐私类正确答案：D17、下列哪一个不属于信息安全范畴？A、实体安全B、运行安全C、电源安全D、人员安全正确答案：C18、将MAC地址转换为IP地址的协议是以下哪种协议？A、NTPB、ARPC、RARPD、IP正确答案：C19、httponly可以防御什么？A、中间人攻击B、Js代码获取cookieC、会话凭证预测D、Js代码获取网页内容正确答案：B20、DOM中不存在下面那种节点A、属性节点B、文本节点C、逻辑节点D、元素节点正确答案：C21、以下哪种方法不能执行命令（）A、system('whoami')B、eval('system(whoami)')C、system('eval(whoami)')D、system(whoami)正确答案：C22、XSS跨站脚本攻击劫持用户会话的原理是？A、让目标误认为攻击者是他要访问的服务器B、窃取目标cookieC、使目标使用自己构造的cookie登录D、修改页面，使目标登录到假网站正确答案：B23、OSI第四层是哪一层（应用层为第7层）？A、传输层B、物理层C、网络层D、链路层正确答案：A24、Metasploit框架中的最核心的功能组件是（）。A、PostB、ExploitsC、PayloadsD、Encoders正确答案：B25、下面说法正确的是？A、有一定安全意识的人可以防御一些反射型xssB、https也可以防御xssC、xss攻击只能进行会话劫持D、一般现在的浏览器不带xss防御功能正确答案：A26、如何防御包含漏洞，以下说法错误的是？A、避免由外界制定文件名B、文件名中要包含目录名C、限制包含的文件范围D、对于远程文件包含，设置php.ini配置文件中allow_url_include=off正确答案：B27、下列哪条是产生文件包含漏洞的原因？A、管理员管理不善B、文件来源过滤不严并用户可用C、服务器漏洞D、用户输入恶意代码正确答案：B28、HUB是工作在以下哪一层的设备？A、网络层B、物理层C、链路层D、传输层正确答案：B29、下面哪种处理文件上传的方式不够妥当（）。A、重命名上传的文件名称B、使用单独的服务器存放上传的文件C、通过黑名单验证上传的文件后缀名称D、设置上传目录不可解析正确答案：C答案解析：黑名单是威胁易绕过的30、关键信息基础设施的运营者采购网络产品和服务，可能影响（）的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。A、信息安全B、政府安全C、国家安全D、网络安全正确答案：C31、交换机（非扩展类）是工作在以下哪一层的设备？A、链路层B、传输层C、物理层D、网络层正确答案：A32、XSS不能来干什么？A、DDOSB、劫持用户会话C、钓鱼D、注入数据库正确答案：D33、HTTP协议建立在以下哪一个协议的基础上A、FTPB、UDPC、TCPD、SSL正确答案：C34、违反本法第四十四条规定，窃取或者以其他非法方式获取非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关没收违法所得，并处违法所得（）以上（）以下罚款，没有违法所得的，处（）以下罚款。A、十倍一百倍一百万元B、一倍一百倍十万元C、一倍十倍一百万元D、五倍一百倍一百万元正确答案：C35、IIS命令执行中，我们通常用来测试命令执行的payload执行结果是？A、shutdownB、开启远程桌面连接C、弹出计算器D、反弹shell正确答案：C36、下列关于水平越权的说法中，不正确的是？A、可能会造成大批量数据泄露B、同级别（权限）的用户或同一角色不同的用户之间，可以越权访问、修改或者删除的非法操作C、水平越权是不同级别之间或不同角色之间的越权D、可能会造成用户信息被恶意篡改正确答案：C37、点击Proxy组件中的哪个按钮将拦截下来的包丢弃A、ActionB、DropC、CommandD、Forward正确答案：B38、若一个用户同时属于多个用户组，则其权限适用原则不包括？A、最小权限原则FTPB、拒绝权限超越其他所有权限的原则C、文件权限超越文件夹权限原则D、最大权限原则正确答案：A39、邮件攻击类型不包括下列哪一个？A、水坑攻击B、商业邮件诈骗C、勒索病毒D、仿冒企业邮件正确答案：A40、文件包含漏洞的一般特征不包含A、?page=a.phpB、?id=1’C、?file=contentD、?home=a.html正确答案：B41、PHP中常见文件包含的函数有include(),include_once(),require_once()，require()等，以下说法错误的是？A、require_once()：若文件中代码已被包含则不会再次包含B、include_once()：若文件中代码已被包含还会再次包含C、require()：只要程序一运行就包含文件，找不到被包含的文件时会产生致命错误，并停止脚本D、include()：执行到include时才包含文件，找不到被包含文件时只会产生警告，脚本将继续执行正确答案：B42、XSS跨站脚本攻击可以插入什么代码？A、PHPB、JSPC、ASPD、HTML正确答案：D43、Apache解析漏洞中，相关配置是？A、PhpinitB、ApacheHandlerC、HttpdinitD、AddHandler正确答案：D44、以下哪种攻击不能获取用户的会话标识？A、会话凭证B、凭证预测C、XSSD、SQL注入正确答案：D45、#iptables–AINPUT–mu32--u32‘6&FF=0x11’–jDROP的作用是：（）。A、在输入链,IP包中的协议字段为17则丢弃B、在转发链,IP包中的协议字段为17则丢弃C、在输入链,IP包中的协议字段为11则丢弃D、在转发链,IP包中的协议字段为11则丢弃正确答案：A46、XSS跨站脚本攻击可以插入什么代码？A、JavascriptB、PHPC、ASPD、JAVA正确答案：A47、反射型xss通过什么传参？A、POSTB、GETC、PUTD、FROM正确答案：B48、在使用Burp的Intruder模块时，需要注意的是？A、线程数量不能超过20B、字典大小不能超过1MC、payload数量不能超过2个D、字典路径不能含有中文正确答案：D49、以下哪种攻击可以获取目标的cookie？A、文件包含B、变量覆盖C、Sql注入D、XSS正确答案：D50、盗取Cookie是用做什么？A、钓鱼B、劫持用户会话C、固定用户会话D、预测用户下一步的会话凭证正确答案：B51、TCP协议头部前16位是以下哪个选项的定义？A、目的端口B、序列号C、源端口D、窗口大小正确答案：C答案解析：1-16位为源端口，17-32位为目的端口。52、OSI参考模块分几层？A、7B、4C、5D、6正确答案：A53、关于命令执行漏洞，以下说法错误的是？A、命令执行漏洞只发生在PHP的环境中B、该漏洞可导致黑客控制整个网站甚至控制服务器C、没有对用户输入进行过滤或过滤不严可能会导致此漏洞D、命令执行漏洞是指攻击者可以随意执行系统命令正确答案：A54、以下哪一协议不是工作在应用层?A、文件传输协议（FileTransferProtocol，FTP）B、用户数据报协议（UserDatagramProtocol，UDP）C、简单网络管理协议（SimpleNetworkManagementProtocol，SNMP）D、超文本传输协议（HyperTextTransferProtocol，HTTP）正确答案：B55、下面说法正确的是？A、在输入和输出处都要过滤xss攻击B、htmlspecialchars()可以完全杜绝xss攻击C、使用防止sql注入的函数也可以防御xssD、只需要在输入处过滤xss就可以了正确答案：A56、关于PHP文件包含利用方法，错误的是（）A、文件包含漏洞常可以配合文件上传漏洞共同利用B、利用php://input伪协议需开启allow_url_include配置C、利用文件包含漏洞需被包含文件为.php格式D、远程文件包含需服务器开启allow_url_fopen配置正确答案：C57、关于HTML事件的叙述，错误的是A、onkeyup松开键盘执行脚本B、onerror当错误执行脚本C、onkeypress当按下键盘执行脚本D、onclick鼠标点击执行脚本正确答案：C58、PHP语言中，单引号和双引号区别A、单引号不会将内部恶意字符过滤，双引号会将内部字符进行过滤B、单引号会将内部字符进行过滤，双引号不会将内部恶意字符过滤C、单引号会将内部变量解析后输出，双引号会将字符原义输出D、单引号会将字符原义输出，双引号会将内部变量解析后输出正确答案：D59、故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，将受到什么处罚？A、处五年以下有期徒刑或者拘役B、罚款C、警告D、拘留正确答案：A60、下面关于htmlspecialchars()说法错误的是？A、该函数可用于过滤xssB、该函数用于对一些字符进行xss实体编码C、该函数用于转译字符（在后面加上反斜线）正确答案：C二、多选题（共50题，每题1分，共50分）1、在HTTP响应的MIME消息体中，可以同时包含的数据类型是（）A、音频数据B、文本数据C、图片数据D、视频数据正确答案：ABCD2、Wireshark通过哪个面板展示数据包信息？A、PacketDetailsB、显示过滤器C、捕获过滤器D、PacketBytes正确答案：AD3、上传文件后缀检查，常见的方法有（）A、PHPpathinfo（）函数B、Js调用selectfile（）函数C、PHPaddcslashes（）函数D、Getimagesize（）函数E、If（）条件判断正确答案：ABE4、计算机网络主要实现哪些功能？A、资源共享B、通信C、提高可靠性D、协同工作正确答案：ABCD5、从覆盖范围上划分网络，有以下哪几种？A、局域网B、广域网C、无线网D、城域网正确答案：ABD6、Wireshark统计工具有何作用？A、若数据链路层广播包过多，可能发生的广播风暴B、对URL信息进行统计，可能发现SQL注入信息C、对URL信息进行统计，可能发现攻击者上传的木马D、可以发现短时间内的流量增加正确答案：ABCD7、以下关于PHP文件包含函数的说法中，正确的是？A、使用include()，只有代码执行到此函数时才将文件包含进来，发生错误时只警告并继续执行。B、require_once()功能和require()一样，区别在于当重复调用同一文件时，程序只调用一次。C、inclue_once()和include()完全一样D、使用require()，只要程序执行，立即调用此函数包含文件，发生错误时，会输出错误信息并立即终止程序。正确答案：ABD8、国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行哪些安全保护义务：A、法律行政法规规定的其他义务B、采取防范计算机病毒和网络攻击网络侵入等危害网络安全行为的技术措施C、向社会发布网络安全风险预警，发布避免减轻危害的措施D、制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任E、采取监测记录网络运行状态网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月F、采取数据分类重要数据备份和加密等措施正确答案：ABDEF9、下面哪些应用使用了UDP协议承载？A、TFTPB、DNSC、SMTPD、SNMP正确答案：ABD10、任何个人和组织有权对危害网络安全的行为向等部门举报。A、网信B、工信C、电信D、公安正确答案：ACD11、如何防范命令执行漏洞，以下说法正确的是？A、在使用动态函数之后，确保使用函数是指定函数之一；B、进入执行命令函数/方法之前，变量一定要做好过滤对敏感字符进行转义C、一定要使用系统执行命令D、对于PHP语言来说，不能完全控制的危险函数最好不要使用过滤不严或被绕过正确答案：ABD12、apache+Linux日志默认路径是?A、%SystemDrive%\inetpub\logs\LogFilesB、/usr/local/nginx/logsC、/var/log/httpd/access_logD、/etc/httpd/logs/access_log正确答案：CD13、信息安全范畴包括下列哪几个：A、物联网（IoT）设备成为薄弱环节B、计算机安全C、信息本身的安全D、通信安全正确答案：BCD14、上网安全中的两种公共设备谨慎用，指的是：A、公共手机充电桩B、计算机安全C、物联网（IoT）设备成为薄弱环节D、公共WIFI正确答案：AD15、查看/etc/passwd文件内容，发现其中一行信息为“root:x:0:0:root:/root:/bin/bash”，以下哪些说法是正确的？A、该用户的主目录为/rootB、第2个字段的代表root用户的密码为“x”C、该行是root用户的相关信息D、该用户的主目录为/bin/bash正确答案：AC16、请从以下说法中，选择正确选项？A、iis7配置文件默认目录C:\Windows\System32\inetsrv\config\applicationHost.configB、window2003+iis6.0日志文件默认放在C:\WINDOWS\system32\LogfilesC、apache日志默认在/etc/httpd/logs/access_log或index.php?page=/var/log/httpd/access_logD、iis7日志文件默认在%SystemDrive%\inetpub\logs\LogFiles正确答案：ABCD17、关于命令执行漏洞的成因，以下说法正确的是？A、代码层过滤不严格B、使用了PHP中的system，exec，shell_exec等函数C、调用第三方组件存在代码执行漏洞D、没有配置防火墙正确答案：ABC18、Burpsuite中有以下这些组件A、ProxyB、ScannerC、TargetD、Repeater正确答案：ABCD19、网络运营者收集使用个人信息，应当遵循______________的原则，公开收集使用规则，明示收集使用信息的目的方式和范围，并经被收集者同意。A、真实B、必要C、正当D、合法正确答案：BCD20、关于Linux目录文件系统的文件夹，以下哪些说法是正确的？A、/etc/目录用于存放系统配置文件B、/var/目录仅用于存放系统产生的日志文件C、/bin/目录主要存放平时常用的命令D、/tmp/目录用于存放系统的临时文件正确答案：ACD21、HTTP协议请求中不会存在哪个字段A、User-AgentB、Last-modifiedC、Set-cookieD、Location正确答案：BCD22、逻辑漏洞一般出现在哪些地方？A、越权访问B、密码找回C、没有旧密码或身份验证的任意密码修改D、交易支付金额正确答案：ABCD23、Metasploit框架中的模块都包含哪些模块类型（）。A、PostB、PayloadsC、EncodersD、NopsE、ExploitsF、AUX正确答案：ABCDEF24、Nmap软件是一款渗透测试常用的开源软件，它的主要功能有（）。A、漏洞扫描B、端口扫描C、拓扑发现D、主机扫描正确答案：ABCD25、KaliLinux渗透系统中的哪些软件具有密码破解功能（）。A、HydraB、SnifferC、JohnD、Wireshark正确答案：AC26、根据《网络安全法》的规定，任何个人和组织（）。A、不得提供专门用于从事侵入网络干扰网络正常功能等危害网络安全活动的程序B、明知他人从事危害网络安全的活动的，可以为其进行广告推广C、不得从事非法侵入他人网络干扰他人网络正常功能等危害网络安全的活动D、明知他人从事危害网络安全的活动的，不得为其提供技术支持正确答案：ACD27、文件包含漏洞的危害有哪些？A、控制网站B、服务器费用增加C、执行任意脚本代码D、控制整台服务器正确答案：ACD28、防止口令暴力破解的配置包括（）。A、口令复杂度配置B、口令输入方式C、登录失败锁定D、口令长度配置正确答案：ACD29、使用00截断进行文件上传时，上传未成功可能的原因是（）A、网页设置了上传白名单，在白名单前进行了截断B、使用GET方式提交，未删除httpbody中POST内容C、使用GET方法提交，但未修改方法名称为‘GET’D、使用POST方式提交%00，但并未转码E、使用GET方式提交%00，但重复转码正确答案：ABDE30、下面关于TCP协议描述，错误的是？A、有重传机制B、断开需要3次握手C、有流量控制机制D、工作在网络层正确答案：BD31、任何个人和组织应当对其使用网络的行为负责，不得设立用于（）违法犯罪活动的网站通讯群组，不得利用网络发布涉及实施诈骗，制作或者销售违禁物品管制物品以及其他违法犯罪活动的信息。A、制作或者销售违禁物品B、实施诈骗C、传授犯罪方法D、制作或者销售管制物品正确答案：ABCD32、IP地址目前有哪几种版本?A、IPV4B、IPV8C、IPV6D、IPV5正确答案：AC33、逻辑漏洞中，两种绕过授权验证方法为?A、方向越权B、水平越权C、垂直越权D、交叉越权正确答案：BC34、办公安全威胁包括下列哪几个：A、移动存储设备B、公用打印机C、人员弱点D、摄像头正确答案：ACD35、下列哪个描述的是防范虚构事实的诈骗：A、接到亲人被绑架、受伤住院、被扣留拘禁等电话或短信时，一定要冷静应对，弄清情况，请及时报警B、对于好友QQ、微信、手机发送过来涉及到借钱、汇款等信息，一定要电话联系到本人进行确认C、切不可贪图便宜，与市价相差较大的网络商品，不要相信。D、通过子女所在学校、单位、同学、朋友联系，进行核实，确认情况的真实性。正确答案：AD36、Burpsuite中有以下这些组件A、ScannerB、ProxyC、RepeaterD、Target正确答案：ABCD37、下面哪个代码是不安全的,可能存在sql注入漏洞（）正确答案：答案解析：scorefromtbl_studentwherenamelike'%$name$%'</select>);([B、]>Stmt=connection.pr