2026 年下半年 · 信息安全工程师真题回忆版与考情分析

原创

snortman
snortman

网络安全攻防与治理

2026年10月27日 13:20
安徽

去阅读

第一部分　综合知识（按知识板块分类）

板块一　密码学与密码应用（7 题）

1｜原卷第 1 题

题干：（　）属于杂凑函数A.（缺）　B. SM3　C.（缺）　D.（缺）

答案：B

• 考点：杂凑函数（Hash）的算法族归属；国密 SM 系列分工。
• 思路：SM3 输出 256 位摘要、单向不可逆，是国密杂凑标准；SM1/SM4 是对称分组密码，SM2 是非对称，SM9 是标识密码。四个 SM 里只有 SM3 是杂凑。
• 易错：把 SM3 当\"加密算法\"。它能校验完整性，不能解密——\"SM3 加密\"是错误表述。

2｜原卷第 2 题

题干：SM1 采用的加密方法是（　）A. ECB（电码本模式）　B. CBC（密文分组链接模式）　C. CTR（计数器模式）　D. （缺）

答案：B（CBC）

• 考点：国密对称算法 SM1 的工作模式。
• 思路：SM1 是分组长度与密钥长度均为 128 位的对称分组算法，算法细节不公开、以硬件实现为主，工程上标准用法为 CBC 模式配初始向量 IV。ECB 相同明文出相同密文、CTR 需计数器管理，均非其典型配置。
• 易错：⚠️ 本题题干为考友回忆，\"SM1 采用 CBC\"属工程惯用而非算法唯一模式（SM1 本身是分组算法，模式可选）。若考试问\"SM1 属于哪类算法\"，应答\"对称分组密码\"，不要答模式。两种问法要分清。

3｜原卷第 9 题

题干：关于数字签名的描述，正确的是（　）A.（缺）　B. 数字签名用于完整性、身份认证和抗抵赖，不承担数据加密功能　C.（缺）　D.（缺）

答案：B

• 考点：数字签名的功能边界；签名与加密的分工。
• 思路：签名 = 用发送方私钥对摘要运算，接收方用发送方公钥验证。它解决\"是否被改（完整性）、是不是他（身份认证）、能否否认（抗抵赖）\"三件事，但明文仍可被读取，故不提供保密性。
• 易错：签名 ≠ 加密。要同时保密必须\"先签名后加密\"；只签名不加密，内容对旁观者依旧可见。

4｜原卷第 29 题

题干：SM3 对应的是（　）A.（缺）　B. HASH　C.（缺）　D.（缺）

答案：B（HASH / 杂凑）

• 考点：同第 1 题，属同一考点在不同题位的重复设问（本卷 SM3 至少出现 3 次，是绝对高频）。
• 思路：SM3 输出 256 位、抗碰撞，用于完整性校验与签名中的摘要计算。
• 易错：与\"SM3 提供可靠性/完整性\"的表述连用时，注意\"可靠性\"是教材里的旧措辞，标准说法是完整性（integrity）。

5｜原卷第 45 题

题干：Diffie-Hellman 协议核心作用是什么？（　）A. 在不可信公网互换共享密钥　B. 生成密钥　C. 协助认证　D. 加、解密

答案：A

• 考点：DH 密钥交换的定位——只协商、不加密、不认证。
• 思路：双方各出私钥、互传公钥，基于离散对数难题各自算出同一个会话密钥；全程不传输密钥本身，故可在不可信信道完成。
• 易错：DH 不提供身份认证，因此裸 DH 无法抵抗中间人攻击——这正是它必须与证书/签名配合的原因。选 C\"协助认证\"是典型陷阱；DH 本身不生成\"密钥对用于加解密\"，选 B、D 亦错。

6｜原卷第 63 题

题干：数字信封解密第一步用什么密钥？（　）A. 发送方私钥　B. 发送方公钥　C. 接收方公钥　D. 接收方私钥

答案：D（接收方私钥）

• 考点：数字信封\"两次加解密\"的密钥流向。
• 思路：发送方用接收方公钥加密会话密钥（信封），用会话密钥加密正文 → 接收方先用自己的私钥拆信封取出会话密钥，再用会话密钥解正文。第一步必是接收方私钥。
• 易错：把\"签名验证\"混进来。若信封内还附签名，验证签名才用发送方公钥，但那是后续步骤，不是第一步。

7｜原卷第 64 题

题干：SSL 中非对称加密确保了什么？（　）A. 保密性　B. 可用性　C. 身份认证　D. 可靠性

答案：C（身份认证）

• 考点：SSL/TLS 握手阶段两类密码算法的分工。
• 思路：握手阶段用非对称算法（RSA/ECDHE + 证书）完成服务器身份认证与会话密钥协商；握手完成后用对称算法（AES/SM4）承担数据保密性。题干问\"非对称加密确保什么\"，指向身份认证（密钥协商的安全性亦源于此）。
• 易错：⚠️ 本题的\"保密性 vs 身份认证\"在考生回忆中存在分歧。若题干强调\"非对称加密保障数据不被窃听\"，则应答保密性。判分逻辑：问\"SSL 靠什么保证机密性\"→ 对称；问\"非对称在 SSL 里起什么作用\"→ 身份认证与密钥交换。答题时先看题干主语。

板块二　网络攻击原理与恶意代码（15 题）

8｜原卷第 7 题

题干：关于 DoS 攻击的相关描述，正确的是（　）A.（缺）　B.（缺）　C.（缺）　D. DoS 攻击的目标就是耗尽目标资源，造成服务不可用

答案：D

• 考点：DoS 的本质——破坏可用性，而非窃取数据。
• 思路：DoS 通过耗尽带宽、连接数、CPU、内存等资源，使合法用户无法获得服务。它对应 CIA 中的 A（可用性）。
• 易错：把 DoS 与\"入侵、拖库\"混为一谈。DoS 通常不获取数据，破坏的是可用性；若同时伴随数据泄露，才是复合攻击。

9｜原卷第 10 题

题干：属于被动攻击的是（　）A. 窃听　B.（缺）　C.（缺）　D.（缺）

答案：A（窃听）

• 考点：主动攻击 / 被动攻击的划分标准——是否改变数据流。
• 思路：被动攻击只\"看\"不改：窃听、流量分析、嗅探。主动攻击要\"动手\"：篡改、伪造、重放、中断、拒绝服务、植入木马。
• 易错：流量分析属被动，很多考生误判为主动，因为它\"主动收集\"。判断依据是有没有修改/注入数据，不是\"行为是否积极\"。

10｜原卷第 17 题

题干：以下关于 Rootkit 的描述，正确的是（　）A.（缺）　B.（缺）　C.（缺）　D. 隐藏注册表、进程、任务计划，实现自身隐匿驻留

答案：D

• 考点：Rootkit 的核心特征——隐匿性（而非破坏性、传染性）。
• 思路：Rootkit 通过劫持系统调用、钩子（Hook）、过滤驱动等手段，让自身及同伙在进程列表、注册表、文件系统中\"看不见\"，从而长期驻留。
• 易错：Rootkit ≠ 病毒（无自我复制）、≠ 木马（不必然开远程控制）。它的定义性特征是隐藏。另注意：用户态 Rootkit 易被检测，内核态 Rootkit 难清除。

11｜原卷第 18 题

题干：测试是否存在 SQL 注入，应输入（　）A.（缺）　B.（缺）　C. 单引号　D.（缺）

答案：C（单引号 '）

• 考点：SQL 注入的手工探测手法。
• 思路：输入单引号可破坏 SQL 语句的字符串闭合，若页面报数据库语法错误（如 You have an error in your SQL syntax），即说明参数被直接拼入查询，存在注入点。
• 易错：单引号只是探测，不是利用。别答 ' or 1=1--——那是验证/利用载荷，题干问\"测试是否存在\"。另外，报错被屏蔽不代表无注入，需盲注（布尔/时间）进一步确认。

12｜原卷第 21 题

题干：缓冲区溢出时，哪个地址会覆盖返回地址？（　）A. maskcode　B. shellcode　C. （缺）　D. （缺）

答案：B（shellcode）

• 考点：栈溢出的利用机理。
• 思路：向栈上缓冲区写入超长数据 → 溢出部分依次覆盖保存的 EBP 与返回地址（EIP/RIP） → 若把返回地址改为指向注入的 shellcode 首地址，函数返回时即跳转执行攻击代码。
• 易错：shellcode 是被执行的载荷，严格说\"覆盖返回地址的是溢出数据中的那一段地址值\"。本题按回忆选 B，属命题者的通俗表述；若选项中出现\"溢出数据/返回地址指针\"，应优先选更准确的表述。⚠️ 此为体例性存疑，不影响知识点掌握。

13｜原卷第 22 题

题干：攻击者获取目标主机控制权后，下列操作中不属于\"权限维持（持久化驻留）\"范畴的是（　）A. 新建隐藏/影子高权限账号　B. 添加计划任务或写入启动项　C. 将恶意代码注入或替换系统合法进程　D. 关闭系统防火墙规则

答案：D

• 考点：ATT&CK 中 Persistence（持久化） 战术的判定。
• 思路：持久化的目标是\"重启/重登后仍在\"。A（账号）、B（自启）、C（进程注入）都是为了\"留住访问权\"；D 是削弱防御（Defense Evasion / Impair Defenses），属于为后续行动清障，不是\"留住\"。
• 易错：C 易被误判为\"隐蔽\"，但进程注入同时具备隐匿与驻留双重属性，归入持久化可接受；D 关闭防火墙不留任何回访通道，明确不属于持久化。

14｜原卷第 24 题

题干：SYN 扫描遇到开放端口时，目标返回（　）A. SYN+ACK　B. ACK　C. RST　D. FIN

答案：A（SYN+ACK）

• 考点：TCP 三次握手与端口状态的对应。
• 思路：SYN 扫描只发 SYN 不完成握手。开放 → 回 SYN+ACK；关闭 → 回 RST；被过滤 → 无响应。
• 易错：三个映射要背成一组：开放 SYN+ACK / 关闭 RST / 过滤 无响应。另注意 ACK 扫描用于探测防火墙规则（不受状态检测阻断），与 SYN 扫描用途不同。

15｜原卷第 25 题

题干：多态病毒加密的部分是？（　）A. 病毒体、头文件　B. 病毒体、变换引擎　C. （缺）　D. （缺）

答案：B（病毒体 + 变换引擎）

• 考点：多态病毒（Polymorphic Virus）的变形机制。
• 思路：多态病毒每次感染生成不同的加密密钥，把病毒体加密；而负责\"解密+变异\"的变换引擎（Mutation Engine） 自身也加密且随之变异，因此每次样本的字节特征都不同，可绕过基于特征码的查杀。
• 易错：与变形病毒（Metamorphic） 区分——多态是\"加密+换密钥\"，变形是\"重写代码结构、不加密\"。另注意：多态病毒不是\"加密病毒\"的同义词，加密病毒密钥固定，多态病毒密钥每次不同。

16｜原卷第 31 题

题干：ANVA 是什么？（　）A. 中国反病毒联盟　B. 国家应急响应中心　C. 国家漏洞平台　D. 中国互联网网络安全威胁治理联盟

答案：A（中国反网络病毒联盟，ANVA）

• 考点：国内网络安全组织缩写的对应关系。
• 思路：ANVA = Anti Network-Virus Alliance of China，中国反网络病毒联盟，2013 年成立，聚焦恶意代码样本共享与治理。
• 易错：易与 CNCERT/CC（国家互联网应急中心）、CNNVD（国家信息安全漏洞库）、CNVD（国家信息安全漏洞共享平台）混。记忆钩子：ANVA 抓病毒，CNNVD 管漏洞，CNCERT 管应急。

17｜原卷第 32 题

题干：附着在其他软件上、可执行攻击的恶意代码是（　）A. 间谍软件　B. 陷门　C. 逻辑炸弹　D. 细菌

答案：C（逻辑炸弹）

• 考点：恶意代码九大分类的判别特征。
• 思路：教材对逻辑炸弹的定义是\"依附在其他程序/软件中，在特定条件（时间、事件）触发时执行破坏\"。题干\"附着在其他软件上 + 可执行攻击\"正对应此定义。
• 易错：这是本卷争议最大的一题。若题干强调\"具有触发条件\"，选逻辑炸弹；若强调\"能自我复制\"，才是病毒/蠕虫；\"细菌（Bacteria）\"指自我复制但不破坏文件、只耗资源。另注意 陷门（Trapdoor/后门） 是\"绕过正常认证的秘密入口\"，不强调附着。
• 讲义提示：此题可作为\"定义要素拆解\"的教学素材——把\"附着、触发、破坏\"三个要素逐一对比九类恶意代码。

18｜原卷第 35 题

题干：关于 UDP Flood 的相关描述，正确的是（　）A. UDP Flood 属于 DDoS 攻击，耗尽资源，破坏可用性　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：UDP Flood 的攻击类型与安全属性归属。
• 思路：攻击者向目标随机端口发送大量 UDP 包，目标逐包检查并回 ICMP 不可达，链路带宽与 CPU 被耗尽，属流量型 DDoS，破坏可用性。
• 易错：与 SYN Flood（协议型，耗连接表）、HTTP Flood（应用层，耗业务处理能力）区分。三者都属 DDoS，但消耗的资源层次不同：带宽 / 连接数 / 应用处理能力。

19｜原卷第 38 题

题干：关于银狐木马的描述，正确的是（　）A. 目标是财务类软件，通过社会工程学钓鱼等方式植入　B. 全自动传播　C. （缺）　D. （缺）

答案：A

• 考点：典型在野恶意代码家族的行为特征（银狐 / SilverFox）。
• 思路：银狐木马主要针对财税、金融类软件用户，通过钓鱼邮件、仿冒软件下载站、伪装安装包、微信群传文件等方式植入，最终目的多为远控 + 窃取资金/凭证。
• 易错：木马类不具备全自动传播能力（那是蠕虫），B 必错。这是\"木马 vs 蠕虫\"的核心分界：木马要人骗，蠕虫自己跑。

20｜原卷第 53 题

题干：TCP/IP 协议层面引起的攻击是？（　）A. 分布式拒绝服务攻击　B. Internet 蠕虫　C. 冲击波蠕虫　D. 震网病毒

答案：A（DDoS）

• 考点：攻击所利用的层次归属。
• 思路：DDoS 大量利用 TCP/IP 协议栈固有缺陷（三次握手可被半开连接耗尽、UDP 无连接、源 IP 可伪造），属协议层攻击。B/C 是蠕虫（应用/系统漏洞利用），D 震网是定向工控病毒（利用多个 Windows 漏洞 + 工控逻辑）。
• 易错：冲击波（Blaster）虽然利用 RPC DCOM 漏洞、走 135 端口，但归类上是蠕虫；\"协议层面\"强调的是协议机制本身被滥用，而非\"通过网络传播\"。

21｜原卷第 55 题

题干：w32.Blaster.worm 是什么？（　）A. 冲击波蠕虫，利用 RPC DCOM 漏洞传播　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：经典恶意代码事件与漏洞的对应（2003 年冲击波）。
• 思路：W32.Blaster（冲击波）利用 Windows RPC DCOM 漏洞（MS03-026，TCP 135） 传播，感染后引发系统反复重启，曾造成全球大规模中断。
• 易错：三个\"名虫\"必须分清：红色代码（Code Red）→ IIS Index Server 溢出；尼姆达（Nimda）→ 多途径传播；冲击波（Blaster）→ RPC DCOM；震荡波（Sasser）→ LSASS 漏洞（TCP 445）。考场最爱设\"漏洞—蠕虫\"错配选项。

22｜原卷第 56 题

题干：对攻击树理解正确的是？（　）A. 节点或全部满足节点即可达成父节点目标　B. 可以系统性地解释攻击路径　C. 节点满足任一子节点即可达成父节点目标　D. 能够分类防御

答案：B

• 考点：攻击树（Attack Tree）模型的用途。
• 思路：攻击树以\"最终攻击目标\"为根，逐层分解为子目标/攻击手段，AND 节点（全部子节点达成才成立）与 OR 节点（任一达成即可）并用，从而系统化枚举攻击路径，并可反推防御点。
• 易错：A、C 各只说了一半（漏了 AND/OR 之分），是\"片面对\"的干扰项；D\"分类防御\"不是攻击树的主要用途（那是 ATT&CK 的特长）。攻击树管\"路径推演\"，ATT&CK 管\"行为分类\"——这一对是本卷高频辨析点。

板块三　防火墙 · VPN · 隔离与网络设备（10 题）

23｜原卷第 3 题

题干：要保护 DMZ、内网、外网三个区域，应使用（　）A.（缺）　B. 代理防火墙　C. 双宿主机　D. 屏蔽子网防火墙架构

答案：D（屏蔽子网 / Screened Subnet）

• 考点：防火墙部署拓扑与区域数量。
• 思路：双宿主机只有两个接口（内/外），只能分隔两区；屏蔽主机用一台路由器+一台防火墙保护内网；屏蔽子网由两台包过滤路由器夹一台堡垒主机构成，形成内网、DMZ、外网三个区域——恰好对应题干\"三个区域\"。
• 易错：别只看\"DMZ\"就选代理防火墙。代理防火墙是技术类型（工作在应用层），题干问的是架构/拓扑。判断关键词：几个区域 → 对应哪种拓扑。

24｜原卷第 4 题

题干：路由器重启命令应该是（　）A. reboot　B. undo shutdown　C. （缺）　D. （缺）

答案：A（reboot）

• 考点：网络设备运维命令辨析。
• 思路：reboot 为重启设备；undo shutdown 是启用被关闭的接口（shutdown 的逆操作），不重启整机。
• 易错：⚠️ 此题考友回忆在\"交换机/路由器\"上存在出入（希赛记为\"交换机重启\"），但答案一致为 reboot。另注意华为体系里重启命令为 reboot，思科为 reload——若选项同时给 reload，需按题干厂商语境判断。

25｜原卷第 5 题

题干：IPsec VPN 保护 IP 数据包的模式是（　）A. 隧道模式　B. 传输模式　C. 加密模式　D. （缺）

答案：A（隧道模式）

• 考点：IPsec 两种封装模式的适用场景。
• 思路：传输模式只保护载荷（上层协议数据），原 IP 头保留，用于主机到主机；隧道模式把整个原 IP 包作为载荷，外面再套一个新 IP 头，用于网关到网关（站点间 VPN）。
• 易错：题干\"保护 IP 数据包\"（整个包）→ 隧道模式。若说\"保护传输层数据/端到端\"，则是传输模式。关键词：整包 = 隧道，只包载荷 = 传输。

26｜原卷第 12 题

题干：状态检测防火墙主要关注的是（　）A. 源 IP　B.（缺）　C.（缺）　D. 连接状态表

答案：D（连接状态表 / 会话表）

• 考点：状态检测（Stateful Inspection）相对包过滤的核心改进。
• 思路：状态检测在首包时建立会话表项，记录五元组与 TCP 状态，后续包只需查表即可放行，无需对每个包重复匹配全部规则，因此支持动态端口、性能更好、安全性更高。
• 易错：包过滤只看单个包的头部字段，无记忆；状态检测有记忆。核心区别是\"有没有状态表\"，不是\"检查字段多少\"。

27｜原卷第 23 题

题干：交换机依据（　）转发数据包A. 目的 IP　B. 源端口　C. 目的 MAC　D. 源 IP

答案：C（目的 MAC）

• 考点：二层交换与三层路由的转发依据。
• 思路：交换机维护 MAC 地址表，收到帧后查\"目的 MAC\"对应的出端口转发；路由器才依据\"目的 IP\"查路由表。
• 易错：这是\"二层 vs 三层\"的入门分界，答错多因把交换机当路由器。补充：未知单播帧会泛洪；源 MAC 用于学习，目的 MAC 用于转发——一问一答别弄反。

28｜原卷第 37 题

题干：关于 AI 防火墙 / AI 入侵防御的描述，正确的是（　）A.（缺）　B.（缺）　C.（缺）　D. 入侵防御侧重实时阻断，不能替代漏洞扫描器完成漏洞发现和补丁升级

答案：D

• 考点：安全设备的能力边界（新增 AI 元素后的不变内核）。
• 思路：IPS 的本职是在线实时检测并阻断流量层攻击；它不负责资产漏洞发现（那是漏洞扫描器）、也不负责补丁下发（那是补丁管理/终端管理）。加\"AI\"只改变检测算法，不改变职责边界。
• 易错：见到\"AI\"就以为\"全能\"。命题套路正是：用新技术名词包装，考的还是设备职能划分。牢记四件套分工：防火墙管访问控制、IDS 管发现、IPS 管阻断、漏扫管发现漏洞。

29｜原卷第 44 题

题干：包过滤防火墙不能过滤的内容是？（　）A. 源/目的 IP 地址　B. 协议　C. 应用层文字、网页内容　D. 源/目的端口号

答案：C（应用层内容）

• 考点：包过滤防火墙的工作层次与能力上限。
• 思路：包过滤工作在网络层/传输层，只能检查 IP、协议号、端口 等头部字段，看不到应用层载荷。要看网页内容、URL、关键字，必须用应用层代理防火墙 / WAF / 下一代防火墙（NGFW） 的 DPI 能力。
• 易错：包过滤\"无状态\"且\"不看内容\"，两个短板要一起记。另注意：即便是 NGFW，HTTPS 加密流量不做解密也看不到内容——这是常考的延伸陷阱。

30｜原卷第 47 题

题干：VPN 防止网络监听，体现的安全属性是（　）A. 完整性　B. 保密性　C. 可用性　D. 不可否认性

答案：B（保密性）

• 考点：安全技术措施与 CIA 属性的对应。
• 思路：VPN 通过加密隧道使窃听者只能得到密文，直接对抗\"网络监听/嗅探\"，对应保密性。
• 易错：VPN 同时具备完整性（ESP 的 ICV）与身份认证（IKE），但题干限定\"防止网络监听\"，指向保密性。做题先抓题干的\"对抗什么行为\"，再映射属性。

31｜原卷第 49 题

题干：关于网闸的描述，正确的是（　）A. 物理隔离网闸阻断两个网络直接 TCP/IP 连通　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：网闸（GAP）的本质——非 TCP/IP 的摆渡。
• 思路：网闸用\"存储-转发\"的摆渡机制（专用硬件 + 私有协议）在两个网络间搬运数据，中间不存在直接的 TCP/IP 连接，因此两网在协议层是断开的，攻击者无法建立会话、无法直接渗透。
• 易错：网闸 ≠ 防火墙。防火墙是\"逻辑隔离\"（允许受控连通），网闸是\"物理隔离\"（协议断开）。也别把\"单向导入（光闸）\"与\"双向摆渡\"混——涉密网多用单向。

32｜原卷第 54 题

题干：关于网闸，最符合的应用场景是（　）A.（缺）　B. 要求物理隔离的生产网与办公网数据交互　C.（缺）　D.（缺）

答案：B

• 考点：网闸的典型适用场景。
• 思路：网闸解决的是\"既要严格隔离、又要单向/受控传数据\"的矛盾场景：工业生产网与办公网、涉密网与非涉密网、内网与专网之间。
• 易错：普通互联网出口用防火墙即可，用网闸属过度设计；\"实时性要求高的双向业务交互\"也不适合（网闸摆渡有延迟、非透明）。判断口诀：隔离等级要求最高 + 只需数据搬运 → 网闸。

板块四　入侵检测与流量分析工具（8 题）

33｜原卷第 6 题

题干：负责采集网络流量日志的是（　）A. 事件产生器　B. 事件分析器　C. （缺）　D. （缺）

答案：A（事件产生器）

• 考点：CIDF 四组件职责划分。
• 思路：CIDF（Common Intrusion Detection Framework）四组件：事件产生器（E）采集 → 事件分析器（A）分析 → 事件数据库（D）存储 → 响应单元（R）处置。题干\"采集\"直接对应事件产生器。
• 易错：四组件的中英文缩写（E/A/D/R）要能双向映射。混淆点常是\"事件产生器 vs 事件分析器\"——采集归 E，判断归 A。

34｜原卷第 26 题

题干：若需监测服务器本地文件篡改、异常登录、系统服务篡改，应部署的入侵检测系统是（　）A. NIDS　B. 网闸　C. HIDS　D. DIDS

答案：C（HIDS）

• 考点：基于部署位置的 IDS 分类。
• 思路：题干三件事——文件完整性、登录行为、服务配置——都发生在主机内部，只有 HIDS（主机型） 能采集到（通过系统日志、审计、文件完整性校验）。NIDS 只看网络流量，看不到本地文件变化。
• 易错：NIDS 与 HIDS 互补而非替代：NIDS 覆盖面广但看不到加密流量与本地操作；HIDS 看得深但要装 Agent、影响主机性能。案例题常要求\"两者结合部署\"。

35｜原卷第 27 题

题干：流量清洗能抵御什么攻击？（　）A. ARP 欺骗　B. 恶意代码　C. SQL 注入　D. DDoS 攻击

答案：D（DDoS）

• 考点：流量清洗（Traffic Scrubbing）的适用面。
• 思路：流量清洗把流量牵引到清洗中心，基于基线+特征丢弃恶意流量、回注干净流量，针对的是大流量、可识别的异常流量，典型即 DDoS。
• 易错：ARP 欺骗是二层内网问题（靠 DAI/静态绑定），SQL 注入是应用层语义问题（靠参数化查询/WAF），恶意代码是主机侧问题（靠杀毒/EDR）。清洗设备对这三类基本无效。

36｜原卷第 34 题

题干：AI IDS 相较于普通 IDS 的优势是（　）A. 可基于行为识别加密流量，不仅依赖特征库　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：异常检测（行为基线）相对误用检测（特征库）的优势。
• 思路：传统 IDS 依赖特征签名，面对未知攻击、变形流量、加密流量容易失效；AI/机器学习 IDS 建立行为基线，通过偏离度识别异常，可发现未知威胁，且不依赖明文载荷，因此对加密流量的元数据行为仍可判别。
• 易错：AI IDS 不能消除误报，反而可能引入更多误报（基线漂移、概念漂移）；也不等于\"不需要人\"。选\"完全替代特征库\"\"零误报\"的一律错。

37｜原卷第 57 题

题干：Snort 规则头不包括什么？（　）A. 源/目的 IP 与端口　B. 流量传输方向　C. 报警/日志/告警输出　D. 协议类型

答案：C（报警/日志输出，属规则选项）

• 考点：Snort 规则\"规则头 + 规则选项\"两段式结构。
• 思路：规则头 = 动作 + 协议 + 源/目的 IP 与端口 + 方向（如 alert tcp any any -> any 80）；规则选项在括号内，含 msg（报警消息）、sid、rev、content、classtype 等。题干\"报警/日志输出\"对应 msg 等选项字段，故不属于规则头。
• 易错：msg 是最高频的错误选项来源——它长得像\"动作\"，实际是规则选项里的报警文本。记法：方括号外是头，括号里是选项。

38｜原卷第 59 题

题干：tcpdump 抓取 80 端口流量的命令是（　）A. tcpdump -i eth0 dst port 80　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：tcpdump 的 BPF 过滤表达式。
• 思路：-i eth0 指定网卡，dst port 80 过滤目的端口 80。若需双向，写 port 80；若要抓 HTTP 主机，用 host 1.2.3.4 and port 80。
• 易错：-i 是接口不是\"internet\"；-w 写文件、-r 读文件、-n 不解析域名——这几个参数常被做成干扰项。另注意 src/dst 漏写则默认双向，含义会变。

39｜原卷第 60 题

题干：关于 Wireshark 的描述，正确的是（　）A. Wireshark 是图形化抓包分析工具，可分析恶意通信流量　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：Wireshark 的定位与能力。
• 思路：Wireshark 是图形化协议分析器，能深度解析数百种协议、还原会话、追踪流，是分析恶意通信（C2 心跳、DNS 隧道、异常 TLS 指纹）的主力工具。
• 易错：Wireshark 只抓包/分析，不阻断（不是 IPS）；它不能解密没有密钥的 TLS；Linux 下依赖 libpcap（Windows 下用 Npcap）——这条与第 36 题（原卷第 36 题）互为印证，本卷在此设计了同一知识点的双题验证。

40｜原卷第 36 题

题干：Wireshark 抓包在 Linux 环境依赖底层哪个驱动库？（　）A. libpcap　B. OpenSSL　C. win32api　D. Npcap

答案：A（libpcap）

• 考点：抓包工具的平台相关底层库。
• 思路：Linux/Unix 下抓包统一走 libpcap（提供 BPF 过滤与链路层访问）；Windows 下因无 BSD 抓包栈，需用移植重写的 Npcap/WinPcap。Wireshark 自身是上层分析器，靠这两套库取包。
• 易错：Npcap 是 Windows 专用，Linux 上不存在；OpenSSL 管加密与证书，与抓包无关；win32api 更是 Windows 专属。判断口诀：Linux→libpcap，Windows→Npcap。

板块五　系统与主机安全（5 题）

41｜原卷第 16 题

题干：Linux 系统日志文件默认存放在（　）目录A. /var/log　B. /usr　C. （缺）　D. （缺）

答案：A（/var/log）

• 考点：Linux 文件系统层次结构与日志路径。
• 思路：/var 存放可变数据（日志、邮件、缓存、数据库），日志统一在 /var/log 下：messages（或 syslog）、secure（认证，RHEL 系）、auth.log（Ubuntu/Debian）、cron、dmesg。
• 易错：/usr 放程序与只读数据，/etc 放配置，/home 放用户家目录。另注意 Ubuntu 系认证日志是 auth.log，RHEL/CentOS 系是 secure——本卷案例题正好用到 auth.log，属\"上午考路径、下午考文件名\"的联动。

42｜原卷第 39 题

题干：关于 Linux 目录权限的描述，正确的是（　）A. Linux 目录需要执行权限才能进入并访问目录内容　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：Linux 目录权限的特殊含义（r/w/x 在目录上 ≠ 在文件上）。
• 思路：目录上的 x（执行位）= 可进入/可穿越（cd、访问其下路径）；r = 可列出条目（ls）；w = 可在其中创建/删除/改名文件。缺 x 则即使有 r 也进不去，只能看到名字（ls 可列名但无法 stat 详情）。
• 易错：最易错的是\"目录的 w 权限 = 可删除其中的文件\"——这与你对文件本身有没有 w 无关。因此 /tmp 设 1777（+Sticky 位）来防止互删。这条是案例题与上午题共同的高频点。

43｜原卷第 40 题

题干：关于 Windows System 日志的描述，正确的是（　）A.（缺）　B. Windows 系统中 System event 日志记录系统与硬件相关事件　C.（缺）　D.（缺）

答案：B

• 考点：Windows 三大事件日志的分工。
• 思路：System（系统） 日志记录操作系统组件与驱动/硬件事件（服务启停、驱动加载失败、开机/关机）；Application（应用） 日志记录应用程序事件；Security（安全） 日志记录登录审核、对象访问、权限变更等审计事件。
• 易错：登录成功/失败（4624/4625）记在 Security，不在 System；驱动加载失败（如 7000/7009）在 System。文件路径：C:/Windows/System32/winevt/Logs/System.evtx——本卷案例就考了这个 .evtx 文件名。

44｜原卷第 62 题

题干：Windows 存储用户口令哈希的文件是（　）A. pagefile.sys　B. SAM 文件　C. ntldr　D. boot.ini

答案：B（SAM）

• 考点：Windows 本地账户数据库位置。
• 思路：SAM（Security Account Manager）位于 C:/Windows/System32/config/SAM，存本地账户名与口令哈希（NTLM）。系统运行时被内核独占锁定，需离线或提权导出（如注册表 Hive 导出）才能读取。
• 易错：pagefile.sys 是虚拟内存交换文件（可能残留敏感数据，取证有价值但非口令库）；ntldr/boot.ini 是旧版引导文件。另注意域环境口令存于域控的 NTDS.dit，不是本地 SAM。

45｜原卷第 68 题

题干：MySQL 账号格式 \"admin\"@\"%\" 中的 % 表示什么？（　）A. 允许任意 IP 地址远程登录　B. 仅允许本机 127.0.0.1 登录　C. 只能使用本地 socket 登录　D. 仅限局域网网段可以登录

答案：A

• 考点：MySQL 账户的 user@host 匹配规则。
• 思路：host 部分支持通配：% 匹配任意主机（不含 localhost 的 socket 连接语义），_ 匹配单字符，也可写具体 IP 或网段（192.168.1.%）。故 admin@% = 该账号可从任意 IP 登录，属高危配置。
• 易错：admin@localhost 才是仅本机；% 在 MySQL 里不匹配localhost 的 socket 连接（这是 MySQL 的特殊行为，需另建 admin@localhost）。安全加固要点：删除匿名账户、限制 host、禁用 % 远程 root。

板块六　访问控制与身份认证（12 题）

46｜原卷第 13 题

题干：访问控制漏洞的编号是（　）A. CWE-77　B. CWE-200　C. CWE-16　D. CWE-284

答案：D（CWE-284，Improper Access Control）

• 考点：CWE 常见编号的含义。
• 思路：CWE-284 = 不当访问控制，是访问控制类缺陷的父类条目（下含 CWE-285 授权不当、CWE-639 IDOR 等）。CWE-77 = 命令注入；CWE-200 = 敏感信息泄露；CWE-16 = 配置问题。
• 易错：⚠️ 本卷另有考生记为\"身份认证不当 CWE-287\"（希赛版）。两者是不同条目：认证（你是谁）→ 287，授权/访问控制（你能干啥）→ 284。若题干出现\"身份认证\"，选 287；出现\"访问控制\"，选 284。这是本卷唯一一处两源明确冲突的题，按题干语义裁定。

47｜原卷第 14 题

题干：数字证书中不包含的是（　）A. CA 的数字签名　B. 持有者的私钥　C. 持有者的公钥　D. 序列号

答案：B（持有者的私钥）

• 考点：X.509 证书的字段构成。
• 思路：证书 = 主体信息 + 主体公钥 + 有效期 + 序列号 + 签发者 + CA 对该内容的签名。私钥永不外发，只存于持有者本地（或 USBKey/HSM）。
• 易错：本条是全卷最稳的\"送分题\"，但每年都有人选成\"公钥\"。记死一句话：证书里装的是公钥，私钥一辈子不出门。

48｜原卷第 30 题

题干：哪个是单向认证？（　）A. 金融机构点对点交易　B. VPN 双向接入　C. 普通用户浏览器访问公开门户网页　D. 使用 U 盾访问网银

答案：C

• 考点：单向认证 / 双向认证的判别。
• 思路：单向认证 = 只有一方证明身份。浏览器访问 HTTPS 门户，只验证服务器证书，用户不向服务器证明身份 → 单向。网银（U 盾）、VPN 接入、金融点对点交易均需双方互证 → 双向。
• 易错：别把\"HTTPS 加密\"当双向认证。判断标准是双方是否都要出示凭证，不是\"是否加密\"。

49｜原卷第 33 题

题干：关于认证的描述，正确的是（　）A. 公钥可用于验签完成身份验证防御中间人攻击，需要依赖证书体系　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：公钥基础设施（PKI）在认证中的作用与前提。
• 思路：用对方公钥验签可确认报文确由持私钥者发出 → 完成身份认证；但\"这个公钥真是他的吗\"必须由CA 签发的证书背书，否则攻击者可替换公钥实施中间人攻击。故\"验签认证 + 证书体系\"是一体两面。
• 易错：只说\"公钥能认证\"而漏掉证书依赖，在案例题里会被扣分。答题模板：公钥验签确认身份 → 证书链验证公钥归属 → 二者合起来才防 MITM。

50｜原卷第 41 题

题干：Kerberos 认证中，负责认证用户并发放票据的是（　）A. 票据授予服务器 TGS　B. 认证服务器 AS　C. 应用服务器　D. 客户端

答案：B（AS）

• 考点：Kerberos 三组件（AS / TGS / 应用服务器）的职责链。
• 思路：AS（Authentication Server） 验证用户身份，发放 TGT（票据授予票据）；客户端拿 TGT 向 TGS 换 服务票据（ST）；再持 ST 访问应用服务器。题干\"认证用户并发放票据\"= AS 的职责。
• 易错：AS 发的是 TGT，TGS 发的是服务票据——两个\"发票据\"极易混。记法：AS 认人不认服务，TGS 认服务不再认密码。另注意 Kerberos 用对称加密，且依赖时间同步（时钟偏差过大会认证失败）。

51｜原卷第 42 题

题干：按岗位分配访问控制属于哪种模型？（　）A. MAC（强制访问控制）　B. DAC（自主访问控制）　C. RBAC（基于角色的访问控制）　D. ABAC（基于属性的访问控制）

答案：C（RBAC）

• 考点：四种访问控制模型的判别特征。
• 思路：RBAC 的核心是\"用户 → 角色 → 权限\"，权限绑定岗位/角色而非个人，人员调岗只需换角色。题干\"按岗位分配\"正是 RBAC 的定义特征。
• 易错：DAC 由资源所有者自主授权（如 Linux 文件 chmod）；MAC 由系统按安全标签强制（如 BLP/Biba、SELinux）；ABAC 按属性组合动态判定（用户/资源/环境属性）。判断口诀：看谁授权、按什么授权。

52｜原卷第 46 题

题干：基于客体的访问控制策略存放在（　）A. 能力表　B. 访问控制表 ACL　C. 角色表　D. 策略库

答案：B（ACL）

• 考点：访问控制矩阵的两种实现——ACL 与能力表（Capability List）。
• 思路：按客体组织（每个文件记录\"谁能对它做什么\"）= ACL；按主体组织（每个用户持有\"我能对哪些客体做什么\"的凭证）= 能力表。题干\"基于客体\"→ ACL。
• 易错：这一对是全章最抽象的点。类比：ACL 像\"门上的访客名单\"（门=客体），能力表像\"你手里的通行证\"（你=主体）。Linux 的 rwx 属 ACL 思路，Kerberos 票据属能力表思路。

53｜原卷第 48 题

题干：ABAC 中，不属于评估所需属性的是？（　）A. 用户属性　B. 环境属性　C. 资源属性　D. CA 属性

答案：D（CA 属性）

• 考点：ABAC 的三类属性来源。
• 思路：ABAC 决策基于 主体（用户）属性 + 资源（客体）属性 + 环境属性（时间、地点、IP、设备状态），可再加操作属性。CA 是证书颁发机构，属 PKI 概念，不在 ABAC 属性模型内。
• 易错：ABAC 的\"动态\"体现在环境属性——同一用户在不同时间/地点访问同一资源，结果可能不同。这是它相对 RBAC 的最大优势，案例题常要求对比。

54｜原卷第 51 题

题干：关于最小权限的描述，正确的是（　）A. 财务出纳只有查询权限符合最小权限原则　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：最小权限原则（Least Privilege）的落地判断。
• 思路：最小权限 = 只授予完成本职工作所必需的最低权限，且够用即止。出纳的核心职责是收付与记账，若其仅需查询余额，则只给查询权，符合原则。
• 易错：⚠️ 本题选项为回忆片段，\"只有查询权限\"是否\"够用\"取决于岗位职责描述。判分要点是：只要\"权限 ≤ 职责所需\"，即为最小权限；给超出职责的权限（如出纳兼审核）才违反。同时注意与职责分离（SoD） 区分：最小权限管\"给多少\"，职责分离管\"分给几个人\"。

55｜原卷第 58 题

题干：关于 ACL（访问控制表）的描述，正确的是（　）A. ACL 只存放访问控制策略，不包含加密算法　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：ACL 的内容边界。
• 思路：ACL 是\"主体—客体—操作\"的授权条目集合，回答\"谁能做什么\"，不含任何密码算法或密钥信息。加密由密码模块负责，二者职责分离。
• 易错：别把\"ACL\"与\"防火墙 ACL（访问控制列表规则）\"完全等同——操作系统 ACL 管文件/对象权限，网络 ACL 管数据包放行，同名不同层。本卷两处都出现（原卷第 46、58 题），正是要考这个辨析。

56｜原卷第 61 题

题干：认证过程中，需要被证实的实体是（　）A. 验证者　B. 声称者　C. 安全管理中心　D. 攻击者

答案：B（声称者 / Claimant）

• 考点：认证模型的两方角色。
• 思路：声称者（Claimant） 宣称自己是某身份并出示凭证，验证者（Verifier） 校验凭证真伪。被证实的一方是声称者。
• 易错：两个词方向相反——声称者\"被\"验证，验证者\"去\"验证。这是纯概念题，但错选率高，因为考生习惯性认为\"验证者是被考验的一方\"。

57｜原卷第 65 题

题干：关于最小权限与物理安全的描述，正确的是（　）A.（缺）　B.（缺）　C.（缺）　D. 最小权限属于访问控制、管理安全，不属于物理安全

答案：D

• 考点：安全措施的层次归属（物理 / 网络 / 主机 / 应用 / 数据 / 管理）。
• 思路：最小权限作用于逻辑访问（账号、权限、角色），归入访问控制（技术）与安全管理（制度）；物理安全管的是机房、门禁、供电、消防、介质等实体防护，二者不同层。
• 易错：等保测评里\"物理安全\"是独立层面，凡涉及\"人进不进得去、电断不断\"的才归物理。别把\"门禁权限分配\"算作访问控制——它虽是\"权限\"，但作用于物理通道，仍归物理安全。判断看\"保护对象是比特还是实体\"。

板块七　安全模型 · 风险管理与安全管理（7 题）

58｜原卷第 8 题

题干：CMM 的哪一级包括软件风险识别？（　）A. 4　B. 1　C. 2　D. 3

答案：A（CMM 4 级）

• 考点：软件安全能力成熟度模型（CMM）五级过程清单。
• 思路：教材原文五级对应：1 级—补丁修补；2 级—渗透测试、安全代码评审；3 级—漏洞评估、代码分析、安全编码标准；4 级—软件安全风险识别、SDLC 实施不同安全检查点；5 级—改进软件安全风险覆盖率、评估安全差距。题干\"软件风险识别\"精确落在 4 级。
• 易错：这是纯记忆题，但极易与其他成熟度模型串。注意区分：CMM 通用五级是\"非正式执行 / 计划跟踪 / 充分定义 / 量化控制 / 持续优化\"，而\"软件安全 CMM\"是上表那套过程清单——考试问过程，别答级别名称。

59｜原卷第 15 题

题干：网络安全风险值是（　）× 安全事件的损失A. 资产价值　B. 安全事件发生的概率　C. 威胁造成的影响　D. 安全事件造成的影响

答案：B（安全事件发生的概率）

• 考点：风险度量公式。
• 思路：风险 = 威胁发生的可能性（概率）× 影响（损失）。教材另一常见表述为 风险 = 资产价值 × 威胁 × 脆弱性（即\"资产 × 威胁 × 弱点\"三要素相乘）。本题按\"概率 × 损失\"形式，选概率。
• 易错：两套公式别混用：\"可能性 × 影响\" 是通用风险公式；\"资产价值 × 威胁 × 脆弱性\" 是信息安全风险评估的要素展开。题干已给\"× 安全事件的损失\"，则空缺必为可能性/概率，不能选\"影响\"（会重复）。

60｜原卷第 20 题

题干：在安全策略制定过程中确定责任人，属于（　）A. 复查　B. 安全策略主体　C.（缺）　D. 责任落实

答案：D（责任落实）

• 考点：安全策略制定流程的环节划分。
• 思路：安全策略制定通常经历\"确定目标 → 明确范围 → 识别资产与风险 → 制定条款 → 落实责任 → 发布宣贯 → 定期复查\"。题干\"确定每个安全单元的责任人\"正是责任落实环节。
• 易错：⚠️ 本题选项为回忆片段，\"责任落实\"与\"安全策略主体\"存在语义重叠。判分逻辑：\"定责任人\"= 落实责任（D）；\"谁制定策略\"= 主体（B）。看到\"确定责任人/分工\"就选责任落实。

61｜原卷第 28 题

题干：关于借用同事电脑登录系统的描述，正确的是（　）A. 借用他人终端登录账号存在泄露风险，不符合安全规范　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：安全管理中的终端使用与账号安全规范。
• 思路：账号与终端应绑定使用。借用他人终端登录会留下缓存、Cookie、凭据、输入法记录，且日志中将攻击/违规行为错误归因到终端主人，破坏可审计性与不可否认性。
• 易错：这类\"安全规范题\"没有技术门槛，考的是合规意识。答题原则：凡\"共享账号、共用终端、口头授权、跳过审批\"一律判为不合规。

62｜原卷第 43 题

题干：网络信息安全风险评估第一步是什么？（　）A.（缺）　B.（缺）　C. 确定评估范围　D.（缺）

答案：C（确定评估范围 / 前期准备）

• 考点：风险评估流程的起始环节。
• 思路：标准流程为\"前期准备（确定评估对象与范围）→ 资产识别 → 威胁识别 → 脆弱性识别 → 风险分析 → 风险评价 → 风险处置\"。第一步必是划定范围——范围不定，后面无从谈起。
• 易错：易错选\"资产识别\"。记住：先圈地（范围），再点货（资产）。另注意题干若问\"风险评估的核心/目的是什么\"，则答\"识别风险并确定处置优先级\"，不是\"消除所有风险\"。

63｜原卷第 52 题

题干：等级保护测评分为技术安全测评和管理安全测评，不属于管理安全测评主要内容的是（　）A. 安全管理中心　B. 安全管理机构　C. 安全管理制度　D. 安全运维管理

答案：A（安全管理中心）

• 考点：等保 2.0 测评的两大类十项。
• 思路：等保 2.0 的技术要求五项：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理中心；管理要求五项：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。\"安全管理中心\"名里有\"管理\"，实属技术类——这是等保最经典的命名陷阱。
• 易错：本题几乎每年都以不同形式出现。记死：安全管理中心 = 技术类第 5 项（含系统管理、审计管理、安全管理、集中管控四个控制点）。

64｜原卷第 66 题

题干：审计记录中包含 SSH、Telnet 远程登录执行命令的操作，该类审计属于（　）A. 主机安全审计　B. 远程访问审计　C. 物理审计　D. 应用审计

答案：B（远程访问审计）

• 考点：安全审计的分类维度。
• 思路：按审计对象划分，针对 SSH/Telnet/RDP 等远程运维通道记录\"谁在何时登录、执行了什么命令\"的，属远程访问审计（常由堡垒机/运维审计系统承担）。
• 易错：C 物理审计不涉及命令；D 应用审计针对业务操作（如订单修改）；A 主机安全审计范围更宽（含本地登录、文件访问、服务变更）。题干若强调\"命令级还原\"，则对应字符审计（见附录附 7），注意两题的区别：本题问\"审计类别\"，附 7 问\"审计方式\"。

板块八　物理与环境安全（3 题）

65｜原卷第 19 题

题干：硬件木马分析的常用手段包括（　）A. 侧信道　B. 功耗分析　C. 差分　D. 反向

答案：⚠️ 存疑，倾向 A / B / D（见解析）

• 考点：硬件木马检测技术的分类。
• 思路：主流手段三类：① 反向工程（破坏性/非破坏性，逐层成像比对版图）；② 侧信道分析（功耗、电磁、时序、路径延迟）——木马电路激活时会带来额外功耗/延迟特征；③ 逻辑测试/内建自测试（BIST）与形式化验证。\"差分\"通常指差分功耗分析（DPA），那是攻击密码芯片的手段，不是检测木马的手段。
• 易错：⚠️ 本题四个选项疑似同一层级的并列列举，而题干是\"包括\"，极可能是多选题或存在漏记的\"不包括\"。另一源（公众号）记为\"不属于硬件木马防护的：差分分析法\"。若题干为\"不包括\"，答案应为 C（差分）。
• 讲义建议：此点不必纠结选项，重点是让学生掌握\"反向工程 + 侧信道 + 逻辑测试\"三分法，并知道 DPA 属密码侧信道攻击，与木马检测不同路。

66｜原卷第 50 题

题干：关于硬件木马的描述，正确的是（　）A.（缺）　B. 硬件木马是植入硬件电路中的恶意逻辑　C.（缺）　D.（缺）

答案：B

• 考点：硬件木马的定义。
• 思路：硬件木马是在芯片设计/制造/封装环节被植入的恶意电路或逻辑改动，通常由触发电路 + 载荷两部分组成，平时潜伏、特定条件激活后泄露密钥、降级功能或拒绝服务。
• 易错：硬件木马不靠软件传播，因此杀毒软件、EDR 完全无效——这是它与软件恶意代码的根本区别。防护要靠供应链可信、侧信道检测、形式化验证。

67｜原卷第 70 题

题干：A 级数据中心的供电方式是？（　）A. 双重冗余不断电　B. 接受 15 分钟断电更换设备　C. 可以使用单供电　D. （缺）

答案：A（双重冗余 / 2N 或更高，不允许断电）

• 考点：GB 50174 机房等级与供电要求。
• 思路：A 级（容错型）要求双路电源 + UPS + 柴油发电机，任一环节故障不影响运行，不允许中断；B 级（冗余型）允许冗余配置但在特定条件下可短暂中断；C 级（基本型）允许单路供电，可接受一定时长停电。
• 易错：把\"15 分钟\"记成 A 级——15 分钟是 C 级/B 级过渡的典型表述（UPS 支撑至发电机启动），不是 A 级。另注意 A 级还要求双回路市电来自不同变电站，这是\"双重冗余\"的实质。

板块九　数据安全 · 合规与新兴技术（3 题）

68｜原卷第 11 题

题干：白名单技术是通过（　）得到白名单A. 隐藏技术　B. 过滤技术　C. 加密技术　D. （缺）

答案：C（加密/密码技术）

• 考点：网络产品白名单的可信构建机制。
• 思路：白名单的本质是\"只允许已知可信者通行\"，其难点不在\"列出名单\"，而在\"证明某对象确实可信、未被篡改\"。这依赖密码技术：用杂凑（SM3/SHA-256）生成指纹、用数字签名确认来源，从而得到可信白名单。因此教材表述为\"白名单的采用依靠密码技术\"。
• 易错：⚠️ 本题按考友回忆（原话\"网络产品白名单的采用的是什么技术：密码技术\"），故 C。但若选项中有\"过滤技术\"，从\"白名单即过滤规则\"角度亦有道理——判分以教材表述为准：密码技术。答题时若见\"指纹/签名/可信计算\"，一律指向密码技术。

69｜原卷 第 67 题

题干：不属于密评（密码应用安全性评估）主要内容的是？（　）A. 正确性　B. 有效性　C. 可用性　D. 合规性

答案：C（可用性）

• 考点：密评的\"三性\"。
• 思路：密评审查的是密码应用的 合规性（该用的用了没）、正确性（用得对不对）、有效性（用了是否真起作用）。可用性属 CIA 三要素，不是密评维度。
• 易错：这是\"同名不同义\"的经典陷阱：\"可用性\"在 CIA 里是核心属性，在密评里根本不是评估维度。记死密评三性：合规、正确、有效。

70｜原卷 第 69 题

题干：重要数据强制风险评估周期是？（　）A. 一年一次　B. 3 年一次　C. 2 年一次　D. 半年一次

答案：A（一年一次）

• 考点：《网络数据安全管理条例》对重要数据处理者的强制义务。
• 思路：《网络数据安全管理条例》第三十三条明确：重要数据的处理者应当每年度对其网络数据处理活动开展风险评估，并向主管部门报送评估报告。2026 年 6 月发布的《网络数据安全风险评估办法》进一步细化该频次，同时鼓励一般数据处理者至少每 3 年评估一次。
• 易错：\"1 年\"对应重要数据，\"3 年\"对应一般数据——两个数字必须配对记，考试最爱把 3 年放到\"重要数据\"选项里做干扰。另注意这是法定义务，非\"建议\"。

附录：7 条待核实

附 1（ 板块一·密码学）

题干：关于 SM 算法，说法正确的是（　）A. SM2 是对称算法　B. SM4 是非对称算法　C. SM3 可验证完整性　D. SM9 是压缩包加密

答案：C

• 考点：国密算法族分工。
• 解析：SM2 非对称（签名/密钥交换）、SM4 对称分组、SM3 杂凑/完整性、SM9 标识密码（基于身份的非对称）。A、B、D 全部颠倒或臆造。
• 易错：SM9 最容易被编造成\"压缩/加密工具\"，其真实定位是标识密码（IBC），用于无需证书的身份认证与加密。

附 2（→ 板块六·访问控制）

题干：ACL 策略核心是什么？（　）A. 根据策略进行访问放行/阻断　B.（缺）　C.（缺）　D.（缺）

答案：A

• 考点：ACL 的作用机制。
• 解析：ACL 按条目逐条匹配主体与操作，命中即执行\"允许/拒绝\"，且默认拒绝（未明确允许即拒绝） 是安全基线。核心即\"依据策略放行或阻断\"。
• 易错：ACL 匹配是自上而下、首次命中即停止，因此规则的先后顺序决定结果——这是下午防火墙配置题的核心得分点。

附 3（→ 板块五·系统安全 / SSH）

题干：SSH 不能保证哪些安全特性？（　）A. 防篡改　B. 认证　C. 保密性　D. 可用性

答案：D（可用性）

• 考点：SSH 协议的安全目标。
• 解析：SSH 提供保密性（加密）、完整性（防篡改）、身份认证（主机与用户）；它不提供可用性保障（不抗 DoS、不做容灾）。
• 易错：本题与案例题\"SSH 三大安全目标\"是同一考点的正反两问：案例问\"提供什么\"（保密性、完整性、认证），上午问\"不提供什么\"（可用性）。一对一错必须背成对。

附 4（→ 板块五·系统安全）

题干：Ubuntu 里的 SSH 日志文件是什么？（　）A. auth.log　B.（缺）　C.（缺）　D.（缺）

答案：A（/var/log/auth.log）

• 考点：Ubuntu/Debian 认证日志路径。
• 解析：Ubuntu 的认证类事件（SSH 登录、sudo、su）写入 /var/log/auth.log；RHEL/CentOS 系写入 /var/log/secure。
• 易错：发行版差异是必考点。判断口诀：Ubuntu 认 auth，红帽认 secure。另注意 systemd 系统可用 journalctl -u ssh 直接查服务日志。

附 5（→ 板块六·访问控制）

题干：不属于访问控制三要素的是（　）A. 主体　B. 加密算法　C. 客体　D. 访问权限

答案：B（加密算法）

• 考点：访问控制三要素。
• 解析：三要素 = 主体（谁访问）+ 客体（访问什么）+ 访问权限/控制策略（能做什么）。加密算法属密码学范畴，不构成访问控制要素。
• 易错：三要素与\"认证三要素（所知/所有/所是）\"极易混。访问控制三要素管\"授权\"，认证三要素管\"证明身份\"。

附 6（→ 板块一·密码学）

题干：可信密码模块 TCM 中执行杂凑运算的是（　）A. SM2 引擎　B. SM4 引擎　C. SM3 引擎　D. 随机数生成器

答案：C（SM3 引擎）

• 考点：TCM（可信密码模块）的功能引擎划分。
• 解析：TCM 是我国自主的可信计算平台模块标准，内部含 SM2 引擎（签名/加解密）、SM3 引擎（杂凑）、SM4 引擎（对称加解密）、随机数生成器。执行杂凑的是 SM3 引擎。
• 易错：TCM 对应国际的 TPM，二者算法体系不同（TCM 用国密，TPM 用 RSA/SHA/AES）。这是\"国密替代\"专题的高频对照点。

附 7（→ 板块七·安全审计）

题干：监测到 FTP 文件传输流量内包含 Telnet 登录指令与会话内容，该审计方式属于（　）A. 文件审计　B. 字符审计　C. 图形审计　D. 运维审计

答案：B（字符审计）

• 考点：运维审计的三种记录方式。
• 解析：字符审计记录命令行/文本交互（SSH、Telnet、FTP 命令）；图形审计通过截屏/录屏记录 RDP、VNC 等图形操作；文件审计记录文件传输的内容与行为。题干\"指令与会话内容\"= 字符流 → 字符审计。
• 易错：与正文第 64 题（原卷第 66 题）\"远程访问审计\"的区别：那是按\"审计对象/类别\"分，这是按\"记录方式\"分。同一段 SSH 操作，类别上是\"远程访问审计\"，方式上是\"字符审计\"——两个维度都要能答。

第二部分　应用技术（案例分析 · 5 大题 75 分）

卷面结构：5 道大题，每题 15 分，共 75 分。与往年\"防火墙 ACL + 密码学计算 + Web 漏洞\"的套路不同，本卷密码学在案例部分零出题，重心整体移向 Linux / Windows 系统安全 + SSH 服务配置 + 攻击链模型。题干依回忆版复原，示例图以文字描述替代。

试题一　Android 应用安全与权限管理（15 分）

【背景】

某地图导航类 App 的 AndroidManifest.xml 片段如下：

<manifestxmlns:android=\"http://schemas.android.com/apk/res/android\"
          package=\"com.example.mapapp\">
    <uses-permissionandroid:name=\"android.permission.INTERNET\"/>
    <uses-permissionandroid:name=\"android.permission.READ_PHONE_STATE\"/>
    <uses-permissionandroid:name=\"android.permission.ACCESS_FINE_LOCATION\"/>
    
        
            <intent-filter>
                
                <categoryandroid:name=\"android.intent.category.LAUNCHER\"/>
            </intent-filter>
        </activity>
    </application>
</manifest>

APK 解包后的目录结构（节选）：

地图.apk
├── META-INF/          MANIFEST.MF、CERT.SF、CERT.RSA
├── res/               mipmap(图标)、drawable(图片/标记)、layout(布局)、values(文字/颜色)
├── lib/arm64-v8a/     地图渲染、定位 so 库
├── assets/            离线瓦片配置、字体、本地配置
├── classes.dex        业务逻辑代码
├── resources.arsc     资源索引
└── AndroidManifest.xml  权限、页面、包名

【问题】

1.1（2 分） Android APK 的签名信息存储在哪个目录下？写出该目录下三个核心文件，并简述签名校验的信任链过程。

1.2（2 分） Android 应用中声明\"使用系统权限\"的标签是什么？

1.3（2 分） 上述 Manifest 中，INTERNET 与 READ_PHONE_STATE 分别用于申请什么能力？

1.4（2 分）INTERNET 与 READ_PHONE_STATE 在 Android 权限保护级别（Protection Level）上分别属于哪一类？

1.5（2 分） 该应用是一个地图类 App。从最小权限原则出发，应保留哪些权限、删除哪些权限？

1.6（5 分） 根据场景判断对应的 OWASP Mobile Top 10（M 系列）分类：

• 1.6.1　应用日志中明文打印了用户 Token 和会话 ID；
• 1.6.2　应用引入了存在已知漏洞的第三方 SDK；
• 1.6.3　android:allowBackup=\"true\"，导致数据可通过 adb backup 导出。

【参考答案】

1.1

• 目录：META-INF/。
• 三个核心文件：MANIFEST.MF（逐文件摘要清单）、CERT.SF（对 MANIFEST.MF 的摘要 + 签名）、CERT.RSA（签名块 + 开发者公钥证书）。
• 信任链（自底向上校验）：

1. 用 CERT.RSA 中的公钥验证 CERT.SF 的签名 → 确认 SF 未被篡改；
2. 用 CERT.SF 中记录的摘要比对 MANIFEST.MF → 确认 MF 未被篡改；
3. 用 MANIFEST.MF 中逐文件摘要比对 APK 内每个文件 → 确认代码与资源未被篡改。
4. 任一层不匹配即校验失败，安装/升级被系统拒绝。

1.2<uses-permission android:name=\"……\"/>

1.3

• INTERNET：允许应用访问网络（建立 socket、发起 HTTP/HTTPS 请求）。
• READ_PHONE_STATE：读取电话状态与设备标识（IMEI、IMSI、SIM 卡状态、通话状态等）。

1.4

• INTERNET → normal（普通权限），安装即授予，不弹窗。
• READ_PHONE_STATE → dangerous（危险权限），属 PHONE 权限组，Android 6.0+ 需运行时动态授权。

1.5

• 保留：INTERNET（在线地图与路况）、ACCESS_FINE_LOCATION（导航必需精确定位；若只需城市级可降为 ACCESS_COARSE_LOCATION）。
• 删除：READ_PHONE_STATE —— 地图导航不需要读取 IMEI/通话状态，属权限膨胀（过度申请）。
• 加分点：说明\"最小权限\"要求按功能必要性逐项论证，且优先选低精度权限；Android 10+ 已限制第三方应用获取 IMEI，保留该权限既无必要、又构成违规收集个人信息风险。

1.6（按 OWASP Mobile Top 10 2024 版分类）

• 1.6.1 → M6 Inadequate Privacy Controls（隐私管控不足），兼涉 M9 Insecure Data Storage（不安全数据存储）。
• 1.6.2 → M2 Inadequate Supply Chain Security（供应链安全不足）。
• 1.6.3 → M8 Security Misconfiguration（安全配置错误），后果为数据可被 adb backup 导出，牵连 M9。

【解析】

考点：APK 签名机制、Android 权限模型（保护级别）、最小权限原则、OWASP Mobile Top 10 分类。

解题思路

• 1.1 抓住\"APK 本质是 ZIP 包\"这一事实：ZIP 的元信息目录就是 META-INF，签名三件套固定在其中。描述信任链时方向不能反——是从\"证书公钥\"倒推验证，而不是从清单往下推。
• 1.4 判断保护级别的实用口诀：联网、蓝牙、振动 → normal；位置、相机、麦克风、通讯录、电话 → dangerous；悬浮窗、安装应用、辅助功能 → special/signature。
• 1.6 必须用 2024 版分类表（下表），这是本题最大的坑。

OWASP Mobile Top 10（2024）正确对照表

易错点（本题失分集中区）

1. 把 INTERNET 写成 dangerous——这是最高频错误，INTERNET 是 normal，安装即授予。
2. 信任链方向写反（从 MF 往 RSA 推），或只写 CERT.RSA 一个文件。
3. OWASP 用了旧版（2016）分类表。本卷现场就有考生按旧表作答：旧表 M2 是\"不安全的数据存储\"、M8 是\"代码篡改\"，代入后 1.6.2、1.6.3 全部答错。2026 年命题采用的是 2024 版，必须按上表。
4. 1.5 只写\"删除 READ\_PHONE\_STATE\"而不给理由（功能非必要 + 平台已限制 + 合规风险），只能拿一半分。

加分写法：1.1 末尾补一句\"任一文件被修改都必须重新签名，否则校验失败\"；1.6 答题时先写编号再写英文名，再写中文解释——阅卷按点给分，三重信息更稳。

试题二　Windows 访问控制（15 分）

【背景】

某单位对一台 Windows 服务器做安全核查，重点检查账户标识、文件访问控制与权限配置。

【问题】

2.1（2 分） 在访问控制模型中，下列属于\"访问控制主体\"的是（多选）：A. 用户　B. 文件　C. 数据　D. 进程　E. 系统资源

2.2（4 分）（1）下列 SID 中，代表本地超级管理员（Administrator）的是（　）　A. S-1-5-21-xxxx-xxx-500　B. S-1-5-21-xxxx-xxx-501　C. S-1-5-21-xxxx-xxx-1004　D. S-1-5-21-xxxx-xxx-1001（2）Windows 命令行中，查看当前登录用户 SID 信息的命令是\\\\\_。

2.3（4 分） 查看 C:/Windows/System32/config/SAM 的\"高级安全设置\"窗口，其中所有者（Owner）为 SYSTEM，权限条目含 SYSTEM（完全控制）、Administrators（完全控制）等。（1）\"自主访问控制\"对应窗口中的哪个标签/结构？\\\\\（权限 / 审核 / 有效访问）（2）\"系统访问控制（审计）\"对应哪个标签/结构？\\\\\（权限 / 审核 / 有效访问）（3）对于客体而言，访问控制表（ACL）的表达式（即 ACL 由什么构成）是什么？

2.4（5 分） 已知某文件的 ls -l 输出为：-rw-r--r-- 1 root root 4096 Jan 1 10:00 passwd.sh（1）该文件的所有者是谁？（2）与该所有者同组的其他用户拥有什么权限？（3）该文件权限用数字表示是多少？（4）该文件权限的表达方式属于哪种访问控制类型？（DAC / MAC / RBAC）

【参考答案】

2.1　A（用户）、D（进程）

主体 = 发起访问的主动实体（用户、进程、服务、程序）；客体 = 被访问的被动对象（文件、数据、系统资源、设备）。

2.2（1）A —— S-1-5-21-<域/机器标识>-500 是内置 Administrator 的固定 RID=500。（2）whoami /user（或 whoami /all 查看完整令牌信息）。

2.3（1）权限（DACL 决定\"谁能做什么\"）。（2）审核（SACL 决定\"记录谁做了什么\"，供日志审计）。（3）ACL 由若干访问控制条目（ACE） 构成，每个 ACE 的表达式为：主体（SID/账户）+ 访问类型（允许/拒绝）+ 访问权限（读/写/执行/完全控制）+ 继承标志。即\"谁 + 允许还是拒绝 + 能做什么 + 是否继承\"。

2.4（1）所有者：root（第一个 root）。（2）同组用户权限：读（r）。（3）数字表示：644（owner 6 = rw-，group 4 = r--，other 4 = r--）。（4）访问控制类型：DAC（自主访问控制）。

【解析】

考点：访问控制三要素、Windows SID 与账户标识、DACL/SACL 区别、Linux 文件权限与访问控制模型归类。

解题思路

• 2.1 用\"主动 vs 被动\"一刀切：能发起动作的（用户、进程）是主体；被操作的（文件、数据、资源）是客体。
• 2.2（1）记 RID 三个固定值：500 = Administrator，501 = Guest，1000+ = 普通用户。看到 -500 直接锁答案。
• 2.3 DACL 管\"权限\"，SACL 管\"审核\"——这一对是本卷的关键区分，且与 Linux 的 rwx 形成对照。
• 2.4 rw-r--r-- 逐位折算：rw-=4+2+0=6，r--=4，r--=4 → 644。

易错点

1. 2.1 多选了 B/C/E。文件、数据、系统资源全是客体，这是最典型的\"主体客体倒置\"错。
2. 2.2（2）写成 whoami。whoami 只回用户名，必须加 /user 才显示 SID。
3. 2.3（1）（2）互换。记忆锚点：DACL → D 像\"Door\"（门上的权限）→ 权限；SACL → S 像\"See\"（看见并记录）→ 审核。
4. 2.4（4）误答 MAC。rwx 由文件所有者自主分配（chmod 谁都能改自己的文件），属 DAC；MAC 需要安全标签（如 SELinux 的 context）。
5. 2.4（3）算成 654 或 643。注意中间段是 r--（只有读），不是 rw-。

延伸对照（案例常连考）

试题三　网络安全模型与攻击链分析（15 分）

【背景】

某主机安全设备记录到如下事件序列：

【问题】

3.1（2 分） CIA 是信息安全的基础要素，分别是什么？

3.2（3 分） 分别指出下列行为违反了 CIA 三要素中的哪一个：① 导出用户数据 9.8 GB；② 清除安全日志；③ 系统数据被加密、无法访问。

3.3（2 分） 在\"网络攻击链（Kill Chain）\"模型中，下列行为分别属于哪个阶段：① 创建隐蔽账号 xxx；② 清除安全日志。

3.4（2 分） 在 MITRE ATT&CK 框架中，下列行为分别属于哪个战术（Tactic）：① 端口扫描；② 导出 9.8 GB 数据。

3.5（3 分） 在 PDRR 模型（Protection-Detection-Response-Recovery）中，下列措施分别属于哪个阶段：① 部署安全补丁；② 隔离受感染主机；③ 从备份恢复数据。

3.6（3 分） 在 NIST CSF 五大功能中，下列活动分别属于哪一功能：① 评估系统风险；② 监测网络流量异常；③ 隔离受感染主机。

【参考答案】

3.1保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。

3.2① 导出用户数据 9.8 GB → 保密性（数据被非授权获取）。② 清除安全日志 → 完整性（审计记录被篡改/销毁）。③ 系统数据被加密、无法访问 → 可用性（授权用户无法使用）。

3.3（Lockheed Martin Kill Chain 七阶段）① 创建隐蔽账号 → Installation（安装 / 建立据点），即植入后门、实现持久化。② 清除安全日志 → Actions on Objectives（目标达成），属收尾阶段的清除痕迹。

若按教材\"网络攻击一般过程\"作答：① 属于开辟后门；② 属于清除攻击痕迹。（两种表述均给分，写清依据更稳。）

3.4① 端口扫描 → Reconnaissance（侦察）。② 导出数据 → Collection（收集）；若按数据外传视角，亦可归 Exfiltration（外渗）。

3.5① 部署安全补丁 → Protection（保护）。② 隔离受感染主机 → Response（响应）。③ 从备份恢复数据 → Recovery（恢复）。

3.6① 评估系统风险 → Identify（识别）。② 监测网络流量异常 → Detect（检测）。③ 隔离受感染主机 → Respond（响应）。

【解析】

考点：CIA 三要素、Kill Chain 七阶段、ATT&CK 战术、PDRR 模型、NIST CSF 五大功能——四大模型在同一案例中横向对比，是本卷设计最精巧的一题。

解题思路

• 3.2 抓\"被破坏的对象\"：数据被拿走 → C；记录被改/删 → I；服务不可用 → A。
• 3.3 Kill Chain 七阶段顺序：侦察 → 武器化 → 投递 → 利用 → 安装 → 命令与控制（C2）→ 目标达成。建账号属\"安装\"（留后门），清日志属\"目标达成\"（毁迹）。
• 3.4 ATT&CK 与 Kill Chain 的关系：ATT&CK 是 Kill Chain 的细化版，把每个阶段展开为具体技术（T 编号）。侦察对应 Reconnaissance，导出数据对应 Collection / Exfiltration。
• 3.5、3.6 都是\"事前—事中—事后\"三段式：补丁/评估属事前（P / Identify），监测属事中（D / Detect），隔离属事中响应（R / Respond），恢复属事后（R / Recover）。

四大模型对照表（建议直接背这张表）

易错点

1. 3.2 ② 答成\"可用性\"或\"保密性\"。清日志破坏的是审计记录的完整性（记录被销毁 = 数据不完整），不是\"看不见数据\"。
2. 3.3 ① 答\"提权（Privilege Escalation）\"。建隐蔽账号的目的是持久化驻留，不是提权；提权是\"拿到更高权限\"，建账号是\"留个后门\"。
3. 3.4 ② 答\"Exfiltration\"被判错的风险。阅卷给分点为 Collection（收集），因为题干强调\"导出/下载到本地\"；若写\"收集（Collection），若指外传则属外渗（Exfiltration）\"可两全。
4. 3.5 与 3.6 混淆。两者阶段名高度重合（都有 保护/检测/响应/恢复），区别是 CSF 多一个 Identify（识别），且 PDRR 无\"识别\"。看到\"评估风险/资产梳理\" → CSF 的 Identify。
5. 模型数量记错：Kill Chain 7、ATT&CK 企业版 14（教材旧述 12）、PDRR 4、CSF 5。数字题年年考。

试题四　Ubuntu/Linux 账户与口令安全（15 分）

【背景】

某单位一台 Ubuntu 服务器需做账户与口令安全核查。已知：

/etc/passwd 中一行：

ubuntu:x:1000:1000:ubuntu1,,,:/home/ubuntu:/bin/bash

/etc/shadow 中对应一行：

ubuntu:$6$salt$hashstring:19800:0:99999:7:::

【问题】

4.1（2 分） Linux 系统中，用户与 UID 的映射关系存储在哪个文件中？

4.2（5 分）（1）该用户名是哪个字段？（2）该用户是普通用户还是管理员用户？判断依据是什么？（3）第二字段（x）代表什么信息？（4）第二字段可以为空吗？若为空代表什么含义？（5）用户口令实际存储在哪个文件？该文件的权限通常是多少？

4.3（2 分）/etc/shadow 中 $6$ 开头的那一长串加密口令属于哪种加密方式？是否可逆？

4.4（2 分） 修改用户密码的命令是什么？

4.5（2 分） 普通用户执行 passwd 修改自己密码时，需要依赖 Linux 特殊权限中的哪一个？（SUID / SGID / Sticky）

4.6（2 分） 该特殊权限有什么特殊含义？存在什么安全风险？

【参考答案】

4.1/etc/passwd（注意：该文件所有用户可读，因此只存占位符 x，真实口令在 /etc/shadow）。

4.2（1）用户名 = ubuntu（第 1 字段）。（2）普通用户。判断依据：UID = 1000（第 3 字段）；root 的 UID 固定为 0，普通用户 UID 通常从 1000 起分配（早期系统从 500 起）。（3）第二字段 x = 口令占位符，表示真实加密口令已移至 /etc/shadow，此处不再存放。（4）可以为空。为空表示该账户无口令，登录时不校验密码、可直接进入——属严重安全风险，应禁用或设置强口令。（5）实际存储在 /etc/shadow；权限通常为 640（-rw-r-----，owner=root，group=shadow）。

4.3SHA-512 加盐哈希（$6$ 是 crypt(3) 中 SHA-512 的算法标识）。不可逆——哈希是单向运算，只能\"用相同盐值重新计算并比对\"，不能反推明文。

4.4passwd（普通用户改自己：passwd；root 改他人：passwd 用户名）。

4.5SUID（Set User ID）。/bin/passwd 的权限为 -rwsr-xr-x，属主为 root，s 位即 SUID。

4.6

• 特殊含义：任何用户执行该程序时，进程的有效 UID（EUID）临时变为文件属主（root），即\"以属主身份运行\"。
• 为什么需要：/etc/shadow 仅 root 可写，普通用户改自己密码必须借 SUID 临时获得 root 权限，才能写入 shadow。
• 安全风险：若 SUID 程序存在漏洞（缓冲区溢出、命令注入、路径劫持），普通用户可借此提权至 root。因此应定期审计 SUID 文件（find / -perm -4000），删除不必要的 SUID 位。

【解析】

考点：Linux 账户文件体系（passwd / shadow / group）、UID 规则、口令哈希算法标识、SUID 机制与提权风险。

解题思路

• 4.1 与 4.2 是\"总—分\"关系：先定位文件，再逐字段拆解。/etc/passwd 七个字段顺序要背死：用户名 : 口令占位 : UID : GID : 描述 : 家目录 : 登录Shell
• 4.3 $ 前缀是\"算法身份证\"，见下表直接对应。
• 4.5 与 4.6 是联动题：先答出 SUID，才能解释\"为什么普通用户能改密码\"，进而答出提权风险。

/etc/shadow 算法标识对照表（高频）

易错点

1. 4.2（2）凭 ubuntu 是默认用户名就判\"管理员\"。判断依据只能是 UID 是否为 0，与用户名无关（用户名可任意改）。
2. 4.2（5）答 644。/etc/shadow 是 640（-rw-r-----），不是 644；/etc/passwd 才是 644。
3. 4.3 答\"可逆/可解密\"。哈希不可逆，这是与对称加密的根本区别。
4. 4.5 答 SGID 或 Sticky。SGID 是\"以属组身份运行\"（常用于目录继承组）；Sticky 是\"目录内文件仅属主可删\"（如 /tmp 的 1777）。只有 SUID 能实现\"普通用户以 root 身份改 shadow\"。
5. 4.6 只答\"提权\"不答\"为什么需要 SUID\"。阅卷要两点：机制（临时获得属主权限）+ 风险（SUID 程序漏洞导致提权）。

试题五　SSH 服务安全配置（15 分）

【背景】

某 Ubuntu 服务器的 /etc/ssh/sshd_config 片段如下：

LoginGraceTime 2m
StrictModes yes
MaxAuthTries 6
MaxSessions 10
PasswordAuthentication yes
PermitRootLogin yes
UsePAM yes

【问题】

5.1（3 分） SSH 协议主要实现了哪些安全特性？（从以下选项中选：完整性验证、保密性、可用性、认证、不可抵赖）

5.2（5 分）（1）SSH 服务端默认监听端口是多少？（2）SSH 服务端配置文件所在目录是什么？该目录权限（数字表示）是多少？（3）SSH 客户端密钥与配置通常放在哪个目录？该目录推荐权限是多少？私钥文件推荐权限是多少？

5.3（3 分）（1）默认私钥文件名是什么？（2）默认公钥文件名是什么？（3）服务端允许哪些公钥登录的配置文件叫什么？

5.4（2 分） 针对上述配置片段：（1）该配置最大的安全问题是什么？（2）重启 SSH 服务的命令是什么（systemd 系统）？

5.5（2 分）（1）Ubuntu 系统的 SSH 日志在哪个文件？（2）针对 SSH 服务的口令暴力破解攻击，该日志文件中最常出现的特征字符串是什么？

【参考答案】

5.1保密性、完整性验证、认证（三项）。

SSH 不保证可用性，也不提供不可抵赖性（不支持签名审计）。

5.2（1）22（TCP）。（2）服务端配置目录：/etc/ssh/；目录权限：755。（3）客户端目录：~/.ssh/；目录推荐权限：700；私钥文件推荐权限：600。

5.3（1）私钥：id_rsa（或 id_ecdsa、id_ed25519，视算法而定）。（2）公钥：id_rsa.pub。（3）~/.ssh/authorized_keys（服务端用户家目录下）。客户端把公钥内容追加写入该文件，即完成\"信任该私钥持有者\"的配置。

5.4（1）最大安全隐患：PermitRootLogin yes —— 允许 root 账号直接通过 SSH 登录，且配合 PasswordAuthentication yes 允许密码认证，使 root 暴露于口令暴力破解之下；一旦破解读取即为最高权限，且日志中大量失败记录会掩盖真实入侵。（2）systemctl restart sshd；Ubuntu（服务名为 ssh）用 systemctl restart ssh。

5.5（1）/var/log/auth.log（Ubuntu/Debian）。（2）Failed password（如 Failed password for root from 1.2.3.4 port 22 ssh2）。

【解析】

考点：SSH 协议安全目标、服务端/客户端配置文件与权限、密钥认证机制、危险配置项识别、日志取证。

解题思路

• 5.1 用\"SSH 防什么\"反推：防窃听（保密性）、防篡改（完整性）、防冒充（认证）。可用性抗不住 DoS；不可抵赖需数字签名留证，SSH 不做。
• 5.2 区分服务端（/etc/ssh/，全局配置，755）与客户端（~/.ssh/，用户私密，700/600）。权限过宽 ssh 会拒绝使用——这是很实用的考点。
• 5.4 逐项读配置：PermitRootLogin yes 是最危险的；PasswordAuthentication yes 是它的\"帮凶\"；MaxAuthTries 6 偏松（建议 3）；LoginGraceTime 2m 偏长（建议 30s）。
• 5.5 暴力破解在日志中的\"指纹\"就是 Failed password 连续高频出现；成功后紧跟 Accepted password / Accepted publickey。

加固建议（案例题常以\"给出加固措施\"追问，建议背 6 条）

易错点

1. 5.1 多选\"可用性\"或\"不可抵赖\"。这是本题最大陷阱——SSH 只保证三项。
2. 5.2（2）（3）混为一谈。/etc/ssh/（服务端，755）与 ~/.ssh/（客户端，700）不是同一个目录，权限也不同。
3. 5.3（3）答成 authorized_keys 在 /etc/ssh/ 下。它在用户家目录的 ~/.ssh/ 下。
4. 5.4（2）只写 service sshd restart。题干限定 systemd 系统，应答 systemctl；且要指出 Ubuntu 服务名是 ssh 而非 sshd。
5. 5.5（2）答 authentication failure。最典型的是 Failed password；authentication failure 是 PAM 层的通用记录，非最直接特征串。

第三部分　考情复盘

一、分值结构（本卷实况）

案例五题的知识分布

二、五个显著命题特征

1. 密码学在案例部分\"集体缺席\"——三届首次往年案例必有\"RSA 计算 / 对称加密流程 / 数字信封\"类计算题，本卷一道未出。密码学全部退守到综合知识（约 10 题）。这直接推翻了\"案例必考密码计算\"的备考惯性。

2. Linux / SSH / 访问控制三块合计 45 分，占案例 60%

• Linux 文件权限（rwx → 644）、特殊权限（SUID）、账户文件（passwd/shadow）反复出现；
• SSH 一题独占 15 分，且横跨\"协议 → 配置 → 密钥 → 日志\"全链条；
• 访问控制在上午、下午双线出现（上午 12 题 + 下午 15 分）。

3. \"图表题\"比重上升，考的是\"读图能力\"而非\"背书能力\"SAM 高级安全设置窗口、ls -l 输出、/etc/shadow 行、APK 目录树、事件时间线——这类题光背概念没用，必须会从材料里抠字段\\。

4. 高频运维工具与\"实战手感\"直接入题whoami /user、systemctl restart ssh、tcpdump -i eth0 dst port 80、find / -perm -4000、adb logcat | grep——命令级细节大量出现。这对没有 Linux/Windows 实操经验的考生是硬门槛。

5. 新名词包装、旧内核设问\"AI 防火墙\"\"AI IDS\"\"银狐木马\"\"硬件木马\"——题干披着热点外衣，落点仍是设备职责划分、恶意代码分类、物理安全层次。命题逻辑是：用新场景考老知识，防止死记硬背。

三、与 2023—2025 三届的对比

结论：命题重心从\"网络边界 + 密码算法\"整体迁移到\"主机侧 + 运维实操 + 模型理解\"。这是 2027 备考最需要调整的方向。

四、给 2027 备考学习调整建议

1. 案例课必须开\"Linux/Windows 实操\"专题：ls -l 读数、chmod、SUID 审计、passwd/shadow 字段、whoami /user、DACL/SACL——这些是\"会就会、不会就丢 30 分\"的硬技能。
2. SSH 单独成章：协议三性 → 配置文件 → 密钥认证 → 日志取证 → 加固清单，五步一条线讲透（本卷 15 分几乎全在这条线上）。
3. 密码学降为\"上午题\"定位：案例不再押密码计算，但仍需保证上午 10 题不失分（SM 系列、数字信封、DH、证书字段）。
4. 四大模型做成一张对照表（，要求学生能\"看到行为就报模型阶段\"。
5. OWASP Mobile Top 10 必须讲 2024 版，并明确告知旧版（2016）已废弃——本卷直接考了版本差异。