2025最新最全网络安全面试题+答案.docxVIP

2025最新最全网络安全面试题+答案

1.请解释OSI七层模型与TCP/IP四层模型的对应关系及核心差异

OSI七层模型（物理层、数据链路层、网络层、传输层、会话层、表示层、应用层）是理论化的参考模型，强调各层独立性；TCP/IP四层模型（网络接口层、网际层、传输层、应用层）是实际应用的协议栈，将OSI的会话层、表示层合并到应用层。核心差异体现在：OSI先有模型后有协议，TCP/IP先有协议后抽象模型；OSI严格分层，TCP/IP更灵活；OSI传输层支持面向连接和无连接，TCP/IP传输层主要使用TCP（面向连接）和UDP（无连接）。

2.描述TCP三次握手的完整过程，并说明为何需要三次而非两次

三次握手过程：

客户端发送SYN=1，随机序列号seq=x（第一次握手：SYN报文）；

服务端收到后发送SYN=1，ACK=1，确认号ack=x+1，自身序列号seq=y（第二次握手：SYNACK报文）；

客户端发送ACK=1，确认号ack=y+1，序列号seq=x+1（第三次握手：ACK报文）。

需要三次的原因：防止“已失效的连接请求报文”被服务端误接收。若两次握手，服务端发送SYNACK后即认为连接建立，若客户端初始SYN报文因延迟到达服务端（此时客户端已放弃连接），服务端会为无效连接分配资源，导致资源浪费。三次握手确保客户端能确认服务端的接收能力，避免此类问题。

3.简述DDoS攻击的常见类型及防御措施

常见类型：

流量型攻击（如UDPFlood、ICMPFlood）：通过伪造大量无用流量占满带宽；

连接型攻击（如SYNFlood、HTTPFlood）：消耗目标服务器连接资源；

应用层攻击（如CC攻击）：模拟真实用户请求耗尽应用层资源（如数据库连接）。

防御措施：

流量清洗：通过专用设备（如DDoS清洗中心）识别并过滤异常流量；

负载均衡与CDN：分散流量至多个节点，降低单点压力；

速率限制：在边界设备（防火墙、路由器）设置连接速率阈值；

协议栈优化：调整服务器TCP/IP参数（如增大半连接队列、缩短超时时间）；

流量牵引：将流量路由至高带宽链路或云清洗服务。

4.解释SQL注入的原理、分类及防御方法

原理：攻击者通过输入恶意SQL代码，利用应用程序未对用户输入进行严格过滤的漏洞，篡改后端数据库执行的SQL语句，实现数据泄露、删除或权限提升。

分类：

报错注入：通过构造引发数据库报错的语句（如`id=1and1=cast((selectversion())asint)`），从错误信息中提取数据；

盲注：无明确错误信息时，通过逻辑判断（如`id=1andlength(database())5`）结合页面响应差异（如返回正常/超时）推断数据；

联合查询注入：利用UNION语句合并查询结果（如`id=1unionselect1,user(),3`）获取敏感数据；

宽字节注入：利用数据库编码（如GBK）的多字节特性绕过单引号转义（如`%df`）。

防御方法：

使用预编译语句（PreparedStatement）：参数化查询，将用户输入与SQL语句逻辑分离；

输入验证：限制输入类型（如数字字段仅允许数字）、长度及特殊字符；

最小权限原则：数据库账户仅授予必要权限（如禁止使用root账户连接）；

转义特殊字符：对用户输入的单引号、分号等进行转义（如MySQL的`mysql_real_escape_string()`）；

部署WAF：通过规则匹配或AI模型检测异常SQL特征。

5.区分XSS的三种类型，并给出具体利用场景与防御策略

类型及利用场景：

存储型XSS：恶意脚本被存储在服务器（如评论、用户资料），所有访问该页面的用户都会执行（如攻击者在论坛发布含`scriptalert(document.cookie)/script`的评论，其他用户查看时触发）；

反射型XSS：恶意脚本通过URL参数传递，服务器未过滤直接返回给客户端（如`/search?keyword=scriptalert(1)/script`，用户点击后触发）；

DOM型XSS：客户端JavaScript处理未安全过滤的输入（如`document.write(location.search)`直接输出URL参数），导致脚本执行（如攻击者构造`/page?name=scriptstealCookie()/script`，页面JS未过滤直接插入DOM）。

防御策略：

输出编码：对动态输出到HTML、JavaScript、URL的内容进行编码（如HTML编码`l