2025年网络安全专业技术资格考试试题及答案.docxVIP

2025年网络安全专业技术资格考试试题及答案

一、单项选择题（共20题，每题1.5分，共30分）

1.以下哪种加密算法属于对称加密，且支持128位、192位、256位密钥长度？

A.RSA

B.AES

C.ECC

D.SHA256

答案：B

2.某企业网络中，攻击者通过构造特殊HTTP请求，使服务器返回了非授权用户的敏感数据。这种攻击最可能属于：

A.CSRF

B.XSS

C.SQL注入

D.路径遍历

答案：D（路径遍历攻击通过../等符号突破目录限制，访问未授权文件）

3.零信任架构的核心原则是：

A.网络边界内的所有设备默认可信

B.持续验证访问请求的身份、设备状态和环境安全

C.仅允许已知白名单IP访问关键系统

D.依赖传统防火墙实现边界防护

答案：B

4.以下哪个协议是物联网设备常用的轻量级传输协议，且默认未加密？

A.MQTT

B.HTTPS

C.SMTP

D.FTP

答案：A（MQTT默认使用TCP传输，需结合TLS加密）

5.某系统日志中出现大量“401Unauthorized”状态码，最可能的攻击是：

A.暴力破解登录口令

B.DDoS攻击

C.缓冲区溢出

D.钓鱼攻击

答案：A（401表示未授权，暴力破解会导致频繁认证失败）

6.下列哪种哈希算法已被证明存在碰撞漏洞，不建议用于数字签名？

A.SHA1

B.SHA256

C.SHA3

D.MD5

答案：A（SHA1的碰撞抵抗已被攻破）

7.工业控制系统（ICS）中，为防止恶意代码通过USB设备传播，最有效的措施是：

A.禁用USB接口

B.安装传统杀毒软件

C.启用白名单机制，仅允许认证的USB设备使用

D.对USB数据进行实时加密

答案：C（白名单机制可精准控制设备，避免未知风险）

8.数据脱敏技术中，将“身份证号44010619900101XXXX”处理为“440106XXXX”的方法属于：

A.掩码

B.替换

C.随机化

D.截断

答案：A（部分字段用符号覆盖，保留格式特征）

9.以下哪个是OWASP2024十大安全风险中新增的类别？

A.不安全的API

B.软件和数据完整性失效

C.生成式AI滥用

D.不安全的云配置

答案：C（2024版新增“生成式AI滥用”，如伪造内容、模型投毒）

10.某组织使用Kerberos进行身份认证，其核心机制是：

A.基于证书的双向认证

B.通过票据（Ticket）实现安全通信

C.静态口令哈希验证

D.基于IP地址的访问控制

答案：B（Kerberos通过KDC发放票据，避免明文传输口令）

11.以下哪种漏洞利用方式属于“内存破坏型”攻击？

A.SQL注入

B.XSS

C.缓冲区溢出

D.CSRF

答案：C（缓冲区溢出通过覆盖内存数据执行任意代码）

12.区块链系统中，防止双花攻击的关键机制是：

A.共识算法（如PoW）

B.智能合约

C.哈希指针

D.非对称加密

答案：A（共识算法确保交易顺序和唯一性）

13.移动应用安全测试中，检测APK文件是否被篡改的常用方法是：

A.反编译分析

B.计算文件哈希值（如SHA256）

C.动态调试

D.流量抓包分析

答案：B（哈希值可验证文件完整性）

14.网络安全等级保护2.0中，第三级信息系统的安全保护要求不包括：

A.结构化保护

B.安全审计覆盖到每个用户

C.建立统一的安全管理中心

D.重要数据备份和恢复时间目标（RTO）≤2小时

答案：A（结构化保护是二级要求，三级为安全标记保护）

15.以下哪种攻击利用了操作系统或应用程序的“未授权访问”漏洞？

A.中间人攻击（MITM）

B.权限提升（PrivilegeEscalation）

C.拒绝服务（DoS）

D.社会工程学

答案：B（权限提升通过漏洞获取更高权限）

16.数据跨境流动中，依据《个人信息保护法》和《数据安全法》，关键信息基础设施运营者向境外提供个人信息的，应当：

A.自行评估风险后直接传输

B.通过国家网信部门组织的安全评估

C.与接收方签订标准合同

D.仅需获得用户单独同意

答案：B（关键信息基础设施运营者需通过国家安全评估）

17.以下哪个工具常用于网络流量的