2025年信息系统安全专家Linux_Unix系统文件系统与日志取证专题试卷及解析.pdfVIP

2025年信息系统安全专家LINUX_UNIX系统文件系统与日志取证专题试卷及解析1

2025年信息系统安全专家Linux_Unix系统文件系统与

日志取证专题试卷及解析

2025年信息系统安全专家Linux_Unix系统文件系统与日志取证专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在Linux系统中，以下哪个命令可以用于查看文件的inode信息？

A、lsl

B、stat

C、file

D、du

【答案】B

【解析】正确答案是B。stat命令专门用于显示文件或文件系统的详细状态信息，包

括inode号、权限、大小、修改时间等。A选项lsl只显示基本文件信息，不包含inode

详细信息；C选项file用于识别文件类型；D选项du用于查看磁盘使用情况。知识点：

Linux文件系统inode结构。易错点：容易混淆lsl和stat的功能差异。

2、在Unix系统日志取证中，/var/log/wtmp文件主要用于记录什么信息？

A、系统启动日志

B、用户登录记录

C、内核消息

D、软件安装日志

【答案】B

【解析】正确答案是B。wtmp文件记录所有用户登录和注销事件，包括登录时

间、终端、IP地址等。A选项系统启动日志通常在/var/log/boot.log；C选项内核消息

在/var/log/kern.log；D选项软件安装日志在/var/log/install.log。知识点：Unix系统日

志文件分类。易错点：容易混淆wtmp和btmp（失败登录记录）的区别。

3、在Linux文件系统取证中，以下哪个工具最适合恢复已删除的ext4文件？

A、dd

B、fsck

C、photorec

D、mount

【答案】C

【解析】正确答案是C。photorec是专门用于文件恢复的工具，能识别并恢复多种文

件类型。A选项dd用于磁盘镜像；B选项fsck用于文件系统检查修复；D选项mount

用于挂载文件系统。知识点：Linux文件恢复工具。易错点：容易误用fsck进行文件恢

复。

2025年信息系统安全专家LINUX_UNIX系统文件系统与日志取证专题试卷及解析2

4、在Unix系统中，以下哪个日志文件记录了sudo命令的使用情况？

A、/var/log/auth.log

B、/var/log/secure

C、/var/log/sudo.log

D、/var/log/messages

【答案】C

【解析】正确答案是C。sudo.log专门记录sudo命令的使用情况，包括执行用户、

命令、时间等。A和B选项记录认证相关日志；D选项记录系统消息。知识点：Unix

系统日志分类。易错点：不同Linux发行版日志文件位置可能不同。

5、在Linux文件系统取证中，以下哪个命令可以查看文件的实际存储块？

A、lsblk

B、debugfs

C、fdisk

D、parted

【答案】B

【解析】正确答案是B。debugfs是ext文件系统调试工具，可以查看文件存储块信

息。A选项lsblk查看块设备；C选项fdisk用于磁盘分区；D选项parted也是分区工

具。知识点：Linux文件系统底层结构。易错点：容易混淆块设备和文件存储块的概念。

6、在Unix系统日志分析中，以下哪个时间戳格式最常见于syslog？

A、YYYYMMDDHH:MM:SS

B、MMMDDHH:MM:SS

C、DD/MM/YYYYHH:MM

D、Unix时间戳

【答案】B

【解析】正确答案是B。syslog默认使用”月日时:分:秒”格式，如”Jan0112:00:00”。

A选项是ISO格式；C选项是欧洲格式；D选项是纯数字格式。知识点：Unix日志时

间格式。易错点：不同日志系统可能使用不同时间格式。

7、在Linux文件系统取证中，以下哪个属性可以防止文件被修改或删除？

A、chattr+i