2026年网络安全工程师考试渗透测试真题(附答案).docxVIP

2026年网络安全工程师考试渗透测试真题(附答案)

一、单项选择题（每题2分，共20分）

1.在一次黑盒渗透测试中，测试员发现目标站点存在登录接口，但无验证码机制。下列哪项最可能被优先利用以获取有效账户？

A.文件上传漏洞

B.SQL注入

C.暴力破解

D.XXE漏洞

答案：C

2.使用BurpSuite进行主动扫描时，为降低对生产环境的影响，以下哪项配置最为关键？

A.关闭被动扫描

B.降低线程数与请求延迟

C.禁用Intruder模块

D.关闭代理拦截

答案：B

3.某Web应用使用JWT作为会话令牌，签名算法为none。攻击者通过以下哪种方式可直接伪造任意身份？

A.修改header中alg为none并删除签名

B.使用公钥重新签名

C.暴力破解密钥

D.修改payload后重新哈希

答案：A

4.在利用SSRF攻击内网时，以下哪种防御机制最难被绕过？

A.域名白名单+DNS二次解析校验

B.30x跳转限制

C.禁用非HTTP协议

D.限制响应长度

答案：A

5.针对Linux本地提权，以下哪条命令可快速定位具有SUID位的可执行文件？

A.`find/-typef-perm-0022/dev/null`

B.`find/-typef-perm-40002/