2026年网络安全工程师面试题及渗透测试实操含答案.docx

2026年网络安全工程师面试题及渗透测试实操含答案

一、单项选择题（每题2分，共20分）

1.在一次红队演练中，攻击者通过伪造公司邮箱向财务部门发送“紧急付款”指令，最终成功诱导出纳转账。该攻击手法最准确的归类是

A.鱼叉式钓鱼??B.捕鲸攻击??C.商业邮件妥协（BEC）??D.水坑攻击

答案：C

解析：BEC不依赖恶意附件或链接，而是纯社会工程学，通过伪造或劫持企业邮箱完成欺诈。

2.某Web应用使用JWT作为会话令牌，header中alg字段值为“none”。攻击者直接篡改payload后提交，服务器仍接受。该漏洞根因是

A.密钥泄露??B.未校验签名?