2026年网络安全攻防实战渗透测试员实操手册.docxVIP

第PAGE页共NUMPAGES页

2026年网络安全攻防实战：渗透测试员实操手册

一、选择题（共10题，每题2分，总分20分）

1.某公司采用HTTPS协议传输数据，但未使用HSTS预加载，攻击者可以利用哪种漏洞进行会话劫持？

A.中间人攻击（Man-in-the-Middle）

B.SQL注入

C.跨站脚本（XSS）

D.文件上传漏洞

2.在渗透测试中，扫描目标服务器开放端口后，发现存在FTP服务，但未配置密码复杂度策略，攻击者最可能利用此漏洞进行什么操作？

A.网络钓鱼

B.暴力破解FTP密码

C.SSDP协议漏洞利用

D.DNS劫持

3.某政府网站使用PHP开发，存在文件包含漏洞（LFI），攻击者可以通过以下哪种方式利用该漏洞获取服务器敏感文件？

A.`/index.php?file=../etc/passwd`

B.`/index.php?file=`

C.`/index.php?file=php://filter/convert.base64-encode/resource=1`

D.以上均正确

4.在渗透测试中，使用Nmap扫描目标IP时，发现端口80开放且响应为Apache服务器，攻击者最可能利用哪种漏洞进行目录遍历？

A.ApacheStruts2远程代码执行

B.Apache文件包含漏洞

C.HTTP请求走私