网站渗透测试专项考试试题、详细答案及考点分析.docxVIP

网站渗透测试专项考试试题、详细答案及考点分析

本次试题适配网络安全渗透测试初级岗位、技能等级考核，题型包含选择题、判断题、简答题、实操分析题，覆盖SQL注入、XSS跨站、文件上传、弱口令、目录遍历、漏洞利用与防护等核心实战考点。试题贴合真实渗透场景，无偏题怪题，解析侧重实战思路，摒弃理论化套话。

一、单项选择题（共10题，每题3分，共30分）

1.下列参数提交方式中，最容易产生SQL注入漏洞的是（）

A.前端JS加密后的POST参数

B.未做过滤的URLGET参数

C.服务端固定写死的常量参数

D.带token校验的请求参数

答案：B

考点分析：GET参数直接拼接在URL中，多数开发场景下会直接带入数据库查询，缺少默认过滤，是SQL注入最高发点位。前端加密可被绕过、固定参数无可控性、token校验可拦截非法请求，均不易出现注入漏洞。

2.存储型XSS与反射型XSS最核心的区别是（）

A.攻击代码是否经过URL编码

B.攻击代码是否存储在服务器数据库中

C.攻击是否需要用户点击链接

D.触发位置是否在前端页面

答案：B

考点分析：核心区分点为数据持久化。存储型XSS恶意代码会存入服务器数据库、文件等，所有访问页面的用户都会触发；反射型XSS仅临时通过服务器反射返回，不存储，仅当前请求用户触发。

3.文件上传漏洞中，以下哪种绕过方式适用于仅校验文件后缀名小写的