2026网络安全攻防实战模拟试卷.docxVIP

2026网络安全攻防实战模拟试卷

一、单项选择题（本大题共10小题，每小题2分，共20分）

1.在网络安全攻防实战中，渗透测试人员通常采用哪种方法来验证目标系统的漏洞是否可被利用？

A.仅通过扫描工具获取系统信息

B.使用自动化脚本批量测试所有已知漏洞

C.结合系统架构分析，设计针对性攻击路径

D.仅查看系统日志确认异常行为

解析：渗透测试的核心在于模拟真实攻击场景，选项C最符合实战要求。自动化扫描虽能发现漏洞，但无法验证实际危害；仅获取信息或查看日志属于被动防御手段，而非主动攻击验证。实战中需通过逻辑推理设计攻击链，如先获取低权限shell再提权，或利用业务逻辑漏洞绕过认证。

2.某企业部署了Web应用防火墙（WAF），但攻击者仍能通过修改HTTP请求头绕过防护。这种攻击方式最可能利用了WAF的哪种缺陷？

A.规则更新不及时导致漏报

B.对动态请求参数识别能力不足

C.缺乏对TLS1.3协议的支持

D.基于签名的检测机制限制

解析：HTTP请求头修改属于典型的绕过型攻击，选项B最准确。WAF通常依赖静态特征匹配，若参数值通过业务逻辑动态生成，规则库难以覆盖所有变种。例如，攻击者通过POST请求中的User-Agent字段注入SQL注入代码，WAF因未预置该参数的攻击特征而