2026年网络安全渗透测试实践题.docxVIP

第PAGE页共NUMPAGES页

2026年网络安全渗透测试实践题

一、选择题（共5题，每题2分，合计10分）

题目1：

某公司采用HTTP/2协议传输数据，渗透测试员发现服务器响应头中包含`Connection:Upgrade`字段。以下哪项操作最可能用于检测该服务器是否支持WebSocket协议？（）

A.使用Nmap扫描服务端口，观察是否有80或443端口开放

B.使用Wireshark抓包，分析HTTP请求中的`Sec-WebSocket-Key`字段

C.使用curl命令执行`curl-I--http2`，查看响应头中的`Upgrade`字段

D.使用BurpSuite拦截HTTP请求，手动修改请求头添加`Upgrade:websocket`

题目2：

某电商网站存在SQL注入漏洞，渗透测试员使用`OR1=1`构造Payload，但页面未返回明显错误。以下哪种技术最可能用于绕过WAF检测？（）

A.使用双写技术（如`OR1=1AND1=1`）增加检测难度

B.利用时间盲注，通过`ANDSLEEP(5)`检测数据库响应延迟

C.使用动态代理工具（如BurpSuite）修改请求头中的`User-Agent`为WAF允许的值

D.采用UTF-7编码绕过字符过滤，如`OR1=1#x0`

题目3：

某企业内部网络使用