2026年渗透测试从业人员模拟复习题及答案.docxVIP

2026年渗透测试从业人员模拟复习题及答案

1.2026年某企业部署了基于检索增强生成（RAG）的内部客服大模型，渗透测试人员测试时发现可以通过构造特定prompt诱导大模型返回内部知识库中标记为密级的运维手册，该攻击属于以下哪类？

A.Prompt注入

B.RAG投毒

C.成员推断攻击

D.提示词泄漏

答案：A

解析：2026年大模型应用已进入企业场景落地高峰期，RAG架构是企业内部大模型的主流实现方式，该场景下攻击者构造的特殊越狱prompt属于Prompt注入攻击的子类，通过绕过大模型预设的内容过滤规则，诱导其输出敏感数据。B选项RAG投毒是指攻击者通过外部输入渠道篡改RAG知识库的存储内容，诱导大模型输出恶意信息，与题干场景不符；C选项成员推断攻击是针对大模型训练集的隐私攻击，用于判断特定数据是否属于训练集范畴，无法实现知识库敏感内容窃取；D选项提示词泄漏是指攻击者获取大模型预设的系统级prompt，无法直接获取知识库密级内容。

2.针对2026年逐步普及的抗量子加密算法（PQC）部署的Web系统，以下哪种渗透方法仍然有效？

A.Shor算法破解RSA私钥

B.时序侧信道攻击提取CRYSTALS-Kyber私钥

C.彩虹表破解SM3哈希后的用户密码

D.差分密码分析破解AES-256加密的会话数据

答案：B

解析：Shor算法破解2048位RSA需要百万级纠