2026年(CTF竞赛选手)网络安全实战试题及答案.docxVIP

2026年(CTF竞赛选手)网络安全实战试题及答案

一、单项选择题（每题1分，共30分）

1.在SQL注入中，万能密码or1=1--利用了以下哪种注入原理？

A.联合查询注入

B.布尔盲注

C.恒真条件绕过

D.时间盲注

答案C

解析该Payload通过构造恒为真的条件使WHERE判断结果永真，从而绕过认证，属于恒真条件绕过。

2.下列哪类XSS攻击会将恶意脚本持久化存储在服务器端？

A.反射型XSS

B.存储型XSS

C.DOM型XSS

D.基于事件的XSS

答案B

解析存储型XSS将Payload写入数据库，任何访问受影响页面的用户都会触发，危害最大。

3.在SSRF攻击中，若目标环境为PHP，想要读取服务器本地文件，通常利用哪个协议？

A.file://

B.gopher://

C.dict://

D.ldap://

答案A

4.上传绕过中，将pphphp作为文件扩展名，成功解析为php，这利用了以下哪种过滤方式的缺陷？

A.黑名单替换为空且仅替换一次

B.白名单后缀校验

C.文件头内容校验

D.MIME类型校验

答案A

5.本地文件包含（LFI）漏洞中，若include($_GET[page])未过滤协议，配合哪个协议可将请求体作为PHP代码执行？