2024年软考中级信息安全工程师｜选择题考点+案例分析真题解析（含答案）

选择题

防火墙不能实现的是

复制代码

#### 实现网络物理隔离

VPN不能提供的安全服务

复制代码

#### 认证服务

对文件读写进行访回控制属于

复制代码

#### 操作系统访问控制

网络系统中针对海量的数据的加密

复制代码

#### 不采用公钥加密

电码本模式（ECB）

复制代码

#### P1 - 加密 - C1

不属于网络设备提供的SNMP访问控制措施

复制代码

#### 关闭SNMP访问

不属于信息安全风险评估中需要识别的对象

复制代码

#### 风险识别

以下不符合设计后门的方法

复制代码

#### 修改管理员口令

WPKI平台采用的加密算法

复制代码

#### 优化的椭圆曲线加密算法

最小特权管理

复制代码

#### 将特权分解为若干个特权子集

SHA1算法的消息摘要长度为

复制代码

#### 160位

CA的功能不包括

复制代码

#### 证书的加密

MD5算法

复制代码

#### 单位处理输入：512比特数据块

复制代码

#### 产生：128比特的哈希值

SQL 注入案例

场景

复制代码

#### 某电商平台采用 PHP + MySQL 开发，登录页代码如下（片段）：

```php
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($conn, $sql);
```

问题一

复制代码

#### 该代码存在哪种典型漏洞？请说明攻击原理。

*

  ##### 存在 SQL 注入漏洞

*

  ##### 攻击者在用户名或密码输入框中提交精心构造的字符串（如 `' OR '1'='1' --`），即可绕过认证逻辑。由于代码将用户输入直接拼接进 SQL 语句且未做任何过滤与参数化处理，攻击者可以篡改 SQL 语义，实现未授权登录、数据窃取甚至整库拖出。

问题二

复制代码

#### 请给出至少两种修复方案

*

  ##### 参数化查询 / 预编译语句：使用 PDO 或 mysqli 的预处理语句，将用户输入作为参数绑定，从根源上杜绝拼接注入。这是最推荐的方案

*

  ##### 输入过滤与白名单校验：对用户名、密码等字段进行严格的字符过滤，限制特殊字符（如单引号、连字符、注释符等）

*

  ##### 最小权限原则：数据库账号只授予业务所需的最小权限，禁止 Web 应用账号拥有 DROP、CREATE 等高风险权限

*

  ##### Web 应用防火墙（WAF）：部署 WAF 作为纵深防御手段，拦截常见注入攻击载荷

等级保护与安全管理案例

场景

复制代码

#### 某市级政务云平台被定级为第三级系统。测评中发现以下问题：

*

  ##### ① 部分服务器操作系统存在高危漏洞未及时修补

*

  ##### ② 运维人员多人共用同一特权账号

*

  ##### ③ 核心交换机未启用日志审计功能

问题一

复制代码

#### 请针对以上问题，分别提出整改措施。

*

  ##### 针对①：建立漏洞管理机制，制定补丁发布与安装流程，高危漏洞应在规定时限内完成修复；暂无法修复的应采取临时风险缓解措施（如限制访问、启用补偿性控制）

*

  ##### 针对②：遵循最小权限与职责分离原则，为每个运维人员分配独立的实名账号，权限按岗分配；对特权账号操作启用双人复核或临时授权（如堡垒机审批）

*

  ##### 针对③：开启核心设备的日志审计功能，将日志统一采集至日志服务器或 SIEM 平台，设置合理的留存周期（三级系统日志留存不少于 6 个月），并定期进行审计分析

依据等保 2.0，第三级系统的网络安全保护能力应达到什么要求？

复制代码

#### 第三级为"安全标记保护级"

*

  ##### 第三级系统在安全保护能力上要求：在统一安全策略下，防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击，以及较为严重的自然灾难所造成的资源损害，能够发现安全漏洞和安全事件，并在遭到损害后能够较快恢复绝大部分功能

试题一（25 分）

说明

复制代码

#### 阅读下列说明，回答问题 1 至问题 3，将解答填入答题纸的对应栏内

复制代码

#### 在 Linux 系统中，用户账号是用户的身份标志，它由用户名和用户口令组成

问题 1（4 分）

复制代码

#### Linux 系统将用户名和口令分别保存在哪些文件中？

*

  ##### 用户名：/etc/passwd

*

  ##### 口令：/etc/shadow

问题 2（7 分）

复制代码

#### Linux 系统的用户名文件通常包含如下形式的内容：

```text
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
hujw:x:500:500:hujianwei:/home/hujw:/...
```

复制代码

#### 文件中的一行记录对应着一个用户，每行记录用冒号（:）分隔为 7 个字段，请问第 1 个冒号（第二列）和第 2 个冒号（第三列）的含义是什么？

*

  ##### 是口令占位符，通常显示为 `x` ，表示真正的口令（加密后）并不存在这里，而是转存到 `/etc/shadow` 中

*

  ##### 是 用户 ID（UID），Linux 靠 UID 识别用户身份

复制代码

#### 上述用户名文件中，第三列的数字分别代表什么含义？

*

  ##### `0` 超级用户 root

*

  ##### `1~499` （或 1\~999）：系统账号 / 服务账号（如 bin）

*

  ##### `500` （或 1000）及以上：普通用户（如 hujw）

问题 3（4 分）

复制代码

#### Linux 系统中用户名文件和口令字文件的默认访问权限分别是什么？

*

  ##### `/etc/passwd` 默认访问权限： 644 （`-rw-r--r--` ），即所有者可读写、其他用户只读------所以任何用户都能查看

*

  ##### `/etc/shadow` 默认访问权限： 000 或 400 （只有 root 可读写），其他用户无任何权限，以保证口令安全

试题二（25 分）

说明

复制代码

#### 阅读下列说明，回答问题 1 至问题 2，将解答填入答题纸的对应栏内。

复制代码

#### 访问控制是对信息系统资源进行保护的重要措施，适当的访问控制能够阻止未经授权的用户有意或者无意地获取资源。访问控制一般是在操作系统的控制下，按照事先确定的规则决定是否允许用户对资源的访问。图 2-1 给出了某系统对客体 traceroute.mpg 实施的访问控制规则。

![在这里插入图片描述](https://i-blog.csdnimg.cn/direct/86e2b6ecc0c142d7abe5ca5cb888fb5e.jpeg)

问题 1

复制代码

#### 针对信息系统的访问控制包含哪些基本要素？

*

  ##### 主体

  *

    ###### （访问的发起者，如用户 Administrator）

*

  ##### 客体

  *

    ###### （被访问的对象，如文件 traceroute.mpg）

*

  ##### 授权访问

  *

    ###### （访问规则，即主体可以对客体做什么操作）

问题 2

复制代码

#### 分别写出图 2-1 中用户 Administrator 对应三种访问控制实现方法，即能力表、访问控制表和访问控制矩阵下的访问控制规则

*

  ##### 能力表 （以 主体 为维度，看主体能访问哪些客体）

  *

    ###### 主体 Administrator → 客体 traceroute.mpg，权限：读、写、执行（完全控制）

*

  ##### 访问控制表 ACL （以 客体 为维度，看客体能被哪些主体访问）

  *

    ###### 客体 traceroute.mpg → 主体 Administrator，权限：读、写、执行（完全控制）

*

  ##### 访问控制矩阵 （ 二维 描述，行为主体、列为客体）

试题三（25 分）

说明

复制代码

#### 阅读下列说明，回答问题 1 至问题 3，将解答填入答题纸的对应栏内。

复制代码

#### 假设用户 A 和用户 B 为了互相验证对方的身份，设计了如下通信协议：

```text
1. A → B：R_A
2. B → A：f(P_AB ‖ R_A) ‖ R_B
3. A → B：f(P_AB ‖ ______)
```

复制代码

#### 其中：R_A、R_B 是随机数，P_AB 是双方事先约定并共享的口令，"‖"表示连接操作，f 是哈希函数

问题 1

复制代码

#### 身份认证可以通过用户知道什么、用户拥有什么和用户的生理特征等方法来验证。请问上述通信协议是采用哪种方法实现的？

*

  ##### 基于双方事先共享的口令/秘密信息

问题 2

复制代码

#### 根据身份的互相验证需求，补充协议第 3 步的空白内容

*

  ##### `A → B：f(P_AB ‖ R_B)`

问题 3

复制代码

#### 如果将哈希函数替换成对称加密函数，是否可以提高该协议的安全性？为什么？

*

  ##### 不能

*

  ##### 哈希函数是单向的

*

  ##### 对称加密还引入密钥管理问题

试题四（25 分）

说明

复制代码

#### 阅读下列说明，回答问题 1 至问题 4，将解答填入答题纸的对应栏内

复制代码

#### 密码学作为信息安全的关键技术，在信息安全领域有着广泛的应用。密码学中，根据加密和解密过程所采用密钥的特点可以将密码算法分为两类：对称密码算法和非对称密码算法。此外，密码技术还用于信息鉴别、数据完整性检验、数字签名等

问题 1（3 分）

复制代码

#### 信息安全的基本目标包括：真实性、保密性、完整性、不可否认性、可控性、可用性、可审查性等。密码学的三大安全目标 C.I.A 分别表示什么？

*

  ##### C=保密性（Confidentiality） ：确保信息仅被合法用户访问，不泄露给非授权用户

*

  ##### I=完整性（Integrity） ：信息未被授权篡改，可验证

*

  ##### A=可用性（Availability） ：资源在需要时可由授权方访问

问题 2（3 分）

复制代码

#### RSA 公钥密码是一种基于大整数因子分解难题的公开密钥密码。对于 RSA 密码的参数：p、q、n、φ(n)、e、d，哪些参数是可以公开的？

*

  ##### 必须保密的：p、q（大素数）、φ(n)、d（私钥）

*

  ##### 理由：知道 n 但不知道 p、q 就无法分解出 φ(n)，从而无法由 e 推出 d

问题 3（2 分）

复制代码

#### 如有 RSA 密码算法的公钥为（55，3），请给出对小王的年龄 18 进行加密的密文结果

*

  ##### 公钥（55，3），明文m=18公钥（55，3），明文 m=18公钥（55，3），明文m=18

*

  ##### C=memodn=183mod55C = m\^e mod n = 18³ mod 55C=memodn=183mod55

*

  ##### 183=5832，5832÷55=106余2密文结果：218³ = 5832，5832 ÷ 55 = 106 余 2 密文结果： 2183=5832，5832÷55=106余2密文结果：2

问题 4（2 分）

复制代码

#### 对于 RSA 密码算法的公钥（55，3），请给出对应私钥

*

  ##### n = 55 = 5 × 11

*

  ##### φ(n) = (5-1)×(11-1) = 4 × 10 = 40

*

  ##### 由 e·d ≡ 1 mod φ(n)，即 3d ≡ 1 mod 40 → d = 27 （3×27=81=2×40+1 ✓）

*

  ##### 私钥为： （55，27）