2016年下半年 信息安全工程师 答案详解
注意：教材于2020年修改，2016年软考题目仅供参考学习，考试请参考新考试大纲。
第1题
以下有关信息安全管理员职责的叙述，不正确的是(1)。
A.信息安全管理员应该对网络的总体安全布局进行规划
B.信息安全管理员应该对信息系统安全事件进行处理
C.信息安全管理员应该负责为用户编写安全应用程序
D.信息安全管理员应该对安全设备进行优化配置
【答案】C
【解析】
本题考查考生对于信息安全管理员职责的认知。
信息安全管理员是保障信息系统安全的主要管理者和安全技术的实施者，应该有明确的职责，具体包括：对网络的总体安全布局进行规划；对信息系统安全事件进行处理；对安全设备进行优化配置等职责。信息安全管理员的职责中没有为用户编写安全应用程序这一项。
第2题
国家密码管理局于2006年发布了《无线局域网产品须使用的系列密码算法》，其中规定密钥协商算法应使用的是(2).
(2)A.DH B.ECDSA C.ECDH D.CPK
【答案】C
【解析】
本题考查考生对密钥协商协议的了解。
国家密码管理局于2006年发布了《无线局域网产品须使用的系列密码算法》;，包括对称密码算法：SMS4；签名算法：ECDSA；密钥协商算法：ECDH；杂凑算法：SHA-256；随机数生成算法等。
http://www.sca.gov.cn/sca/xwdt/2006-01/06/content_1002355.shtml
第3题
以下网络攻击中，(3)属于被动攻击。
(3)A.拒绝服务攻击 B.重放 C.假冒 D.流量分析
【答案】D
【解析】
本题考查考生对于网络攻击方式的分类。
网络攻击行为分为主动攻击和被动攻击，主动攻击一般是指攻击者对被攻击信息的修改，而被动攻击主要是收集信息而不进行修改等操作，被动攻击更具有隐蔽性。主动攻击包括拒绝服务攻击、重放攻击、假冒攻击等，被动攻击包括流量分析、窃听等。
流量分析是指通过一定的技术手段，实时监测用户网络七层结构中各层的流量分布，进行协议、流量的综合分析，从而有效的发现、预防网络流量和应用上的瓶颈，为网络性能的优化提供依据，属于被动攻击。
第4题
(4)不属于对称加密算法。
(4)A.IDEA B.DES C.RC5 D.RSA
【答案】D
【解析】
本题考查考生对于密码算法分类的掌握情况。
密码算法根据密钥的属性可以分为对称密码和非对称密码（公钥密码），对称密码指加密和解密使用相同密钥的加密算法，非对称算法则需要两个密钥：公钥和私钥。
常见的对称密码包括：IDEA、DES、RC5、AES等，常见的非对称密码包括：RSA、椭圆曲线密码算法等。
第5题
面向身份信息的认证应用中，最常用的认证方式是(5).
(5) A.基于数据库认证 B.基于摘要算法认证
C.基于PKI认证 D.基于账户名和口令认证
【答案】D
【解析】
本题考查考生对于身份认证方式的掌握情况。
身份认证是指在计算机及计算机网络系统中确认操作者身份的过程，通过身份认证可以确定用户是否具有对某种资源的访问和使用权限，防止攻击者假冒合法用户获取资源的访问权限，保证系统和数据的安全，以及授权访问者的合法权利益。
在面向身份信息认证应用中最常用的方式是基于账户名和口令认证，比如日常常用的操作系统登录，邮件系统登录等都需要输入对应的用户名和密码才能进入系统。
第6题
如果发送方使用的加密密钥和接收方使用的解密密钥不相同，从其中一个密钥难以推出另一个密钥，这样的系统称为(6).
(6)A.公钥加密系统 B.单密钥加密系统 C.对称加密系统 D.常规加密系统
【答案】A
【解析】
本题考查考生对于公钥密码特点的掌握情况。
密码算法根据密钥的属性可以分为对称密码和非对称密码（公钥密码），对称密码指加密和解密使用相同密钥的加密算法，非对称算法则需要两个密钥：公钥和私钥。
第7题
SiKey口令是一种一次性口令生成方案，它可以对抗(7).
(7)A.恶意代码木马攻击 B.拒绝服务攻击 C.协议分析攻击 D.重放攻击
【答案】D
【解析】
本题考查考生S/Key口令性能的掌握情况。
S/Key口令协议是一种一次性口令生成方案，客户向身份认证服务器提出连接请求，服务器应答并返回参数，客户端输入口令，系统通过Hash计算产生一次性口令，传给服务器，服务器收到客户传过来的一次性口令，通过协议进行验证。
一次一密指在流密码当中使用与消息长度等长的随机密钥,密钥本身只使用一次。重放攻击又称重播攻击或回放攻击，是指攻击者发送一个目的主机已接收过的包，特别是在认证的过程中，用于认证用户身份所接收的包，来达到欺骗系统的目的。一次一密这样的密钥形式可以对抗重放攻击。
第8题
防火墙作为一种被广泛使用的网络安全防御技术，其自身有一些限制,它不能阻止( 8).
(8) A.内部威胁和病毒威胁 B.外部攻击
C.外部攻击、外部威胁和病毒威胁 D.外部攻击和外部威胁
【答案】A
【解析】
本题考查考生对于防火墙功能的理解。
防火墙是一种位于内部网络与外部网络之间、专用网络与公共网之间的网络安全系统，内外网络通信时，依照特定的规则，允许或是限制传输的数据通过。它的主要功能是保护内网安全，可以有效阻止外部攻击、外部威胁和病毒威胁等安全威胁，不能防范内部威胁及病毒威胁。
第9题
以下行为中，不属于威胁计算机网络安全的因素是(9).
A.操作员安全配置不当而造成的安全漏洞
B.在不影响网络正常工作情况下，进行截获、窃取、破译以获得重要机密信息
C.安装非正版软件
D.安装蜜罐系统
【答案】D
【解析】
本题考查考生对网络安全常识的了解。
蜜罐好比是情报收集系统。好比是故意让人攻击的目标，引诱黑客前来攻击。所以攻击者入侵后，你就可以知道他是如何得逞的，随时了解针对服务器发动的最新的攻击和漏洞。它是一种防御手段。
第10题
电子商务系统除了面临一般的信息系统所涉及的安全威胁之外，更容易成为不法分子的攻击目标，其安全性需求普遍高于一般的信息系统。电子商务系统中的电子交易安全需求不包括 (10).
(10)A.交易的真实性 B.交易的机密性和完整性
C.交易的可撤销性 D.交易的不可抵赖性
【答案】C
【解析】
本题考查考生电子商务安全需求的理解。
电子商务交易安全需求包括交易的机密性、交易的完整性、交易的真实性、交易的不可抵赖性。交易的可撤销性不属于电子商务交易安全需求。
第11题
以下关于认证技术的叙述中，错误的是(11).
(11)A.指纹识别技术的利用可以分为验证和识别
B.数字签名是十六进制的字符串
C.身份认证是用来对信息系统中实体的合法性进行验证的方法
D.消息认证能够确定接收方收到的消息是否被篡改过
【答案】B
【解析】
本题考查考生身份认证相关技术的理解。
数字签名与手写签名类似，只不过手写签名是模拟的，因人而异。数字签名是0和1的数字串，因消息而异。
第12题
有一种原则是对信息进行均衡、全面的防护，提高整个系统的“安全最低点”的安全性能，该原则称为(12).
(12)A.动态化原则 B.木桶原则 C.等级性原则 D.整体原则
【答案】B
【解析】
本题考查考生对信息安全木桶原则的掌握情况。
“木桶原则”，即，对信息均衡、全面地进行保护。“木桶的最大容积取决于最短的一块木板”，攻击者必然在系统中最薄弱的地方进行攻击。因此，充分、全面、完整地对系统的安全漏洞和安全威胁进行分析、评估和检测（包括模拟攻击），是设计信息安全系统的必要前提条件。安全机制和安全服务设计的首要目的是防止最常用的攻击手段；根本目标是提高整个系统的“安全最低点”的安全性能。
“整体性原则”，即，安全防护、监测和应急恢复。没有百分之百的网络系统信息安全，因此要求在网络被攻击、破坏事件的情况下，必须尽可能快地恢复网络的服务，减少损失。所以信息安全系统应该包括三种机制：安全防护机制；安全监测机制；安全恢复机制。安全防护机制是根据具体系统存在的各种安全漏洞和安全威胁采取相应的防护措施，避免非法攻击的进行；安全监测机制是监测系统的运行情况，及时发现和制止对系统进行的各种攻击；安全恢复机制是在安全防护机制失效的情况下，进行应急处理和尽量、及时地恢复信息，减少攻击的破坏程度。
“等级性”，即，安全层次和安全级别。良好的信息安全系统必然是分为不同级别的，包括：对信息保密程度分级（绝密、机密、秘密、普密）；对用户操作权限分级（面向个人及面向群组），对网络安全程度分级（安全子网和安全区域），对系统实现结构的分级（应用层、网络层、链路层等），从而针对不同级别的安全对象，提供全面的、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。
“动态化”原则，即，整个系统内尽可能引入更多的可变因素，并具有良好的扩展性。 被保护的信息的生存期越短、可变因素越多，系统的安全性能就越高。安全系统要针对网络升级保留一定的冗余度，整个系统内尽可能引入更多的可变因素。
第13题
在以下网络威胁中(13)不属于信息泄露。
(13)A.数据窃听 B.流量分析 C.偷窃用户帐号 D.暴力破解
【答案】D
【解析】
本题考查考生信息泄露这类安全威胁的理解。
暴力破解的基本思想是根据题目的部分条件确定答案的大致范围，并在此范围内对所有可能的情况逐一验证，直到全部情况验证完毕。它不属于信息泄露。
第14题
未授权的实体得到了数据的访问权，这属于对安全的( 14)的破坏.
(14)A.机密性 B.完整性 C.合法性 D.可用性
【答案】A
【解析】
本题考查考生对于信息安全基本属性的理解。
机密性是指网络信息不被泄露给非授权的用户、实体或过程，即信息只为授权用户使用。
第15题
按照密码系统对明文的处理方法，密码系统可以分为(15)。
(15)A.置换密码系统和易位密码系统 B.密码学系统和密码分析学系统
C.对称密码系统和非对称密码系统 D.分组密码系统和序列密码系统
【答案】D
【解析】
本题考查考生对密码系统加密方式的掌握。
密码系统在加密明文消息的过程中，可以将明文消息序列分组处理，也可以将明文看做消息序列进行加密处理，前者统称为分组密码系统，后者统称为序列密码系统。
第16题
数字签名最常见的实现方法是建立在（16）的组合基础之上.
(16)A.公钥密码体制和对称密码体制 B.对称密码体制和MD5摘要算法
C.公钥密码体制和单向安全散列函数算法 D.公证系统和MD4摘要算法
【答案】C
【解析】
本题考查考生对数字签名基本原则的掌握。
一个数字签名体制一般包含两个组成部分，即签名算法和验签算法。
数字签名可以利用公钥密码体制、对称密码体制或者公证系统来实现。最常见的实现方法是建立在公钥密码体制和单向安全散列函数算法的组合基础之上。
第17题
以下选项中，不属于生物识别方法的(17).
(17)A.指纹识别 B.声音识别 C.虹膜识别 D.个人标记号识别
【答案】D
【解析】
本题考查考生对生物特征识别概念的理解。
基于生物特征的身份识别技术主要是指通过可测量的身份或行为等生物特征进行身份识别的一种技术，生物特征是指唯一的可以测量或可自动识别和验证的生理特征或行为方式。根据生物特征的来源可以将其分为身体特征和行为特征两类，身体特征包括指纹、掌型、视网膜、虹膜、人体气味、脸型、手的血管和DNA等；行为特征包括签名、语音、行走步态等。
指纹识别、声音识别、虹膜识别都属于生物识别方法，个人标记号不属于生物识别方法。
第18题
计算机取证是将计算机调查和分析技术应用于对潜在的、有法律效力的证据的确定与提取。以下关于计算机取证的描述中，错误的是(18).
(18)A.计算机取证包括对以磁介质编码信息方式存储的计算机证据的保护、确认、提取和归档
B.计算机取证围绕电子证据进行，电子证据具有高科技性、无形性和易破坏性等特点
C.计算机取证包括保护目标计算机系统、确定收集和保存电子证据，必须在开机的状态下进行
D.计算机取证是上门在犯罪进行过程中或之后收集证据的技术
【答案】C
【解析】
本题考查考生对计算机取证技术的理解。
计算机取证包括保护目标计算机系统、确定电子证据、收集电子证据和保存电子证据。对现场计算机的部分通用处理原则有：已经开机的计算机不要关机，关机的计算机不要开机。
第19题
注入语句：http：//xxx.xxx.xxx/abc.asp?p=YY and user>0不仅可以判断服务器的后台数据库是否为SQL-SERVER，还可以得到（19）。
(19)A.当前连接数据库的用户数量 B.当前连接数据库的用户名
C.当前连接数据库的用户口令 D.当前连接的数据库名
【答案】B
【解析】
本题考查考生对数据库注入语句功能的掌握情况。
注入语句：http：//xxx.xxx.xxx/abc.asp?p=YY and user>0，服务器运行“Select * from表名 where 字段=YY and user > 0”显然，该语句不能正常执行会出错，从其错误信息中不仅可以获知该服务器的后台数据库是否为SQL-SERVER，还可以得到当前连接的数据库的用户名。
第20题
数字水印技术通过在数字化多媒体数据中嵌入隐蔽的水印标志，可以有效实现对数字多媒体数据的版权保护等功能。以下各项中，不属于数字水印在数字版权保护中必须满足的其本应用需求的是(20).
(20)A.安全性 B.隐蔽性 C.鲁棒性 D.可见性
【答案】D
【解析】
本题考查考生数字水印安全需求的掌握情况。
数字水印必须满足的基本应用需求是安全性、隐蔽性、鲁棒性。
第21题
有一种攻击是不断对网络服务系统进行干扰， 改变其正常的作业流程， 执行无关程序使系统响应减慢甚至瘫痪。这种攻击叫做(21)。
A.重放攻击 B.拒绝服务攻击 C.反射攻击 D.服务攻击
【答案】B
【解析】
本题考查考生对拒绝服务攻击的理解。
拒绝服务攻击是不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪。
第22题
在访问因特网时，为了防止Web页面中恶意代码对自己计算机的损害，可以采取的防范措施是(22).
A.将要访问的Web站点按其可信度分配到浏览器的不同安全区域
B.在浏览器中安装数字证书
C.利用IP安全协议访问Web站点
D.利用SSL访问Web站点
【答案】A
【解析】
本题考查考生对恶意代码的掌握情况。
本题考查点是因特网中防止Web页面的恶意代码对自己计算机的损害而采取的防范措施。
为了防止Web页面中恶意代码对自己计算机的损害，可以将要访问的Web站点按其可信度分配到浏览器的不同安全区域。划分不同安全区域是浏览器为保护用户计算机免受恶意代码的危害而采取的一种技术。通常浏览器将Web站点按其可信度分配到不同的区域，针对不同的区域指定不同的文件下载方式。
第23题
下列说法中，错误的是(23).
(23)A.服务攻击是针对某种特定的网络应用的攻击
B.主要的渗入威胁有特洛伊木马和陷阱
C.非服务攻击是针对网络层协议而进行的
D.对于在线业务系统的安全风险评估，应采用最小影响原则
【答案】B
【解析】
本题考查考生对一些信息安全常识的掌握情况。
主要的渗入威胁有假冒、旁路、授权侵犯，主要的植入威胁有特洛伊木马和陷阱。
第24题
依据国家信息安全等级保护相关标准，军用不对外公开的信息系统的安全等级至少应该属于(24).
(24)A.二级及二级以上 B.三级及三级以上 C.四级及四级以上 D.五级
【答案】C
【解析】
本题考查考生信息安全等级保护原则的理解。
信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。对国家安全造成损害的至少在三级及三级以上。
第25题
电子邮件是传播恶意代码的重要途径，为了防止电子邮件中的恶意代码，应该用(25)方式阅读电子邮局件。
(25)A.网页 B.纯文本 C.程序 D.会话
【答案】B
【解析】
本题考查考生对电子邮件基本原理的掌握情况。
文本文件通常不会受电子邮件中的恶意代码的感染或携带恶意代码。
第26题
已知DES算法S盒如下：
|
|
0 |
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
9 |
10 |
11 |
12 |
13 |
14 |
15 |
|
0 |
7 |
13 |
14 |
3 |
0 |
6 |
9 |
10 |
1 |
2 |
8 |
5 |
11 |
12 |
4 |
15 |
|
1 |
13 |
8 |
11 |
5 |
6 |
15 |
0 |
3 |
4 |
7 |
2 |
12 |
1 |
10 |
14 |
9 |
|
2 |
10 |
6 |
9 |
0 |
12 |
11 |
7 |
13 |
15 |
1 |
3 |
14 |
5 |
2 |
8 |
4 |
|
3 |
3 |
15 |
0 |
6 |
10 |
1 |
13 |
8 |
9 |
4 |
5 |
11 |
12 |
7 |
2 |
14 |
如果该S盒的输入110011，则其二进制输出为(26)。
(26)A.0110 B.1001 C.0100 D.0101
【答案】C
【解析】
本题考查考生对DES算法中S盒的运用。
已知S盒的输入为110011，取其输入第一位和第六位数字为S盒的行11（二进制），即第3行，中间四位为S盒的列1001（二进制），即第9列，在S盒中查到第3行和第9列交叉的数字为4，其二进制输出为0100。
第27题
在IPv4的数据报格式中，字段（27）最适合于携带隐藏信息.
(27)A.生存时间 B.源IP地址 C.版本 D.标识
【答案】D
【解析】
本题考查考生对IPv4数据报格式的掌握情况。
标识长度为16位，为了使分片后的各数据报片最后能准确地重装成为原来的数据报。最适合携带隐藏信息。
第28题
Kerberos是一种常用的身份认证协议，它采用的加密算法是（28）。
(28)A.Elgamal B.DES C.MD5 D.RSA
【答案】B
【解析】
本题考查考生Kerberos协议的理解。
Kerberos是一种常用的身份认证协议，它采用数据加密标准（DES）加密算法进行加密。
第29题
以下关于加密技术的叙述中，错误的是(29)。
(29)A.对称密码体制的加密密钥和解密密钥是相同的
B.密码分析的目的就是千方百计地寻找密钥或明文
C.对称密码体制中加密算法和解密算法是保密的
D.所有的密钥都有生存周期
【答案】C
【解析】
本题考查考生密码算法的理解。
对于一个好的密码体制，其安全强度应该不依赖密码体制本身的保密，而只依赖于密钥。
密码算法的安全性应该依赖于密钥参数的机密性，机密算法和解密算法是可以公开的。
第30题
移动用户有些属性信息需要受到保护，这些信息一旦泄露,会对公众用户的生命和财产安全造成威胁.以下各项中，不需要被保护的属性是(30)。
(30)A.用户身份(ID) B.用户位置信息 C.终端设备信息 D.公众运营商信息
【答案】D
【解析】
本题考查考生对用户隐私数据的理解。
公众运营商是公开信息，比如移动公司，不需要被保护。
第31题
以下关于数字证书的叙述中，错误的是(31) 。
(31)A.证书通常由CA安全认证中心发放 B.证书携带持有者的公开密钥
C.证书的有效性可以通过验证持有者的签名获知 D.证书通常携带CA的公开密钥
【答案】D
【解析】
本题考查考生对数字证书内容的掌握。
数字证书通常包含证书序列号、证书持有者名称、证书颁发者名称、证书有效期、持有者公钥以及证书颁发者（CA）的数字签名信息等。CA的公钥在CA的证书上。
第32题
密码分析学是研究密码破译的科学，在密码分析过程中，破译密文的关键是(32)。
(32)A.截获密文 B.截获密文并获得密钥
C.截获密文，了解加密算法和解密算法 D.截获密文，获得密钥并了解解密算法
【答案】D
【解析】
本题考查考生对密码分析学的理解。
破译密文的关键是截获密文，获得密钥并了解其解密算法。
第33题
利用公开密钥算法进行数据加密时，采用的方式是(33)。
(33)A.发送方用公开密钥加密，接收方用公开密钥解密
B.发送方用私有密钥加密，接收方用私有密钥解密
C.发送方用公开密钥加密，接收方用私有密钥解密
D.发送方用私有密钥加密，接收方用公开密钥解密
【答案】C
【解析】
本题考查公钥密码学的基础知识。
在进行加密时，发送方用对方的公钥加密，接收方用自己的私钥解密。
第34题
数字信封技术能够(34)。
(34)A.对发送者和接收者的身份进行认证 B.保证数据在传输过程中的安全性
C.防止交易中的抵赖发生 D.隐藏发送者的身份
【答案】B
【解析】
本题考查考生对数字信封的理解。
数字信封使用私有密钥加密算法并利用接收人的公钥对要传输的数据进行加密，以保证数据信息在传输过程中的安全性。
第35题
在DES加密算法中，密钥长度和被加密的分组长度分别是(35)。
(35)A.56位和64位 B.56位和56位 C.64位和64位 D.64位和56位
【答案】A
【解析】
本题考查DES分组加密算法的基本概念。
DES算法的密钥分组长度为64位，除去8位校验位，实际密钥长度为56位，被加密的分组长度为64位。
第36题
甲不但怀疑乙发给他的被造人篡改，而且怀疑乙的公钥也是被人冒充的，为了消除甲的疑虑，甲和乙决定找一个双方都信任的第三方来签发数字证书，这个第三方为（36）。
(36)A.国际电信联盟电信标准分部（ITU-T） B.国家安全局（NSA）
C.认证中心（CA） D.国家标准化组织（ISO）
【答案】C
【解析】
本题考查考生对实际安全问题的分析和解决能力。
通信双方进行保密通信时，通常会通过双方信任的第三方认证中心CA来签发数字证书。
第37题
WI-FI网络安全接入是一种保护无线网络安全的系统，WPA加密的认证方式不包括(37)。
(37)A.WPA和WPA2 B.WPA-PSK C.WEP D.WPA2-PSK
【答案】C
【解析】
本题考查无线安全的加密算法知识。
WPA有WPA和WPA2两个标准，是一种保护无线电脑网络（Wi-Fi）安全的系统，有四种认证方式：WPA、WPA-PSK、WPA2和WPA2-PSK。
第38题
特洛伊木马攻击的威胁类型属于(38)。
(38)A.授权侵犯威胁 B.渗入威胁 C.植入威胁 D.旁路控制威胁
【答案】C
【解析】
本题考查恶意代码的基本概念。
主要的渗入威胁有假冒、旁路、授权侵犯，主要的植入威胁有特洛伊木马和陷阱。
第39题
信息通过网络进行传输的过程中，存在着被篡改的风险，为了解决这一安全隐患，通常采用的安全防护技术是(39)。
(39)A.加密技术 B.匿名技术 C.消息认证技术 D.数据备份技术
【答案】C
【解析】
本题考查考生对信息安全风险的防护技术和应用能力。
消息认证就是验证消息的完整性，当接收方收到发送方的报文时，接收方能够验证收到的报文是真实的和未被篡改的。
第40题
甲收到一份来自乙的电子订单后，将订单中的货物送达到乙时，乙否认自己曾经发送过这份订单，为了解除这种纷争，采用的安全技术是（40）。
(40)A.数字签名技术 B.数字证书 C.消息认证码 D.身份认证技术
【答案】A
【解析】
本题考查考生对安全技术的应用能力。
数字签名技术能使签名者事后不能抵赖自己的签名，任何其他人不能伪造签名以及能在公正的仲裁者面前通过验证签名来确认其真伪。
第41题
目前使用的防杀病毒软件的作用是(41)。
(41)A.检查计算机是否感染病毒；清除已感染的任何病毒
B.杜绝病毒对计算机的侵害
C.查出已感染的任何病毒，清除部分已感染病毒
D.检查计算机是否感染病毒，清除部分已感染病毒
【答案】D
【解析】
本题考查杀毒软件的基本知识。
防杀毒软件的作用是检查计算机是否感染已知病毒并清除它们，而对于那未知的或者是更高级的病毒无能为力。
第42题
IP地址分为全球地址和专用地址,以下属于专用地址的是(42)。
(42)A.172.168.1.2 B.10.1.2.3 C.168.1.2.3 D.192.172.1.2
【答案】B
【解析】
本题考查考生对IPv4地址的理解情况。
专用IP地址范围：A类：10.0.0.0~10.255.255.255，B类：172.16.0.0~172.31.255.255，C类：192.168.0.0~192.168.255.255。
第43题
下列报告中，不属于信息安全风险评估识别阶段输出报告的是(43)。
(43)A.资产价值分析报告 B.风险评估报告
C.威胁分析报告 D.已有安全措施分析报告
【答案】B
【解析】
本题考查信息安全风险评估基本知识。
风险评估报告属于信息安全风险分析阶段的输出报告。
第44题
计算机犯罪是指利用信息科学技术且以计算机为犯罪对象的犯罪行为，与其他类型犯罪相比，具有明显的特征，下列说法中错误的是(44)。
(44)A.计算机犯罪具有隐蔽性
B.计算机犯罪具有高智能性，罪犯可能掌握一些高科技手段
C.计算机犯罪具有很强的破坏性
D.计算机犯罪没有犯罪现场
【答案】D
【解析】
本题考查计算机犯罪的基本概念。
计算机犯罪现场是指计算机犯罪嫌疑人实施犯罪行为的地点和遗留有与计算机犯罪有关的痕迹、物品（包括电子数据、电子设备等）或其他物证的场所。
第45题
以下对OSI（开放系统互联）模型中数据链路层的功能叙述中，描述最贴切是（45）。
(45)A.保证数据正确的顺序、无差错和完整 B.控制报文通过网络的路由选择
C.提供用户与网络的接口 D.处理信号通过介质的传输
【答案】A
【解析】
本题考查网络参考模型的基本知识。
数据链路层最基本的服务是将源计算机网络层来的数据可靠的传输到相邻节点的目标计算机的网络层。为达到这一目的，数据链路层必须具备一系列相应的功能，主要有：1、如何将数据组合成数据块（在数据链路层中将这种数据块称为帧，帧是数据链路层的传送单位）；2、如何控制帧在物理信道上的传输，包括如何处理传输差错，如何调节发送速率以使之与接收方相匹配；3、在两个网路实体之间提供数据链路通路的建立、维持和释放管理。
第46题
深度流检测技术就是以流为基本研究对象，判断网络流是否异常的一种网络安全技术，其主要组成部分通常不包括（46）。
(46)A.流特征选择 B.流特征提取 C.分类器 D.响应
【答案】D
【解析】
本题考查网络深度检测技术。
深度流检测技术主要分为三部分：流特征选择、流特征提取、分类器。
第47题
个全局的安全框架必须包含的安全结构因素是(47)。
(47)A.审计、完整性、机密性、可用性
B.审计、完整性、身份认证、机密性，可用性、真实性
C.审计、完整性、身份认证、可用性
D.审计、完整性、身份认证、机密性
【答案】B
【解析】
本题考查安全框架的组成。
一个全局的安全框架必须包含的安全结构因素有审计、完整性、身份认证、机密性，可用性、真实性。
第48题
以下不属于网络安全控制技术的是(48)。
(48)A.防火墙技术 B.访问控制技术 C.入侵检测技术 D.差错控制技术
【答案】D
【解析】
本题考查网络安全控制技术。
网络安全控制技术包括防火墙技术、入侵检测技术、访问控制技术等；差错控制技术是在数字通信过程中利用编码的方法对错误进行控制，以提高数字传输的准确性，不属于网络安全控制技术。
第49题
病毒的引导过程不包含(49)。
(49)A.保证计算机或网络系统的原有功能 B.窃取系统部分内存
C.使自身有关代码取代或扩充原有系统功能 D.删除引导扇区
【答案】D
【解析】
本地考查病毒的引导过程。
病毒的引导过程包括：
（1）驻留内存。病毒若要发挥其破坏作用，一般要驻留内存。为此就必须开辟所用内存空间或覆盖系统占用的部分内存空间，有的病毒不驻留内存。
（2）窃取系统控制权。在病毒程序驻留内存后，必须使有关部分取代或扩充系统的原有功能，并窃取系统的控制权。此后病毒程序依据其设计思想，隐蔽自己，等待时机，在条件成熟时，再进行传染和破坏。
（3）恢复系统。功能病毒为隐蔽自己，驻留内存后还要恢复系统，使系统不会死机，只有这样才能等待时机成熟后，进行感染和破坏的目的。
第50题
网络系统中针对海量数据的加密，通常不采用(50)方式。
(50)A.链路加密 B.会话加密 C.公钥加密 D.端对端加密
【答案】C
【解析】
本题考查考生对加密的特点掌握情况。
公钥加密加密算法复杂且加解密效率低，一般只适用于少量数据的加密。
第51题
安全备份的策略不包括(51)。
(51)A.所有网络基础设施设备的配置和软件 B.所有提供网络服务的服务器配置
C.网络服务 D.定期验证备份文件的正确性和完整性
【答案】C
【解析】
本题考查安全备份策略。
网络服务是指一些在网络上运行的、面向服务的、基于分布式程序的软件模块，通常采用HTTP和XML等互联网通用标准，使人们可以在不同的地方通过不同的终端设备访问WEB上的数据，如网上订票，查看订座情况。
第52题
以下关于安全套接层协议（SSL）的叙述中，错误的是（52）。
(52)A.是一种应用层安全协议 B.为TCP/IP口连接提供数据加密
C.为TCP/IP连接提供服务器认证 D.提供数据安全机制
【答案】A
【解析】
本题考查网路安全协议基本概念。
SSL位于应用层和传输层之间，它可以为任何基于TCP等可靠连接的应用层协议提供安全性保证。
第53题
入侵检测系统放置在防火墙内部所带来的好处是(53)。
(53)A.减少对防火墙的攻击 B.降低入侵检测系统的误报率
C.增加对低层次攻击的检测 D.增加检测能力和检测范围
【答案】B
【解析】
本题考查入侵检测技术和防火墙技术的基本知识。
IDS实时检测可以及时发现一些防火墙没有发现的入侵行为，发行入侵行为的规律，这样防火墙就可以将这些规律加入规则之中，提高防火墙的防护力度，降低入侵检测系统的误报率。
第54题
智能卡是指粘贴或嵌有集成电路芯片的一种便携式卡片塑胶，智能卡的片内操作系统（COS）是智能卡芯片内的一个监控软件，以下不属于COS组成部分的是（54）。
(54)A.通讯管理模块 B.数据管理模块 C.安全管理模块 D.文件管理模块
【答案】B
【解析】
本题考查COS组成。
能卡的片内操作系统（COS）包括通讯管理模块、安全管理模块、文件管理模块及应用管理模块等四个模块。
第55题
以下关于IPSec协议的叙述中，正确的是（55）。
(55)A.IPSec协议是解决IP协议安全问题的一种方案
B.IPSec协议不能提供完整性
C.IPSec协议不能提供机密性保护
D.IPSec协议不能提供认证功能
【答案】A
【解析】
本题考查考生对VPN协议的掌握情况。
IPSec协议是一种开放标准的框架结构，通过使用加密的安全服务以确保在 Internet 协议网络上进行保密而安全的通讯，是解决IP协议安全问题的一种方案，它能提供完整性、机密性、反重播性、不可否认性、认证等功能。
第56题
不属于物理安全威胁的是(56)。
(56)A.自然灾害 B.物理攻击 C.硬件故障 D.系统安全管理人员培训不够
【答案】B
【解析】
本题考查考生对安全威胁的基本概念掌握情况。
物理安全是指在物理媒介层次上对存储和传输的信息加以保护，它是保护计算机网络设备、设施免遭地震、水灾、火灾等环境事故以及人为操作错误或各种计算机犯罪行为而导致破坏的过程。
第57题
以下关于网络钓鱼的说法中，不正确的是(57) 。
(57)A.网络钓鱼融合了伪装、欺骗等多种攻击方式
B.网络钓鱼与Web服务没有关系
C.典型的网络钓鱼攻击将被攻击者引诱到一个通过精心设计的钓鱼网站上
D.网络钓鱼是“社会工程攻击”的一种形式
【答案】B
【解析】
本题考查考生对网络攻击手段的掌握情况。
网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式，最典型的的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个过程不会让受害者警觉，它是“社会工程攻击”的一种形式。
第58题
以下关于隧道技术说法不正确的是(58)。
(58)A.隧道技术可以用来解决TCP/IP协议的某些安全威胁问题
B.隧道技术的本质是用一种协议来传输另一种协议
C.IPSec协议中不会使用隧道技术
D.虚拟专用网中可以采用隧道技术
【答案】C
【解析】
本题考查基本的VPN概念。
隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式，使用隧道传递的数据（或负载）可以是不同协议的数据帧或包，隧道协议将其它协议的数据帧或包重新封装然后通过隧道发送。协议包括：PPTP协议、L2TP协议、IPSec协议、VPN协议等。
第59题
安全电子交易协议SET是由VISA和MasterCard两大信用卡组织联合开发的电子商务安全协议。以下关于SET的叙述中，正确的是(59)。
(59)A.SET是一种基于流密码的协议
B.SET不需要可信的第三方认证中心的参与
C.SET要实现的主要目标包括保障付款安全、确定应用的互通性和达到全球市场的可接受性
D.SET通过向电子商务各参与方发放验证码来确认各方的身份，保证网上支付的安全性
【答案】C
【解析】
本题考查SET知识。
SET协议是应用层的协议，是一种基于消息流的协议，一个基于可信的第三方认证中心的方案。SET改变了支付系统中各个参与者之间交互的方式，电子支付始于持卡人。SET支付协议主要由持卡人、商家、发卡行、收单行、支付网关、认证中心等六个部分组成。
第60题
在KPI中，不属于CA的任务是（60）。
(60)A.证书的颁发 B.证书的审批 C.证书的备份 D.证书的加密
【答案】D
【解析】
本题考查考生对CA的理解。
CA是PKI的信任基础，CA负责签发证书、管理和撤销证书，包括证书的审批及备份等。
第61题
以下关于VPN的叙述中，正确的是( 61)。
(61)A.VPN指的是用户通过公用网络建立的临时的、安全的连接
B.VPN指的是用户自己租用线路，和公共网络物理上完全隔离的、安全的线路
C.VPN不能做到信息认证和身份认证
D.VPN只能提供身份认证，不能提供数据加密的功能
【答案】A
【解析】
本题考查VPN基本概念。
VPN即虚拟专用网，是企业网在因特网等公共网络上的延伸，通过一个私有的通道在公共网络上创建一个临时的、安全的私有连接。
第62题
扫描技术(62)。
(62)A.只能作为攻击工具 B.只能作为防御工具
C.只能作为检查系统漏洞的工具 D.既可以作为攻击工具，也可以作为防御工具
【答案】D
【解析】
本题考查网络扫描技术的基本概念。
通常的扫描技术采用两种策略：被动式和主动式。被动式策略是基于主机的，主动式策略是基于网络的，它通过网络对远程的目标主机建立连接，并发送请求，分析其返回信息，从而分析远程主机漏洞。既可以作为攻击工具，也可以作为防御工具。
第63题
包过滤技术防火墙在过滤数据包时，一般不关心(63)。
(63)A.数据包的源地址 B.数据包的协议类型 C.数据包的目的地址 D.数据包的内容
【答案】D
【解析】
本题考查包过滤防火墙基本概念。
数据包过滤是通过对数据包的IP头和TCP头或UDP头的检查来实现的，不检查数据包的内容。
包过滤技术防火墙工作在网络层，此时只能对IP头部的各个字段进行操作，因此无法看到数据报的内容。
第64题
以下关于网络流量监控的叙述中，不正确的是(64)。
(64)A.流量监测中所监测的流量通常采集自主机节点、服务器、路由器接口、链路和路径等
B.数据采集探针是专门用于获取网络链路流量数据的硬件设备
C.流量监控能够有效实现对敏感数据的过滤
D.网络流量监控分析的基础是协议行为解析技术
【答案】C
【解析】
本题考查考生对网络流量监控的基本概念掌握情况。
流量监控指的是对数据流进行的监控，通常包括出数据、入数据的速度、总流量。不能过滤敏感数据。
第65题
两个密钥三重DES加密：C=CK1[DK2[EK1[P]]],K1≠K2，其中有效的密钥为（65）。
(65)A.56 B.128 C.168 D.112
【答案】D
【解析】
本题考查分组加密算法的强度。
两个密钥三重DES的有效密钥长度为112位。涉及两个密钥K1，K2，实现三次加密，分别用k1加密，k2解密，k1再加密。有效密钥为2*56=112位。
第66题
设在RSA的公钥密码体制中，公钥为(e，n)=(13，35)，则私钥d= (66)。
(66)A.11 B.13 C.15 D.17
【答案】B
【解析】
本题考查RSA公钥密码的知识。
已知n=35，则可推断ρ（n）=（5-1）*（7-1）=24，则d*e≡1 mod 24，算出d=13。
#!/usr/bin/env python3
# -*- coding: utf-8 -*-
import concurrent.futures
def gcd_extended(a, b):
if a == 0:
return b, 0, 1
gcd, x1, y1 = gcd_extended(b % a, a)
x = y1 - (b // a) * x1
y = x1
return gcd, x, y
def mod_inverse(m, n, start, end):
for d in range(start, end):
if (m * d) % n == 1:
return d
return None
def main():
m = int(input("请输入m："))
n = int(input("请输入n："))
num_threads = int(input("请输入线程数："))
step = n // num_threads
with concurrent.futures.ThreadPoolExecutor(max_workers=num_threads) as executor:
futures = []
for i in range(num_threads):
start = i * step
end = start + step if i != num_threads - 1 else n
futures.append(executor.submit(mod_inverse, m, n, start, end))
d = None
for future in concurrent.futures.as_completed(futures):
result = future.result()
if result is not None:
d = result
break
if d is not None:
print("私钥d为：", d)
else:
print("无法找到满足条件的私钥d。")
if __name__ == "__main__":
main()
第67题
杂凑函数SHA1的输入分组长度为（67）比特。
(67)A.128 B.258 C.512 D.1024
【答案】C
【解析】
本题考查SHA1算法基本概念。
SHA-1算法对输入按512位进行分组，并以分组为单位进行处理。
第68题
AES结构由以下4个不同的模块组成，其中(68) 是非线性模块。
(68)A.字节代换 B.行移位 C.列混淆 D.轮密钥加
【答案】A
【解析】
本题考查AES分组密码的基本概念。
AES算法中的S盒变换是按字节进行的代替变换，又称之为字节代换。S盒是AES算法定义的矩阵，把State中每个字节的高4位作为行值，低4位作为列值，然后取出S盒中对应行列的元素作为输出。
第69题
67 mod 119的逆元是(69)。
(69)A.52 B.67 C.16 D.19
【答案】C
【解析】
本题考查信息安全数学基础知识。
求解67*X≡1 mod 119，得出X=16。
第70题
在DES算法中，需要进行16轮加密，每一轮的子密钥长度为(70)位。
(70)A.16 B.32 C.48 D.64
【答案】C
【解析】
本题考查DES分组密码算法的轮密钥知识。
DES算法中，64位密钥经过置换选择1、循环左移、置换选择2等变换，产生16个48位长的子密钥。64位主密钥在去掉奇偶校验后剩余56位，分为左右各28位，然后分别进行移位操作，最后56位密钥送入PC-2压缩置换后得到48位轮子密钥。
第71题
(71) is the science of hiding information. Whereas .the goal of cryptography is tomake dataulueadable by a third party, the goal of steganography is to hide the data from athirdparty.In this rticle, I will discuss what steganography is; what purposes it seryes, and will provide an example using available software.
There is a large number of steganographic (72) that most of us are familiar with (especially if you watch a lot of spy movies !),ranging from invisible ink and microdots to secreting a hidden message in the second letter of each word of a lage body of text and spreads spectrum radio communication. With computers and networks,there are many other ways of hiding information ,such as:
> Covert channels (e.g.,Loki and some distributed denial-of-service tools use the Internet Control (73) Protocol, or ICMP,as the communications channel between the "bad guy" and a compromised system)
> Hidden text within web pages
> Hiding files in "plain sight" (e.g.,what better place to "hide a file than with an important sounding name in the c:winntsystem32 directory?）
> Null ciphers (e.g., using the first letter of each word to from a hidden message in and otherwise innocuous text)
Steganography today ,however,is significantly more (74)than the examples above suggest, allowing a user to hide large amounts of infromation within image and audio files.these forms of steganography often are used in conjunction with cryprography so that the information is doubly protected ;first it is encrypted and then hidden so that an adversary has to first find the information (an often difficult task in and of itself ) and then decrypt it.
The simplest approach to hiding data within an image flile is callde(75) significant bit insertion in this method we can take the binary representation of the hidden data and overwirit the bit of each byte within the cover image . if we are using 24-bit color the amount of change well be mininmal and indiscerible to the human eye.
（71）A.Cryptography B.Geography C.Stenography D.Stganography
（72）A.methods B.Softeare C.Tools D.Services
（73）A.Member B.management C.message D.Mail
（74）A.powerful B.Sophisticated C.Advancde D.easy
（75）A.lesast B.Most C.Muchu D.less
【答案】D A C B A
【解析】
隐写术是信息隐藏的科学。密码学的目的是让数据对于第三方不可识别，而信息隐藏学的目的则是将数据对于第三方隐藏起来。本文，我将论述信息隐藏学是什么、它的目的是什么，并且会提供使用可行软件的案例。
有很多的隐藏方法，其中大多数方法我们都很熟悉，尤其是对于喜欢看谍战片的人。从隐型墨水和微小的点点，到将信息暗含在一大段文字的每个单词的第二个字母中，还有无线通信中的扩频技术等等。使用计算机和网络，有许多其他的隐藏信息的方法，比如：
隐信道（例如Loki和某些分布式拒绝服务攻击工具使用互联网报文协议或者ICMP作为通信信道）
隐藏信息在网页中
隐藏文件在“眼皮儿底下”（比如，隐藏信息在什么地方比给它取一个重要的熟悉名字放置在目录c:winntsystem32中更好？）
空域算法（比如，使用一段毫不相干的文字中每个单词的首写字母来表示一个隐藏的信息）
今天的隐写术比上面提到的要更加复杂，允许用户隐藏大量的信息于图像和音频文件中。这类隐写通常与密码学一起使用以达到双重保护目的。首先它是被加密的，然后是隐藏的，对手必须首先找到消息（通常是一项艰巨任务）然后才能解密。
最简单的在图片中隐藏数据的方法是利用最低有效位。在这种方法中，我们可以把隐藏的二进制表示数据和覆盖的每个字节的图片，如果我们使用的是24位颜色，数量的变化是最小的并且肉眼是看不见的。
试题一(共20分)
阅读下列说明和图，回答问题1至问题4，将解答填入答题纸的对应栏内。
【说明】
研究密码编码的科学称为密码编码学，研究密码破译的科学称为密码分析学，密码编码学和密码分析学共同组成密码学。密码学作为信息安全的关键技术，在信息安全领域有着广泛的应用。
【问题1】（9分）
密码学的安全目标至少包括哪三个方面？具体内涵是什么？
【答案】
密码学的安全目标包括：机密性、完整性、可用性。
（1）机密性：机密性是确保信息仅被合法用户访问，而不被地露给非授权的用户、实体或过程，或供其利用的特性。即防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。
（2）完整性：完整性是指所有资源只能由授权方或以授权的方式进行修改，即信息未经授权不能进行改变的特性。信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。
（3）可用性：可用性是指所有资源在适当的时候可以由授权方访问，即信息可被授权实体访问并按需求使用的特性。信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。
【解析】
密码学作为信息安全的关键技术，其安全目标主要包括三个非常重要的方面：机密性、完整性和可用性。机密性：机密性是确保信息仅被合法用户访问，而不被地露给非授权的用户、实体或过程，或供其利用的特性。即防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。完整性：完整性是指所有资源只能由授权方或以授权的方式进行修改，即信息未经授权不能进行改变的特性。信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。可用性：可用性是指所有资源在适当的时候可以由授权方访问，即信息可被授权实体访问并按需求使用的特性。信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。
【问题2】（3分）
对下列违规安全事件，指出各个事件分别违反了安全目标中的哪些项？
(1)小明抄袭了小丽的家庭作业。
(2)小明私自修改了自己的成绩。
(3)小李窃取了小刘的学位证号码、登陆口令信息，并通过学位信息系统更改了小刘的学位信息记录和登陆口令，将系统中小刘的学位信息用一份伪造的信息替代，造成小刘无法访问学位信息系统。
【答案】
（1）机密性
（2）完整性
（3）可用性、完整性、机密性
【解析】
根据机密性、完整性及可用性分析，抄袭作业是属于违反机密性，修改成绩是属于违反完整性，更改信息记录和登录口令导致无法访问属于违反可用性。
【问题3】（3分）
现代密码体制的安全性通常取决于密钥的安全，为了保证密钥的安全，密钥管理包括哪些技术问题？
【答案】
密钥管理包括密钥的产生、存储、分配、组织、使用、停用、更换、销毁等一系列技术问题。
【解析】
密码体制的安全应当只取决于密钥的安全，而不取决于对密码算法的保密。密钥管理包括密钥的产生、存储、分配、组织、使用、停用、更换、销毁等一系列技术问题。每个密钥都有其生命周期，要对密钥的整个生命周期的各个阶段进行全面管理。
【问题4】（5分）
在图1-1给出的加密过程中，Mi ,i=1,2，…，n表示明文分组，Ci,i=1,2，…，n表示密文分组，Z表示初始序列，K表示密钥，E表示分组加密过程。该分组加密过程属于哪种工作模式？这种分组密码的工作模式有什么缺点？
【答案】
明密文链接（PCBC）模式。
缺点：当Mi或Ci中发生一位错误时，自此以后的密文全都发生错误，即具有错误传播无界的特性，不利于磁盘文件加密。并且要求数据的长度是密码分组长度的整数倍，否则最后一个数据块将是短块，这时需要特殊处理。
【解析】
明密文链接模式：设明文M=（M1 ，M2 ，…，Mn ）,相应的密文C=( C1 ，C2 ，…，Cn ),而
其中Z为初始化向量。
根据上式可知，即使Mi=Mj ，但因一般都有Mi-1⊕Ci-1≠Mj-1⊕Cj-1 ，从而使Ci≠Cj ，从而掩盖了名文中的数据模式。同样根据上式可知加密时，当Mi或Ci中发生一位错误时，自此以后的密文全都发生错误。这种现象称为错误传播无界。
解密时有
同样，解密时也是错误传播无界。
其缺点：当Mi或Ci中发生一位错误时，自此以后的密文全都发生错误，即具有错误传播无界的特性，不利于磁盘文件加密。并且要求数据的长度是密码分组长度的整数倍，否则最后一个数据块将是短块，这时需要特殊处理。
试题二(共10分)
阅读下列说明和图，周答问题1至问题2，将解答填入答题纸的对应栏内。
【说明】
访问控制是对信息系统资源进行保护的重要措施l适当的访问控制能够阻止未经授权的用户有意或者无意地获取资源。访问控制一般是在操作系统的控制下，按照事先确定的规则决定是否允许用户对资源的访问。图2-1给出了某系统对客体traceroute.mpg实施的访问控制规则。
【问题1】（3分）
针对信息系统的访问控制包含哪些基本要素？
【答案】
主体、客体、授权访问
【解析】
访问控制的三个要素，即主体、客体和授权访问。
主体：一个主动的实体，该实体造成了信息的流动和系统状态的改变，它包括商户、用户组、终端、主机或一个应用，主体可议访问客体。
客体：指一个包含或接受信息的被动实体，对客体的访问要受控。它可以是一个字节、字段、记录、程序、文件，或者是一个处理器、存储器、网络节点等。
授权访问：指主体访问客体的允许，授权访问对每一对主体和客体来说是给定的，决定了谁能够访问系统，能访问系统的何种资源以及如何使用这些资源。例如，授权访问有读写、执行，读写客体是直接进行的，而执行是搜索文件、执行文件。对用户的授权访问是由系统的安全策略决定的。
【问题2】（7分）
分别写出图2-1中用户Administrator对应三种访问控制实现方法，即能力表、访问控制表和访问控制矩砗下的访问控制规则。
【答案】
能力表：
（主体）Administrator <（客体）traceroute.mpg：读取，运行>
访问控制表：
（客体）traceroute.mpg<（主体）Administrator ：读取，运行>
访问控制矩阵：
【解析】
能力表：以用户为中心建立权能表，表中规定了该用户可访问的文件名及访问能力。利用权能表可以很方便查询一个主体的所有授权访问。
即：（主体）Administrator <（客体）traceroute.mpg：读取，运行>
访问控制表：访问控制表是以文件为中心建立访问权限表。表中登记了该文件的访问用户名及访问权隶属关系。利用访问控制表，能够很容易地判断出对于特定客体的授权访问，哪些主体可以访问并有哪些访问权限。
即：（客体）traceroute.mpg<（主体）Administrator ：读取，运行>
访问控制矩阵：利用二维矩阵规定了任意主体和任意客体间的访问权限。矩阵中的行代表主体的访问权限属性，矩阵中的列代表客体的访问权限属性，矩阵中的每一格表示所在行的主体对所在列的客体的访问授权。
即：
试题三(共19分)
阅读下列说明和图，回答问题1至问题3，将解答填入答题纸的对应栏内。
【说明】
防火墙是一种广泛应用的网络安全防御技术，它阻挡对网络的非法访问和不安全的数据传递，保护本地系统和网络免于受到安全威胁。图3-1给出了一种防火墙的体系结构。
【问题1】（6分）
防火墙的体系结构主要有：
(1)双重宿主主机体系结构；
(2)（被）屏蔽主机体系结构；
(3)（被）屏蔽子网体系结构；
请简要说明这三种体系结构的特点
【答案】
双重宿主主机体系结构：双重宿主主机体系结构是指以一台双重宿主主机作为防火墙系统的主体，执行分离外部网络与内部网络的任务。
被屏蔽主机体系结构：被屏蔽主机体系结构是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙，主要通过数据包过滤实现内外网络的隔离和对内网的保护。
被屏蔽子网体系结构：被屏蔽子网体系结构将防火墙的概念扩充至一个由两台路由器包围起来的周边网络，并且将容易受到攻击的堡垒主机都置于这个周边网络中。其主要由四个部件构成，分别为:周边网络、外部路由器、内部路由器以及堡垒主机。
【解析】
防火墙的经典体系结构主要有三种形式：双重宿主主机体系结构、被屏蔽主机体系结构和被屏蔽子网体系结构。
双重宿主主机体系结构：双重宿主主机体系结构是指以一台双重宿主主机作为防火墙系统的主体，执行分离外部网络与内部网络的任务。
被屏蔽主机体系结构：被屏蔽主机体系结构是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙，主要通过数据包过滤实现内外网络的隔离和对内网的保护。
被屏蔽子网体系结构：被屏蔽子网体系结构将防火墙的概念扩充至一个由两台路由器包围起来的周边网络，并且将容易受到攻击的堡垒主机都置于这个周边网络中。其主要由四个部件构成，分别为:周边网络、外部路由器、内部路由器以及堡垒主机。
【问题2】（5分）
（1）图3-1描述的是哪一种防火墙的体系结构？
（2）其中内部包过滤器和外部包过滤器的作用分别是什么？
【答案】
（1） 屏蔽子网体系结构。
（2） 内部路由器：内部路由器用于隔离周边网络和内部网络，是屏蔽子网体系结构的第二道屏障。在其上设置了针对内部用户的访问过滤规划，对内部用户访问周边网络和外部网络进行限制。
外部路由器：外部路由器的主要作用在于保护周边网络和内部网络，是屏蔽子网体系结构的第一道屏障。在其上设置了对周边网络和内部网络进行访问的过滤规则，该规则主要针对外网用户。
【解析】
（1）图中网络拓扑结构中包含有周边网络、外部路由器、内部路由器以及堡垒主机这四个部件，属于被屏蔽子网体系结构或屏蔽子网体系结构。
（2）内部路由器：内部路由器用于隔离周边网络和内部网络，是屏蔽子网体系结构的第二道屏障。在其上设置了针对内部用户的访问过滤规划，对内部用户访问周边网络和外部网络进行限制。
外部路由器：外部路由器的主要作用在于保护周边网络和内部网络，是屏蔽子网体系结构的第一道屏障。在其上设置了对周边网络和内部网络进行访问的过滤规则，该规则主要针对外网用户。
【问题3】（8分）
设图3-1中外部包过滤器的外部IP地址为10.20.100.1，内部IP地址为10.20.100.2，内部包过滤器的外部IP地址为10.20.100.3，内部IP地址为192.168.0.1，DMZ中Web服务器IP为10.20.100.6，SMTP服务器IP为10.20.100.8.
关于包过滤器，要求实现以下功能，不允许内部网络用户访问外网和DMZ，外部网络用户只允许访问DMZ中的Web服务器和SMTP服务器。内部包过滤器规则如表3-1所示。请完成外部包过滤器规则表3-2，将对应空缺表项的答案填入答题纸对应栏内。
表3-1内部包过滤器规则表
|
规则号 |
协议 |
源地址 |
目的地址 |
源端口 |
目的端口 |
动作 |
方向 |
|
1 |
* |
* |
* |
* |
* |
拒绝 |
* |
表3-2外部包过滤器规则表
|
规则号 |
协议 |
源地址 |
目的地址 |
源端口 |
目的端口 |
动作 |
方向 |
|
1 |
TCP |
* |
10.20.100.6 |
> 1024 |
80 |
允许 |
入 |
|
2 |
TCP |
10.20.100.6 |
* |
80 |
> 1024 |
允许 |
出 |
|
3 |
TCP |
（1） |
（2） |
> 1024 |
25 |
允许 |
入 |
|
4 |
TCP |
（3） |
（4） |
25 |
> 1024 |
允许 |
出 |
|
5 |
（5） |
（6） |
* |
> 1024 |
53 |
允许 |
入 |
|
6 |
（7） |
* |
（8） |
53 |
> 1024 |
允许 |
出 |
|
7 |
* |
* |
* |
* |
* |
拒绝 |
* |
【答案】
（1）* （2）10.20.100.8 （3）10.20.100.8 （4）* （5）UDP （6）10.20.100.* （7）UDP （8）10.20.100.*
【解析】
规则号3和4配置SMTP服务器安全策略，入方向：源地址为*，目的地址为SMTP服务器地址：10.20.100.8 ，出方向源地址为10.20.100.8，目的地址为*。
由端口号53得知，规则号5和6配置DNS安全策略，入方向：协议为UDP，源地址为10.20.100.3，出方向：协议为UDP，目的地址为10.20.100.3。
试题四（共18分）
阅读下列说明，回答问题l至问题4，将解答填入答题纸的对应栏内。
【说明】
用户的身份认证是许多应用系统的第一道防线，身份识别对确保系统和数据的安全保密及其重要。以下过程给出了实现用户B对用户A身份的认证过程。
1.A->B：A
2.B->A：{B,Nb}(A)
3.A->B：h(Nb)
此处A和B是认证的实体，Nb是一个随机值，pk(A)表示实体A的公钥，{B,Nb}pk(A)表示用A的公钥对消息B进行加密处理，h(Nb)表示用哈希算法h对Nb计算哈希值。
【问题1】（5分）
认证与加密有哪些区别？
【答案】
认证和加密的区别在于：加密用以确保数据的机密性，阻止对手的被动攻击，如截取，窃听等；而认证用以确保报文发送者和接收者的真实性以及报文的完整性，阻止对手的主动攻击，如冒充、篡改、重播等。
【解析】
认证又称鉴别或确认，它是证实某事是否名副其实或是否有效的一个过程，认证和加密的区别在于：加密用以确保数据的机密性，阻止对手的被动攻击，比如发送方给接收方发送信息[我是希赛教育王老师]为确保信息在传输过程中不被别人看到，可以对该信息进行加密；而认证用以确保报文发送者和接收者的真实性以及报文的完整性，比如发送方防止在发送上述信息时被别人篡改，就可以采用认证方法。
【问题2】（6分）
（1）包含在消息2中的“Nb”起什么作用？
（2）“Nb“的选择应满足什么条件？
【答案】
（1） Nb是一个随机值，只有发送方B和A知道，起到抗重放攻击作用。
（2） 应具备随机性，不易被猜测。
【解析】
（1）Nb是一个随机值，用户B在验证用户A的身份时，首先会生成一个随机数，然后将该随机数和自己的身份信息一起用用户A的公钥加密发送给用户A，用户A接收后再将该随机数发送给用户B，因此，随机值Nb是验证的关键，并且该随机值只有发送方B和A知道，可以起到抗重放攻击作用。
（2）在验证身份时，该随机值是关键，不仅要求传输的安全性，而且还要保证该数值的随机性且不易被猜测，因为一旦被猜出来，就可能假冒用户A的身份。
【问题3】（3分）
为什么消息3中的Nb要计算哈希值？
【答案】
哈希算法具有单向性，经过哈希值运算之后的随机数，即使被攻击者截获也无法对该随机数进行还原，获取该随机数Nb的产生信息。
【问题4】（4分）
上述协议存在什么安全缺陷？请给出相应的的解决思路。
【答案】
攻击者可以通过截获h（Nb）冒充用户A的身份给用户B发送h（Nb）。
解决思路：用户A通过将A的标识和随机数Nb进行哈希运算，将其哈希值h（A，Nb）发送给用户B，用户B接收后，利用哈希函数对自己保存的用户标识A和随机数Nb进行加密，并与接收到的h（A，Nb）进行比较。若两者相等，则用户B确认用户A的身份是真实的，否则认为用户A的身份是不真实的。
【解析】
上述验证过程中，用户A收到随机数后，直接将哈希后的随机数发过去，会存在很大的漏洞，因为任何人都可以通过截获h（Nb）冒充用户A的身份给用户B发送h（Nb），而用户B在验证时无法确定该随机数是否为用户A发过来的。可以通过如下方式：用户A通过将A的标识和随机数Nb进行哈希运算，将其哈希值h（A，Nb）发送给用户B，用户B接收后，利用哈希函数对自己保存的用户标识A和随机数Nb进行加密，并与接收到的h（A，Nb）进行比较。若两者相等，则用户B确认用户A的身份是真实的，否则认为用户A的身份是不真实的。
试题五(共8分)
阅读下列说明和代码，回答问题1和问题2，将解答写在答题纸的对应栏内。
【说明】
某一本地口令验证函数（C语言环境，X86 32指令集）包含如下关键代码；某用户的口令保存在字符数组origPassword中，用户输入的口令保存在字符数组userPassword中，如果两个数组中的内容相同则允许进入系统。
[...]
Char origPassword[12]=“lSecret”;
Char userPassword[12];
[...]
gets(userPassword); /* 读取用户输入的口令*/
[...]
If(strncmp(origPassword,userPassword,12)!=0)
{
Printf(“Password,doesn’t match!n”);
exit(-1);
}
[...]
/* 口令认证通过时允许用户访问*/
[...]
【问题1】（4分）
用户在调用gets()函数时输入什么样式的字符串，可以在不知道的原始口令“Secret”的情况下绕过该口令验证函数的限制？
【答案】
只要输入长度为24的字符串，其前12个字符和后12个字符一样即可。
【解析】
函数strncmp（str1，str2，n）
【参数】
str1, str2 为需要比较的两个字符串，n为要比较的字符的数目。字符串大小的比较是以ASCII码表上的顺序来决定，此顺序也为字符的值。Strncmp（）首先将s1第一个字符值减去s2第一个字符值，若差值为0则再继续比较下个字符，直到字符结束标志''，若差值不为0，则将差值返回。
【返回值】
若str1与str2的前n个字符相同，则返回0；若s1大于s2，则返回大于0的值；若s1若小于s2，则返回小于0的值。
程序中在定义两个数组时，会分配两个连续的12位地址空间，origPassword在前，userPassword在后，gets（）函数中，当userPassword输入位数大于12位时，就会溢出，多出来的字符将被写入到堆栈中，这就覆盖了堆栈原先的内容，根据函数的作用，只要userPassword的值和origPassword的值一致则可绕过该口令验证函数的机制；当输入长度为24的字符串时，其中12位会产生溢出，根据堆栈的后进先出原理，当读取userPassword的值时，溢出的12位会读取到userPassword中，而在读取origPassword的值时会读取到原先userPassword中的值，如此两个数组的值就会一致，从而绕过该口令验证函数的限制。
【问题2】（4分）
上述代码存在什么类型的安全隐患？请给出消除该安全隐患的思路。
【答案】
gets（）函数必须保证输入长度不会超过缓冲区，一旦输入大于12个字符的口令就会造成缓冲区溢出。
解析：使用安全函数来代替gets（）函数，或者对用户输入进行检查和校对，可通过if条件语句判断用户输入是否越界。
阅读 10万+
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论