简介一份面向网络安全专业学生的《网络攻击与防御技术》期末考试试卷及答案以docx文档整理可用于期末复习、自测评估与考前冲刺。资源共1个文件格式为docx整体大小仅73KB下载后即可直接打开无需额外配置。试卷题量适中包含30道选择题和名词解释等题型覆盖社会工程攻击、口令猜解与破解、ARP欺骗、网络嗅探、TCP会话劫持、隐蔽通道、攻击痕迹清除、拒绝服务分类等核心考点题目还涉及TcpDump、John the Ripper、Wipe等常用安全工具以及Unix/Windows下last、who、attrib等命令的日志排查与文件隐蔽操作知识点密集。文档中同时给出答案可对照试题逐题核验帮助快速定位薄弱环节、巩固攻防概念。目前已有2563人浏览/学习适合正在备考该课程或想系统梳理网络攻防基础知识的学生使用。1. 一张期末试卷答案为什么值得当攻防地图看一份《网络攻击与防御技术期末考试试卷及答案.docx》在复习群里总是传得飞快因为它正好踩中考试周最焦虑的节点。但说实话光靠背答案拿八十分考完一个月后再问你“DDoS和SQL注入的区别”多半已经记不清了。我更愿意把它当作一份攻防地图来读每道题代表一类攻击手段每条答案对应一条防御或响应路径。网络空间安全专业的学生、准备安全认证考试的人、刚接手安全运维的系统工程师都能从这份文档里找到自己需要的骨架。照着地图走一遍比刷十套填空题有用得多。这门课真正的硬骨头不在名词解释而在“攻击如何发生”与“防御从哪个环节介入”之间的因果链。试卷答案恰好把这条链浓缩成了白纸黑字。接下来我们从考点主干开始一层层拆开最后落到一条可以亲手验证的命令上。你会发现备考的过程本身就是一次小型的攻防演练。2. 网络攻击与防御技术的核心考点从题型反推知识体系这一章解决一个问题试卷到底在考哪些东西这类期末试卷的出题范围基本固定在“攻击类型与原理—防御技术与策略—安全事件综合分析”这条线上。我们先看攻击侧再看防御侧最后把两边放进同一张表里作为后续复习的地基。2.1 攻击类型怎么考那些容易混淆的名字先分清楚攻击类型是客观题和简答题的大户。试卷里最常出现的名字有这么几个DDoS分布式拒绝服务、SQL注入、XSS跨站脚本、CSRF跨站请求伪造、暴力破解、中间人攻击、缓冲区溢出。它们之间不是并列这么简单从考试角度看至少分成三类。第一类是“让服务不可用”的攻击典型是DoS和DDoS。考点集中在原理和防御策略攻击者用大量半连接占满服务器资源或者用僵尸网络发送天量流量直到正常用户进不来。DDoS是DoS的分布式版本当年Mirai僵尸网络就是扫描物联网设备弱口令然后操纵摄像头和路由器发起大流量攻击这已经成为写进教材的“世界著名的网络攻击事件”。考试如果给一段流量图让你判断攻击类型你只要看源IP数量一个源就是DoS海量分散源就是DDoS。第二类是“利用输入与信任关系”的攻击代表是SQL注入、XSS、CSRF。SQL注入发生在服务端把用户输入拼进SQL语句时XSS发生在浏览器执行了攻击者注入的脚本CSRF则是借用户已登录的身份发送伪造请求。三者都涉及输入但攻击目标和执行位置完全不同。答题时先写“本质是什么”再写“发生在哪一层”基本不会丢分。第三类是“针对身份与数据”的攻击包含暴力破解和中间人攻击。暴力破解靠字典和撞库防御靠密码复杂度、失败锁定和双因素认证。中间人攻击是在通信双方之间插入一个控制点窃听甚至篡改消息最有效的手段是加密和证书校验。缓冲区溢出考查得相对深入一般放在问答或综合题里重点答“溢出后可能拿到什么权限”和“现代防御如何缓解”。下面是一份高频考点对照表你可以直接拿来复习。攻击类型一句话原理常见考查场景对应防御手段DDoS多源流量或半连接耗尽资源给流量图判断类型流量清洗、SYN Cookie、限速、CDNSQL注入输入拼入SQL语句改变了执行逻辑判断SQL拼接是否可被绕过预编译/参数化查询、白名单校验、WAFXSS未过滤脚本被浏览器执行识别反射型/存储型输出编码、CSP、HttpOnly CookieCSRF用受害者身份发起非预期请求分析表单Token缺失添加随机Token、校验Origin/Referer暴力破解逐条尝试口令或密钥看日志中的失败频率失败锁定、速率限制、多因素认证中间人攻击者位于通信链路中改写流量分析证书告警或网络拓扑TLS加密、证书固定、双向认证缓冲区溢出数据越过边界覆盖内存内容判断漏洞利用条件ASLR、DEP/NX、栈保护、补丁更新这张表格里你要刻意记住“防御手段不是一把锁”。后面第三章我们会用试卷里的例子把它串成答题模板。2.2 防御技术怎么答记住“分层动态”两条主线防御技术的大题得分点往往不是某个单独设备而是“你能说出几层防御”。越是教安全的老教师越喜欢考纵深防御和动态防御技术。纵深防御从边界到内部依次是路由与防火墙、入侵检测/防御系统、应用层WAF、主机安全软件、数据加密与备份。你要是写“一套防火墙挡住所有攻击”老师会直接扣一半分。具体来说防火墙工作在三四层靠五元组源IP、目的IP、协议、源端口、目的端口做允许或拒绝但它看不懂应用层Payload里藏着的一句SQL语句WAF才在应用层过滤恶意请求。入侵检测系统IDS只管看不管挡旁路部署记录流量并告警入侵防御系统IPS串在链路上发现恶意行为直接拦截。考试爱考它们的位置差异IDS是旁路的IPS是在线的。这里很多人翻车后面专门讲。而“动态防御技术”是近年试卷里的新宠。你可以理解为让攻击者每次看到的攻击面都不一样从而让侦察信息失效。最常见的例子包括蜜罐诱捕、移动目标防御IP或端口随机跳变、动态口令、软件多样化。答题要点是“变化欺骗”四个字而不是单说“打补丁”。打补丁是针对已知漏洞的静态修复动态防御的核心目标是提高攻击者的成本。防御侧复习我建议你背下面这条链条身份认证确认你是谁→ 访问控制你能干什么→ 加密传输数据不被偷看→ 安全审计出事后查得清→ 响应恢复坏了能修。试卷里如果让你设计一个系统的防御方案你就按这五步写每一步对应一项具体技术分数不会难看。3. 把试卷答案变成可复习的知识卡片整理与补全方法拿到一份docx格式的试卷答案第一步不是从头读而是动手拆。我会把所有题目扔进一个表格左边是题干关键词右边是答案中的技术名词然后问自己三个问题这个攻击怎么发生、在哪个环节防最有效、如果我答题会漏掉哪个词。这个过程等于把“别人整理的答案”变成“自己的知识地图”。3.1 将题干归类按“攻击-防御-结果”建立索引随便翻一份期末试卷你会发现题目问法基本逃不出三种。第一种是“描述XXX攻击的原理并说明防御方法”这是最主流的综合题第二种是“某服务器被入侵请分析原因并给出整改方案”这是应用题第三种是“以下哪些属于被动攻击”这是客观题。针对这三种处理步骤如下。第一步把每道题的题干做成短标签。例如“安全电子邮件如何实现加密”“SQL注入如何寻找注入点”“防火墙部署在哪个位置”。第二步把标签按“攻击”“防御”“管理”三个维度归堆。第三步把答案里所有加粗或编号过的词抽出来形成该题的关键词列表这些词就是答题时必写的采分点。以“SYN Flood攻击原理及防御”为例抽取出的关键词是TCP三次握手、半开连接、SYN Cookie、连接超时、限速。如果你的答案里同时有“攻击者发送大量SYN报文但不完成握手”和“开启SYN Cookie机制”这就是一份完整答案。后面做题时你不需要背整段话只需要背关键词然后用口语串联。3.2 用表格压缩记忆单位而不是逐段背答案考官批卷时会用“关键词踩点”的方式找分。所以复习时最忌抄原文。把每道题的答案压成一行表格记忆量能少三分之一。下面是我为常见问答题做的一张模板表可以直接套用。题目关键词攻击过程怎么写核心专有名词防御步骤怎么排SYN Flood大量SYN不回复ACK占满半开队列半开连接队列、SYN Cookie开启SYN Cookie缩短超时限制新连接数SQL注入输入引号或闭合语句改变查询逻辑预编译、参数化查询改用预编译语句过滤输入WAFXSS在页面注入script脚本浏览器执行存储型、反射型、DOM型输出编码CSPHttpOnly CookieCSRF构造第三方页面自动提交表单Token、SameSite添加随机Token验证RefererARP欺骗发送伪造ARP包篡改映射表映射表、静态ARP配置静态ARP交换机端口安全WannaCry利用SMB漏洞蠕虫式传播SMB漏洞、MS17-010打补丁封禁445端口内网隔离做这张表时每个名词都必须能用自己的话说出含义。比如“SYN Cookie”你说不清它为什么不消耗资源就要回到教科书看一遍或者用第四章的实验去观察一次。3.3 把答案改写成语感顺畅的第一人称叙述这是非常有效的一步尤其适合主观题。把官方答案的语言改成“我自己怎么攻击、我怎么防御”的叙述。例如原答案写“攻击者利用程序没有过滤用户输入的特点导致SQL语句拼接执行”你可以改写为“我没过滤用户输入的姓名在文本框里提交了一个引号结果SQL从查询变成了删除。防御是使用预编译语句让输入变成参数而不是SQL的一部分。”这个改写过程逼着你理解原理而不是机械记忆。哪怕写得口语化考试时把意思表达准确分数是一样的。这里要强调一个习惯不要只背答案要在答案旁边写出“出题人为什么这里给两分”。比如“硬件防火墙部署在DMZ区”可能隐含考点是“DMZ区的安全边界如何分级”。看出这个你就超过了只背文字的人。4. 动手验证一遍攻击与防御最小实验环境与三条命令理论背得再熟没有亲眼见过一次攻击流量考试遇到场景题还是会慌。我建议你用一台虚拟机或者不常用的电脑搭一个最小实验环境。常见做法是在本地启动一个故意带漏洞的Web应用比如DVWA然后模拟请求和防御策略。这不涉及任何真实外部目标完全安全。4.1 准备一个隔离的实验环境我一般用Docker把DVWA容器跑起来三行命令就能完成。如果机器上还没有Docker先安装Docker引擎然后执行下面的命令。docker run -d -p 8080:80 vulnerables/web-dvwa命令解释-d表示后台运行-p 8080:80把容器内的80端口映射到宿主机的8080端口vulnerables/web-dvwa是DVWA的集成镜像。启动后浏览器访问http://localhost:8080默认账号密码通常是admin/password进入后先把页面左侧的“DVWA Security”调成low等级方便观察漏洞现象。注意DVWA容器里默认不会有任何真实业务数据但它会真实执行SQL语句和脚本所以不要把它映射到公网端口。本地做完实验直接docker stop关掉即可。4.2 用Nmap自查开放端口理解侦察与暴露面攻击发生之前往往有一步“扫描探测”。考试考“信息收集”时常见的工具就是Nmap。我们用一个限制在本机的命令来理解这一步nmap -sS -O -p 1-1024 127.0.0.1这里的-sS表示TCP SYN半开扫描只发送SYN包通过是否收到SYN/ACK判断端口开放-O尝试识别操作系统类型-p 1-1024限定扫描端口范围。半开扫描不容易触发防火墙日志这是理论上的分类在自己电脑上执行完全安全。扫描结果里如果看到8080端口是open说明DVWA容器已映射成功。这条命令的价值是让你直观理解“为什么防火墙要优先阻止外部扫描”。如果这个端口监听在0.0.0.0又暴露在公网上攻击者下一步就会尝试常见漏洞路径比如访问/phpMyAdmin或尝试弱口令。考试答题时遇到“如何加强暴露面管理”你可以写出“非必要端口不对外开放、限定来源IP、定期扫描自查”。4.3 用curl和浏览器观察一次SQL注入请求DVWA启动后到达/vulnerabilities/sqli/页面你会发现一个输入用户ID的查询框。在low等级下输入1页面会报SQL语法错误输入1 AND 11页面返回正常数据。这就是一次最简单的注入判断单引号打破了原始SQL结构。用curl模拟这个请求需要先取得登录会话格式大致如下curl -b PHPSESSID你的会话值 http://localhost:8080/vulnerabilities/sqli/?id1%27%20AND%20%271%27%271SubmitSubmit命令里-b携带CookieURL中的%27是单引号的URL编码%20是空格编码。发出去之后把返回页面中“User ID exists in the database”之类的提示和正常输入的返回对比你会看到攻击者靠拼凑条件改变查询结果。用sqlmap这类自动化工具也可以但手工请求一次能让你记住“输入编码”这个细节。4.4 用防火墙和fail2ban验证防御策略看到攻击请求接下来要验证防御生效。最简单的实验是在宿主机上配置iptables限制端口访问来源。iptables -A INPUT -p tcp --dport 8080 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 8080 -j DROP第一条规则允许内网网段访问8080第二条拒绝其余来源。注意-A是追加规则规则从上到下匹配所以允许规则要先于拒绝规则。如果你用云服务器这个操作很容易把自己关在门外我建议只在本地虚拟机里测试。这条规则的现实意义是攻击面收窄只让可信来源访问管理接口。针对暴力破解常见防御工具是fail2ban。它监控Nginx、SSH的登录日志一旦多次失败就把来源IP加入防火墙屏蔽名单。核心配置在/etc/fail2ban/jail.local主要参数是maxretry最大失败次数和bantime封禁时长。它不解决账号泄露只是把“不断尝试口令”的自动化过程慢下来为你发现和处理争取时间。考试答“如何防暴力破解”时写“限制失败次数、增加延迟、封禁来源IP”就不容易丢分。5. 复习与考试中的五个常见坑从会背到会用这部分是踩过坑以后的经验总结。学生在考场里翻车往往不是没背题而是把概念之间的边界搞混了。下面列出最常见的几个问题每条都按现象、原因、解决来写。5.1 现象把DoS和DDoS当成同一个东西来答现象题目给出一个流量波形图问是什么攻击有学生回答DDoS但源IP只有两三个实际是DoS。原因背概念时只记住了“拒绝服务”忽略了分布式的特征。DoS是单点发起DDoS是僵尸网络状的分散源同时发起。考试常给统计图要你看源IP数量和流量特征来区分。解决看源IP数量与协议一致性。大量源IP发TCP SYN或UDP流量一般判DDoS一个源IP猛打判DoS。写防御时也要分开DoS用限速和SYN CookieDDoS更强调流量清洗和高防带宽两者不是一个量级。5.2 现象对称加密和非对称加密的应用场景说反现象问“HTTPS握手阶段为什么先非对称再对称”回答是“对称加密快所以用来传输公钥”。原因混淆了密钥交换与数据加密。非对称加密适合交换密钥因为通信双方能在不安全信道上安全地协商出一个会话密钥对称加密适合大量数据传输因为计算开销小。二者是配合关系不是二选一。解决把记忆改成一句话非对称负责“安全地协商出钥匙”对称负责“用这把钥匙锁住所有数据”。关注“密钥管理”和“性能”两个维度这类题目就稳了。5.3 现象把防火墙当成万能盾牌现象题目说“内网服务器被SQL注入数据泄露但防火墙没有告警”学生答“防火墙配置不行应该升级防火墙”。原因把防火墙理解成了对所有攻击都有效的盾牌。传统包过滤防火墙不解HTTP请求正文它只检查五元组看不到SQL注入。解决答题时一定要分层网络层攻击用防火墙应用层攻击用WAF或输入过滤。如果题目明确是SQL注入你应该先说“输入验证和预编译查询”再谈防火墙。如果题目问基础设施加固再谈防火墙和IDS/IPS。5.4 现象动态防御技术答成“及时打补丁”现象简答题“什么是动态防御技术”有学生写“定期打补丁、升级病毒库”结果拿不到分。原因动态防御的特征是攻击面随时变化让攻击者无法稳定侦察和回放。打补丁是必要的但它是针对已知漏洞的静态修复不改变攻击面。两者是互补关系。解决答题时先写核心词“变化、欺骗、迷惑”再举例子蜜罐、端口跳变、动态口令、指令集随机化。不要展开成“补丁管理”那是安全运营策略。5.5 现象世界著名攻击事件只背年份不背技术成因现象问“WannaCry为什么能快速感染内网”只写“2017年勒索病毒大量电脑中毒”没有提到SMB漏洞和蠕虫式传播。原因复习时把事件当新闻背忽略了事件题考查的是攻击机制。年份只是背景信息不是得分点。解决按“事件—漏洞—传播方式—核心防御”四段来记。WannaCry对应MS17-010/SMB远程漏洞传播靠蠕虫在内网横移防御要封445端口、打补丁、隔离内网。这个结构能套用到大量“综合事件分析题”上。6. 进阶验证用靶场把知识变成肌肉记忆前面第四章是“跑通了”到这一步你应该把知识变成肌肉记忆。我常用的进阶方法是在DVWA靶场里选择一个漏洞手工完整走一遍“观察现象—理解原理—写出防御—验证修复”。这种练习的好处是随时可以重来错了不会影响真实系统成本极低。6.1 把DVWA调整到进阶等级观察同一漏洞的不同表现DVWA有low、medium、high三个等级同一漏洞在不同等级下有防护差距。比如SQL注入模块low等级直接拼接SQLmedium等级过滤部分关键字但不彻底high等级采用改写查询方式基本杜绝了简单拼接。你可以切到对应等级后重复4.3节的注入请求观察返回页面的差异。这个练习的目标是逼你思考为什么只过滤OR或11还不够因为攻击者可以用注释符、十六进制编码、大小写混写绕过。这种“看到防守被绕过”的冲击比背十遍答案有用。6.2 一个完整的SQL注入手工验证从查询到闭合在DVWA的SQL Injection模块里low等级的正常查询是这样把ID输入为1页面显示“ID: 1”。接着我们做三步验证。第一步输入1页面报错说明单引号进入了SQL语句并破坏了语法结构。第二步输入1 AND 11页面正常返回ID1的结果说明我们改变了查询条件。第三步输入1 AND 12页面显示“ID不存在”证明注入条件生效。三步连起来你就亲自看到了“输入被当成代码执行”的过程也理解了为什么需要预编译。这个验证不涉及任何真实系统用的全是本地靶场。完成之后我建议在纸上写一遍“如果对这段代码做修复怎么改”。参考答案是把用户的ID输入从数字类型强制转换或使用参数化查询。写不写得出这个修复才是你真正掌握与否的分界线。6.3 把实验结论沉淀成一页应急速查表实验做完最后一步是把经验沉淀成工具。我自己会保存一页应急速查表左边是攻击类型右边是快速判断命令和防御措施。例如怀疑DDoS先用ss -ant看半连接数怀疑口令爆破检查tail -n 200 /var/log/auth.log统计失败次数怀疑Web攻击查看Web访问日志的4xx比例。这些命令在真实事故里能帮你快速定位而不是打开一堆窗口发呆。结尾用我自己的一个习惯每次学完一个攻防知识点至少做一次“用什么命令能重现这个现象”的练习。能重现才是自己的只能默写考试就还是悬。希望帮到你。本文还有配套的精品资源点击获取