㈠ openssh網路安全分析
SSH協議出現之前，在網路設備管理上廣泛應用的一種方式是Telnet。Telnet協議的優勢在於通過它可以遠程地登錄到網路設備上，對網路設備進行配置，為網路管理員異地管理網路設備提供了極大的方便。但是，Telnet協議存在三個致命的弱點：
A、明文傳輸：數據傳輸採用明文方式，傳輸的數據沒有任何機密性可言。
B、認證機制脆弱。用戶的認證信息在網路上以明文方式傳輸，很容易被竊聽； Telnet 只支持傳統的密碼認證方式，很容易被攻擊。
C、「偽伺服器欺騙」：客戶端無法真正識別伺服器的身份，攻擊者很容易進行「偽伺服器欺騙」。SSH協議正是為了克服Telnet協議存在的問題而誕生的。
D、數據傳輸過程被篡改，無法保證傳輸過程數據完整性
ssh如果解決上述幾個安全問題？我們一個個來分析
通過 在 通信雙方建立「加密通道」，保證傳輸的數據不被竊聽。並且需要有合適的手段保證通信雙方秘鑰的安全
所謂加密通道，是指發送方在發送數據前，使用加密密鑰對數據進行加密，然後將
數據發送給對方；接收方接收到數據後，利用解密密鑰從密文中獲取明文。
加解密演算法分為兩類： 對稱密鑰演算法：數據加密和解密時使用相同的密鑰和相同的演算法。 非對稱密鑰演算法：數據加密和解密時使用不同的密鑰，一個是公開的公鑰，
一個是由用戶秘密保存的私鑰。
由於非對稱密鑰演算法比較耗時，一般多用於數字簽名以及身份認證。SSH加密通道
上的數據加解密使用對稱密鑰演算法，目前主要支持的演算法有DES、3DES、AES
等，這些演算法都可以有效地防止交互數據被竊聽，而且由於採用了初始化向量保
護，可以防止類似於密碼流復用等密碼分析工具的攻擊。
對稱密鑰演算法要求解密密鑰和加密密鑰完全一致，才能順利從密文中解密得到明
文。因此，要建立加密通道，必須先在通信雙方部署一致的加解密密鑰。部署加解
密密鑰的方式有多種：手工配置和第三方機構分配等。手工配置的方式擴展性差，
只適合一些小型的本地網路；使用第三方機構分配密鑰的方式，需要額外的第三方
伺服器，而且密鑰在網路中傳輸容易被竊聽。
SSH協議使用一種安全的方式在通信雙方部署密鑰：密鑰交換演算法。利用密鑰交換
演算法可以在通信雙方動態地產生密鑰，這個密鑰只能被通信的雙方獲得，任何第三
者都無法竊聽，這就在源頭上保證了加解密使用密鑰的安全性，很好地解決了密鑰
分發問題。
支持的數據加密演算法有：
3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr
[email protected]
[email protected]
[email protected]
默認使用的演算法：
[email protected],
aes128-ctr,aes192-ctr,aes256-ctr,
[email protected],[email protected]
可以通過關鍵字 「 Ciphers」指定使用的演算法，多個演算法間，需要使用逗號相隔
有三種方式指定演算法
方式一：Ciphers 關鍵字後接演算法名稱，比如：Ciphers aes256-ctr，aes192-ctr表示只使用
aes256-ctr，aes192-ctr兩種演算法
方式二：Ciphers 關鍵字後接演算法名稱，並且演算法名稱前帶上「+」，表示在默認演算法基礎上，新增「+」後的演算法
方式三：Ciphers 關鍵字後接演算法名稱，並且演算法名稱前帶上「-」，表示在默認演算法基礎上，裁剪「-」後的演算法
支持的密鑰交換演算法有：
curve25519-sha256
[email protected]
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
默認使用的密鑰交換演算法有：
curve25519-sha256,[email protected],
ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,
diffie-hellman-group-exchange-sha256,
diffie-hellman-group14-sha1
可以通過關鍵字 「
KexAlgorithms 」指定使用的演算法，多個演算法間，需要使用 逗號相隔
有三種方式指定演算法
方式一：KexAlgorithms關鍵字後接演算法名稱，比如：KexAlgorithms
diffie-hellman-group-exchange-sha256，diffie-hellman-group14-sha1
表示只使用diffie-hellman-group-exchange-sha256，diffie-hellman-group14-sha1
兩種演算法
方式二：KexAlgorithms關鍵字後接演算法名稱，並且演算法名稱前帶上「+」，表示在默認演算法基礎上，新增「+」後的演算法
方式三：KexAlgorithms關鍵字後接演算法名稱，並且演算法名稱前帶上「-」，表示在默認演算法基礎上，裁剪「-」後的演算法
傳統的方式，採用的是密碼認證模式：用戶在ssh客戶端輸入賬號、密碼，openssh完成對登錄用戶進行密碼認證。用戶的身份信息等關鍵數據都保存在認證伺服器上
由於密碼認證方式的認證強度較弱，SSH協議引入了公鑰認證方式。目前，openssh
可以利用RSA和DSA兩種非對稱密鑰演算法實現公鑰認證。
公鑰認證的過程分為兩個部分：：
(1) 公鑰驗證：客戶端首先將自己本地密鑰對的公鑰部分，按照字元串格式發送
到伺服器。伺服器使用本地保存的客戶端公鑰，與報文中攜帶的客戶端公鑰
進行比較，驗證客戶端持有公鑰的正確性。
(2) 數字簽名驗證：如果公鑰驗證成功，客戶端繼續使用自己本地密鑰對的私鑰
部分，對特定報文進行摘要運算，將所得的結果（即數字簽名）發送給服務
器，向伺服器證明自己的身份；伺服器使用預先配置的該用戶的公鑰，對客
戶端發送過來的數字簽名進行驗證。
公鑰驗證和數字簽名驗證中任何一個驗證失敗，都會導致本次公鑰認證失敗。
AuthenticationMethods
PubkeyAuthentication：是否使用公鑰認證，默認為yes
UsePAM:該關鍵字只有在移植版中支持，PAM為「可插拔認證模塊」，用於
PubkeyAcceptedKeyTypes：公鑰認證演算法
[email protected], [email protected], [email protected], [email protected], [email protected], ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521, ssh-ed25519,ssh-rsa
公鑰認證配置方法：
1. 首先，在客戶端生成一個對鑰：
# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
fa:49:6c:0a:90:0e:0f:57:2e:21:79:f6:65:7f:8d:42
這里我們用的是rsa演算法,我們也可以使用dsa演算法：
ssh-keygen -t dsa
從上面可以看到，提示輸入私鑰的保護密碼，我們也可以不選，直接ENTER就行了！
現在密鑰已經生成：
id_rsa(私鑰) id_rsa.pub(公鑰)
如果是dsa演算法生成的話：
id_dsa id_dsa.pub
2. 我們將公鑰傳到伺服器的.ssh目錄下.
scp id_rsa.pub user@hostname:/home/user/.ssh/authorized_keys
3. 將/etc/ssh/sshd_config
中的rsa認證功能打開.(去掉注釋)
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
然後重新啟動sshd就行了.
如果是dsa演算法的話同理.
疑問：公鑰認證，是否使用了PAM？還是openssh自己搞的？
可插拔認證模塊的介紹：
http://www.infoq.com/cn/articles/wjl-linux-pluggable-authentication-mole
http://www.infoq.com/cn/articles/linux-pam-one
ChrootDirectory：
Specifies
2.3.1 原理
用戶認證機制只實現了伺服器端對客戶端的認證，而客戶端無法認證伺服器端，因
此存在著「偽伺服器欺騙」的安全隱患。
圖4 偽伺服器欺騙
如圖4所示，當客戶端主機需要與伺服器建立連接時，第三方攻擊者冒充真正的服
務器，與客戶端進行數據交互，竊取客戶端主機的安全信息，並利用這些信息去登
錄真正的伺服器，獲取伺服器資源，或對伺服器進行攻擊。
為了防止類似這樣的偽伺服器欺騙，SSH協議支持客戶端對伺服器端進行認證。服
務器端在密鑰交換階段，使用自己的私鑰對一段固定格式的數據進行數字簽名，並
將該簽名發往客戶端，客戶端使用本地保存的伺服器公鑰，對簽名進行鑒別，從而
達到認證伺服器的目的。
HostKey
HostKeyAlgorithms
[email protected], [email protected], [email protected], [email protected], [email protected], ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521, ssh-ed25519,ssh-rsa
Macs
支持的消息認證碼（Mac）演算法有：
hmac-md5
hmac-md5-96
hmac-sha1hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
默認使用的密鑰交換演算法有：
[email protected],[email protected],
[email protected],[email protected],
[email protected],
[email protected],[email protected],
hmac-sha2-256,hmac-sha2-512,hmac-sha1
可以通過關鍵字 「Macs 」指定使用的演算法，多個演算法間，需要使用 逗號相隔
有三種方式指定演算法
方式一：Macs關鍵字後接演算法名稱，比如：KexAlgorithms
hmac-sha2-256，hmac-sha2-512
表示只使用hmac-sha2-256，hmac-sha2-512
兩種演算法
方式二：Macs關鍵字後接演算法名稱，並且演算法名稱前帶上「+」，表示在默認演算法基礎上，新增「+」後的演算法
方式三：Macs關鍵字後接演算法名稱，並且演算法名稱前帶上「-」，表示在默認演算法基礎上，裁剪「-」後的演算法
openssh通過 以下4類演算法，保證傳輸過程網路安全：
A、傳輸數據加密：傳輸加密演算法，密鑰協商演算法，
B、公鑰認證演算法
C、Mac演算法
㈡ 網路安全題，幫忙答下，謝謝
最佳答案 入侵攻擊 可以說當前是一個進行攻擊的黃金時期，很多的系統都很脆弱並且很容易受到攻擊，所以這是一個成為黑客的大好時代，可讓他們利用的方法和工具是如此之多！在此我們僅對經常被使用的入侵攻擊手段做一討論。 【 拒絕服務攻擊 】 拒絕服務攻擊（Denial of Service, DoS）是一種最悠久也是最常見的攻擊形式。嚴格來說，拒絕服務攻擊並不是某一種具體的攻擊方式，而是攻擊所表現出來的結果，最終使得目標系統因遭受某種程度的破壞而不能繼續提供正常的服務，甚至導致物理上的癱瘓或崩潰。具體的操作方法可以是多種多樣的，可以是單一的手段，也可以是多種方式的組合利用，其結果都是一樣的，即合法的用戶無法訪問所需信息。 通常拒絕服務攻擊可分為兩種類型。 第一種是使一個系統或網路癱瘓。如果攻擊者發送一些非法的數據或數據包，就可以使得系統死機或重新啟動。本質上是攻擊者進行了一次拒絕服務攻擊，因為沒有人能夠使用資源。以攻擊者的角度來看，攻擊的刺激之處在於可以只發送少量的數據包就使一個系統無法訪問。在大多數情況下，系統重新上線需要管理員的干預，重新啟動或關閉系統。所以這種攻擊是最具破壞力的，因為做一點點就可以破壞，而修復卻需要人的干預。 第二種攻擊是向系統或網路發送大量信息，使系統或網路不能響應。例如，如果一個系統無法在一分鍾之內處理100個數據包，攻擊者卻每分鍾向他發送1000個數據包，這時，當合法用戶要連接系統時，用戶將得不到訪問權，因為系統資源已經不足。進行這種攻擊時，攻擊者必須連續地向系統發送數據包。當攻擊者不向系統發送數據包時，攻擊停止，系統也就恢復正常了。此攻擊方法攻擊者要耗費很多精力，因為他必須不斷地發送數據。有時，這種攻擊會使系統癱瘓，然而大多多數情況下，恢復系統只需要少量人為干預。 這兩種攻擊既可以在本地機上進行也可以通過網路進行。 ※ 拒絕服務攻擊類型 1 Ping of Death 根據TCP/IP的規范，一個包的長度最大為65536位元組。盡管一個包的長度不能超過65536位元組，但是一個包分成的多個片段的疊加卻能做到。當一個主機收到了長度大於65536位元組的包時，就是受到了Ping of Death攻擊，該攻擊會造成主機的宕機。 2 Teardrop IP數據包在網路傳遞時，數據包可以分成更小的片段。攻擊者可以通過發送兩段(或者更多)數據包來實現TearDrop攻擊。第一個包的偏移量為0，長度為N，第二個包的偏移量小於N。為了合並這些數據段，TCP/IP堆棧會分配超乎尋常的巨大資源，從而造成系統資源的缺乏甚至機器的重新啟動。 3 Land 攻擊者將一個包的源地址和目的地址都設置為目標主機的地址，然後將該包通過IP欺騙的方式發送給被攻擊主機，這種包可以造成被攻擊主機因試圖與自己建立連接而陷入死循環，從而很大程度地降低了系統性能。 4 Smurf 該攻擊向一個子網的廣播地址發一個帶有特定請求(如ICMP回應請求)的包，並且將源地址偽裝成想要攻擊的主機地址。子網上所有主機都回應廣播包請求而向被攻擊主機發包，使該主機受到攻擊。 5 SYN flood 該攻擊以多個隨機的源主機地址向目的主機發送SYN包，而在收到目的主機的SYN ACK後並不回應，這樣，目的主機就為這些源主機建立了大量的連接隊列，而且由於沒有收到ACK一直維護著這些隊列，造成了資源的大量消耗而不能向正常請求提供服務。 6 CPU Hog 一種通過耗盡系統資源使運行NT的計算機癱瘓的拒絕服務攻擊，利用Windows NT排定當前運行程序的方式所進行的攻擊。 7 Win Nuke 是以拒絕目的主機服務為目標的網路層次的攻擊。攻擊者向受害主機的埠139，即netbios發送大量的數據。因為這些數據並不是目的主機所需要的，所以會導致目的主機的死機。 8 RPC Locator 攻擊者通過telnet連接到受害者機器的埠135上，發送數據，導致CPU資源完全耗盡。依照程序設置和是否有其他程序運行，這種攻擊可以使受害計算機運行緩慢或者停止響應。無論哪種情況，要使計算機恢復正常運行速度必須重新啟動。 ※ 分布式拒絕服務攻擊 分布式拒絕服務攻擊（DDoS）是攻擊者經常採用而且難以防範的攻擊手段。DDoS攻擊是在傳統的DoS攻擊基礎之上產生的一類攻擊方式。單一的DoS攻擊一般是採用一對一方式的，當攻擊目標CPU速度低、內存小或者網路帶寬小等等各項性能指標不高它的效果是明顯的。隨著計算機與網路技術的發展，計算機的處理能力迅速增長，內存大大增加，同時也出現了千兆級別的網路，這使得DoS攻擊的困難程度加大了 目標對惡意攻擊包的"消化能力"加強了不少，例如你的攻擊軟體每秒鍾可以發送3,000個攻擊包，但我的主機與網路帶寬每秒鍾可以處理10,000個攻擊包，這樣一來攻擊就不會產生什麼效果。所以分布式的拒絕服務攻擊手段（DDoS）就應運而生了。如果用一台攻擊機來攻擊不再能起作用的話，攻擊者就使用10台、100台…攻擊機同時攻擊。 DDoS就是利用更多的傀儡機來發起進攻，以比從前更大的規模來進攻受害者。 高速廣泛連接的網路也為DDoS攻擊創造了極為有利的條件。在低速網路時代時，黑客佔領攻擊用的傀儡機時，總是會優先考慮離目標網路距離近的機器，因為經過路由器的跳數少，效果好。而現在電信骨幹節點之間的連接都是以G為級別的，大城市之間更可以達到2.5G的連接，這使得攻擊可以從更遠的地方或者其他城市發起，攻擊者的傀儡機位置可以在分布在更大的范圍，選擇起來更靈活了。 一個比較完善的DDoS攻擊體系分成四大部分： 攻擊者所在機 控制機（用來控制傀儡機） 傀儡機 受害者 先來看一下最重要的控制機和傀儡機：它們分別用做控制和實際發起攻擊。請注意控制機與攻擊機的區別，對受害者來說，DDoS的實際攻擊包是從攻擊傀儡機上發出的，控制機只發布命令而不參與實際的攻擊。對控制機和傀儡機，黑客有控制權或者是部分的控制權，並把相應的DDoS程序上傳到這些平台上，這些程序與正常的程序一樣運行並等待來自黑客的指令，通常它還會利用各種手段隱藏自己不被別人發現。在平時，這些傀儡機器並沒有什麼異常，只是一旦黑客連接到它們進行控制，並發出指令的時候，攻擊傀儡機就成為害人者去發起攻擊了。 "為什麼黑客不直接去控制攻擊傀儡機，而要從控制傀儡機上轉一下呢？"。這就是導致DDoS攻擊難以追查的原因之一了。做為攻擊者的角度來說，肯定不願意被捉到，而攻擊者使用的傀儡機越多，他實際上提供給受害者的分析依據就越多。在佔領一台機器後，高水平的攻擊者會首先做兩件事：1.考慮如何留好後門，2. 如何清理日誌。這就是擦掉腳印，不讓自己做的事被別人查覺到。比較初級的黑客會不管三七二十一把日誌全都刪掉，但這樣的話網管員發現日誌都沒了就會知道有人幹了壞事了，頂多無法再從日誌發現是誰乾的而已。相反，真正的好手會挑有關自己的日誌項目刪掉，讓人看不到異常的情況。這樣可以長時間地利用傀儡機。但是在攻擊傀儡機上清理日誌實在是一項龐大的工程，即使在有很好的日誌清理工具的幫助下，黑客也是對這個任務很頭痛的。這就導致了有些攻擊機弄得不是很乾凈，通過它上面的線索找到了控制它的上一級計算機，這上級的計算機如果是黑客自己的機器，那麼他就會被揪出來了。但如果這是控制用的傀儡機的話，黑客自身還是安全的。控制傀儡機的數目相對很少，一般一台就可以控制幾十台攻擊機，清理一台計算機的日誌對黑客來講就輕松多了，這樣從控制機再找到黑客的可能性也大大降低。 ※ 拒絕服務攻擊工具 Targa 可以進行8種不同的拒絕服務攻擊，作者是Mixter，可以在[url] http://packerstorm.security.com[/url]和[url]www.rootshell.com[/url]網站下載。Mixter把獨立的dos攻擊代碼放在一起，做出一個易用的程序。攻擊者可以選擇進行單個的攻擊或嘗試所有的攻擊，直到成功為止。 FN2K DDOS工具。可以看作是Traga加強的程序。TFN2K運行的DOS攻擊與Traga相同，並增加了5種攻擊。另外，它是一個DDOS工具，這意味著它可以運行分布模式，即Internet上的幾台計算機可以同時攻擊一台計算機和網路。Trinoo DDOS工具，是發布最早的主流工具，因而功能上與TFN2K比較不是那麼強大。Trinoo使用tcp和udp，因而如果一個公司在正常的基礎上用掃描程序檢測埠，攻擊程序很容易被檢測到。 Stacheldraht Stacheldraht是另一個DDOS攻擊工具，它結合了TFN與trinoo的特點，並添加了一些補充特徵，如加密組件之間的通信和自動更新守護進程。
㈢ 網路安全知識競賽部分題目及答案
33、應對計算機領域中後門的做法正確的是_______。（解題技能：）
A、預留的後門要及時刪除
B、系統定期殺毒
C、系統定期升級病毒庫
D、以上說法都不對
正確答案：B
答題耗時：1秒
34、關於肉雞以下哪種說法正確_______（解題技能：）
A、發起主動攻擊的機器
B、被黑客植入木馬的機器，黑客通過木馬控制端控制肉雞參與攻擊
C、用戶通常自願成為肉雞
D、肉雞不能發動攻擊
正確答案：B
答題耗時：5秒
35、關於分布式拒絕服務攻擊不正確的是_______（解題技能：）
A、攻擊者一般發送合理的服務請求
B、攻擊者可以利用肉雞協同攻擊
C、攻擊者通過發送病毒攻擊目標
D、攻擊者的攻擊方式包括DOS、DDOS
正確答案：C
答題耗時：1秒
36、使網路伺服器中充斥著大量要求回復的信息，消耗帶寬，導致網路或系統停止正常服務，這屬於什麼攻擊類型？_______（解題技能：）
A、拒絕服務
B、文件共享
C、BIND漏洞
D、遠程過程調用
正確答案：A
答題耗時：2秒
37、關於如何防範擺渡攻擊以下哪種說法正確_______（解題技能：）
A、安裝殺毒軟體
B、安裝防火牆
C、禁止在兩個信息系統之間交叉使用U盤
D、加密
正確答案：C
答題耗時：2秒
38、下列哪個不是緩沖區溢出漏洞的防範措施_______（解題技能：）
A、程序員編寫程序時，養成安全編程的習慣
B、實時監控軟體運行
C、改變編譯器設置
D、加大內存容量
正確答案：D
答題耗時：2秒
39、擺渡攻擊通常利用什麼來竊取資料_______（解題技能：）
A、從外網入侵內網
B、利用系統後門竊取資料
C、利用移動載體作為「渡船」
D、利用零日攻擊
正確答案：C
答題耗時：2秒
40、對於零日攻擊不正確的是_______（解題技能：）
A、零日攻擊幾乎攻無不克
B、零日攻擊非常少
C、零日攻擊可以多次利用
D、零日攻擊具有突發性
正確答案：C
答題耗時：1秒
41、黑客主要用社會工程學來_______（解題技能：）
A、進行TCP連接
B、進行DDOS攻擊
C、進行ARP攻擊
D、獲取口令
正確答案：D
答題耗時：1秒
42、能採用撞庫獲得敏感數據的主要原因是_______（解題技能：）
A、資料庫沒有採用安全防護措施
B、用戶在不同網站設置相同的用戶名和密碼
C、資料庫安全防護措施弱
D、利益驅使
正確答案：B
答題耗時：2秒
43、下面_______是QQ中毒的症狀（解題技能：）
A、QQ老掉線，提示異地登錄
B、QQ空間存在垃圾廣告日誌
C、自動給好友發送垃圾消息
D、以上都是
正確答案：D
答題耗時：1秒
44、以下哪項屬於釣魚網站的表現形式_______（解題技能：）
A、公司周年慶
B、幸運觀眾
C、兌換積分
D、以上全部
答題耗時：1秒
45、熱點是_______（解題技能：）
A、無線接入點
B、有線通信協議
C、加密通信協議
D、解密通信協議
正確答案：A
答題耗時：2秒
46、二維碼中存儲的是_______信息。（解題技能：）
A、用戶賬戶
B、銀行信息
C、網址
D、以上都不對
正確答案：C
答題耗時：4秒
47、在使用蘋果公司產品時，如果想獲得root許可權，很多用戶採取違反法律的手段，這個手段通常被稱為_______（解題技能：）
A、借殼
B、開源
C、免費
D、越獄
正確答案：D
答題耗時：4秒
48、下列對垃圾郵件說法錯誤的是_______（解題技能：）
A、用戶減少電子郵件的使用完全是因為垃圾郵件的影響
B、降低了用戶對Email的信任
C、郵件服務商可以對垃圾郵件進行屏蔽
D、有價值的信息淹沒在大量的垃圾郵件中，很容易被誤刪
正確答案：A
答題耗時：3秒
49、為了防範垃圾電子郵件，互聯網電子郵件服務提供者應當按照信息產業部制定的技術標准建設互聯網電子郵件服務系統，電子郵件伺服器_______匿名轉發功能。（解題技能：）
A、使用
B、開啟
C、關閉
正確答案：C
答題耗時：12秒
50、在網路安全中，中斷指攻擊者破壞網路系統的資源，使之變成無效的或無用的。這是對_______。（解題技能：）
A、可用性的攻擊
B、保密性的攻擊
C、完整性的攻擊
D、真實性的攻擊
答題耗時：2秒
51、以下對信息安全問題產生的`根源描述最准確的是：_______（解題技能：）
A、信息安全問題是由於信息技術的不斷發展造成的
B、信息安全問題是由於黑客組織和犯罪集團追求名和利造成的
C、信息安全問題是由於信息系統的設計和開發過程中的疏忽造成的
D、信息安全問題產生的內因是信息系統的復雜性，外因是對手的威脅與破壞
正確答案：D
答題耗時：2秒
52、風險評估的方法主要有_______。（解題技能：）
A、定性
B、定量
C、定性和定量相結合
D、以上都是
正確答案：D
答題耗時：7秒
53、信息網路安全（風險）評估的方法_______（解題技能：）
A、定性評估與定量評估相結合
B、定性評估
C、定量評估
D、定點評估
正確答案：A
答題耗時：1秒
54、桔皮書定義了4個安全層次，從D層（最低保護層）到A層（驗證性保護層），屬於D級的系統是不安全的，以下操作系統中不屬於C級的是_______。（解題技能：）
A、UNIX系統
B、LINUX系統
C、WINDOWS2000
D、WINDOWS98
正確答案：D
答題耗時：1秒
55、為什麼需要密碼學_______（解題技能：）
A、保密信息
B、好玩
C、打電話
D、發簡訊
正確答案：A
答題耗時：2秒
56、在公鑰體系中，公鑰用於_______（解題技能：）
A、解密和簽名
B、加密和簽名
C、解密和認證
D、加密和認證
正確答案：D
答題耗時：11秒
57、假設使用一種加密演算法，它的加密方法很簡單：將每一個字母加5，即a加密成f。這種演算法的密鑰就是5，那麼它屬於_______。（解題技能：）
A、對稱加密技術
B、分組密碼技術
C、公鑰加密技術
D、單向函數密碼技術
正確答案：A
答題耗時：3秒
58、下面有關DES的描述，正確的是_______。（解題技能：）
A、是由IBM、Sun等公司共同提出的
B、其演算法不公開而密鑰公開
C、其結構完全遵循復雜結構網路
D、是目前應用最為廣泛的一種分組密碼演算法
正確答案：D
答題耗時：1秒
59、「公開密鑰密碼體制」的含義是_______。（解題技能：）
A、將所有密鑰公開
B、將私有密鑰公開，公開密鑰保密
C、將公開密鑰公開，私有密鑰保密
D、兩個密鑰相同
正確答案：C
答題耗時：5秒
60、PGP加密技術是一個基於_______體系的郵件加密軟體。（解題技能：）
A、RSA公鑰加密
B、DES對稱密鑰
C、MD5數字簽名
D、MD5加密
正確答案：A
答題耗時：3秒
61、PKI的主要理論基礎是____。（解題技能：）
A、對稱密碼演算法
B、公鑰密碼演算法
C、量子密碼
D、摘要演算法
正確答案：B
答題耗時：1秒
62、_______在CA體系中提供目錄瀏覽服務。（解題技能：）
A、安全伺服器
B、CA伺服器
C、注冊機構RA
D、LDAP伺服器
正確答案：D
答題耗時：2秒
㈣ 計算機網路安全知識競賽試題
計算機網路技術的發展和提高給網路帶來了很大的沖擊,網路的安全問題成了信息社會安全問題的熱點之一,針對計算機網路系統存在的安全性和可靠性等一系列問題。下面是我跟大家分享的是計算機網路安全知識競賽試題，歡迎大家來閱讀學習。
一、單項選擇題
1、當你感覺到你的Win2000運行速度明顯減慢，當你打開任務管理器後發現CPU的使用率達到了百分之百，你最有可能認為你受到了哪一種攻擊。
B
A、特洛伊木馬
B、拒絕服務
C、欺騙
D、中間人攻擊
2、RC4是由RIVEST在1987年開發的，是一種流式的密文，就是實時的把信息加密成一個整體，它在美國一般密鑰長度是128位，因為受到美國出口法的限制，向外出口時限制到多少位?
C
A、64位
B、56位
C、40位
D、32位
3、假如你向一台遠程主機發送特定的數據包，卻不想遠程主機響應你的數據包。這時你使用哪一種類型的進攻手段?
B
A、緩沖區溢出
B、地址欺騙
C、拒絕服務
D、暴力攻擊
4、小李在使用super
scan對目標網路進行掃描時發現，某一個主機開放了25和110埠，此主機最有可能是什麼?
B
A、文件伺服器
B、郵件伺服器
C、WEB伺服器
D、DNS伺服器
5、你想發現到達目標網路需要經過哪些路由器，你應該使用什麼命令?
C
A、ping
B、nslookup
C、tracert
D、ipconfig
6、以下關於的說法中的哪一項是正確的?
C
A、
是虛擬專用網的簡稱，它只能只好ISP維護和實施
B、
是只能在第二層數據鏈路層上實現加密
C、
IPSEC是也是的一種
D、
使用通道技術加密，但沒有身份驗證功能
7、下列哪項不屬於window2000的安全組件?
D
A、
訪問控制
B、
強制登陸
C、
審計
D、
自動安全更新
8、以下哪個不是屬於window2000的漏洞?
D
A、
unicode
B、
IIS
hacker
C、
輸入法漏洞
D、
單用戶登陸
9、你是一企業網路管理員，你使用的防火牆在UNIX下的IPTABLES，你現在需要通過對防火牆的配置不允許192.168.0.2這台主機登陸到你的伺服器，你應該怎麼設置防火牆規則?
B
A、
iptables—A
input—p
tcp—s
192.168.0.2—source—port
23—j
DENY
B、
iptables—A
input—p
tcp—s
192.168.0.2—destination—port
23—j
DENY
C、
iptables—A
input—p
tcp—d
192.168.0.2—source—port
23—j
DENY
D、
iptables—A
input—p
tcp—d
192.168.0.2—destination—port
23—j
DENY
10、你的window2000開啟了遠程登陸telnet，但你發現你的window98和unix計算機沒有辦法遠程登陸，只有win2000的系統才能遠程登陸，你應該怎麼辦?
D
A、
重設防火牆規則
B、
檢查入侵檢測系統
C、
運用殺毒軟體，查殺病毒
D、
將NTLM的值改為0
11、你所使用的系統為win2000，所有的分區均是NTFS的分區，C區的許可權為everyone讀取和運行，D區的許可權為everyone完全控制，現在你將一名為test的文件夾，由C區移動到D區之後，test文件夾的許可權為?
B
A、
everyone讀取和運行
B、
everyone完全控制
C、
everyone讀取、運行、寫入
D、
以上都不對
12、你所使用的系統為UNIX，你通過umask命令求出當前用戶的umask值為0023，請問該用戶在新建一文件夾，具體有什麼樣的許可權?
A
A、
當前用戶讀、寫和執行，當前組讀取和執行，其它用戶和組只讀
B、
當前用戶讀、寫，當前組讀取，其它用戶和組不能訪問
C、
當前用戶讀、寫，當前組讀取和執行，其它用戶和組只讀
D、
當前用戶讀、寫和執行，當前組讀取和寫入，其它用戶和組只讀
13、作為一個管理員，把系統資源分為三個級別是有必要的，以下關於級別1的說法正確的是?
A
A、
對於那些運行至關重要的系統，如，電子商務公司的用戶帳號資料庫
B、
對於那些必須的但對於日常工作不是至關重要的系統
C、
本地電腦即級別1
D、
以上說法均不正確
14、以下關於window
NT
4.0的服務包的說法正確的是?
C
A、
sp5包含了sp6的所有內容
B、
sp6包含了sp5的所有內容
C、
sp6不包含sp5的某些內容
D、
sp6不包含sp4的某些內容
15、你有一個共享文件夾，你將它的NTFS許可權設置為sam用戶可以修改，共享許可權設置為sam用戶可以讀取，當sam從網路訪問這個共享文件夾的時候，他有什麼樣的許可權?
A
A、
讀取
B、
寫入
C、
修改
D、
完全控制
16、SSL安全套接字協議所使用的埠是：
B
A、
80
B、
443
C、
1433
D、
3389
17、Window2000域或默認的身份驗證協議是：
B
A、
HTML
B、
Kerberos
V5
D、
Apptalk
18、在Linux下umask的八進制模式位6代表：
C
A、
拒絕訪問
B、
寫入
C、
讀取和寫入
D、
讀取、寫入和執行
19、你是一個公司的網路管理員，你經常在遠程不同的地點管理你的網路(如家裡)，你公司使用win2000操作系統，你為了方便遠程管理，在一台伺服器上安裝並啟用了終端服務。最近，你發現你的伺服器有被控制的跡象，經過你的檢查，你發現你的伺服器上多了一個不熟悉的帳戶，你將其刪除，但第二天卻總是有同樣的事發生，你應該如何解決這個問題?
C
A、
停用終端服務
B、
添加防火牆規則，除了你自己家裡的IP地址，拒絕所有3389的埠連入
C、
打安全補丁sp4
D、
啟用帳戶審核事件，然後查其來源，予以追究
20、以下不屬於win2000中的ipsec過濾行為的是：
D
A、
允許
B、
阻塞
C、
協商
D、
證書
21、以下關於對稱加密演算法RC4的說法正確的是：
B
A、
它的密鑰長度可以從零到無限大
B、
在美國一般密鑰長度是128位，向外出口時限制到40位
C、
RC4演算法彌補了RC5演算法的一些漏洞
D、
最多可以支持40位的密鑰
22、你配置UNIX下的Ipchains防火牆，你要添加一條規則到指定的chain後面，你應該使用參數：
A
A、—A
B、—D
C、—S
D、—INPUT
二、多項選擇題
1、以下關於對稱加密的說法正確的是?
ACD
A、
在對稱加密中，只有一個密鑰用來加密和解密信息
B、
在對稱加密中，用到了二個密鑰來加密和解密信息，分別是公共密鑰和私用密鑰
C、
對稱加密是一個簡單的過程，雙方都必需完全相信對方，並持有這個密鑰的備份
D、
對稱加密的速度非常快，允許你加密大量的信息而只需要幾秒鍾
2、以下不屬於對稱加密演算法的是?
CD
A、
DES
B、
RC4
C、
HASH
3、在保證密碼安全中，我們應採取正確的措施有?
ABC
A、
不用生日做密碼
B、
不要使用少於5位的密碼
算機網路安全模擬試題
一、是非題(每題1分，共10分。正確的在括弧內劃√，錯的劃×，填入其它符號按錯論。)
(
)1.城域網採用LAN技術。
(
)2.TCP/IP體系有7個層次，ISO/OSI體系有4個層次。
(
)3.ARP協議的作用是將物理地址轉化為IP地址。
(
)4.
在差分曼徹斯特編碼技術中，不需要增加額外的同步時鍾。
(
)5.從理論上說，區域網的拓撲結構應當是指它的物理拓撲結構。
(
)6.
在10Mb/s共享型乙太網系統中，站點越多，帶寬越窄。
(
)7.ADSL技術的缺點是離交換機越近，速度下降越快。
(
)8.
TCP連接的數據傳送是單向的。
(
)9.
匿名傳送是FTP的最大特點。
(
)10.
網路管理首先必須有網路地址，一般可採用實名制地址。
二、單選題和多選題(每題2分，共30分。除題目特殊說明是多選題外，其他均為單選題。單選題在括弧內選擇最確切的一項作為答案。)
1.
OSI模型的物理層負責下列(
)功能。
A、格式化報文
B、為數據選擇通過網路的路由
C、定義連接到介質的特徵
D、提供遠程文件訪問功能
2.
(4選2)在建網時，設計IP地址方案首先要(
)。
A.
給每一硬體設備分配一個IP地址
B.
選擇合理的IP定址方式
C.
保證IP地址不重復
D.
動態獲得IP地址時可自由安排
3.
Internet的影響越來越大，人們常把它與報紙、廣播、電視等傳統媒體相比較，稱之為(
)。
A、第四媒體
B、交互媒體
C、全新媒體
D、交流媒體
4.
(4選2)網路按通信方式分類，可分為(
)。
A、點對點傳輸網路
B、廣播式傳輸網路
C、數據傳輸網
D、對等式網路
5.
下列說法中不正確的是(
)。
A、IP地址用於標識連入Internet上的計算機
B、在Ipv4協議中，一個IP地址由32位二進制數組成
C、在Ipv4協議中，IP地址常用帶點的十進制標記法書寫
D、A、B、C類地址是單播地址，D、E類是組播地址
6.
一個路由器有兩個埠，分別接到兩個網路，兩個網路各有一個主機，IP地址分別為110.25.53.1和110.24.53.6，子網掩碼均為255.255.0.0，請從中選出兩個IP地址分別分配給路由器的兩個埠(
)。
A、110.25.52.2和110.24.52.7
B、110.24.53.2和110.25.53.7
C、111.25.53.2和111.24.53.7
D、110.25.53.2和110.24.53.7
7.
(4選2)下列說法中屬於ISO/OSI七層協議中應用層功能的是(
)。
A、擁塞控制
B、電子郵件
C、防止高速的發送方的數據把低速的接收方淹沒
D、目錄查詢
8.
(4選3)如果發現網路變得很慢，經過觀察，發現網路沖突增加很多，以下哪些情況會引起此類故障(
)。
A、電纜太長
B、有網卡工作不正常
C、網路流量增大
D、電纜斷路
9.
下列網卡中，屬於按照匯流排類型分類的是(
)。
A、10M網卡、100M網卡
B、桌面網卡與伺服器網卡
C、PCI網卡、ISA網卡
D、粗纜網卡、細纜網卡
10.
RIP是(
)協議棧上一個重要的路由協議。
A、IPX
B、TCP/IP
C、NetBEUI
D、AppleTalk
11.
(4選3)下列關於中繼器的描述正確的是(
)。
A、擴展區域網傳輸距離
B、放大輸入信號
C、檢測到沖突，停止傳輸數據到發生沖突的網段
D、增加中繼器後，每個網段上的節點數可以大大增加
12.
下列屬於
10
Base-T中網卡與集線器之間雙絞線接法的是(
)。
A、l-l，2-2，3-3，6-6
B、l-3，2-6，3-l，6-2
C、1-2，2-1，3-6，6-3
D、1-6，2-3，3-2，6-l
13.
劃分VLAN的方法常用的有(
)、按MAC地址劃分和按第3層協議劃分3種。
A、按IP地址劃分
B、按交換埠號劃分
C、按幀劃分
D、按信元交換
14.
乙太網交換機的最大帶寬為(
)。
A、等於埠帶寬
B、大於埠帶寬的總和
C、等於埠帶寬的總和
D、小於埠帶寬的總和
15.
某公司位於A市，其分公司位於距A市120公里的B市，總部與分公司之間在上班時間內要經常性地進行大量電子表格傳遞，則應選擇的合理通信連接方式為(
)。
A、普通電話撥號聯網
B、光纜快速乙太網
C、幀中繼
D、星形網
三、填充題(每空1分，共20分)
1.
在下列括弧中填入區域網或廣域網
(
)通常為一個單位所擁有，(
)限制條件是傳輸通道的速率，(
)跨越無限的距離，(
)通常使用廣播技術來替代存儲轉發的路由選擇。
2.
虛擬主機服務是指為用戶提供(
)、(
)和網頁設計製作等服務。
3.
衡量數據通信的主要參數有(
)和(
)。
4.
IP地址11011011，00001101，00000101，11101110用點分10進製表示可寫為(
)。
5.
綜合布線系統可劃分為工作區子系統、骨幹線子系統、(
)、管理子系統、(
)和戶外子系統。
6.
任何網路都有以下三個要素，即：共享服務、(
)和(
)。
7.
IP地址分配有動態主機分配協議、(
)
和(
)
三種IP定址方式。
8.
防火牆的組成可以表示成(
)+(
)。
9.
認證主要包括實體認證和(
)兩大類。
10.
Intranet分層結構包括網路、(
)、應用三個層次。
11.
在TCP/IP網路中，測試連通性的常用命令是(
)。
四、簡答題(共40分)
1.
簡述通信子網與資源子網分別由哪些主要部分組成，其主要功能是什麼。(本題6分)
2.
試辯認以下IP地址的網路類別：(本題10分)
①
01010000，10100000，11，0101
②
10100001，1101，111，10111100
③
11010000，11，101，10000001
④
01110000，00110000，00111110，11011111
⑤
11101111，11111111，11111111，11111111
3.
簡述交換機與集線器在工作原理上的區別。(本題6分)
4.
簡述為何在網路中路由器通常比網橋有更長的時延。(本題8分)
5.
簡述不支持TCP/IP的設備應如何進行SNMP管理。(本題10分)
計算機網路模擬試題答案及評分標准
一、是非題(每題1分，共10分。正確的在括弧內劃√，錯的劃×，填入其它符號按錯論。)
1.(√)
2.(×)
3.(×)
4.(√)
5.(×)
6.(√)
7.(×)
8.(×)
9.(√)
10.(×)
二、單選題和多選題(每題2分，共30分。除題目特殊說明是多選題外，其他均為單選題。單選題在括弧內選擇最確切的一項作為答案。)
1.
C
2.
B、D
3.
A
4.
A、B
5.
D
6.
B
7.
B、D
8.
A、B、C
9.
C
10.
B
11.
A、B、C
12.
A
13.
B
14.
C
15.
C
三、填充題(每空1分，共20分)
1.區域網、廣域網、廣域網、區域網
2.域名注冊、伺服器空間租用
3.數據通信速率、誤碼率
4.219，13，5，238
5.水平布線子系統、設備間子系統
6.傳輸介質、網路協議
7.自動專用IP地址定址、手工設置
8.過濾器、安全策略
9.消息認證
10.服務
11.PING
四、簡答題(共40分)
1.(本題6分)
答：
通信子網負責整個網路的純粹通信部分，資源子網即是各種網路資源(主機上的列印機、軟體資源等)的集合。
通信子網由兩個不同的部件組成，即傳輸線和交換單元。傳輸介質也稱為電路、信道，信道是通信中傳遞信息的通道，包含發送信息、接收信息和轉發信息的設備。傳輸介質是指用於連接兩個或多個網路結點的物理傳輸電路，例如，電話線、同軸電纜、光纜等。通信信道應包括傳輸介質與通信設備，它是建立在傳輸介質之上的。採用多路復用技術時，一條物理傳輸介質上可以建立多條通信信道。
2.
(本題10分)
答：
01010000，10100000，11，0101
A類
10100001，1101，111，10111100
B類
11010000，11，101，10000001
C類
01110000，00110000，00111110，11011111
A類
11101111，11111111，11111111，11111111
D類
3.
(本題6分)
答：集線器採用“廣播模式”工作，很容易產生“廣播風暴”，當網路規模較大時性能會收到影響。交換機工作的原理是通過發出請求的埠和目的埠之間相互影響而不影響其他埠。因此交換機能夠抑制廣播風暴的產生並在一定程度上隔離沖突域。
4.
(本題8分)
答：由於“路由”過程中採用了源地址和目的地址存儲/轉發的技術，節點存儲/轉發的時延較大，每個節點都要接收、存儲、檢錯、糾錯、轉發大量的數據信息，路由表建表、改表和查表工作也會產生節點延遲。這些情況導致路由器的時延較長。
5.
(本題10分)
答：
SNMP要求所有的代理設備和管理站都必須實現TCP/IP。這樣，對於不支持TCP/IP的設備，就不能直接用SNMP進行管理。為此，提出了委託代理的概念。