2022年软考-信息安全工程师考前提分综合测验卷（附带答案及详解）套卷43

1、2022年软考-信息安全工程师考前提分综合测验卷（附带答案及详解）1. 单选题SSL协议（安全套接层协议）是Netscape公司推出的一种安全通信协议，以下服务中，SSL协议不能提供的是（ ）。问题1选项A.用户和服务器的合法性认证服务B.加密数据服务以隐藏被传输的数据C.维护数据的完整性D.基于UDP应用的安全保护【答案】D【解析】本题考查SSL协议。SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。其主要提供：（1）认证用户和服务器，确保数据发送到正确的客户机和服务器；（2）加密数据以防止数据中途被窃取；（3）维护数据的完整性，确保数据在传输过程中不被改变。故本题选D。点播：SSL是Secure Sockets Layer的缩写，是一种应用于传输层的安全协议，用于构建客户端和服务端之间的安全通道。该协议包含握手协议、密码规格变更协议、报警协议和记录层协议。SSL协议是介于应用层和TCP层之间的安全通信协议。其主要目的在于两个应用层之间相互通信时，使被传送的信息具有保密性及可靠性。2. 案例题阅读下列说明和C语言代码，回答问题1至问题4，将解答写在答题纸的对

2、应栏内。【说明】在客户服务器通信模型中，客户端需要每隔一定时间向服务器发送数据包，以确定服务器是否掉线，服务器也能以此判断客户端是否存活，这种每隔固定时间发一次的数据包也称为心跳包。心跳包的内容没有什么特别的规定，一般都是很小的包。某系统采用的请求和应答两种类型的心跳包格式如图4-1所示。图4-1 协议包格式心跳包类型占1个字节，主要是请求和响应两种类型；心跳包数据长度字段占2个字节，表示后续数据或者负载的长度。接收端收到该心跳包后的处理函数是process_heartbeat(),其中参数p指向心跳包的报文数据，s是对应客户端的socket网络通信套接字。void process_heartbeat(unsigned char *p, SOCKET s) unsigned short hbtype; unsigned int payload; hbtype=*p+; /心跳包类型 n2s(p, payload); /心跳包数据长度 pl=p; /pl指向心跳包数据 if（hbtype=HB_REQUEST） unsigned char *buffer, *bp; buffer=mal

3、loc(1+2+payload); *bp+=HB_RESPONSE; /填充1 byte的心跳包类型 s2n(payload, bp); /填充2 bytes的数据长度 memcpy(bp,pl,payload); /*将构造好的心跳响应包通过socket s返回客户端 */ r=write_bytes(s, buffer,3+payload); 【问题1】（4分）（1）心跳包数据长度字段的最大取值是多少？（2）心跳包中的数据长度字段给出的长度值是否必须和后续的数据字段的实际长度一致？【问题2】（5分）（1）上述接收代码存在什么样的安全漏洞？（2）该漏洞的危害是什么？【问题3】（2分）模糊测试（Fuzzing）是一种非常重要的信息系统安全测评方法，它是一种基于缺陷注入的自动化测试技术。请问模糊测试属于黑盒测试还是白盒测试？其测试结果是否存在误报？【问题4】（4分）模糊测试技术能否测试出上述代码存在的安全漏洞？为什么？【答案】【问题1】（1）心跳包数据长度的最大取值为65535。（2）必须是一致的。【问题2】存在溢出安全漏洞。接收端处理代码在组装响应包时，心跳包数据长度字段（paylo

4、ad）采用的是客户端。发送的请求包中使用的长度字段，由于心跳包数据长度字段完全由客户端控制，当payload大于实际心跳包数据的长度时，将导致越界访问接收端内存，从而泄露内存信息。（2分）造成的危害：在正常的情况下，response 报文中的data就是request报文中的data数据，但是在异常情况下，payload 的长度远大于实际数据的长度，这样就会发生内存的越界访问，但这种越界访问并不会直接导致程序异常，（因为这里直接memcpy后，服务器端并没有使用copy后的数据，而只是简单的进行了回复报文的填充，如果服务端使用了copy的数据也许就可能发现问题）这里使用了memcpy函数，该函数会直接根据长度把内存中数据复制给另一个变量。这样就给恶意的程序留下了后门，当恶意程序给data的长度变量赋值为65535时，就可以把内存中64KB的内存数据通过Response报文发送给客户端，这样客户端程序就可以获取到一些敏感数据泄露。【问题3】属于黑盒测试；不存在误报。【问题4】不能。因为不会产生异常，模糊测试器就无法监视到异常，从而无法检测到该漏洞。【解析】【问题1】已知表示心跳包的数据长

5、度值为2字节，则其最大长度为216-1=65535。心跳包中的数据长度字段给出的长度值必须与后续的数据字段的实际长度一致；如果不一致会产生“心脏出血”漏洞，造成有用数据泄露。【问题2】心脏出血漏洞主要通过攻击者模拟向服务器端发送自己编写的Heartbeat心跳数据包，主要是HeartbeatMessage的长度与payload的length进行匹配，若payload_lenght长度大于HeartbeatMessage的length，则会在服务器返回的response响应包中产生数据溢出，造成有用数据泄露。题中每条心跳包记录中包含一个类型域（type）、一个长度域（length）和一个指向记录数据的指针（data）。心跳包的第一个字节标明了心跳包的类型。宏n2s从指针p指向的数组中取出前两个字节，并把它们存入变量payload中这实际上是心跳包载荷的长度域（length）。注意程序并没有检查这条心跳包记录的实际长度。变量pl则指向由访问者提供的心跳包数据。buffer = malloc（1 + 2 + payload）；程序将分配一段由访问者指定大小的内存区域，这段内存区域最大为 （6

6、5535 + 1 + 2）个字节。变量bp是用来访问这段内存区域的指针。代码中宏s2n与宏n2s干的事情正好相反：s2n读入一个16 bit长的值，然后将它存成双字节值，所以s2n会将与请求的心跳包载荷长度相同的长度值存入变量payload。然后程序从pl处开始复制payload个字节到新分配的bp数组中pl指向了用户提供的心跳包数据。最后，程序将所有数据发回给用户。如果用户并没有在心跳包中提供足够多的数据，比如pl指向的数据实际上只有一个字节，那么memcpy会把这条心跳包记录之后的数据（无论那些数据是什么）都复制出来。分配的buffer是根据数据包给出的长度字段来分配的，并在memcpy函数实现内存数据拷贝，因此有可能越界读取额外的内存数据，造成信息泄露。【问题3】模糊测试是一种黑盒测试技术，它将大量的畸形数据输入到目标程序中，通过监测程序的异常来发现被崩程序中可能存在的安全漏洞。模糊测试是一种基于缺陷注入的自动化测试技术，没有具体的执行规则，旨在预测软件中可能存在的错误以及什么样的输入能够触发错误。其通过模糊器向目标应用发送大量的畸形数据并监视程序运行异常以发现软件故障，通过记录

7、触发异常的输入数据来进一步定位异常位置。与基于源代码的白盒测试相比，模糊测试的测试对象是二进制目标文件，因而具有更好的适用性：模糊测试是一种自动化的动态漏洞挖掘技术，不存在误报，也不需要人工进行大量的逆向分析工作。【问题4】上述代码存在的信息泄露漏洞在模糊测试过程中，不管用什么样的数据包长度去测试，被测代码都是正常运行，没有出现异常情况，因此也就无法判断是否有漏洞，所以模糊测试无法测试出该代码存在的漏洞。3. 单选题在需要保护的信息资产中，（ ）是最重要的。问题1选项A.环境B.硬件C.数据D.软件【答案】C【解析】本题考查信息资产方面的基础知识。在需要保护的信息资产中，未备份的数据若丢失或损坏是难以恢复的，因此数据是最重要的。答案选C。4. 单选题为确保关键信息基础设施供应链安全，维护国家安全，依据（ ）， 2020年4月27日，国家互联网信息办公室等12个部门联合发布了网络安全审查办法，该办法自2020年6月1日实施，将重点评估采购网络产品和服务可能带来的国家安全风险。问题1选项A.中华人民共和国国家安全法和中华人民共和国网络安全法B.中华人民共和国国家保密法和中华人民共和国网络安

8、全法C.中华人民共和国国家安全法和网络安全等级保护条例D.中华人民共和国国家安全法和中华人民共和国国家保密法【答案】A【解析】本题考查网络安全相关法律法规的知识。在中华人民共和国国家安全法和中华人民共和国网络安全法中，有相关条款对网络产品和服务的采购有相应要求。答案选A。5. 单选题安全模型是一种对安全需求与安全策略的抽象概念模型，安全策略模型一般分为自主访问控制模型和强制访问控制模型。以下属于自主访问控制模型的是 （ ）。问题1选项A.BLP模型B.基于角色的存取控制模型C.BN模型D.访问控制矩阵模型【答案】D【解析】本题考查访问控制模型的相关知识。BLP模型：Bell-LaPadula模型是符合军事安全策略的计算机安全模型，简称BLP模型。BLP模型有两个特性：简单安全特性：主体只能向下读，不能向上读；*特性：主体只能向上写，不能向下写。基于角色的存取控制模型：基于角色的访问控制（RBAC）就是指根据完成某些职责任务所需要的访问权限来进行授权和管理。BN模型：在深度神经网络训练过程中使得每一层神经网络的输入保持相同分布。访问控制矩阵模型：访问控制矩阵是用矩阵的形式描述系统的访问控制的模型。自主访问控制的基本思想是访问控制中访问客体的拥有者具有很大的权限，能够决定客体是否可以被相应主体访问，并且可以迁移和转让访问客体。在 DAC 模型中，访问权限是否进行授权需要根据主体情况并结合具体的安全规则从而做出判断，DAC 有访问控制矩阵和访问控制列表两种实施方式。故本题选D。点播：自主访问控制指客体的所有者按照自己的安全策略授予系统中其他用户对其的访问权。目前自主访问控制的实现方法有两类：基于行的自主访问控制和基于列的自主访问控制。强制访问控制是指系统根据主体和客体的安全属性，以强制的方式控制主体对客体的访问。6. 单选题网络系统中针对海量数据的加密，通常不采用（ ）方式。问题1选项A.会话加密B.公钥加密C.链路加密D.端对端加密【答案】B【解析】本题考查公钥体制相关知识。公钥加密加密算法复杂且加解密效率低，需要较大的计算量，一般只适用于少量数据的

《2022年软考-信息安全工程师考前提分综合测验卷（附带答案及详解）套卷43》由会员ni****g分享，可在线阅读，更多相关《2022年软考-信息安全工程师考前提分综合测验卷（附带答案及详解）套卷43》请在金锄头文库上搜索。