格力2020秋招网络安全岗笔试题

1.访问控制能够有效地防止对资源的非授权访问，一个典型的访问控制规则不包括（）

A主体

B客体

C认证

D控制策略

 

访问控制包括三个要素：主体、客体和控制策略。

2.彩虹表是一个用于加密散列函数逆运算的预先计算好的表,为破解密码的散列值而准备，即“撞库”，以下哪种方式能很好的防止“撞库”（）

加盐：其基本想法是这样的：当用户首次提供密码时（通常是注册时），由系统自动往这个密码里撒一些“佐料”，然后再散列。而当用户登录时，系统为用户提供的代码撒上同样的“佐料”，然后散列，再比较散列值，已确定密码是否正确。

3.缓冲区溢出攻击是通过向程序的缓冲区写入超过预定长度的数据，从而破坏程序的堆栈，导致程序执行流程改变

4.为了保证存储在数据库中数据的完整性，数据库管理系统提供了多种完整性约束，包括实体完整性（通过主键约束条件）、1完整性（通过主外键约束条件）、用户自定义完整性（通过Check子句）等

1) 实体完整性：规定表的每一行在表中是惟一的实体。

2) 域完整性：是指表中的列必须满足某种特定的数据类型约束，其中约束又包括取值范围、精度等规定。

3) 参照完整性：是指两个表的主关键字和外关键字的数据应一致，保证了表之间的数据的一致性，防止了数据丢失或无意义的数据在数据库中扩散。

4) 用户定义的完整性：不同的关系数据库系统根据其应用环境的不同，往往还需要一些特殊的约束条件。用户定义的完整性即是针对某个特定关系数据库的约束条件，它反映某一具体应用必须满足的语义要求。

5.OSI七层模型中的网络层负责为数据传送的目的地址寻址，再选择出传送数据的最佳路线

6.简述拒绝服务攻击原理以及常用攻击手段及预防

拒绝服务攻击主要是计算机网络带宽攻击和连通性攻击，通过耗用有限计算机资源，使得目标主机无法正常提供服务。常用攻击手段为通过攻击计算机控制多台主机，对目标主机实施攻击，大量瞬时网络流量阻塞网络，使得目标主机网络及服务瘫痪。

网络层攻击：

比较典型的攻击类型是 UDP 反射攻击，例如 NTP Flood 攻击。这类攻击主要利用大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问。

传输层攻击：

比较典型的攻击类型包括 SYN Flood 攻击、连接数攻击等。这类攻击通过占用服务器的连接池资源从而达到拒绝服务的目的。

会话层攻击：

比较典型的攻击类型是 SSL 连接攻击。这类攻击占用服务器的 SSL 会话资源从而达到拒绝服务的目的。

应用层攻击：

比较典型的攻击类型包括 DNS flood 攻击、HTTP flood 攻击（即 CC 攻击）、游戏假人攻击等。这类攻击占用服务器的应用处理资源，极大地消耗服务器计算资源，从而达到拒绝服务的目的。

预防：

（1）通过 iptables 封禁攻击者 ip 缓解 DDOS 攻击

（2）脚本优化内核参数，例如打开 SYN cookies 功能，该功能可以尽量把过多的 SYN 请求缓存起来等

（3）修改 HTTPD 服务的队列长度，每个应用会有自己默认的队列长度，应用的队列长度和系统队列长度取最小值。

7.简述ARP欺骗的原理及防范措施

原理：
ARP是地址解析协议，用于将网络层地址（IP地址）解析为数据链路层地址（MAC地址）。为提高效率，操作系统会在缓存中维持一个IP地址与MAC地址的映射表，ARP欺骗就是通过修改ARP缓存来冒充收信人主机而实现的。

预防：

1）在客户端使用ARP命令绑定网关的IP/MAC地址
2）在交换机上做端口与MAC地址的静态绑定
3）在路由器上做IP与MAC地址的静态绑定 
4）部署对抗ARP欺骗的软件，例如可检测网络中地址变化的Arpwatch、终端使用的软件防火墙等。