网络安全面试题汇总+答案，史上最全网安面试题合集

前言

又到了秋招的时候，难免有不少小伙伴面临跳槽或者找工作，本文总结了常见的安全岗位面试题，方便各位复习。祝各位事业顺利，财运亨通。

点击此处即可领取全套网安面试题

1、什么是SQL注入攻击

前端代码未被解析被代入到数据库导致数据库报错

2、什么是XSS攻击

跨站脚本攻击 在网页中嵌入客户端恶意脚本，常用s语言，也会用其他脚本语言
属于客户端攻击，受害者是用户，网站管理员也属于用户，攻击者一般也是靠管理员身份作为跳板

3、什么是CSRF攻击

程序在开发的时候，未对相关页面进行token和REFERER判断，造成攻击者可构造自己的URL地址欺骗目标用户进行点击

4、什么是文件上传漏洞

任意文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件

5、DDos 攻击

分布式拒绝服务，分布式拒绝服务攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。

6、重要协议分布图

1、网络层、IP协议+MAC地址
2、传输层、TCP、UTP协议
3、应用层、HTTP、SSH、FTP协议

7、arp协议的工作原理

在任何时候，一台主机有IP数据报文发送给另一台主机，它都要知道接收方的逻辑（IP）地址。但是IP地址必须封装成帧才能通过物理网络。这就意味着发送方必须有接收方的物理（MAC）地址，因此需要完成逻辑地址到物理地址的映射。而ARP协议可以接收来自IP协议的逻辑地址，将其映射为相应的物理地址，然后把物理地址递交给数据链路层。

8、七层模型

应用层、表示层、会话层、传输层、网络层、数据链路层、物理层

9、对于云安全的理解

融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，传送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端

10、DDOS是什么？有哪些？CC攻击是什么？区别是什么？

DDOS：

分布式拒绝服务攻击，利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应
主要方式：
SYN Flood
UDP Flood
ICMP Flood
Connection Flood
HTTP Get
UDP DNS Query Flood

11、RIP的缺点

1、收敛速度慢：当网络中发生故障或拓扑结构变化时，RIP协议需要较长的时间才能使整个网络的路由表更新。这是因为RIP协议的更新周期较长，而且它使用的是距离向量算法，无法快速适应网络变化。

2、不支持大型网络：RIP协议只能支持较小规模的网络，当网络规模变大时，RIP协议会产生大量的路由信息，从而消耗大量的带宽和处理能力，导致网络性能下降。

3、不支持VLSM：RIP协议只能支持固定长度的子网掩码，无法支持可变长度子网掩码（VLSM），这限制了RIP协议在复杂网络环境中的应用。

4、安全性差：RIP协议没有对路由信息进行验证和加密，容易受到欺骗和攻击，从而导致网络安全问题。

12、land攻击是什么？

局域网拒绝服务攻击，DDOS攻击的一种，通过发送精心构造的、具有相同源地址和目标地址的欺骗数据包，致使缺乏相应防护机制的目标设备瘫痪

13、TCP与UDP区别总结?

1、连接：TCP是面向连接的协议，而UDP是无连接的协议。这意味着
TCP在发送数据之前需要建立连接，而UDP则不需要。

2、可靠性：TCP提供可靠的数据传输，因为它使用确认和重传机制来确保数据传输的正确性。而UDP没有这个机制，因此可能会丢失数据包。

3、速度：UDP比TCP更快，因为它没有建立连接和确认机制，数据可以更快地传输。

4、带宽：TCP具有自适应拥塞控制，可以动态调整传输速率以适应网络状况，从而最大化利用可用带宽。而UDP则没有这个功能。

5、适用范围：TCP适用于需要可靠传输和有序交付的应用程序，例如电子邮件、文件传输和Web浏览器。而UDP适用于需要快速传输和实时性的应用程序，例如视频流、游戏和音频通话。

14、GET和 POST的区别

1、GET请求用于获取资源，通常不会改变服务器上的数据。GET请求通过URL传递数据，数据会附加在URL的末尾，形成查询字符串。查询字符串以问号"?“开头，参数之间用”&"符号连接，由于数据以明文形式传递，因此不适合传输敏感数据。此外，URL的长度有限制，不同浏览器对URL长度的限制也不同。

2、POST请求用于提交数据，通常会改变服务器上的数据。POST请求通过请求正文传递数据，数据不会附加在URL上。因为数据被包含在请求正文中，所以POST请求不会有URL长度的限制。POST请求适合用于传输大量数据或敏感数据。GET请求适合用于请求数据，而POST请求适合用于提交数据。

15、如何防护一个端口的安全？

利用WAF、IDS、IPS等设备
危险服务端口禁止对外访问或限制IP访问
服务定期更新版本

16、webshell检测思路？

静态检测：匹配特征码，特征值，危险函数
动态检测：WAF、IDS等设备
日志检测：通过IP访问规律，页面访问规律筛选
文件完整性监控

17、web常用的加密算法有什么

单向散列加密 MD5、SHA、MAC
对称加密 AES、DES
非对称加密 RSA、RSA2

18、XSS除了获取cookies还能做什么？

获取管理员ip
xss蠕虫
钓鱼攻击
前端JS挖矿
键盘记录
屏幕截图

19、DNS欺骗是什么

攻击者冒充域名服务器的一种欺骗行为

20、企业内部安全

实名制联网
重要网段隔离
禁止接入任何USB设备
禁用WIFI网络
IP与MAC地址绑定
部署网络监控、IDS、IPS设备
定期培训，提高员工安全意识

21、业务上线前，怎么测试，从哪些角度测试

安全测试：寻找产品漏洞，页面漏洞，服务漏洞，敏感信息泄露，逻辑漏洞，弱口令
性能测试：压力测试
功能完整性测试

22、只有一个登录页面有哪些思路？

SQL注入、万能密码
暴力破解
权限绕过
目录扫描
敏感信息泄露

23、请求头中哪些是有危害的？

COOKIE注入
user-agent注入
X-Forwarded-For注入
Referer注入

24、谈谈水平/垂直/未授权越权访问的区别?

水平越权：普通用户越权访问普通用户
垂直越权：普通用户越权访问管理用户
未授权访问：权限控制不严，导致无需登录访问已登录用户页面

25、xss有什么？执行存储型的xss的危害和原理

存储型、反射型、DOM型
存储型XSS是指应用程序通过Web请求获取不可信赖的数据，在未检验数据是否存在XSS代码的情况下，便将其存入数据库

存储型XSS危害：

窃取用户Cookie
XSS钓鱼攻击
XSS蠕虫攻击
获取键盘记录
获取用户信息
获取屏幕截图

由于篇幅有限,文章仅展示部分资料,完整资料请点击此处领取

网络安全学习路线&学习资源

点击此处即可领取282G网络安全学习资料