网络安全面试题整理 - 甲方类（一）

最新推荐文章于 2024-06-12 18:26:02 发布

不是程序媛ya

最新推荐文章于 2024-06-12 18:26:02 发布

阅读量1.1k

点赞数 1

文章标签： web安全安全网络网络安全学习

本文链接：https://blog.csdn.net/yinjiyufei/article/details/128208587

版权

本文整理了关于网络安全的面试题，涵盖编程语言漏洞、DDoS攻击检测、TLS加密过程、非对称加密效率提升以及企业安全运营建设。其中，发现DDoS攻击的方法包括部署流量监视系统、利用DPI技术、日志记录等。TLS加密过程涉及握手协议、密码规格变更协议等，提升非对称加密效率可以采用硬件加密模块和椭圆曲线算法。企业安全运营建设包括合规性建设、组织架构、服务体系建设以及安全管理等多个方面。

摘要由CSDN通过智能技术生成

以下是对目前部分热门的甲方面试/笔试题（偏管理和运营）的总结和思考，希望可以帮助到正在准备甲方面试的你们；

愿我们披荆斩棘，享受前进路上的每一处风景

1. 简述一下目前主流编程语言的相关漏洞

答：

这个题的相关思路就是聊一聊目前主流语言的漏洞，你可以从两个方面进行阐述：
- 1. Java 、Python、PHP（漏洞大户）的相关漏洞，其实也是那几个；
  2. 聊聊你知道的框架 - 比如Apache基金会框架、PHPAdmin、Python主流Web架构 - jinjia2、Django等；
- Python的漏洞：
  - 注入：Django 2022新的SQL注入漏洞，即使Django采用参数化查询和ORM的防范SQL注入也存在字典注入的方式，2022最新的CVE漏洞利用QuerySet.annotate()、aggregate()和extra()方法进行注入；
  - XML： XML的读取会造成DoS攻击；XXE 攻击的利用；
  - assert 语句：不要使用 assert 语句来防止用户访问特定代码段。默认情况下，Python 以 debug 为 true 来执行脚本，但在真实环境中，通常使用优化运行，这将会跳过 assert 语句并直接转到安全代码，而不管用户是否是 is_admin 。
  - site-package：伪造官方库进行代码注入和代码伪造；
- Java漏洞：
  - Java最著名的就是反序列化漏洞，反序列化漏洞出现在WebLogic、JBoss等常见Web容器；
  - Structs2就是任意代码执行
  - Log4j2 也是很火的漏洞
  - Shiro 的身份验证绕过、远程代码执行；
- PHP漏洞：一抓一大把
  - ThinlkPHP的远程代码执行
  - PHP的反序列化
  - ThinkPHP文件包含
  - PHP不安全函数： chroot、exec、一句话木马、proc_open等

2.如何发现目前在运行的相关系统正在遭受DDoS攻击？（10分）

答：

问题背景：
- 首先现在大多数企业已经不自己购买抗DoS的相关防御设备了，或者只是简单部署DoS流量防御设备系统，因为如果企业遭受到DoS攻击指望那几台互联网出口的抗D设备已经无法满足需求，如果互联网出入口出现高峰流量就会直接将设备打挂，从而设备流量被绕过，还是无法做到流量清洗和DoS的相关防御；
- 本身这种攻击就没有有效的防御方法，最好的方法是在运营商上就做好流量清洗和流量黑洞，才能更有效的防范，因此最为省事和有效的办法是购买运营商的流量清洗服务；
- CDN其实也是一个很有效的防范DoS攻击的途经，也是成本低廉的解决问题的方式；
如何发现系统正在遭受攻击？
- 首先，可以在现网中部署流量监视系统或者流量审计系统，从而对业务流量进行监视，进行业务正常流量和IP地址的追踪和观察，形成自身的业务流量安全相关模型，明确内网服务器或者自身应用系统对于服务流量的上限，设立相关的警戒阈值，超过该阈值需要考虑是否遭受DoS攻击；
  - 利用分布式多核硬件技术，基