西南地区网络安全知识竞赛小测验

Q1:姓名

Q2:【单选】根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度，将数据划分为三个法定保护层级，下列不属于法定层级的是（ ）。

Q3:【单选】关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过（ ）组织的国家安全审查。

Q4:【单选】根据《网络安全法》，网络运营者应当采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于（ ）。

Q5:【单选】《网络安全审查办法》规定，网络安全审查重点评估的七类风险因素中，不包括（ ）。

Q6:【单选】信息系统安全保护等级中，第三级系统应当（ ）进行一次等级测评。

Q7:【单选】根据《信息安全等级保护管理办法》，已运营的第二级以上信息系统，应当在安全保护等级确定后（ ）内，由运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

Q8:【单选】关于信息安全风险管理中的“残余风险”，下列说法错误的是（ ）。

Q9:【单选】根据《数据安全法》，开展数据处理活动应当依照法律、法规的规定，建立健全（ ）管理制度。

Q10:【多选】根据《网络安全法》，关键信息基础设施的运营者应当履行的安全保护义务包括（ ）。

Q11:【多选】新修订的《网络安全法》关于人工智能安全与发展的规定，主要包括（ ）。

Q12:【多选】信息安全管理的“三同步”原则是指建设关键信息基础设施时，安全技术措施应当（ ）。

Q13:【多选】下列关于信息安全事件分级的说法，正确的有（ ）。

Q14:【判断】关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据，因业务需要确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。（ ）

Q15:【判断】我国《网络安全法》规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，并经被收集者同意。（ ）

Q16:【判断】根据《数据安全法》，重要数据应当明确数据安全负责人和管理机构，落实数据安全保护责任。（ ）

Q17:【单选】（WAF绕过实战）2025年CTF中常见的WAF绕过技术中，以下哪种方法最可能成功绕过基于“规则引擎+语义分析”的新型WAF？（ ）

Q18:【单选】（防火墙安全功能）以下哪项不是防火墙提供的安全功能？（ ）

Q19:【单选】（SSRF内网探测）某网站存在SSRF漏洞，参数url允许用户指定远程地址，服务器会请求该地址并返回响应内容。攻击者最可能利用此漏洞进行（ ）。

Q20:【单选】（入侵检测系统分类）入侵检测系统按数据来源分类，可以分为（ ）。

Q21:【单选】（混淆代码分析）以下混淆代码中，真实的加密逻辑是（ ）。for (int i = 0; i len; i++) { int temp1 = input[i]; int temp2 = (i * 7 + 3) % 256; if (temp2 128) { temp2 = temp2 - 256; } output[i] = temp1 ^ key; key = (key + 1) % 256; }

Q22:【单选】（RSA数字签名验证）服务器使用RSA对消息进行签名，公钥为(n, e)，签名为σ。攻击者发现服务器在签名时未对消息进行哈希填充，直接对消息m进行签名。该漏洞可被利用来（ ）。

Q23:【单选】（JWT算法混淆攻击）某系统使用JWT进行身份认证，头部为{alg:HS256}，服务器使用公钥验证签名。攻击者将头部修改为{alg:none}并去除签名部分后仍能通过验证。该漏洞产生的原因是（ ）。

Q24:【单选】（Web漏洞综合识别）以下哪种漏洞组合最可能导致服务器被完全控制（RCE）？（ ）

Q25:【单选】（DNS隧道流量分析）在某次应急响应中捕获到一段流量包，发现大量DNS查询请求，查询域名格式为{十六进制字符串}.google.com，且首部字节为50 4b 03 04。最可能的情况是（ ）。

Q26:【单选】（RBAC权限模型）某公司使用基于角色的访问控制（RBAC）模型，普通员工通过修改URL中的资源ID即可访问不属于自己部门的敏感数据。该问题违反了RBAC模型中的（ ）原则。