信息安全工程師案例分析當(dāng)天每日一練試題地址：m.xiexiliangjiufa.com/exam/ExamDayAL.aspx?t1=6

往期信息安全工程師每日一練試題匯總：m.xiexiliangjiufa.com/class/27/e6_1.html

信息安全工程師案例分析每日一練試題（2021/12/25）在線測(cè)試：m.xiexiliangjiufa.com/exam/ExamDayAL.aspx?t1=6&day=2021/12/25

點(diǎn)擊查看：更多信息安全工程師習(xí)題與指導(dǎo)

信息安全工程師案例分析每日一練試題內(nèi)容（2021/12/25）

閱讀下列說(shuō)明和C語(yǔ)言代碼,回答問(wèn)題1至問(wèn)題4,將解答寫(xiě)在答題紙的對(duì)應(yīng)欄內(nèi)。
【說(shuō)明】
在客戶服務(wù)器通信模型中,客戶端需要每隔一定時(shí)間向服務(wù)器發(fā)送數(shù)據(jù)包,以確定服務(wù)器是否掉線,服務(wù)器也能以此判斷客戶端是否存活,這種每隔固定時(shí)間發(fā)一次的數(shù)據(jù)包也稱為心跳包。心跳包的內(nèi)容沒(méi)有什么特別的規(guī)定,一般都是很小的包。
某系統(tǒng)采用的請(qǐng)求和應(yīng)答兩種類型的心跳包格式如圖4-1所示。

心跳包類型占1個(gè)字節(jié)，主要是請(qǐng)求和響應(yīng)兩種類型；
心跳包數(shù)據(jù)長(zhǎng)度字段占2個(gè)字節(jié)，表示后續(xù)數(shù)據(jù)或者負(fù)載的長(zhǎng)度。
接收端收到該心跳包后的處理函數(shù)是process_heartbeat(),其中參數(shù)p指向心跳包的報(bào)文數(shù)據(jù),s是對(duì)應(yīng)客戶端的socket網(wǎng)絡(luò)通信套接字。

【問(wèn)題1】（4分）
（1）心跳包數(shù)據(jù)長(zhǎng)度字段的最大取值是多少?
（2）心跳包中的數(shù)據(jù)長(zhǎng)度字段給出的長(zhǎng)度值是否必須和后續(xù)的數(shù)據(jù)字段的實(shí)際長(zhǎng)度一致？
【問(wèn)題2】（5分）
（1）上述接收代碼存在什么樣的安全漏洞?
（2）該漏洞的危害是什么?
【問(wèn)題3】（2分）
模糊測(cè)試(Fuzzing)是一種非常重要的信息系統(tǒng)安全測(cè)評(píng)方法,它是一種基于缺陷注入的自動(dòng)化測(cè)試技術(shù)。請(qǐng)問(wèn)模糊測(cè)試屬于黑盒測(cè)試還是白盒測(cè)試?其測(cè)試結(jié)果是否存在誤報(bào)?
【問(wèn)題4】（4分）
模糊測(cè)試技術(shù)能否測(cè)試出上述代碼存在的安全漏洞?為什么?

信管網(wǎng)cnitpm480111948342：
（1）215 否 （2）內(nèi)存緩沖溢出。只要輸入長(zhǎng)度超過(guò)預(yù)設(shè)的長(zhǎng)度，那么就會(huì)導(dǎo)致溢出，造成不正確的驗(yàn)證 （3）黑盒，存在。 （4）不可以。因?yàn)闆](méi)有進(jìn)入代碼測(cè)試，無(wú)法發(fā)現(xiàn)漏洞

信管網(wǎng)9abc123：
65535 安全要求必須一致。本題沒(méi)做要求，可以不一致。 內(nèi)存溢出 返回給客戶端不可預(yù)知的數(shù)據(jù)信息 黑盒測(cè)試 不存在誤報(bào) 不能 不論提供什么參數(shù)、返回什么樣的信息，均不影響程序的運(yùn)行。

信管網(wǎng)cnitpm479344739299：
問(wèn)題1 65535 必須一致 問(wèn)題2 心臟出血漏洞 信息會(huì)泄露 問(wèn)題3 黑盒測(cè)試 不存在誤報(bào) 問(wèn)題4 可以，因?yàn)槟：郎y(cè)試靠大量數(shù)據(jù)進(jìn)行填充，不依賴于知道內(nèi)部實(shí)現(xiàn)，可以直接測(cè)出問(wèn)題

信管網(wǎng)cnitpm430965388779：
1、16位，32769 是 2、 緩沖區(qū)溢出 在內(nèi)存溢出的地方寫(xiě)入惡意代碼執(zhí)行 3、 白盒測(cè)試，存在誤報(bào) 4、 可以，輸入過(guò)長(zhǎng)的字符可以爆出緩沖區(qū)溢出的問(wèn)題

信管網(wǎng)cnitpm471544347567：
1.65535 2.必須一致 3.心臟滴血漏洞，該漏洞會(huì)導(dǎo)致有用數(shù)據(jù)泄露 4.黑盒， 不存在誤報(bào) 5.可以檢測(cè)出，