試題一:閱讀下列說明和C語言代碼,回答問題1至問題4,將解答寫在答題紙的對應欄內。
【說明】
在客戶服務器通信模型中,客戶端需要每隔一定時間向服務器發(fā)送數據包,以確定服務器是否掉線,服務器也能以此判斷客戶端是否存活,這種每隔固定時間發(fā)一次的數據包也稱為心跳包。心跳包的內容沒有什么特別的規(guī)定,一般都是很小的包。
某系統(tǒng)采用的請求和應答兩種類型的心跳包格式如圖4-1所示。
心跳包類型占1個字節(jié),主要是請求和響應兩種類型;
心跳包數據長度字段占2個字節(jié),表示后續(xù)數據或者負載的長度。
接收端收到該心跳包后的處理函數是process_heartbeat(),其中參數p指向心跳包的報文數據,s是對應客戶端的socket網絡通信套接字。
【問題1】(4分)
(1)心跳包數據長度字段的最大取值是多少?
(2)心跳包中的數據長度字段給出的長度值是否必須和后續(xù)的數據字段的實際長度一致?
【問題2】(5分)
(1)上述接收代碼存在什么樣的安全漏洞?
(2)該漏洞的危害是什么?
【問題3】(2分)
模糊測試(Fuzzing)是一種非常重要的信息系統(tǒng)安全測評方法,它是一種基于缺陷注入的自動化測試技術。請問模糊測試屬于黑盒測試還是白盒測試?其測試結果是否存在誤報?
【問題4】(4分)
模糊測試技術能否測試出上述代碼存在的安全漏洞?為什么?
查看答案
參考答案:
參考解析:m.xiexiliangjiufa.com/st/389985212.html
信管網考友試題答案分享:
信管網cnitpm559307559123:
【問題1】
16
不用一樣
【問題2】
(1)上述接收代碼存在什么樣的安全漏洞?
字段類型錯誤,混用
(2)該漏洞的危害是什么?
無法進行賦值
【問題3】
問模糊測試屬于黑盒測試;其測試結果不存在存在誤報
【問題4】
能,通過模糊測試,提交不符合字符串類型的數據,會產生報錯,程序無法正常運行,存在漏洞
信管網echogin:
65535
否
緩沖區(qū)溢出
應用系統(tǒng)運行異常,應用系統(tǒng)不穩(wěn)定甚至崩潰,程序執(zhí)行惡意代碼,竊取管理員權限
黑盒測試 沒有誤報
不能,不能檢測異常,無法確認漏洞是否存在
信管網echogin:
65535
否
緩沖區(qū)溢出
應用程序運行不正常,可能引起系統(tǒng)崩潰,程序執(zhí)行惡意代碼,竊取管理員權限
黑盒測試 不存在
能
信管網cnitpm565877316067:
1.8字節(jié) 不是
2.溢出漏洞 超出字節(jié)長度 會導致數據溢出
3.黑盒測試 不存在誤報
4.不能 黑盒測試看不到基于代碼的漏洞
信管網xjbluesky:
問題一
1、1500字節(jié)
2、不需要
問題二
1、緩沖區(qū)溢出漏洞
2、使攻擊者獲取部分或者全部的控制權
問題三:
模糊測試屬于黑盒測試,不存在誤報
問題四
可以測試出漏洞,是一種動態(tài)化的漏洞挖掘技術
試題二:閱讀下列說明和圖,回答問題1至問題2,將解答填入答題紙的對應欄內。
【說明】
訪問控制是對信息系統(tǒng)資源進行保護的重要措施,適當的訪問控制能夠阻止未經授權的用戶有意或者無意地獲取資源。訪問控制一般是在操作系統(tǒng)的控制下,按照事先確定的規(guī)則決定是否允許用戶對資源的訪問。圖2-1給出了某系統(tǒng)對客體traceroute.mpg實施的訪問控制規(guī)則。
【問題1】(3分)
針對信息系統(tǒng)的訪問控制包含哪些基本要素?
【問題2】(7分)
分別寫出圖2-1中用戶Administrator對應三種訪問控制實現方法,即能力表、訪問控制表、訪問控制矩陣下的訪問控制規(guī)則。
查看答案
參考答案:
參考解析:m.xiexiliangjiufa.com/st/2851629359.html
信管網考友試題答案分享:
信管網velen000:
1、主體 客體 授權訪問
2、能力表:客體traceroute.mpg 主體:administratro,rx
訪問控制表:主體:administratro 客體traceroute.mpg,rx
信管網echogin:
主體、客體、授權訪問
能力表:主體 administrator:traceroute.mpg 讀取,運行
訪問控制表 客體 traceroute.mpg <administrator,r,x>
訪問控制矩陣: traceroute.mpg
administrator r,x
信管網echogin:
主體、客體、授權訪問
能力表:administrator:traceroute.mpg 讀取,運行
訪問控制表 administrator:traceroute.mpg <>
備考刷題推薦:
【估分/對答案收藏】2022年下半年信息安全工程師真題答案解析(綜合+案例)
報信管網信息安全工程師培訓課程享有報名首次郵送內部學習資料及用品 +全科目系統(tǒng)精講課程+課程課后配套習題練習+ 軟題庫免費刷題等服務?!?a href="http://m.xiexiliangjiufa.com/aqpeixun.html" target="_blank">點擊了解詳情】
溫馨提示:因考試政策、內容不斷變化與調整,信管網網站提供的以上信息僅供參考,如有異議,請以權威部門公布的內容為準!
信管網致力于為廣大信管從業(yè)人員、愛好者、大學生提供專業(yè)、高質量的課程和服務,解決其考試證書、技能提升和就業(yè)的需求。
信管網軟考課程由信管網依托10年專業(yè)軟考教研傾力打造,官方教材參編作者和資深講師坐鎮(zhèn),通過深研歷年考試出題規(guī)律與考試大綱,深挖核心知識與高頻考點,為學員考試保駕護航。面授、直播&錄播,多種班型靈活學習,滿足不同學員考證需求,降低課程學習難度,使學習效果事半功倍。
發(fā)表評論 查看完整評論 | |