19 道扫描结果分析练习题及答案
CompTIA CySA+ 考试练习的全部扫描结果分析练习题，附正确答案和简短解析。
开始练习测验 →1. 对一台 Linux Web 服务器做非凭据扫描，报出 11 项严重发现；两小时后对同一主机做凭据扫描只报出 3 项，消失的 8 项全部是从服务 banner 推断出来的。期间没有安装任何补丁。这一对比最可靠地说明了什么？
- A.凭据扫描因为登录了主机，屏蔽了只能从网络侧看到的那些问题，所以对外上报时应采用非凭据扫描得出的 11 项这个更保守的数字。
- B.两小时内自动更新服务修好了 8 个问题，因此这个差异反映的是补丁已经生效，而不是两种扫描方式之间的差别。
- C.凭据扫描能读到已安装软件包的实际版本，因此那 8 项仅凭 banner 得出的结论应视为未确认，必须到主机上核实。✓ 答案
- D.凭据扫描持有登录凭据，只会报配置类问题，因此缺少的那 8 项属于只有非凭据扫描才能发现的网络层缺陷。
凭据检查会登录主机并读取实际安装的软件包与补丁状态，因此能判定 banner 只能猜测的内容。基于 banner 或版本字符串的推断是误报的首要来源，所以只有非凭据扫描报出的那 8 项属于未经验证的主张，而不是已整改的条目。
编号 QB-CZPQ38依据： CompTIA CySA+ CS0-004 Objective 2.2 (analyze output from vulnerability assessment tools), with 2.1 credentialed vs non-credentialed scanning报告此题的问题
2. 扫描报告在某主机 443 端口上列出“Web 服务器 2.4.29 — 多个严重漏洞”，证据字段里只有一条 HTTP Server 响应头。该主机是一台终结 TLS 并把请求转发给应用服务器的反向代理。在开出整改工单之前，正确的做法是什么？
- A.把工单开给代理后面的应用服务器，因为扫描器读到的那个 Server 响应头是它们在转发连接上返回的。
- B.按误报关闭该发现，因为 Server 响应头的内容可以任意设置，所以它永远不构成真实软件版本的证据。
- C.接受报告中的版本并安排升级，因为该 banner 由正在监听的服务本身返回，而且与扫描插件对该版本的特征匹配。
- D.先在代理主机上确认究竟是哪个软件包在监听 443 端口、版本和补丁状态如何，再把这份证据记录到该发现上。✓ 答案
从响应头推断出来的发现只是关于软件的一种假设，而在代理上这个头可能描述代理本身、后端，甚至什么都不代表。验证意味着在主机上确定究竟是什么在监听、补丁状态如何，并把证据附到发现上，然后才能要求别人据此行动。
编号 QB-UGHJG7依据： CompTIA CySA+ CS0-004 Objective 2.2 - validate findings and identify false positives before remediation报告此题的问题
3. 季度扫描在 40 个内部管理界面上报出“SSL 证书不可信”。这些证书都由本组织自己的内部证书颁发机构签发，其根证书已分发到受管终端，但不在扫描器的信任库中。应如何解读这些发现？
- A.视为扫描器自身信任配置造成的结果：把内部根证书导入扫描器后重新扫描，以便真正的有效期或密钥强度问题仍能暴露。✓ 答案
- B.视为 40 张证书的真实失败：把每张证书都换成公共商业机构签发的，这样任何扫描器都能直接校验证书链，无需额外配置。
- C.视为内部证书颁发机构已被攻破的证明，因为运作正常的机构签发的链条，任何扫描器用默认信任库都能校验通过。
- D.视为可以按主机组规则永久抑制的发现，因为内部机构签发的证书从不带有扫描器能够检测出来的风险。
报出的情况其实是“扫描器无法构建受信任的证书链”，这里源于扫描器的信任库，而不是证书本身的缺陷。修正扫描器的信任配置可以消除噪声，同时让该插件仍能报出真正的证书问题——而一律抑制会把这些问题一起掩盖。
编号 QB-BZBDW6依据： CompTIA CySA+ CS0-004 Objective 2.2 - false positives arising from tool configuration versus genuine weakness报告此题的问题
4. 漏洞管理负责人在评审扫描质量时问：为什么漏报（false negative）被看作比误报（false positive）更严重的缺陷？哪一项说法是准确的？
- A.漏报是扫描器把等级降低后的发现，它已被记录但排序错误；误报则根本不会写进报告里。
- B.漏报让真实暴露完全没有被记录，因此没有人去分派和跟踪它；误报是可见的，有人验证之后就会被剔除。✓ 答案
- C.漏报会让分析师把时间浪费在并不存在的情况上；误报则会在插件库下次更新时自动被纠正。
- D.漏报只出现在非凭据扫描中，误报只出现在凭据扫描中，因此只有凭据扫描的报告内容才值得信任。
误报具有自我纠正性：它会进入队列，经验证后被剔除，代价只是浪费工时。漏报根本不会进入队列，暴露被默默承担，整个计划还会报告自己并不具备的覆盖率，这正是扫描配置首先要尽量减少漏检的原因。
编号 QB-TG68B6依据： CompTIA CySA+ CS0-004 Objective 2.2 - false positives and false negatives in assessment output报告此题的问题
5. 对一个含 50 台主机的数据库网段扫描后没有报出任何严重发现。报告摘要显示凭据认证在 9 台主机上成功、在 41 台上失败，这 41 台只从网络侧做了评估。分析师应得出什么结论？
- A.本周期该网段可以确认为健康，因为拒绝扫描器凭据的那些主机认证配置更严格，因此也就不太可能存在缺失的补丁。
- B.这 41 次认证失败本身就是本周期唯一的严重发现，应作为一个访问控制缺陷提出，覆盖率问题随该工单一并关闭。
- C.这个干净的结果不能证明网段干净：41 台主机是在看不到补丁状态的情况下评估的，凭据问题解决后必须重新扫描。✓ 答案
- D.该结果可以照常发布，把凭据失败写进附录即可，因为网络侧检查调用的插件与认证检查会运行的插件完全相同。
50 台中有 41 台认证失败，意味着该网段大部分主机只被检查了网络探测能看到的内容，缺失补丁和不安全的本地配置根本没有被评估。没有发现衡量的是扫描覆盖率，而不是主机健康状况，正确做法是恢复凭据访问并重新扫描。
编号 QB-AZY2R5依据： CompTIA CySA+ CS0-004 Objective 2.2 - causes of false negatives, including failed credentials and incomplete coverage报告此题的问题
6. 分析师发现扫描器的漏洞插件库上次更新是在七个月前，而这段时间里已经出具并签署了几份季度报告。这对那些报告意味着什么？
- A.它让报告被夸大：老旧插件库会不断触发已经废弃的检查，报告高估了暴露面，干净的做法是批量关闭这些旧发现。
- B.对已覆盖的资产它们仍然有效，因为插件内容只决定整改建议的措辞，而不决定哪些情况会被检出。
- C.它只影响凭据检查，因为网络侧插件的结论来自服务的实时响应，所以无论插件库多旧都保持最新。
- D.它使报告因遗漏而不可信：插件库更新之后披露的漏洞都无法被检出，报告低估了暴露面，扫描必须重做。✓ 答案
扫描器只能报出其检测内容已知的情况，因此长期未维护的插件库会对上次更新之后披露的所有漏洞产生系统性漏报。报告因此低估了暴露面，只有更新检测内容并重新扫描，报告的可信度才能恢复。
编号 QB-SGTV55依据： CompTIA CySA+ CS0-004 Objective 2.2 - plugin/feed currency as a source of false negatives affecting report credibility报告此题的问题
7. 凭据扫描在一台应用服务器上报出某 XML 解析扩展存在严重的远程代码执行漏洞。核实发现该软件包已安装，但运行中的服务并未加载该扩展，配置文件中也没有引用它。正确的解读是什么？
- A.这是误报，应当予以关闭，因为扫描器报出了一个未加载的组件，说明它对主机上实际存在的软件识别出现了错误。
- B.应立即升级为紧急打补丁处理，因为已安装的软件包随时可能被本地用户或某个子进程加载，所以它现在就处于可被利用的状态。
- C.该发现应转给网络团队作为暴露面问题，因为解析库是否可达由边界防火墙规则决定，而不是由主机本身的配置决定。
- D.该发现对“软件包已安装”的判断是准确的，但在当前配置下不可达：记录这一证据，卸载或升级该软件包，然后重新扫描。✓ 答案
验证要区分两个不同的问题：存在漏洞的组件是否存在，以及它是否位于攻击者可达的路径上。这里第一个问题已确认、第二个未成立，因此如实的记录是“真实发现＋已记录的不可达性”，仍应通过卸载或升级软件包来整改，而不是当作不存在而关闭。
编号 QB-9ZMQJ4依据： CompTIA CySA+ CS0-004 Objective 2.2 - components present but not enabled or not reachable in scan output报告此题的问题
8. 扫描器在一个面向互联网的 Web 应用上报出严重注入漏洞。厂商补丁在六周内无法实施，目前已由 Web 应用防火墙规则拦截该利用请求特征。应用负责人要求把这条发现记为误报。应如何记录？
- A.记为已关闭，因为防火墙规则就是业务选择的整改手段，而关闭一条发现靠的是消除可利用性的任何控制，不只是补丁。
- B.记为误报，因为在已部署的系统上该利用已无法成功，而无法端到端复现的发现按定义就是验证不通过。
- C.记为已确认的发现，其暴露由补偿控制降低：保持开启，记录该规则与整改期限，打补丁后以重扫验证。✓ 答案
- D.记为针对防火墙的新配置发现并取代原应用发现，因为现在要跟踪的缺陷是该规则的覆盖范围，而不是未修补的代码。
误报的含义是所报情况并不存在。这里存在漏洞的代码确实存在且已确认；补偿控制只是拦住了已知的利用路径，仍可能被绕过或配置失效。记为误报会把这个缺陷从记录中抹掉，也就取消了推动打补丁的依据。
编号 QB-RGFJY3依据： CompTIA CySA+ CS0-004 Objective 2.2 with 2.3 compensating controls - reduced exposure is not an invalid finding报告此题的问题
9. 扫描在一台新建的虚拟服务器上报出缺少一项加固设置。构建团队确认，该环境中所有服务器都是从同一个虚拟机模板部署出来的。这一条发现实际说明了什么？
- A.是模板中的缺陷，潜伏在所有由它构建的主机上：先修正模板，再扫描全部主机以清点已经部署的实例。✓ 答案
- B.是该主机上的配置漂移，说明设置是在部署之后被改动的，所以修复方式是从模板恢复这台主机并继续观察是否再漂移。
- C.是扫描范围上的错误，因为从模板派生出来的主机完全继承其配置，不可能出现模板本身并不存在的发现。
- D.只是这一台主机上的缺陷，就地修正即可；其他服务器没问题，因为模板自身的扫描历史里没有同类发现。
当多台主机共享同一构建来源时，某个实例上的配置发现通常是该来源的属性，因此真正的范围是所有由它构建的系统，以及今后的每一次构建。把它读成单台主机的缺陷，会让同样的情况在别处无人记录，并在下一次部署时重新出现。
编号 QB-8Z9DD3依据： CompTIA CySA+ CS0-004 Objective 2.2 - a finding on one host as evidence about a shared image or template报告此题的问题
10. 对一个运行中的容器扫描后报出一个存在漏洞的系统库。工程师在运行中的容器内更新了该软件包，重扫结果为干净。为什么这不算充分的整改？
- A.因为下一次部署时容器会按镜像重建，所以除非在镜像构建中修复并重新构建镜像，否则有漏洞的库会回来。✓ 答案
- B.因为在容器内更新的软件包会被计到宿主内核上，所以干净的重扫反映的是范围变化，而不是那个库真的变了。
- C.因为容器内的库类发现只能从运行时之外验证，所以针对运行中容器执行的重扫无法确认任何整改。
- D.因为容器的包管理器写入的层扫描器读不到，所以干净结果意味着这项检查被跳过，而不是那个库通过了检查。
容器实例是可丢弃的，会从镜像重建，因此在运行实例中所做的改动只存活到该实例被替换为止。这条发现实际上是关于镜像的，干净的重扫只证明这个实例变了；要真正关闭，必须修正基础镜像或 Dockerfile 并重新部署镜像。
编号 QB-W765CP依据： CompTIA CySA+ CS0-004 Objective 2.2 - container image and base image findings in assessment output报告此题的问题
11. 同一个存在漏洞的序列化库在 4 个业务应用、63 台主机上都产生了发现。管理层要求开出 63 张单独的整改工单。更准确的工作表述方式是什么？
- A.1 个库缺陷、63 个受影响实例，通过软件清单追溯到打包它的构建，各主机的关闭仍由重扫逐台验证。✓ 答案
- B.4 条应用级发现，每个业务应用一条，因为该库只通过打包它的应用进入主机，各应用责任人分别打补丁。
- C.63 条彼此独立的主机发现，因为每台主机有自己的维护窗口和责任人，一张工单会掩盖最后还有哪些主机没整改。
- D.1 条主机发现，落在资产重要度最高的那台上，其余 62 条记为它的重复项，该主机整改后一并关闭。
合并的含义是把描述同一底层情况的检出归为一组，同时保留受影响实例的数量。把被打包的库当作一个缺陷、63 个实例，可以让软件清单回答“它还出现在哪里”，而逐台重扫仍能证明每个实例已关闭。
编号 QB-EQBAXP依据： CompTIA CySA+ CS0-004 Objective 2.2 - consolidating findings and tracing them to a shared component via software inventory报告此题的问题
12. 基础设施即代码（IaC）扫描报出某模板把一个管理端口开放给 0.0.0.0/0。核查已部署环境发现，线上资源把该端口限制在两个管理地址上。这条发现说明了什么？
- A.这是模板中的真实缺陷：尽管当前线上设置是受限的，但下一次用该模板重建环境时，该端口会重新敞开。✓ 答案
- B.这是误报，因为扫描器读的是声明而不是运行态配置，而有效的发现必须描述已部署资源的实际状态。
- C.这是针对线上资源的漂移发现，因为模板才是权威记录，任何与它不一致的线上设置才是需要纠正的对象。
- D.这与网络层那条发现重复，因为线上的限制已经满足控制要求，模板文本本身没有需要跟踪的暴露面。
模板是今后环境所继承的定义，所以其中的宽松规则即使在当前部署已被手工收紧的情况下也是真实发现。那次手工限制本身就是未纳入管理的状态，下一次构建会把它覆盖，因此缺陷应在模板中修复，之后再复查已部署资源。
编号 QB-V7TS6N依据： CompTIA CySA+ CS0-004 Objective 2.2 - infrastructure-as-code misconfiguration findings报告此题的问题
13. 月度报告统计出 4,812 条未关闭发现。复核发现，同一主机上的同一个 CVE 按每个开放端口各计一次，另一台扫描器针对同一情况的插件又计了一次。在上报这个数字之前必须做什么？
- A.上报原始总数并加脚注说明重叠，因为对扫描器输出做任何人工削减都会削弱报告本应提供的审计链。
- B.只保留发现数较多的那台扫描器并彻底停用另一台，这样总数来自单一口径，月度之间也保持可比。
- C.跨工具合并并去重，归并为“资产—漏洞”唯一组合，使总数反映不同的情况，而不是同一情况的重复检出。✓ 答案
- D.分别上报两台扫描器各自的总数而不做合并，因为两个工具测的情况不同，合并后的数字无法回溯到任一报告。
对外公布的数量应回答“存在多少个不同的情况”，因此同一资产上同一情况的多端口、多工具检出应算作一条发现。不做合并去重，总数会随工具覆盖面而膨胀，趋势线追踪的就是扫描方式的变化，而不是真实的整改进展。
编号 QB-DQYXRN依据： CompTIA CySA+ CS0-004 Objective 2.2 - consolidating and deduplicating findings across multiple assessment tools报告此题的问题
14. 动态应用扫描在一个搜索参数上报出 SQL 注入。证据是扫描器在输入后附加一个单引号后，HTTP 响应中返回了数据库错误信息。分析师应如何确定它是否真实？
- A.把该错误信息视为充分证据，因为向客户端返回详细的数据库错误就说明用户输入未经参数化就到了数据库引擎。
- B.在测试环境中用无害载荷复现该请求，看查询结果集是否改变，并检查代码路径或查询日志中是否存在未参数化的输入。✓ 答案
- C.除非扫描器同时返回了导出的表名，否则关闭该发现，因为没有取到数据的注入报告只是检测产物，而不是发现。
- D.询问开发人员该参数是否做了校验并把答复记录在发现上，因为归属方的判断比动手测试更快解决注入问题。
错误信息只能证明畸形输入改变了响应；它也可能来自输入校验或框架的错误处理，而查询本身仍是参数化的。确认需要证明注入的语法改变了查询行为，或者查看代码与查询日志，这就是为什么验证要先于任何整改工单。
编号 QB-Y7VSPR依据： CompTIA CySA+ CS0-004 Objective 2.2 - validating web application findings such as SQL injection报告此题的问题
15. 带认证的动态扫描在一个内部工单系统中报出存储型跨站脚本（stored XSS）。受影响的表单只有已登录员工才能访问，该系统也没有暴露到互联网。这条发现确立了什么？
- A.在不带凭据重扫之前什么也确立不了，因为匿名请求无法到达的缺陷属于访问控制方面的观察，而不是注入发现。
- B.说明扫描器注入了自己的载荷又读回来，属于自我检测；存储型跨站脚本只有在另一个独立会话中被渲染才算成立。
- C.说明该发现应归属身份团队，因为需要有效会话才能触发缺陷的应用靠会话控制防护，而不是靠输出编码。
- D.说明该注入缺陷是真实存在的；登录要求和未暴露互联网描述的是谁能到达它，而不是输入处理是否有缺陷。✓ 答案
可达性与真实性是两个独立判断。扫描以合法用户身份认证，载荷被存储并渲染，因此输入处理缺陷已确认；需要会话、没有互联网路径只是缩小了谁能利用它，这属于优先级记录的内容，而不是判定误报的依据。
编号 QB-GQ2Y9S依据： CompTIA CySA+ CS0-004 Objective 2.2 - reading web application findings for exploitability in context报告此题的问题
16. 带凭据的 Web 扫描返回一条发现，其证据是站点上传目录中一个没有任何链接指向的文件，它接受一个命令参数并回显命令输出，修改时间是三周前。应如何处置？
- A.作为高危应用发现处理：删除该文件、记录整改，等下次重扫时该 URL 不再回显命令输出即可关闭该条目。
- B.作为扫描器产物处理：有些插件在评估期间会写入交互式测试文件，因此应抑制该条目并把上传目录排除在范围之外。
- C.作为已经发生入侵的迹象处理：保全该文件与主机证据、启动事件响应，在改动任何东西之前先确定事件范围。✓ 答案
- D.作为针对 Web 服务器的配置发现处理：在上传目录禁用脚本执行，这样无需触碰该文件即可消除可利用性。
扫描输出有的描述弱点，有的描述已发生的事件。几周前被放进可写目录、能执行攻击者提供命令的文件不是缺失补丁或设置，而是可用的攻击者工具，因此正确路径是保全证据并启动事件响应，而不是删掉它然后关闭工单。
编号 QB-X7HFHQ依据： CompTIA CySA+ CS0-004 Objective 2.2 - distinguishing a vulnerability finding from evidence of an incident报告此题的问题
17. 扫描报出某部门服务器运行的操作系统版本厂商已于去年停止支持，并且该主机上 8 条严重发现都没有列出可用补丁。分析师应如何解读这组发现？
- A.视为 8 条等待厂商发布补丁的待办项，设置延期到期日并每月重扫，直到发现所引用的更新可用为止。
- B.视为准确且永久存在的情况：补丁永远不会出现，因此整改意味着升级或更换平台，过渡期以隔离作为控制手段。✓ 答案
- C.视为应以例外方式抑制的发现，因为厂商已不再维护该版本的插件内容，扫描器无法评估它，结果也不可靠。
- D.视为一条许可与资产清单记录而不是安全问题，因为在具体利用代码公开之前，停止支持的版本不增加暴露面。
生命周期终止类发现与缺失补丁类发现的区别在于：整改路径并不存在，而且随着新漏洞披露，数量只会增加。把它们读成延期的打补丁工作会设出一个永远无法满足的到期日，因此该发现必须记录为平台更换，并配以过渡期的隔离控制。
编号 QB-FQPM4R依据： CompTIA CySA+ CS0-004 Objective 2.2 - end-of-life/unsupported software findings versus missing patches报告此题的问题
18. 扫描在一台应用主机上报出“服务器支持已废弃的 TLS 协议版本和弱加密套件”。该 Web 服务器软件包本身补丁齐全。这条发现说明了什么，整改归在哪里？
- A.这是扫描器归到了错误软件包上的缺失补丁类发现，因此应向厂商报案，等待一个移除这些加密套件的版本。
- B.这是配置类发现：协议与加密套件清单是在服务器自身配置中设定的，因此整改是一次加固变更，并以验证性重扫确认。✓ 答案
- C.这是证书类发现，因此用更强的密钥和当前的签名算法重新签发证书，就能把已废弃的协议版本从服务中撤下。
- D.只要软件包是最新的，这就是误报，因为补丁齐全的服务器只会提供其厂商认为可接受的协议版本与加密套件。
扫描输出会把缺失补丁与配置错误区分开，而这条发现属于后者：软件是最新的，但被配置为可以协商策略已不再允许的协议和加密套件。整改是责任方的配置变更与加固基线更新，事后通过重扫该服务来证明。
编号 QB-S7RSNH依据： CompTIA CySA+ CS0-004 Objective 2.2 - distinguishing misconfiguration findings from missing-patch findings报告此题的问题
19. 合并后的结果在 6 个自研应用中列出 14 条不同的发现。它们的位置和参数各不相同，但全部归入同一个弱点类别：SQL 命令中特殊元素的转义处理不当。这个模式说明了什么？
- A.说明这 14 条是同一情况的重复项，应合并为一条，因为共享同一弱点类别的发现描述的就是同一个底层缺陷。
- B.说明同一种编码缺陷在各团队中反复出现，因此除了修这 14 处，持久的整改是改变开发实践并由流水线检查来验证。✓ 答案
- C.说明弱点类别标注有误，因为该类别描述的是数据库平台自身的缺陷，而不是应用代码中的输入处理。
- D.说明这些应用共用了一个存在漏洞的数据库驱动，因此在平台层做一次库更新就能清掉全部 14 条，完全不必改应用。
弱点类别命名的是编码错误的种类，而每条发现都是它在各自代码路径中的独立实例，所以这 14 条不是重复项，也无法靠一次库更新关闭。同一个类别在 6 个应用中聚集，指向的是产生这种错误的共同开发实践。
编号 QB-AQWX8J依据： CompTIA CySA+ CS0-004 Objective 2.2 - weakness class (CWE) versus individual vulnerability instances in consolidated output报告此题的问题
本考试的其他主题
练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →