19 道漏洞扫描方法练习题及答案

1. 1. 对一台 Linux Web 服务器执行非凭据扫描后，报告显示「检测到 HTTP 服务；版本信息已被隐藏」，并把三个 CVE 列为可能存在的发现项。团队想知道：对同一主机改用凭据扫描会带来什么变化？下列哪项说法正确？

   • A.它会认证登录主机并读取已安装软件包版本与配置，因此结论依据实际证据而非横幅推测。✓ 答案
   • B.它以更高速率发送同样的探测包，使更多服务在超时前作出响应，从而把可能项变为确认项。
   • C.它会尝试利用主机上每一个可能项，凭据检查正是以这种方式来证明漏洞确实真实存在。
   • D.它从边界内部访问该主机，正是这个观察位置去掉了插件输出中「可能」这一限定词。

   凭据扫描会登录并查询主机自身的软件包数据库、注册表与配置文件，因此结论依据的是实际安装的版本与设置，而不是推断出来的横幅信息。正是这种证据使认证扫描的误报大幅减少，并能暴露任何网络探测都看不到的配置弱点。凭据检查不执行利用动作，而扫描器所处的网络位置是另一个独立变量。

   编号 QB-6CK5BD依据： CompTIA CySA+ CS0-004 Objective 2.1 - credentialed vs. non-credentialed scanning报告此题的问题

2. 2. 某外勤销售团队的笔记本每月只有几天接入公司网络，其余时间在家中或酒店办公。这些主机的漏洞数据始终是一个月以前的。哪种采集方式适合这类主机，为什么？

   • A.每晚扫描公司无线网段，因为漫游笔记本会重新接入该网段，只要连上就能被扫到。
   • B.在工作时间扫描远程接入地址池，因为该地址段保存着每台外出办公笔记本的当前地址。
   • C.提高网络扫描器的超时时间与重试次数，使休眠或不在公司的笔记本也能及时响应探测。
   • D.在每台笔记本上部署扫描代理，它在本地完成评估，只要设备有互联网通路就上报结果。✓ 答案

   代理在主机内部按自身计划完成评估，并通过任何互联网通路把结果回传控制台，这正是极少接入公司网络的设备所需要的方式。网络扫描只能在主机开机、可达且位于既定范围内时评估该地址，因此结构性地漏掉漫游终端。无论把超时时间或重试次数调到多大，都无法触及根本不在网络上的机器。

   编号 QB-NUDYQC依据： CompTIA CySA+ CS0-004 Objective 2.1 - agent-based vs. agentless scanning报告此题的问题

3. 3. 在某工厂网络中，厂商文档说明可编程逻辑控制器（PLC）收到异常流量时可能发生故障，合同也禁止对其进行主动探测。分析师仍须获取这些设备的漏洞信息。哪种做法合适，其局限是什么？

   • A.关闭危险插件并以单线程运行主动扫描策略，因为强度降低即可彻底消除控制器发生故障的风险。
   • B.分析该网段流量的镜像副本以识别协议与固件版本，它不额外发包，但只能看到有通信的设备。✓ 答案
   • C.使用厂商工程账户对每台控制器执行凭据扫描，因为认证检查不会向设备发送任何异常流量。
   • D.把主动扫描安排在每月停机窗口，因为已经断电的控制器不会被异常报文触发故障。

   对镜像流量做被动观察，可以在不注入任何数据包的前提下识别设备、协议与软件版本，因此它是对不可触碰的脆弱运营技术设备公认可用的方法。其代价是覆盖面：在采集窗口内保持静默的设备根本不会出现，版本也只能从协议暴露的内容中推断。降低主动扫描强度只能减小风险而不能消除风险，而认证扫描同样要向控制器发送它可能无法预期的流量。

   编号 QB-5C8T5C依据： CompTIA CySA+ CS0-004 Objective 2.1 - passive vs. active scanning报告此题的问题

4. 4. 某医院的输液泵与影像工作站由厂商维护，其监管审批禁止医院自行改动软件，而且过去曾在端口扫描中崩溃。临床工程部门仍须向安全委员会提交这些设备的漏洞情况。哪种做法合适？

   • A.被动识别这些设备并依据厂商公告掌握其组件清单，同时把它们置于受限网段直至修复发布。✓ 答案
   • B.把临床网段从漏洞管理范围中剔除，因为厂商的监管审批使医院记录的任何发现项都无法使用。
   • C.每季度对每台设备做一次全端口与服务扫描，强度足够轻微因而安全，也能满足外部评估方。
   • D.对它们套用标准的服务器凭据扫描策略，因为临床设备与其他主机无异，应进入同一份月度报告。

   当敏感性与脆弱性排除了主动扫描或认证扫描时，评估就要建立在被动识别加厂商自身提供的组件清单与安全公告之上，剩余风险则通过严格网段隔离与监控等补偿控制来处理。这样既把设备保留在漏洞管理范围内，又不会产生曾经让它们崩溃的流量。把该网段从范围中删除会留下盲区，而每季度一次全端口扫描恰恰是这些设备无法承受的动作。

   编号 QB-RUFY8G依据： CompTIA CySA+ CS0-004 Objective 2.1 - scanning considerations: sensitivity levels and operations报告此题的问题

5. 5. 边界防火墙只允许 tcp/443 访问某台 Web 服务器，而该服务器在内部还监听 tcp/22 与 tcp/1433。位于同一子网的扫描器报告了三个服务；托管在网络之外的扫描器只报告 HTTPS 服务。下列哪项结论正确？

   • A.外部结果有误，因为无论到目标的网络路径如何，扫描器都应当枚举其上所有处于监听状态的端口。
   • B.两份结果各自成立：外部视角衡量互联网攻击者能触及什么，内部视角显示进入网络后的暴露面。✓ 答案
   • C.内部结果有误，因为针对那些被防火墙拦截端口的发现项都属于误报，必须从最终报告中删除。
   • D.这一差异证明防火墙配置错误，因为过滤正确时同一主机的内外部扫描会给出相同的端口清单。

   扫描结果描述的是一条路径，而不仅仅是一台主机：外部视角衡量真正能从互联网触及的攻击面，内部视角衡量已经进入网络的攻击者或内部人员会看到什么。两者都必需，因为内部发现描述的是边界一旦被绕过后的真实暴露面，外部发现描述的是当前可达面。过滤正是两者不同的应有原因，而不是任何一次扫描出错的证据。

   编号 QB-8CATNF依据： CompTIA CySA+ CS0-004 Objective 2.1 - internal vs. external scanning报告此题的问题

6. 6. 对已文档化地址段的月度扫描报告称 98% 的发现项已修复。随后一起入侵被追溯到一台既不在任何资产清册、也不在任何扫描范围内的部门文件服务器。这个 98% 实际上说明了什么？

   • A.该数字对整个资产群仍然有效，因为扫描每月都会遍历文档化网段内遇到的所有存活地址。
   • B.该数字说明发现设置过于激进，那台部门服务器被当作重复条目并入了某台已知主机。
   • C.该数字证明修复团队少报了工作量，因为完全打过补丁的环境不会由未修补主机引发事件。
   • D.该数字只描述被纳入范围的主机，因此清册遗漏资产时，它对被遗漏者毫无说明力。✓ 答案

   资产清册是扫描的前提：扫描只能就被告知评估的地址说话，因此任何修复百分比都是关于范围的陈述，而不是关于整个环境的陈述。被遗漏的资产不会作为缺口出现在报告里，它只是缺席，这正是清册不完整会转化为虚假安全感的原因。正确做法是持续发现并与资产清册核对，使扫描范围与实际资产一致。

   编号 QB-QU4N3F依据： CompTIA CySA+ CS0-004 Objective 2.1 - asset discovery and inventory as a scanning prerequisite报告此题的问题

7. 7. 在工作日 10:00 启动的虚拟化环境全量凭据扫描导致一台宿主机 CPU 饱和，一套交易应用超时。业务方不接受再次发生；安全团队仍须每月覆盖该环境。对扫描配置做哪项调整能同时满足两方要求？

   • A.保留 10:00 的计划但取消认证检查，因为非凭据扫描不会给被测系统带来可测量的负载。
   • B.把扫描移到商定的低负载窗口，并限制并发主机数与单主机检查数，分批覆盖全部资产。✓ 答案
   • C.把扫描频率降到每年同一时刻一次，这是在月度覆盖与业务中断之间取得平衡的通行做法。
   • D.把虚拟化资产排除在外、仅报告物理服务器，并把由此产生的覆盖缺口登记为已接受风险。

   扫描规划通过分析师可控的三个杠杆在覆盖面与业务影响之间取得平衡：何时扫描、一次触及多少资产、以及对每个目标施加多大压力。商定低负载窗口、限制并发并把资产分批，既保住月度覆盖，又消除了压垮应用的负载峰值。取消认证降低的是准确性而不是负载，而放弃覆盖则把一个工程问题变成了无人管理的盲区。

   编号 QB-7CXFGE依据： CompTIA CySA+ CS0-004 Objective 2.1 - scanning considerations: scheduling, operations and performance报告此题的问题

8. 8. 开发人员笔记本与自动伸缩的云实例常在 02:00 扫描窗口期间处于关机状态。扫描器把这些地址标记为无响应，于是它们从月度报告中消失，而不是带着发现项出现。关于这一结果，下列哪项说法正确？

   • A.扫描窗口内关机的主机会沿用上一次的结果，因此报告把它延续为没有未处理发现项的状态。
   • B.扫描窗口内关机的主机可以放心排除，因为已经断电的机器不可能存在可被利用的漏洞。
   • C.扫描窗口内关机的主机根本没有被评估，其缺席必须与资产清册核对，不能读作干净。✓ 答案
   • D.扫描窗口内关机的主机说明扫描策略有缺陷，应提高插件超时时间直到该地址重新响应。

   不可达的目标不产生数据，而没有数据并不等于没有漏洞：这种沉默只说明该主机在那一刻处于评估之外。由于报告的分母是那些作出响应的主机，覆盖率必须以资产清册为基准来衡量；对间歇在线的主机，更适合使用代理，或把扫描窗口对齐到它们实际运行的时间。把缺席的主机读作干净，正是一台未打补丁的工作站能数月隐身的原因。

   编号 QB-TU6NKJ依据： CompTIA CySA+ CS0-004 Objective 2.1 - scan scheduling and coverage reconciliation报告此题的问题

9. 9. 位于数据中心核心区的扫描器报告某远程分支网段内所有主机都没有开放端口、没有发现项，而当地员工整天都在使用这些主机上的文件与打印服务。最可能的原因是什么，正确的处置是什么？

   • A.扫描线程数对慢速远程链路来说太少，提高线程数即可让探测完成并显示出监听端口。
   • B.分支主机各自启用了主机防火墙来阻挡扫描，因此空结果是准确的，该网段无需再做评估。
   • C.分支使用了扫描器无法路由到的私有地址，因此这些主机必须改用核心网所使用的地址段。
   • D.路径上的访问控制列表丢弃了探测包，因此应在该网段内部部署扫描器，或放行扫描器的流量。✓ 答案

   当扫描器与目标之间存在过滤设备时，探测包根本到不了目标，扫描器只能报告一片沉默，而这看起来与一台高度加固的主机完全一样。因此，与已知在运行的服务相矛盾的干净结果是覆盖失败，而不是安全成绩，解决办法是在该网段内部扫描，或为扫描器路径申请经批准的例外。线程数与地址规划都无法解释整个网段在用户正常使用时却毫无响应。

   编号 QB-ACZFZH依据： CompTIA CySA+ CS0-004 Objective 2.1 - segmentation and scanner placement报告此题的问题

10. 10. 对某客户门户的 Web 应用扫描八分钟即完成，且只在营销页面、登录页与密码重置表单上报告发现项。账户管理、支付与后台管理功能都位于登录之后。该扫描配置还需要什么？

    • A.需要加大爬取深度并提高请求速率，这样未经认证的爬虫也能枚举出登录表单之后的各项管理功能。
    • B.需要维持会话：提供凭据、录制登录流程并排除 logout 链接，否则爬虫到不了登录后的页面。✓ 答案
    • C.需要启用网络服务插件，因为登录之后的各项功能是靠端口与服务检查发现的，而不是靠 Web 检查。
    • D.需要对 Web 服务器主机做凭据访问，因为读取磁盘上的应用源文件才能发现登录后的页面。

    Web 应用扫描器只能测试其爬虫可达的内容，而登录之后的一切都不可达，除非扫描持有有效会话：提供凭据、可重放的登录流程，并排除 logout 等会销毁会话的链接以使会话在爬取过程中存活。缺少这项配置时，扫描只会静默地覆盖公开部分，这也是大型门户八分钟即扫完本身就是警示信号的原因。爬取深度、网络插件和主机凭据都无法建立应用层会话。

    编号 QB-YFYNH9依据： CompTIA CySA+ CS0-004 Objective 2.1 - web application scanning, authenticated crawling报告此题的问题

11. 11. 对生产环境容器节点的凭据主机扫描报告某支付服务没有任何发现项，但该服务的镜像是基于一个含已知漏洞 TLS 库的基础镜像构建的。主机扫描为何漏掉了它，应当扫描什么？

    • A.容器把自身进程隐藏起来不让扫描器看到，因此必须用 root 凭据重跑主机策略才能发现该库。
    • B.主机策略检查的是节点自身软件包，而非镜像内部各层，因此须在构建流水线与镜像仓库中扫描镜像。✓ 答案
    • C.该结果是正确的，因为打包在容器镜像内部的库攻击者无法触及，所以不算一条真实发现项。
    • D.应当用外部边界扫描来取代主机策略，因为只有那个观察位置才能暴露镜像中存在漏洞的组件。

    主机扫描枚举的是节点操作系统自身安装的软件包，而容器的依赖存在于工作负载自带的镜像层中，因此从这个观察位置看不到那个存在漏洞的库。所以容器内容应在其被生产和存放的位置进行评估：在部署之前于构建流水线与镜像仓库中扫描镜像，并跟踪每个镜像所含的组件。该发现是真实的：运行中容器内的代码会被执行，并可通过其对外提供的服务被触及。

    编号 QB-GY5U4A依据： CompTIA CySA+ CS0-004 Objective 2.1 - container image scanning in the build pipeline and registry报告此题的问题

12. 12. 某流水线在执行 apply 之前扫描基础设施即代码（IaC）模板，并拦截任何授予公网访问的定义。三个月后，审计发现一台生产数据库可从互联网访问，而没有任何模板声明该设置。这说明该扫描的范围存在什么问题？

    • A.模板扫描本身已在持续覆盖已部署环境，因此该审计发现说明策略规则中被写入了例外。
    • B.一旦所有资源都以代码声明，模板扫描即可取代运行时云评估，该发现说明有人绕过了流水线。
    • C.模板扫描只判断被声明的配置，因此控制台上的改动不可见，实际部署状态也必须评估。✓ 答案
    • D.模板扫描根本无法评估访问权限设置，所以数据库暴露只能靠凭据主机扫描才能发现。

    在部署之前扫描定义文件能及早发现不安全配置，但它的证据是模板本身，因此之后由人工、由运维人员在云控制台上、或由另一套自动化所做的任何改动，根本不在其范围之内。所以还必须针对已部署的实际状态评估云安全态势，才能发现相对于声明配置的漂移。两种扫描位置回答的是不同的问题，彼此不能替代。

    编号 QB-XFMBC8依据： CompTIA CySA+ CS0-004 Objective 2.1 - infrastructure-as-code scanning and cloud configuration assessment报告此题的问题

13. 13. 同一台工作站出现在两份报告中：对其所在子网的网络扫描列出 4 条发现项，而安装在该机上的扫描代理列出 37 条，其中包括一个过期的 PDF 阅读器和一个未打补丁的浏览器。对这一差异的哪种解释正确？

    • A.代理报告的是用户早已卸载的软件，因为它的本地数据库只在该机回到公司网络时才刷新。
    • B.代理把每个问题按插件族重复计数了一次，这正是它的总数比网络扫描高出数倍的原因。
    • C.网络扫描更权威，因为它像攻击者那样测试主机，所以代理多出来的发现项并非真实暴露面。
    • D.网络扫描只能判断在网络上监听的服务，而代理会枚举本地磁盘上已安装的软件及其补丁状态。✓ 答案

    两种方式观察的对象不同：网络扫描只能就穿过网络的端口、服务与响应作出判断，而代理从操作系统内部读取已安装软件清单、补丁级别与配置。文档阅读器、浏览器这类客户端软件不监听任何端口，因此在网络扫描中不可见，但它们确实构成真实暴露面，因为用户会用它们打开不可信内容。两份报告都不存在重复计数，代理报告的也不是已卸载的软件。

    编号 QB-FYSGX8依据： CompTIA CySA+ CS0-004 Objective 2.1 - agent-based vs. network-based collection报告此题的问题

14. 14. 一名新入职分析师被要求扫描各分支机构。既没有地址文档，也没有主机清单，网络团队只能提供可经广域网路由的地址前缀。第一步应做什么，为什么？

    • A.立刻对所有可路由网段运行完整凭据扫描策略，因为扫描本身会在运行过程中生成资产清单。
    • B.向各分支经理索取设备清单表格，只评估反馈回来的内容，因为扫描只能触及已文档化的资产。
    • C.先对可路由网段做发现扫描，找出存活主机并识别其操作系统与服务，由此确定评估范围。✓ 答案
    • D.先扫描各分支防火墙的公网地址，因为对边界的外部视角可以替代内部主机清册。

    发现扫描是把地址段变成已知资产群的那一步：映射扫描找出哪些地址处于存活状态，指纹识别确定操作系统、服务与角色，而这正是后续选择合理范围、凭据集与扫描强度的依据。对未知网段直接发起完整凭据扫描，既可能扰乱脆弱主机，也会在无人拥有的地址上浪费资源。分支经理提供的表格可以作为交叉核对，但影子资产恰恰是它遗漏的部分。

    编号 QB-WF9Z67依据： CompTIA CySA+ CS0-004 Objective 2.1 - discovery scanning: mapping scans and device fingerprinting报告此题的问题

15. 15. 评估方要求提供生产服务器符合本机构所采用加固基准的证据。团队现有的月度扫描策略只检测缺失补丁与已知漏洞。对扫描做哪项调整才能产出这类证据？

    • A.运行扫描器的配置审计策略，把每台主机的设置与所选基准逐项比对，这才是衡量基线的方式。✓ 答案
    • B.提高现有策略的严重性阈值，只显示严重级条目，这就是评估方认可的加固证据形式。
    • C.用凭据重跑现有策略，因为认证漏洞扫描没有任何发现即可说明加固基线已经落实。
    • D.导出十二个月的漏洞趋势数据，因为发现项数量下降是主机符合加固标准的公认证明。

    漏洞检测与基线（合规）扫描回答的是不同的问题：前者问已知缺陷是否存在，后者把每台主机的设置逐项与指定的配置标准比对并报告偏差。只有针对所采用基准、以凭据运行的配置审计策略，才能产出逐项设置的合规证据。没有漏洞发现项，并不能说明口令策略、服务加固、审计设置或权限配置是否合规。

    编号 QB-EYE6S7依据： CompTIA CySA+ CS0-004 Objective 2.1 - security baseline scanning against a configuration standard报告此题的问题

16. 16. 安全团队反对既定方案：对 2000 台服务器执行无代理认证扫描，需要把域特权凭据保存在扫描器中并在网络上使用。关于基于代理的替代方案，下列哪项说法准确？

    • A.代理不需要凭据，因为它只在本地读取网络横幅，所以其输出与非凭据网络扫描一致。
    • B.启用深度配置插件后，无代理扫描即可免凭据，因为这些插件无需认证也能读取补丁状态。
    • C.代理以主机自身权限运行，不需要扫描凭据经网络传输，代价是要在每台主机部署软件。✓ 答案
    • D.服务器上用不了代理，因为代理只支持漫游用户终端，所以凭据必须继续存放在扫描器中。

    代理本身就以其所需权限在本地运行，因此在不分发、不在网络上传输特权扫描账户的前提下，仍能获得认证扫描的深度，从而消除了一处长期存在的凭据暴露面。代价是运维层面的：必须在每台主机上部署、更新并监控软件，而不支持代理的平台仍需无代理方式覆盖。服务器完全可以部署代理，而且没有任何插件能在不认证的情况下读取已安装补丁状态。

    编号 QB-VFWNZ5依据： CompTIA CySA+ CS0-004 Objective 2.1 - agent-based vs. agentless scanning trade-offs报告此题的问题

17. 17. 某合规要求规定，处理支付卡数据的网段内每台主机都必须被扫描。现有扫描策略先对每个地址发 ping，不响应即跳过，而该网段中有若干加固主机会丢弃 ICMP。必须做出哪项调整？

    • A.在加固主机上重新启用 ICMP，让现有的发现方式可以正常工作，这也是该要求对范围内系统的期望配置。
    • B.接受这一缺口并把静默主机记录为合规，因为忽略 ICMP 的主机对外部攻击者并不呈现可达的服务。
    • C.关闭只用 ping 的主机发现，或加入 TCP 与 UDP 探测，使抑制 ICMP 的主机仍被评估并计入范围。✓ 答案
    • D.把扫描器移入该网段并保留 ping 发现方式，因为发现失败源于网络距离，而不是主机自身的配置设置。

    主机发现设置决定了哪些地址会真正被评估，因此把 ICMP 回显无响应当作主机不存在的策略，恰恰会静默地排除那些做过加固的系统。增加 TCP 与 UDP 发现探测，或取消以 ping 为前提的做法、使清单内地址始终被测试，即可恢复合规所要求的覆盖面。为迁就扫描器而削弱主机配置是方向性错误，而扫描器所处位置并不改变它选择发现主机的方式。

    编号 QB-DY3UK6依据： CompTIA CySA+ CS0-004 Objective 2.1 - scanning considerations: regulatory requirements and scan scope报告此题的问题

18. 18. 针对某集群应用对外发布的虚拟地址所做的扫描，返回了一台主机且补丁状态良好。该地址后面有六个 Web 节点，它们按不同计划打补丁。关于这次扫描，下列哪项说法正确？

    • A.被评估的只是负载均衡器所选中的那个成员，因此还须按各节点自身地址逐台扫描以覆盖整池。✓ 答案
    • B.这一结果足够了，因为发布在单个虚拟地址后的服务只暴露负载均衡器自身终结的那部分配置。
    • C.该池被作为一个整体评估，因为负载均衡器把每个探测转发给所有成员并合并响应回传扫描器。
    • D.该结果无效，因为负载均衡的服务只能通过均衡器上的代理评估，补丁状态保存在均衡器中。

    虚拟地址是单一逻辑目标，负载均衡器把每条连接交给其中一个成员，因此报告描述的只是恰好承接了这些探测的那个节点，并被静默地推广到整个池。由于各成员按不同计划打补丁，要获得覆盖就必须按各节点自身地址逐台扫描，或从成员上的代理采集数据。这与扫描一个解析到代理或内容分发边缘而非源站的域名，属于同一类配置错误。

    编号 QB-4GDZ7E依据： CompTIA CySA+ CS0-004 Objective 2.1 - scan scope and target selection behind a virtual address报告此题的问题

19. 19. 内部扫描进行到一半时结果不再产生，剩余主机被记录为不可达。内联防护系统的日志显示，它把扫描器地址判定为扫描源并予以阻断。应如何处理？

    • A.把结果视为不完整，随后申请白名单或在该网段内部署扫描器，避免阻断设备左右覆盖范围。✓ 答案
    • B.把结果视为准确，因为位于会阻断扫描的防护系统之后的主机，没有值得上报的暴露面。
    • C.提高扫描速率，让探测在防护系统作出反应之前完成，这是穿过内联防护完成扫描的常规做法。
    • D.在工作时间关闭防护系统在所有网段上的阻断功能，使今后每次扫描都无需协调即可完成。

    被防御设备中断的扫描，衡量的是该设备的反应，而不是主机的暴露面，因此必须把这次运行记为部分完成，并在允许其跑完的条件下重跑：通常是为扫描器地址申请经协调的例外，或把扫描器放到该网段内部。把被截断的输出当作干净结果，会掩盖每一台未被评估的主机，因为被阻断的探测与加固主机呈现的沉默完全相同。在全网关闭阻断功能，则是用真实的防护削弱来换取覆盖问题的解决。

    编号 QB-MYJ6TE依据： CompTIA CySA+ CS0-004 Objective 2.1 - scan coverage, network defences and coordination报告此题的问题

练习题依据 CompTIA CySA+ 考试大纲编写。本网站与 CompTIA 无关联，也未获其认可，题目并非真实考题。CompTIA 会定期更新本考试，并在过渡期内让两个版本并行，考试长度、通过标准与报考条件均由其规定——报名前请向 CompTIA 确认现行大纲与在考的考试代码。真实考试还包含选择题题库无法复现的操作模拟题，因此请结合动手实践一起备考。 官方 CySA+ 考试大纲 →