44 道威胁、攻击与漏洞练习题及答案
CompTIA Security+ 认证考试练习的全部威胁、攻击与漏洞练习题，附正确答案和简短解析。
开始练习测验 →1. 对一家国防供应商的调查发现：攻击立足点在十四个月前就已建立；所用恶意软件利用的漏洞当时尚无厂商补丁；窃取凭据的范围仅限于某一武器项目的工程师；且没有任何变现行为。证据最支持下列哪个结论？
- A.国家支持的攻击者在从事间谍活动：长期潜伏且目标限定于单一项目✓ 答案
- B.有组织犯罪在为勒索软件做准备：长期潜伏正是投放勒索载荷前的铺垫
- C.技能不足的攻击者：其购买的漏洞利用工具包碰巧命中了高价值工程主机
- D.内部人员滥用合法权限：受影响的只有某一个项目的工程人员而非全公司
识别攻击者靠的是能力与意图，而不是所用工具。十四个月未被发现的潜伏、利用当时无补丁的漏洞、目标精确锁定单一武器项目、并且完全没有变现动作，正是资源雄厚的国家级间谍行动的特征；犯罪团伙会尽快变现，技能不足者既拿不到零日漏洞也没有这种耐心。
编号 QB-PGST9F依据： CompTIA Security+ Exam Objectives, Threats, Vulnerabilities and Mitigations domain: threat actor attributes (resources, sophistication) and motivations (espionage); CISA advisories on advanced persistent threat activity报告此题的问题
2. 一起勒索软件事件显示：勒索信中含有“下线”编号；数据泄露网站却打着另一个团伙的品牌；谈判通过带有限时折扣的聊天门户进行；所用加密工具此前已在其他不相关行业的受害者处出现。这种运作结构说明了什么？
- A.国家支持的行动把勒索软件当作掩护：真实目的是跨行业的情报窃取
- B.犯罪集团以“勒索软件即服务”模式运作：下线使用了另一团伙提供的工具✓ 答案
- C.黑客行动主义团体公开受害者数据：目的是推进针对这些行业的政治主张
- D.技能不足的攻击者复用了泄露的生成器代码，并自行写了勒索信和网站
“勒索软件即服务”把工作拆开：核心团伙负责开发并维护加密器和泄露网站，付费下线负责实际入侵，这正解释了为何勒索信中的下线编号与另一团伙的品牌同时出现，也解释了相同工具为何跨行业反复出现。其贯穿始终的动机是获利，这正是有组织犯罪的典型驱动力。
编号 QB-7ZXYUF依据： CompTIA Security+ Exam Objectives, threat actors and motivations (organised crime, financial gain); CISA #StopRansomware guidance on ransomware-as-a-service affiliate operations报告此题的问题
3. 日志显示：扫描来自住宅宽带地址且使用了工具的默认标识；针对多年前已修补漏洞的利用尝试按字母顺序逐个发出；没有任何清除痕迹的动作；同时公开论坛上有人发帖询问目标返回的报错是什么意思。这符合哪一类攻击者？
- A.有组织犯罪的下线在做有偿侦察：随后把获得的访问权卖给买家
- B.高级持续性威胁故意制造噪声：目的是掩盖另一条更隐蔽的入侵路径
- C.内部人员从家庭线路试探：好让内部侦察看起来像是来自外部的扫描
- D.技能不足的攻击者在使用现成工具：尝试毫无针对性，还公开求助✓ 答案
区分点在于技术水平而非来源位置。默认工具标识、按字母顺序把早已修补的漏洞挨个试一遍、毫无反取证动作，再加上公开发帖求助，说明攻击者只是在运行别人写好的工具而并不理解它们，这正是“技能不足的攻击者”这一类别；有能力的攻击者会量身定制并清除痕迹。
编号 QB-QG56FG依据： CompTIA Security+ Exam Objectives, threat actors: unskilled attacker (low sophistication, prebuilt tools) and level of capability as a distinguishing attribute报告此题的问题
4. 某公用事业公司宣布一项有争议的合同后数小时内，其公开网站被篡改并贴上政治声明，同时遭到流量洪水攻击。内部系统毫发无损，尽管被篡改主机上就存放着一份可用的远程接入凭据。以下哪种判断最符合证据？
- A.有组织犯罪在铺垫勒索：篡改页面是向受害者证明已深入内网
- B.技能不足的攻击者随机篡改目标：洪水流量来自租用的压测服务
- C.国家支持者在演练对公用事业的破坏：用政治口号掩盖真实意图
- D.黑客行动主义者在为主张造势：现成的内网通道放着没用✓ 答案
判断动机要看攻击者“没做什么”。以牟利或情报为目的的攻击者会立刻使用那份远程接入凭据向内网推进；而把它放着不用、却把公开曝光度做到最大，并且紧随一项政策公告发生，说明动机是理念或政治主张，这正是黑客行动主义的核心驱动力。
编号 QB-4ZVYBC依据： CompTIA Security+ Exam Objectives, threat actors and motivations: hacktivist, philosophical/political beliefs, service disruption报告此题的问题
5. 三周内，一名资深分析师的账户从研究共享目录向个人云端文件夹复制了 4 GB 数据，每次都发生在她的排班时段、使用她本人配发的笔记本电脑、并且只用到其岗位本就拥有的权限。最后一次复制的第二天她提出辞职。证据说明了什么？
- A.影子信息技术：个人云端目录属于未经批准的服务，而不构成一次攻击
- B.内部威胁：合法权限加上正常工时，使面向外部的检测形同虚设✓ 答案
- C.账户被盗：外部攻击者刻意模仿了这名分析师一贯的工作习惯与时段
- D.凭据重放：同一个被截获的会话在这三周里被反复重复使用了多次
所有指标都指向内部：本人设备、本人排班时段、岗位本就合法拥有的权限，因此边界防护和行为基线都找不到可触发的异常。正是“合法访问权 + 恶意目的”的组合，使内部威胁成为最难检测的一类，而随后的辞职则提供了动机线索。
编号 QB-MG36XC依据： CompTIA Security+ Exam Objectives, threat actors: insider threat (internal, legitimate access, motivations including revenge and financial gain)报告此题的问题
6. 一次资产梳理发现：市场团队用公司信用卡购买了一项未经批准的分析服务，向其上传了客户邮件列表，并用某成员自行生成的令牌把它与客户数据库对接。该团队从未申请过任何例外审批。应当如何定性并处置？
- A.可接受的试点：信用卡账单已留下记录，因此目前无需再采取其他措施
- B.内部攻击：属于蓄意窃取数据，应立即停用相关账户并把该团队移交法务
- C.影子信息技术：未经批准但出于工作需要，应先登记该服务并纳入正式评审✓ 答案
- D.供应链失陷：供应商本身怀有恶意，应吊销该令牌并在网关封禁其域名
影子信息技术指的是为把工作做成而私自采用的未批准技术，并不是攻击行为，当事人本意是完成工作。其风险在于产生无人管理的攻击面、数据流出受治理的系统，因此正确做法是先发现并登记该服务，再做评估，然后要么按合同与安全要求纳入正式批准，要么用合规方案替换。
编号 QB-5Z8BHD依据： CompTIA Security+ Exam Objectives, threat actors: shadow IT (internal, unsanctioned, non-malicious) and unmanaged attack surface报告此题的问题
7. 某供应商在一条既有邮件会话中收到更改收款账户的请求，发件人正是买方财务总监本人的邮箱。邮件身份验证通过，发件地址与显示名称均真实无误，而且该总监本人的已发送邮件中确实留有一份副本。哪个结论符合证据？
- A.域名抢注仿冒：相似域名之所以能通过验证，是因为域名归攻击者所有
- B.品牌仿冒：邮件复制了买方的版式风格，而身份验证并不会检查这一点
- C.商业邮件入侵：真实邮箱已被接管，因此检查邮件头部根本无法发现问题✓ 答案
- D.域名解析投毒：解析结果被改成攻击者地址，回信因此发往了假服务器
当邮件确实发自合法邮箱时，所有技术性真实性校验都会通过，因为这封邮件本身就是“真的”：被攻陷的是账户，而不是域名。因此防御必须依靠流程控制，最关键的是对任何收款信息变更都使用此前已登记的号码进行带外核验。
编号 QB-NGEG4E依据： CompTIA Security+ Exam Objectives, human vectors: business email compromise; FBI Internet Crime Complaint Center guidance on business email compromise and out-of-band verification报告此题的问题
8. 员工在个人手机上收到一条短信，点名提到公司的薪资服务商，声称直接存款已被暂停，并通过短链接跳转到一个仿冒的统一登录页面。这属于哪种手法，为什么难以管控？
- A.短信钓鱼：诱饵经运营商短信直达个人手机，完全绕开企业邮件过滤✓ 答案
- B.语音钓鱼：使用的是通话渠道，因此邮件网关规则与附件沙箱都派不上用场
- C.水坑攻击：员工平时就会访问的网站被篡改，所以那个链接看起来完全正常
- D.高管钓鱼：目标是少数高级管理人员，普通安全意识培训往往覆盖不到他们
短信钓鱼就是通过短信投递的网络钓鱼。由于消息经运营商网络直达个人手机，企业邮件网关根本看不到它，短链接又隐藏了真实目的地，链接改写与附件沙箱都无从生效；可行的防御是安全意识、抗钓鱼的身份验证方式，以及便捷的上报渠道。
编号 QB-AZZYCK依据： CompTIA Security+ Exam Objectives, human vectors: smishing (message-based vectors including SMS)报告此题的问题
9. 来电者甲告诉服务台坐席，他正在执行季度权限审计，需要一份拥有管理员权限的账户清单，但全程没有自称任何具体的人。来电者乙则对同一名坐席声称自己是财务副总裁，要求立即重置密码。这两通电话分别属于什么手法？
- A.甲是借口攻击：编造情境；乙是身份冒充：顶替具体身份✓ 答案
- B.甲是冒充审计团队；乙是借口攻击：真正起作用的杠杆是紧迫感
- C.两者都是商业邮件入侵，只不过改用电话渠道而不是电子邮件实施
- D.甲是散布虚假信息以塑造认知；乙是高管钓鱼，因为点名了高管
借口攻击提供的是一个编造的情境，使请求听起来理所当然，并不需要顶替某个具体身份；身份冒充则更进一步，直接假扮受害者已经认可其权威的特定人物或角色。甲依靠的只是故事本身，乙依靠的是借来的身份，这正是两种手法的分界线。
编号 QB-TG76YK依据： CompTIA Security+ Exam Objectives, human vectors: pretexting and impersonation as distinct social engineering techniques报告此题的问题
10. 一周之内，四家彼此无关的工程公司相继失陷。每起感染都发生在访问同一个行业协会新闻页面之后，而该页面只向来自这四家公司所属地址段的访问者下发恶意脚本。证据显示这是哪种手法？
- A.网络钓鱼：每起感染都始于工程师自己主动点开的一个诱饵链接
- B.供应链攻击：该行业协会会向其会员公司分发软件更新，故被投毒
- C.中间人攻击：脚本是在公司与该站点之间的流量传输途中被注入
- D.水坑攻击：通过目标惯常访问的第三方网站间接命中目标✓ 答案
水坑攻击的前提是攻击者无法直接打到目标，于是转而攻陷目标群体习惯访问的第三方网站，并只向来自预定网络的访问者投放恶意载荷。按地址段选择性投放正是关键线索：这样可以让该网站的其他访问者和安全研究人员都察觉不到异常。
编号 QB-QAGU7D依据： CompTIA Security+ Exam Objectives, human vectors: watering hole attack报告此题的问题
11. 发票来自一个与供应商域名仅有两个字母顺序颠倒之差的域名。该域名承载的页面复制了供应商的标识、配色和门户版式，并出示了一张为这个相似域名签发的有效证书。下列哪种组合准确描述了攻击者的做法？
- A.域名解析投毒提供了域名；水坑攻击提供了受害者信任的页面
- B.影子子域提供了域名；虚假信息提供了受害者随后支付的那张发票
- C.品牌仿冒提供了域名；那张有效证书提供了身份真实性的保证
- D.域名抢注仿冒提供了域名；品牌仿冒提供了受害者信任的外观✓ 答案
这里叠加了两种手法。域名抢注仿冒注册的是把真实域名拼错或换序后的版本，让人扫一眼地址栏就放松警惕；品牌仿冒则复制外观与版式，让页面本身同样令人安心。那张证书只能证明持有者控制着这个相似域名，绝不能证明它就是真正的供应商。
编号 QB-7TAPMC依据： CompTIA Security+ Exam Objectives, human vectors: typosquatting and brand impersonation; certificate validation confirms domain control, not organisational identity报告此题的问题
12. 一天之内，数十个新注册的社交账号发布措辞完全相同的说法，称某制造商的产品因安全问题被召回。实际上并不存在召回，客服中心被咨询淹没，同时还流传着一份带有该公司标识的伪造通告。这是什么情况，应当首先做什么？
- A.网络钓鱼行动，以伪造通告为诱饵：封禁链接域名并重置客户账户密码
- B.虚假信息行动，由批量假账号推动：发布权威澄清，并固定保全相关帖文✓ 答案
- C.黑客行动主义的拒绝服务：对客服渠道限流，并按可用性事件立案处理
- D.仅是标识层面的品牌仿冒：提交商标侵权投诉，按市场公关问题来处理
由一次性账号协同推送、旨在损害某组织的虚假说法，属于虚假信息行动，它与网络钓鱼同属“人的攻击途径”。当务之急是通过受众本就信任的权威渠道发布澄清，并在帖文和账号信息被删除之前完成取证保全。
编号 QB-PA5H2C依据： CompTIA Security+ Exam Objectives, human vectors: misinformation and disinformation报告此题的问题
13. 印有公司标识的 U 盘出现在员工停车场。其中一只插入隔离测试机后，把自己注册为键盘设备，自动键入一条命令，并向外部主机建立了连接。下列哪组“结论—对策”是正确的？
- A.藏在盘内文档里的木马：要求先完成杀毒扫描才允许打开盘上任何文件
- B.依靠文件自动执行传播的蠕虫：关闭所有可移动介质卷的自动运行功能
- C.伪装成键盘的移动介质攻击：应按设备类别对端口实施接入管控✓ 答案
- D.集成在盘体中的硬件键盘记录器：检查各工作站端口有无未授权外接件
这只 U 盘并不是在携带一个需要有人去打开的文件，它插入瞬间就把自己声明为人机接口设备并注入按键，因此扫描文件和关闭自动运行都完全拦不住它。只有按设备类别决定端口可接受哪类外设的管控措施，再辅以“捡到介质一律上交”的制度，才能真正封堵这一途径。
编号 QB-6TXBFB依据： CompTIA Security+ Exam Objectives, threat vectors: removable device; mitigation by configuration enforcement and disabling ports报告此题的问题
14. 一名员工报告：十分钟前她在一个通过邮件链接打开的页面上，输入了用户名、密码和一次性验证码。她随后已经自行修改了密码。接下来必须做什么，为什么仅修改密码并不足够？
- A.吊销她当前的所有会话并重新注册认证器：攻击者很可能已经持有有效会话✓ 答案
- B.从所有邮箱中彻底清除该邮件：剩下的风险敞口只在于其他人继续点击它
- C.按标准镜像重装她的工作站：输入验证码说明本机上已经驻留了恶意程序
- D.在网关封禁该发件地址：否则同一批钓鱼邮件还会原样再发一遍给员工
这类实时转发凭据和一次性验证码的钓鱼站点会当场替受害者完成登录并保留所得的会话凭证，而该会话在事前就已通过认证，因此事后再改密码也不会使其失效。遏制动作必须是使活动会话与刷新令牌全部作废、重新注册认证因素，然后复查该会话期间发生了什么操作。
编号 QB-NAS6VA依据： CompTIA Security+ Exam Objectives, indicators of malicious activity: credential replay and concurrent session usage; NIST SP 800-61 guidance on containment报告此题的问题
15. 一封发给同一团队三名成员的邮件，点名提到了一个正在进行的内部项目和他们的经理，并附带一个“待签署文件”，打开后是一个要求输入凭据的页面。网关的信誉情报对此毫无记录。哪组判断与处置最恰当？
- A.有针对性的鱼叉式钓鱼，基于事前情报搜集：上报以便排查三名收件人✓ 答案
- B.只是碰巧提到项目的群发钓鱼：删掉邮件即可，不必占用安全团队时间上报
- C.属于高管钓鱼，因为点名了经理：只有当高管邮箱也在目标中才需要上报升级
- D.属于商业邮件入侵，因为含内部细节：应直接认定经理的邮箱已经被攻陷
邮件中准确的内部细节加上仅三名收件人，说明这是经过情报搜集的鱼叉式钓鱼而非群发，而正因投递量极小，信誉情报此时还没有任何记录。真正起作用的控制是及时上报：安全团队可据此撤回邮件、核查其余收件人是否提交了凭据，并封堵相关基础设施。
编号 QB-5TKZ9A依据： CompTIA Security+ Exam Objectives, human vectors: phishing and targeted variants; NIST SP 800-61 on user reporting as a precursor and incident detection source报告此题的问题
16. 凌晨两点到五点之间，六十台服务器被感染。遥测数据显示：每起感染都始于来自已感染主机、指向文件共享服务端口的入站连接；期间没有任何用户登录；也没有任何邮件或文档被打开。这支持哪个结论？
- A.木马：用户此前安装了伪装程序，它在夜间按预设定时器被触发激活
- B.病毒：每台主机上都有受感染文件被执行，由计划任务而非人工打开
- C.蠕虫：通过利用网络服务自行传播，因此在无人时段也不需要用户操作✓ 答案
- D.逻辑炸弹：六十台服务器上早已潜伏的代码在设定时刻同时触发引爆
区分各类恶意软件的关键，在于传播需要什么条件。病毒需要宿主文件被执行，木马需要用户自行安装，而蠕虫依靠利用可达的网络服务自行传播。在无人登录的深夜发生主机到主机的连锁感染，只有蠕虫这一类能够解释。
编号 QB-MAEUP9依据： CompTIA Security+ Exam Objectives, indicators of malicious activity: malware attacks (worm, virus, trojan); NIST glossary definition of a worm as self-replicating without user action报告此题的问题
17. 在文件被加密之前，流量记录显示：连续两个夜间共有 300 GB 数据经加密网页会话从一台文件服务器传出，流向一家面向个人的云存储服务商；而在勒索信出现前几分钟，卷影副本和备份目录被删除。这对响应意味着什么？
- A.删除备份副本说明这是擦除型攻击而非勒索软件：不会存在可用的解密密钥
- B.仅可用性受损：只要用离线备份恢复完毕，本次事件即可结案，无须其他动作
- C.外传数据证明是内部人所为：响应重点应转向对本公司员工开展内部调查
- D.同时发生了数据泄露：即便备份能完整恢复，通报与法律义务依然必须履行✓ 答案
加密之前发生的大量数据外传，正是“双重勒索”的典型特征：无论是否支付赎金，攻击者都留有一份副本可用于出售或公开。因此本次事件既是可用性事件，也是机密性事件，会触发监管和合同层面的通报义务，仅靠备份恢复并不能了结此事。
编号 QB-4T8P49依据： CompTIA Security+ Exam Objectives, malware attacks (ransomware) and indicators including resource inaccessibility; CISA #StopRansomware guidance on data theft and double extortion报告此题的问题
18. 一名数据库管理员两个月前已离职。今天，一个由他创建、以服务账户身份运行的存储作业开始执行：先检查他本人的账户是否仍然存在，发现已被删除后，随即删除了一批数据表。这是什么，哪项控制本可最先发现它？
- A.蠕虫：可自行传播的代码；在数据库层与应用层之间做网络分段隔离
- B.逻辑炸弹：由条件触发的代码；离职流程中对计划作业的交叉复核✓ 答案
- C.根套件：隐藏驻留的代码；对数据库服务器执行启动时完整性扫描
- D.勒索软件：破坏性载荷；与生产环境离线隔离保存的不可篡改备份
逻辑炸弹是预先植入、在满足特定条件前保持静默的代码，这里的触发条件是作者本人账户消失。由于它藏身于普通的计划作业而非恶意可执行文件，杀毒软件无从检出；真正能发现它的，是在离职流程中复核所有自动化作业并重新指定归属人。
编号 QB-KA3HH8依据： CompTIA Security+ Exam Objectives, malware attacks: logic bomb; mitigation by access control review and decommissioning of accounts and automation报告此题的问题
19. 某主机自带工具列出四十个运行中的进程，且未显示任何异常连接；而从操作系统之外采集的内存镜像却列出四十三个进程，其中一个还持有一条通往外部地址的已建立连接。这一差异说明了什么？
- A.内存镜像已过时：运行中的主机始终能准确报告自己的进程表
- B.用户态的键盘记录器通过给自身进程改名的方式来隐藏其存在
- C.内核级根套件正在过滤主机自身接口向分析人员返回的结果✓ 答案
- D.间谍软件关闭了日志：主机计数本身正确，只是日志记录被清空
根套件运行在操作系统同层或更底层，会拦截枚举进程、文件和连接的系统调用，因此任何向被攻陷内核提问的工具拿到的都是被“净化”过的答案。把这一答案与带外来源（如内存镜像或离线扫描结果）对比，正是揭露它的标准方法。
编号 QB-3TVBX7依据： CompTIA Security+ Exam Objectives, malware attacks: rootkit; NIST glossary description of rootkits subverting operating system reporting报告此题的问题
20. 同一楼层的三名用户的密码被公司外部使用。终端扫描结果干净，机器上没有可疑进程，也没有异常外发连接，而这三人都在共用工位上使用有线键盘。下一步应基于哪一判断来推进？
- A.可能是软件键盘记录器绕过了扫描：应采集内存镜像送交杀毒厂商分析研判
- B.可能正在发生凭据重放：应缩短这些用户所访问应用的会话有效期与超时时间
- C.可能存在插在键盘与主机端口之间的硬件键盘记录器：应现场检查物理接口✓ 答案
- D.可能是浏览器中的间谍软件：应卸载所有扩展并清除配置文件中保存的凭据
若是运行在终端上的软件，扫描、进程列表或网络遥测中总会留下痕迹。而以硬件形式实现的击键记录器安装在线缆或端口上，在操作系统看到输入之前就已截获，并独立存储或外发，因此只有对共用工位进行实物检查才能排除这种可能。
编号 QB-ACTNYV依据： CompTIA Security+ Exam Objectives, malware attacks: keylogger; threat vector of removable and attached hardware devices报告此题的问题
21. 新采购的笔记本电脑出厂预装了厂商的更新工具：它以高权限服务方式常驻运行，没有任何业务流程用到它，并且通过未经身份验证的通道获取指令。下列哪种定性与处置与该发现相符？
- A.扩大攻击面的预装冗余软件：在标准装机镜像中先行移除，再交付使用✓ 答案
- B.供应链中植入的木马：将整批设备隔离封存，并立即向执法机关报案处理
- C.厂商出厂即带的根套件：在发放给员工之前，对每台机器重新刷写固件
- D.采集遥测的间谍软件：保留该工具不动，只在网页网关封禁其相关域名
预装冗余软件是组织既未订购也不使用的出厂软件；它本身并非恶意，但一个以高权限运行、又通过未认证通道接收指令的服务，恰恰是攻击者最愿意滥用的多余组件。标准的加固做法就是从装机镜像中移除不必要的软件，从源头消除它。
编号 QB-TUYTJW依据： CompTIA Security+ Exam Objectives, malware attacks: bloatware; hardening technique of removing unnecessary software报告此题的问题
22. 一台工作站每隔约六十分钟（上下相差数秒）就向同一个外部主机发起一次加密网页连接，请求大小几乎恒定、返回数据极少，并且夜间和周末也照常持续。该域名是十一天前才注册的。这一模式说明了什么？
- A.监控代理配置错误：无人值守时段正好解释了键盘前无人时仍产生的流量
- B.命令与控制信标回连：固定间隔加恒定大小，符合植入体定期报到✓ 答案
- C.合法的软件更新检查：厂商本来就按小时轮询，新注册域名也属正常现象
- D.正在进行大规模数据外传：稳定的时间表符合把超大文件分批外送的做法
识别信标回连靠的是流量形态而不是内容：固定间隔加上轻微随机抖动、请求大小几乎不变、返回数据极少、且完全不随工作时间波动，正是植入体向控制端索取指令的特征。数据外传会表现为大量且方向不对称的外发流量，更新检查则会随用户活动和补丁周期起伏。
编号 QB-9CFBTU依据： CompTIA Security+ Exam Objectives, indicators of malicious activity: command and control traffic and resource consumption indicators; NIST SP 800-61 on identifying precursors and indicators in network traffic报告此题的问题
23. 某服务把数据包中一个长度由攻击者控制的主机名字段，未经长度检查就复制到栈上一个固定的 64 字节数组中。崩溃转储显示保存的返回地址被攻击者提供的字节覆盖，指令指针被引向栈内。这一发现属于哪一类，哪些平台防御能提高其利用成本？
- A.针对已签名进程的内存注入；平台防御是代码签名与内核驱动阻止策略。
- B.检查时到使用时的竞争条件；平台防御是文件加锁与原子打开调用。
- C.栈上数组之外的缓冲区溢出；平台防御是地址空间随机化与执行保护。✓ 答案
- D.内存分配器中的整数溢出；平台防御是保护页与堆分片隔离机制。
写入的字节数超过数组分配的空间时，会破坏栈上紧邻的数据，而保存的返回地址是经典目标，因为覆盖它就能把执行流引向攻击者选定的字节。地址空间随机化使目标地址不可预测，执行保护把栈标记为不可执行，两者针对的是利用环节，而缺陷本身要靠对复制长度做边界检查来修复。
编号 QB-SUMGDV依据： CompTIA Security+ exam objectives (application vulnerabilities: buffer overflow); CWE-121 stack-based buffer overflow报告此题的问题
24. 一个特权备份工具先调用访问检查函数确认调用者有权读取某路径，随后再按同一路径名打开该文件。攻击者在两次调用之间反复把该路径替换为指向受保护文件的符号链接，从而读到了该文件内容。这属于哪一类发现，如何才能消除它？
- A.检查时到使用时的竞争条件；修复方式是只打开一次文件并对已打开的描述符做判断。✓ 答案
- B.目录遍历漏洞；修复方式是拒绝任何解析结果落在允许的备份目录之外的路径。
- C.由特权程序引发的权限提升；修复方式是在任何文件操作之前先放弃提升的权限。
- D.备份工具遭到恶意更新；修复方式是在安装该二进制文件之前先验证厂商的签名。
检查与使用是针对名称的两次独立操作，而不是针对同一对象的一次操作，因此状态可以在两者的间隙中被改变；正是这种非原子的时序使检查时到使用时成为竞争条件，而非普通逻辑错误。只打开一次并随后检查返回的描述符，可把判断绑定到真正打开的那个对象上，之后替换名称也就无从影响结果。
编号 QB-CCHBBY依据： CompTIA Security+ exam objectives (race conditions: time-of-check/time-of-use); CWE-367报告此题的问题
25. 端点工具报告：一个已签名的操作系统进程持有一块被标记为可读、可写、可执行的私有内存区域，并每五分钟向外发起一次心跳外联。磁盘上的可执行文件仍与厂商公布的哈希值一致，也没有新安装的服务或驱动。哪一项结论符合这些证据？
- A.厂商可执行文件已被恶意更新替换，因此磁盘上记录的哈希值不再适用。
- B.代码运行在一个受信任进程的内存中，因此磁盘完整性校验仍然能够通过。✓ 答案
- C.内核中被加载了位于操作系统之下的隐藏工具，因此进程列表是伪造的。
- D.平台固件在启动之前运行植入体，因此那段内存属于平台而不属于恶意软件。
内存注入是把攻击者代码放入一个已在运行且已被信任的进程地址空间，因此磁盘文件毫发无损、哈希校验仍能通过。关键迹象是一个本无正当理由动态生成代码的进程内出现同时可写且可执行的私有内存区域，因此检测必须来自运行时内存与网络行为，而不是文件完整性校验。
编号 QB-VUPGWY依据： CompTIA Security+ exam objectives (application vulnerabilities: memory injection)报告此题的问题
26. 某 Web 日志记录到请求 GET /invoice?id=7%20OR%201%3D1--，而应用返回了表中的全部发票记录，而不是一条。该日志行支持哪一项发现，以及哪种修复针对的是根因而非症状？
- A.页面输出中的跨站脚本；正确修复是在渲染时对不可信的值进行编码转义。
- B.对数据库查询的注入；正确修复是使用参数化语句，把输入严格当作数据绑定。✓ 答案
- C.来自其他来源的请求伪造；正确修复是使用攻击者页面无法读取的一次性令牌。
- D.文件层的目录遍历；正确修复是在做任何访问判断之前先对路径做规范化。
解码后的参数是 7 OR 1=1--，它把记录过滤条件变成恒为真的条件并把其后的内容注释掉，于是应用返回整张表；这一行为说明输入被直接拼接进了查询语句文本。参数化语句把查询结构与取值分开发送，因此相同字符永远不会被解析为查询逻辑，这也是为什么仅过滤引号或关键字只能压缩症状而不能消除根因。
编号 QB-BC6Z5X依据： CompTIA Security+ exam objectives (web-based: SQL injection); CWE-89报告此题的问题
27. 每个打开某个产品页面的访客，其会话 Cookie 都被发送到一个陌生主机。代码库中的页面模板并未改动；有效载荷来自几个月前存入数据库的一条顾客评论，并被未经编码地写入页面。这属于哪一类发现，如何阻止它？
- A.在途设备的会话重放；阻止方式是每次登录成功后都重新签发会话令牌。
- B.反射型跨站脚本；阻止方式是拒绝查询字符串中含有脚本标记的请求。
- C.对数据库查询的注入；阻止方式是用参数化语句绑定所有评论文本。
- D.存储型跨站脚本；阻止方式是输出时对已存内容编码并限制脚本来源。✓ 答案
脚本保存在应用自身的数据存储中，并被提供给之后的每一位访问者，全程不需要精心构造的链接，这正是存储型跨站脚本的特征，而反射型需要针对每个受害者各发一个被污染的请求。载荷在每位访客浏览器中以该站点来源的身份执行，因此能读取该访客的 Cookie；输出编码与限制可执行脚本来源的策略都能切断执行环节。
编号 QB-UUB6RX依据： CompTIA Security+ exam objectives (web-based: cross-site scripting); CWE-79报告此题的问题
28. 一名在薪资应用中持有有效会话的管理员，在浏览器另一个标签页打开了一个无关网页。该网页悄悄向薪资应用的新增用户接口提交了一个表单，而由于浏览器附带了会话 Cookie，该请求得以成功。这是哪种攻击，哪种控制能挫败它？
- A.在途拦截攻击；有效控制是要求该应用只能通过加密通道来访问。
- B.跨站请求伪造；有效控制是与会话绑定且第三方页面无法读取的令牌。✓ 答案
- C.对已捕获令牌的凭据重放；有效控制是拒绝此前已经出现过的认证材料。
- D.存储型跨站脚本；有效控制是在构建页面时对每个不可信值做编码。
应用之所以批准这个改变状态的请求，仅仅因为请求随带了有效的会话 Cookie，攻击者从未需要凭据本身，只需要受害者已认证的浏览器。放在请求体中并由服务端校验的防伪令牌无法被另一来源的页面读取或猜出，因此它才是与该机制对应的控制，而通道加密并不能阻止这一点。
编号 QB-EC8ZN2依据： CompTIA Security+ exam objectives (application attacks: forgery); CWE-352 cross-site request forgery报告此题的问题
29. 服务器日志显示对文档查看器的重复请求形如 file=%2e%2e%2f%2e%2e%2f%2e%2e%2fetc%2fpasswd，其中一次响应异常地大。开发者提出的修复是拒绝任何包含字面字符 ../ 的参数。哪一项评估是正确的？
- A.该发现是命令注入，且该修复无效，因为参数会原样传给系统命令解释器。
- B.该发现是查询注入，且该修复有效，因为参数随后已经被加上了引号处理。
- C.该发现是目录遍历，且该修复无效，因为编码序列会在检查之后才被解码。✓ 答案
- D.该发现是查看器的缓冲区溢出，且该修复有效，因为输入长度已经受到限制。
该参数经过百分号编码，%2e%2e%2f 就是同一个遍历序列，只是写成了在字符串比较时不含字面 ../ 的形式；平台随后才解码，于是文件被从文档根目录之外读出。因此放在解码之前的模式匹配会漏掉这次攻击，可靠的顺序是先解码并对路径做规范化，再把解析后的结果与查看器被允许提供的目录做比较。
编号 QB-XUD693依据： CompTIA Security+ exam objectives (application attacks: directory traversal); CWE-22报告此题的问题
30. 某网络诊断页面接收一个主机值，拼接出字符串 ping -c 4 <host> 并交给命令解释器执行。一次审计请求提交了 8.8.8.8; cat /etc/passwd，响应正文中包含了账户条目。哪一项改动能消除这一类缺陷，而不只是拦住某一个载荷？
- A.在拼接命令字符串之前，先从主机值中去掉分号和管道符等特殊字符。
- B.让诊断页面以非特权账户运行，使该命令能够读取到的文件数量更少。
- C.把整个主机值用双引号包住，让命令解释器把它当作一个单独的词。
- D.直接调用该程序，把主机值作为单独参数传入，完全不经过命令解释器。✓ 答案
缺陷的根源在于用户文本被拼接进一个随后由命令解释器解析的字符串，于是由解释器而非应用来决定一条命令在哪里结束、下一条从哪里开始。直接执行该程序并把值作为一个独立参数传入，意味着根本不发生任何解释器解析，从而一次性关闭所有元字符；而去掉个别字符或加引号都保留了解析环节，历来都被反复绕过。
编号 QB-FGH7HE依据： CompTIA Security+ exam objectives (application attacks: injection); CWE-78 OS command injection报告此题的问题
31. 一款监控代理通过厂商正常的更新服务完成升级。该安装包带有有效的厂商签名，但数小时内所有已升级主机都开始连接一个陌生域名，并把本地文件打包暂存。哪一项描述符合事实，哪种做法本可限制损害？
- A.该代理解析器中的零日漏洞；应针对该域名与压缩包格式添加特征检测规则。
- B.在补丁发布前被利用的未修补漏洞；应缩短补丁窗口，让更新更快地部署。
- C.通过受信任渠道投递的恶意更新；应先在小范围试点发布并观察其外联流量。✓ 答案
- D.从仿冒站点下载的假安装包；应要求更新只能来自厂商自己的官方更新服务。
投递过程没有任何异常：渠道是厂商自己的，签名也校验通过，这正是恶意更新与仿冒下载的区别所在，因为对发布方的信任本身就成了投递途径。由于签名校验无法发现它，务实的防御是流程性的——先向有限范围发布并观察其外联行为，再让该变更覆盖其余资产。
编号 QB-XYB2XD依据： CompTIA Security+ exam objectives (application: malicious update; supply chain: software provider)报告此题的问题
32. 一家托管服务商为远程支持在每个客户环境中都持有一个常设的域管理员账户。攻击者攻陷了该服务商的管理控制台，并利用这些账户同时向多家客户部署工具。哪项缓解措施针对的是结构性问题？
- A.要求该服务商持有公认的安全认证，并每年接受第三方审计与鉴证。
- B.把服务商的常设账户改为限定范围、限定时段授予并按会话留痕的访问。✓ 答案
- C.对客户静态数据加密，使服务商工具无法读取它从主机复制走的文件。
- D.为客户一侧的每个员工邮箱和远程访问账户都启用多因素认证机制。
损害之所以被放大，是因为一次攻陷同时继承了每个客户环境中长期存在的宽泛特权，因此结构性缺陷在于这个常设高权限账户，而不在服务商的尽责程度或客户自身的登录控制。仅在获批任务期间授予范围受限的访问，并记录每次会话，意味着控制台被窃取后几乎得不到常设权限，同时留下可显示实际使用情况的审计线索。
编号 QB-GGVHPF依据： CompTIA Security+ exam objectives, Objectives 2.2 and 2.3 (supply chain: managed service providers, service provider); NIST SP 800-161 third-party access practices报告此题的问题
33. 一台机加工控制器运行着厂商已不再支持的操作系统，而在十八个月内无法中断生产来更换这台控制器。在这段时间内，哪一做法才真正处置了实际暴露面？
- A.把它限制在受限网络分区内，只放通它必需的少量流量，并监控这些流量。✓ 答案
- B.在其上安装当前的端点防护套件，依靠更新的特征库拦截已知攻击行为。
- C.为这套被厂商放弃的系统打社区制作的补丁，就地关闭已知的那些缺陷。
- D.把该缺口记为已接受风险，指定责任人与复核日期，配置保持原样不动。
不再受支持的平台不会再收到修复，因此该漏洞无法被移除，剩下的唯一手段就是缩小能到达它以及它能到达的范围。以严格的流量白名单做网络分区并配合监控，是针对生命周期结束与遗留系统公认的补偿性控制；非官方补丁无法对照厂商基线加以验证，而仅仅记录风险接受并不改变暴露面。
编号 QB-YYPC4F依据： CompTIA Security+ exam objectives (hardware: end-of-life, legacy) and (segmentation, isolation)报告此题的问题
34. 摄像机管理日志显示，凌晨 03:10 至 03:25 之间，来自同一台内网工作站的管理员登录在四十台设备上全部成功，之前没有任何失败尝试，也没有任何口令重置记录。失败尝试的缺失最强烈地说明了什么，应当纠正什么？
- A.网页界面中的未知缺陷被利用，应针对该利用特征添加签名检测规则。
- B.一个被捕获的认证令牌被重放，应为每个会话绑定随机数与时间戳。
- C.一次喷洒未触发锁定上限，应降低阈值并对分散尝试发出告警提示。
- D.这些设备仍然接受公开记载的出厂凭据，应为每台设备设置唯一口令。✓ 答案
四十台设备一次尝试即成功且没有任何猜测流量，说明凭据是事先已知的而非被试探出来的，而攻击者能对一批嵌入式设备预先知道的凭据，正是厂商公开记载的默认口令。由于默认凭据既不需要漏洞利用也不需要猜测，纠正性控制就是为每台设备设置各不相同的凭据，这也正是更改默认口令被列入加固清单的原因。
编号 QB-DGTH6C依据： CompTIA Security+ exam objectives (default credentials) and (default password changes)报告此题的问题
35. 一台笔记本电脑先后两次使用确认无污染的介质擦除并重装系统，两次都在首次启动后数分钟内、端点代理尚未启动之前，同一个植入体就已处于活动状态。更换硬盘也毫无改变。哪一组解释与控制符合这些证据？
- A.恶意代码留存在安装介质中；应对措施是对镜像做哈希校验并使用离线的构建主机。
- B.恶意代码留存在平台固件中；应对措施是签名的固件更新与可度量启动加远程证明。✓ 答案
- C.恶意代码留存在网络设备中；应对措施是对客户端网段做分区并做出向过滤。
- D.恶意代码留存在计划任务中；应对措施是配置强制执行与经过加固的基线镜像。
能在完整重装与更换硬盘之后依然存活，排除了任何保存在文件系统或磁盘上的东西，剩下的就是驻留在可写平台固件中、并在操作系统加载之前执行的代码。因此控制必须作用于该层：只允许写入经过签名的固件映像，而可度量启动会把每个阶段记入硬件寄存器，使远程证明能够发现启动前状态已不再与预期一致。
编号 QB-VYMCKB依据： CompTIA Security+ exam objectives (hardware: firmware) and (hardening); UEFI secure boot and measured boot报告此题的问题
36. 某云租户开通了新的块存储，并在自己从未写入过的卷区域中发现了另一客户记录的片段。客户机隔离并未被破坏：没有租户触及虚拟化管理程序或其他客户机的内存。这属于哪种漏洞，与之最接近的选项为何是错的？
- A.虚拟机逃逸，因为能读到另一租户的数据说明客户机边界已被跨越。
- B.不安全的直接对象引用，因为该租户访问了本无权访问的存储卷。
- C.加密失效，因为该存储卷中未写入的区域没有启用静态数据加密保护。
- D.资源重用，因为被重新分配的存储带有残留数据，而不是隔离被打破。✓ 答案
资源重用属于数据残留问题：共享容量被一个租户释放后未经清除就交给另一个租户，于是旧内容通过一次完全合法的分配就被看到。虚拟机逃逸是另一种失效，指客户机突破自身隔离去触及虚拟化管理程序或宿主机，而本例并未跨越该边界，因此修复手段是在重新分配时做清除并对租户卷加密，而不是加固虚拟化管理程序。
编号 QB-EG6VBD依据： CompTIA Security+ exam objectives (virtualization: resource reuse, virtual machine escape)报告此题的问题
37. 调查人员发现，一个市场部的对象存储容器被设置为允许匿名调用者读取，且搜索引擎已对其中文件建立索引。没有凭据被窃取，没有利用任何软件缺陷，服务商平台的行为也完全与文档一致。应如何对其归类和归责？
- A.属于服务商责任的供应链缺陷，因为其默认策略允许任何人公开列出对象。
- B.属于客户责任的加密缺陷，因为该容器在对外提供时没有启用加密。
- C.存储服务中的零日漏洞，因为完全没有账户的第三方也取到了文件。
- D.属于客户责任的配置错误，因为访问策略在责任模型中位于客户一侧。✓ 答案
这里没有任何利用行为：该服务执行的正是被赋予的访问策略，而该策略允许匿名读取，因此这是配置错误，而不是平台漏洞。在共担责任的划分下，服务商负责基础设施的安全，客户负责身份、访问策略与数据设置的配置，因此该发现与整改都归属客户一方。
编号 QB-WYYPRC依据： CompTIA Security+ exam objectives (cloud-specific vulnerabilities; misconfiguration); cloud shared responsibility model报告此题的问题
38. 客户端通过一台设备访问内部门户，该设备改写握手过程，使双方最终协商到一个过时的协议版本与出口级弱加密套件，随后流量即可被读取。这是哪种攻击，服务端做哪项改动能消除该机会？
- A.降级攻击；服务端应拒绝过时版本与弱套件，使其根本没有退回的余地。✓ 答案
- B.碰撞攻击；应把证书所用的签名哈希函数替换为强度更高的哈希函数。
- C.凭据重放；应在每一次认证交换中都加入一次性随机数与时间戳。
- D.生日攻击；应加长会话密钥，使需要搜索的空间变得过于庞大。
降级攻击并不破解强加密，而是操纵协商过程，使双方根本不使用强加密，转而落到已知薄弱的协议版本或加密套件上。因此对策在于配置而非密钥长度：当服务端不再提供任何过时版本与弱套件时，就没有可退回的选项，协商要么以完整强度成功，要么直接失败。
编号 QB-KGXH7K依据： CompTIA Security+ exam objectives (cryptographic attacks: downgrade)报告此题的问题
39. 某研究者大量生成候选文档，直到其中两份在一个陈旧哈希函数下得到相同摘要，然后利用这一对文档把一份已签署合同替换为另一份。哪一项对这两个术语的归属是正确的？
- A.摘要相同叫做生日攻击；在候选文档中做的那次搜索叫做碰撞。
- B.两个术语指的是同一件事，因此碰撞与生日攻击可以互换使用。
- C.摘要相同是原像；找到这一对文档的搜索属于彩虹表查表。
- D.摘要相同是碰撞；利用概率进行的那次搜索叫做生日攻击。✓ 答案
碰撞是指两个不同输入映射到同一摘要的状态，而生日攻击是高效找到这样一对输入的技术，它利用生日悖论，使需要搜索的规模大致是输出空间的平方根而非全部空间。原像攻击的目标完全不同，它从一个给定摘要出发，去寻找能产生该摘要的输入。
编号 QB-3ZRCMJ依据： CompTIA Security+ exam objectives (cryptographic attacks: collision, birthday)报告此题的问题
40. 两个口令数据库被窃取。第一个库中，每个口令都与一个随其一同保存、且对该账户唯一的长随机值一起做哈希；第二个库使用同一哈希函数，但没有这样的随机值。攻击者的预计算表很快破解了第二组，对第一组却毫无作用。哪一项解释了这种差别？
- A.所存随机值对每条摘要做了加密，因此必须先恢复密钥才能开始猜测口令。
- B.所存随机值对每个账户都不相同，因此一张预计算表覆盖不了任何账户。✓ 答案
- C.所存随机值必须保持保密，因此第一个库只有在该值未泄露时才是安全的。
- D.所存随机值加长了每个口令，因此猜测的规模超出了这些表构建时的范围。
预计算表只有在同一口令总是产生同一摘要时才有用，而按账户各不相同的加盐值打破了这一前提，使存储的摘要同时取决于账户与口令。因此加盐值无需保密，它本就以明文保存：它的作用是迫使攻击者对每一个账户单独发起猜测，而不能用一张表覆盖所有账户。
编号 QB-APQAM8依据： CompTIA Security+ exam objectives (cryptographic vulnerabilities); NIST SP 800-63B password storage with salting报告此题的问题
41. 认证日志显示，六小时内针对 840 个不同账户各出现一次失败尝试，使用的始终是同一个常见口令，且没有任何账户触及锁定阈值。这是哪种模式，其形态揭示了攻击者的什么意图？
- A.口令喷洒；每个账户只试一次的形态就是为了不触发锁定阈值。✓ 答案
- B.对单一账户的暴力破解；每账户多次尝试通常会很快触发账户锁定。
- C.对捕获哈希的凭据重放；成功复用不会在日志里留下失败尝试记录。
- D.并发会话滥用；同一账户的并行登录说明凭据被多人共享使用。
区分要点在于扩散方向：暴力破解把大量口令投向同一个账户，几乎立刻触发锁定；而喷洒把一两个可能的口令铺向大量账户，正是为了让任何单个计数器都不到上限。由于按账户设置的阈值看不到这种模式，检测要靠把同一来源跨多个账户的失败关联起来，仅调整锁定阈值并不能发现它。
编号 QB-T6WF79依据： CompTIA Security+ exam objectives (password attacks: spraying, brute force)报告此题的问题
42. 某接入虚拟局域网上的攻击者不断发送未经请求的地址解析应答，把网关的网络地址绑定到攻击者自己的硬件地址上，从而把自己置于主机与网关之间。要求在不改动主机的前提下由交换平台阻止这一行为。哪一项配置组合能做到？
- A.在端口上先对接入设备做认证，通过后才允许数据帧进入该虚拟局域网。
- B.限制每个接入端口只能学习一个硬件地址，出现第二个时关闭该端口。
- C.依据交换机已记录的可信地址分配绑定，校验每一条地址解析应答。✓ 答案
- D.从所有干道链路上裁剪未使用的虚拟局域网，使攻击者帧无法跨越网段。
地址解析本身没有任何认证机制，因此判断一条应答的唯一依据，是一份独立记录，说明哪个网络地址合法地属于哪个端口和硬件地址。交换机通过观察地址分配过程建立这份记录，再据此检查每条应答并丢弃与记录矛盾的绑定；端口安全只是统计地址数量而不校验声明内容，端口认证只能证明是谁接入，却不约束其接入后声明什么。
编号 QB-BP3NS9依据： CompTIA Security+ exam objectives (network attacks: on-path attack); dynamic ARP inspection validated against address-assignment bindings报告此题的问题
43. 某公司的公共域名解析器正被用于一场攻击：到达的查询只有 60 字节且携带伪造的源地址，而 3000 字节的应答被发往一个从未发起请求的受害者。对该公司自己的解析器做哪项改动能阻止它们被这样利用？
- A.为公司发布的每个区域签名，使验证客户端能够识别出被伪造的应答。
- B.提高每个区域记录的生存时间，使单位时间内到达解析器的查询更少。
- C.拒绝来自外部客户端的递归查询，并对发往同一地址的相同应答做限速。✓ 答案
- D.在边界阻断入向回显流量，使这类洪泛流量根本到不了解析器本身。
这里叠加了两种机制：伪造的源地址使解析器把应答发往第三方，而查询与应答之间约五十倍的体积差把到达该处的流量放大。该组织无法在上游阻止地址伪造，但可以做到不再成为可被利用的放大器——只为自己的客户端提供递归解析，并限制同一目的地收到相同应答的频率。
编号 QB-U69TCA依据： CompTIA Security+ exam objectives (DDoS: amplified, reflected; DNS attacks); BCP 38 source address validation报告此题的问题
44. 一次无线巡检发现一台开放网络的接入点，被物理插在会议室的墙面网口上，直接桥接到内部用户虚拟局域网。它并未冒用公司的网络名称。这属于哪一类发现，墙面网口上的哪项控制能防止再次发生？
- A.有线网络上的非法接入点；应要求端口在转发之前先完成设备认证。✓ 答案
- B.针对公司客户端的去认证攻击；应在网络上启用管理帧保护机制。
- C.冒用公司网络名称的双生恶意热点；应要求客户端校验服务器证书。
- D.控制器上配置错误的访客网络；应要求访客流量走自己的独立网关。
双生恶意热点的手法是冒用已知网络名称，让客户端误连上去，而这台设备并未做这种冒用——它的全部影响都来自未经授权地接入有线网络，这正是非法接入点的定义。由于暴露面从物理端口进入，控制也应落在那里：基于端口的认证使该网口在所接设备完成身份证明之前无法转发用户流量。
编号 QB-CPEYXA依据： CompTIA Security+ exam objectives (unsecure networks: wireless) and (wireless attacks); IEEE 802.1X port-based network access control报告此题的问题
分套练习
本考试的其他主题
练习题依据 CompTIA Security+ SY0-701 考试目标编写。这是一个独立的学习工具，与 CompTIA 无关联、未获其认可，也不授予任何认证。 关于 Security+ →