网络安全面试常见问题

李万吉   ·   发表于 2020-03-10 12:08:09   ·   面试经验分享

一、常见基础面试问题
1、请描述常见 Web 攻击?Owasp TOP10有哪些?
2、重要协议分布层
3、请描述arp协议的工作原理
4、rip协议是什么?rip的工作原理
5、什么是RARP?工作原理
6、OSPF协议是什么?并描述OSPF的工作原理。
7、TCP与UDP区别是什么?
8、什么是三次握手四次挥手?
9、请描述tcp三次握手?为什么?
10、dns是什么?请描述dns的工作原理
11、请描述一次完整的HTTP请求过程
12、请描述Cookies和session区别是什么?
13、请描述GET 和 POST 的区别是什么?
14、请描述HTTPS和HTTP的区别是什么?
15、请描述session 的工作原理?
16、http长连接和短连接的区别是什么?
17、请描述OSI 的七层模型都有哪些?
18、请描述session 的工作原理?什么是TCP粘包/拆包?发生原因?解决方案
19、请描述TCP如何保证可靠传输?
20、URI和URL的区别是什么?
21、什么是SSL ?https是如何保证数据传输的安全?
22、https是如何保证数据传输的安全(SSL是怎么工作保证安全的)
23、TCP对应的应用层协议,UDP对应的应用层协议
24、常见的状态码有哪些?
25、什么是SQL注入攻击
攻击者在HTTP请求中注入恶意的SQL代码,服务器使用参数构建数据库SQL命令时,恶意SQL被一起构造,并在数据库中执行。
用户登录,输入用户名lianggzone,密码 ‘ or ‘1’=’1 ,如果此时使用参数构造的方式,就会出现
select * from user where name = ‘lianggzone’ and password = ‘’ or ‘1’=‘1’
不管用户名和密码是什么内容,使查询出来的用户列表不为空。如何防范SQL注入攻击使用预编译的PrepareStatement是必须的,但是一般我们会从两个方面同时入手。
Web端
1)有效性检验。
2)限制字符串输入的长度。
服务端
1)不用拼接SQL字符串。
2)使用预编译的PrepareStatement。
3)有效性检验。(为什么服务端还要做有效性检验?第一准则,外部都是不可信的,防止攻击者绕过Web端请求)
4)过滤SQL需要的参数中的特殊字符。比如单引号、双引号。

26、什么是XSS攻击?
跨站点脚本攻击,指攻击者通过篡改网页,嵌入恶意脚本程序,在用户浏览网页时,控制用户浏览器进行恶意操作的一种攻击方式。如何防范XSS攻击
1)前端,服务端,同时需要字符串输入的长度限制。
2)前端,服务端,同时需要对HTML转义处理。将其中的”<”,”>”等特殊字符进行转义编码。
防XSS 的核心是必须对输入的数据做过滤处理。
27、什么是CSRF攻击?
跨站点请求伪造,指攻击者通过跨站请求,以合法的用户的身份进行非法操作。可以这么理解CSRF攻击:攻击者盗用你的身份,以你的名义向第三方网站发送恶意请求。CRSF能做的事情包括利用你的身份发邮件,发短信,进行交易转账,甚至盗取账号信息。
如何防范CSRF攻击
安全框架,例如Spring Security。oken机制。在HTTP请求中进行token验证,如果请求中没有token或者token内容不正确,则认为CSRF攻击而拒绝该请求。
验证码。通常情况下,验证码能够很好的遏制CSRF攻击,但是很多情况下,出于用户体验考虑,验证码只能作为一种辅助手段,而不是最主要的解决方案。
referer识别。在HTTP Header中有一个字段Referer,它记录了HTTP请求的来源地址。如果Referer是其他网站,就有可能是CSRF攻击,则拒绝该请求。但是,服务器并非都能取到Referer。很多用户出于隐私保护的考虑,限制了Referer的发送。在某些情况下,浏览器也不会发送Referer,例如HTTPS跳转到HTTP。
1)验证请求来源地址;
2)关键操作添加验证码;
3)在请求地址添加 token 并验证。
27、什么是文件上传漏洞
文件上传漏洞,指的是用户上传一个可执行的脚本文件,并通过此脚本文件获得了执行服务端命令的能力。
许多第三方框架、服务,都曾经被爆出文件上传漏洞,比如很早之前的Struts2,以及富文本编辑器等等,可被攻击者上传恶意代码,有可能服务端就被人黑了。如何防范文件上传漏洞
文件上传的目录设置为不可执行。
1)判断文件类型。在判断文件类型的时候,可以结合使用MIME Type,后缀检查等方式。因为对于上传文件,不能简单地通过后缀名称来判断文件的类型,因为攻击者可以将可执行文件的后缀名称改为图片或其他后缀类型,诱导用户执行。
2)对上传的文件类型进行白名单校验,只允许上传可靠类型。
3)上传的文件需要进行重新命名,使攻击者无法猜想上传文件的访问路径,将极大地增加攻击成本,同时向shell.php.rar.ara这种文件,因为重命名而无法成功实施攻击。
4)限制上传文件的大小。
5)单独设置文件服务器的域名。
28、DDos 攻击
客户端向服务端发送请求链接数据包,服务端向客户端发送确认数据包,客户端不向服务端发送确认数据包,服务器一直等待来自客户端的确认
没有彻底根治的办法,除非不使用TCP
DDos 预防:
1)限制同时打开SYN半链接的数目
2)缩短SYN半链接的Time out 时间
3)关闭不必要的服务
29、dns是什么?dns的工作原理
30、防御和检查SQL注入的主要手段有哪些?
31、什么是网络安全中的双因素认证?
32、能否解释一下XSS cookie盗窃是什么意思?
33、什么是网页挂马?网页挂马都有什么类型?
34、网页木马的防御和清除
35、如何删除10天前的日志记录
36、常见的服务端口号
37、渗透测的基本流程
38、什么是入侵监测系统
39、请说明DES算法的基本过程
40、代理服务器作用
41、简述对称密钥密码体制的原理和特点
42、常见加密密钥分配有集中方案,请对比他们的优劣势
43、解释身份认证的基本概念
44、电子邮件存在哪些安全漏洞
45、防火墙应满足的基本条件是什么?
46、列举防火墙的几个基本功能
47、静态包过滤和动态包过滤有哪些区别?
48、什么是同源策略?
49、SYN攻击原理
50、IIS服务器应该做哪些方面的保护措施?
二、链接
1、https://blog.csdn.net/Butterfly_resting/article/details/89638424
2、https://blog.csdn.net/fzx_hsaj/article/details/87093432
3、https://wenku.baidu.com/view/b8f8b345be1e650e53ea9905.html

用户名金币积分时间理由
admin 100.00 0 2020-03-11 10:10:22 首次发帖支持,帖子获赞还有奖励哦

打赏我,让我更有动力~

22 条回复   |  直到 2020-3-31 | 795 次浏览

李万吉
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

jhk8698
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

hxyabien
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

cxlwmsxyl520
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

guidie
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

千城墨白
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

maoxianzhe
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

xzqxzq
发表于 2020-3-10

评论列表

  • 加载数据中...

编写评论内容

柴鱼
发表于 2020-3-10

qaq

评论列表

  • 加载数据中...

编写评论内容

wufan
发表于 2020-3-10

1

评论列表

  • 加载数据中...

编写评论内容

webdogc
发表于 2020-3-10

look

评论列表

  • 加载数据中...

编写评论内容

momosi
发表于 2020-3-10

1

评论列表

  • 加载数据中...

编写评论内容

常长老
发表于 2020-3-10

666

评论列表

  • 加载数据中...

编写评论内容

aj545302905
发表于 2020-3-10

1

评论列表

  • 加载数据中...

编写评论内容

long9876
发表于 2020-3-10

赞一个

评论列表

  • 加载数据中...

编写评论内容

4319083
发表于 2020-3-10

让我康康

评论列表

  • 加载数据中...

编写评论内容

奥展
发表于 2020-3-10

esrdtghijk

评论列表

  • 加载数据中...

编写评论内容

wl1358042098
发表于 2020-3-10

111

评论列表

  • 加载数据中...

编写评论内容

holic
发表于 2020-3-10

1

评论列表

  • 加载数据中...

编写评论内容

erick
发表于 2020-3-11

5

评论列表

  • 加载数据中...

编写评论内容
1 2 / 2 跳转 尾页
登录后才可发表内容
返回顶部 投诉反馈

© 2016 - 2024 掌控者 All Rights Reserved.