2023年三级信息安全技术新题型综合应用

《2023年三级信息安全技术新题型综合应用》由会员分享，可在线阅读，更多相关《2023年三级信息安全技术新题型综合应用（62页珍藏版）》请在装配图网上搜索。

1、第一套1、为了构建一个简朴、安全的 客户机/服务器”模式的应用系统，规定：能安全存储用户的口令（无须解密）；用户口令在网络传输中需要被保护;用户与服务器需要进行密钥协商,以便在非保护信道中实现安全通信；在通信过程中能对消息进行认证，以保证消息未被篡改。（共10分）假 设 要 构 建 的 应 用 系 统 允 许 使 用 MD5、AES、Diffie-Hellman算法,给定消息m,定义MD5（m）和AES（m）分别表达对m的相应解决。为了准确地描述算法，此外定义如下：给定数x、y和z,x*y表达乘法运算，x/y表达除法运算，x 表达指数运算，而2（y/z）表达指数为y/z。请回答下述问题：（1）

2、为了安全存储用户的口令，服务器需要将每个用户的口令采用 1 算法运算后存储。（1分）为了安全存储用户的口令，需要对用户口令进行加密，采用MD5算法。（2）在建立安全通信前，用户需要一方面提交用户名和口令到服务器进行认证，为了防止口令在网络传输中被窃听，客户机程序将采用【2】算法对口令运算后再发送。（1分）MD5算法对信息进行摘要，防止被篡改。（3）为了在服务器和认证通过的用户之间建立安全通信，即在非保护的信道上创建一个会话密钥，最有效的密钥互换协议是 3 算法。（2分）Diffie-Hellman:一种保证共享KEY安全穿越不安全网络的方法。（4）假定有两个全局公开的参数，分别为一个素数p和一

3、个整数g，g是p的一个原根，为了协商共享的会话密钥：一方面，服务器随机选取a,计算出A=gam o d p,并将A发送给用户；（1分）Diffie-Hellman密钥互换算法1、有两个全局公开的参数，一个素数P和一个整数g,g是P的一个原根。2、假设用户A和B希望互换一个密钥，用户A选择一个作为私有密钥的随机数a P,并计算公开密钥Ya=gAa mod p。A对a的值保密存放而使Ya能被B公开获得。类似地，用户B选择一个私有的随机数b P,并计算公开密钥Yb=gb mod p。B对b的值保密存放而使Yb能被A公开获得。3、用户产生共享秘密密钥的计算方式是1=8人 白*m mod po然后，用户

4、随机选取b,计算出B=g b mod p,并将B发送给服务器；（1分）最后，服务器和用户就可以计算得到共享的会话密钥key=g（a*b）mod p。（2分）（5）为了同时保证数据的保密性和完整性，用户采用AES 对消息m加密，并运用MD5产生消息密文的认证码，发送给服务器；假设服务器收到的消息密文为c,认证码为z。服务器只需要验证z是否等于 7即可验证消息是否在传输过程中被篡改。（2分）用MD5算法对获得消息的摘要，然后和原摘要比较。因 此【7】应填入：MD5（c）o2、为了增强数据库的安全性，请按操作规定补全S QL语句：（每空1分，共5分）（1）创建一个角色R1：8R1;创建角色语句CRE

5、ATE ROLE(2)为角色R1 分派S tudent表的INS ERT、UPDATE、S ELECT权限:9 INS ERT,UPDATE,S ELECT ON TABLE S tudent TORI；为用户分派角色权限指令GRANT+权限to某用户；(3)减少角色R1 的S ELECT权限：10ON TABLES tudent FROM RI;减少权限指令REVOKE+权限名(4)将角色R1授予王平，使其具有角色R1所包含的所有权限:GRANT R1 TO 王平；(5)对修改S tudent表 数 据 的 操 作 进 行 审 计:12UPDATE ON S tudent;审计指令AUDIT

6、3)下图是TCP半连接扫描的原理图。其中，图1为目的主机端口处在监听状态时，TCP半连接扫描的原理图；图2为目的主机端口未打开时，TCP半连接扫描的原理图。请根据TCP半连接扫描的原理，补全扫描过程中各数据包的标志位和状态值信息。(每空1分，共10分)扫描主机“目标主机Li=1“LJ=1，图2目标主机端口未打开时的TCP半连接扫描原理图“请在下表中输入A-J代表的内容第一次握手：建立连接时，客户端发送syn包(syn=j)到服务器,并进入S YN_S END状态，等待服务器确认；第二次握手：服务器收至Usyn包，必须确认客户的syn(ack=j+l),同时自己也发送一个S YN包(syn=k)

7、,即S YN+ACK包，此时服务器进入S YN_RECV状态；第三次握手：客户端收到服务器的S YN+ACK包，向服务器发送确认包ACK(ack=k+l),此包发送完毕，客户端和服务器进入ES TABLIS HED状态，完毕三次握手。完毕三次握手，客户端与服务器开始传送数据，假如端口扫描没有完毕一个完整的TCP连接，在扫描主机和目的主机的一指定端口建立连接时候只完毕了前两次握手，在第三步时，扫描主机中断了本次连接，使连接没有完全建立起来,这样的端口扫描称为半连接扫描，也称为间接扫描。A：_13 _B：_ 1 4 _C:_ 151 _D：_16 _E：_ 17 _F：_ _ 1 8 _G：_19

8、 _H：_20 _1:_ 21 _J:22 _4、一个程序运营中进行函数调用时，相应内存中栈的操作如下：（每空1分，共5分）一方面，主调函数把EAX,ECX和EDX压栈。这是一个可选的环节，只在这三个寄存器内容需要保存的时候执行此环节。接着把传递给被调函数的参数一一进栈，最后的参数最先进栈。最后，主调函数用call指令调用子函数；当call指令执行的时候,EIP指令指针寄存器的内容被压入栈中。由于EIP寄存器是指向主调函数中的下一条指令，所以现在返回地址就在栈顶了。在call指令执行完之后，下一个执行周期将从被调函数的标记处开始。EBP寄存器现在正指向主调函数的栈帧中的某个位置，这个值必须被保

9、存，因此，EBP进栈。然后ES P的内容赋值给了EBP。这使得函数的参数可以通过对EBP附加一个偏移量得到，而栈寄存器ES P便可以空出来做其他事情。基地址；第六步，给新栈帧分派空间。第f_ 23 _入栈；第二步，24 _入栈；第三步,_ 25 _跳转；第四步,ebp中母函数栈帧_【26】_ _ _ _ _ _ _ _入栈；第五步,_ 27 _ 值装入ebp,ebp更新为新栈帧题号分值考生得分标准答案110MD5210MD5320Diffie-Hellman D-H410g人a510gb620g 3 axb)720MD5(c)810CREATE ROLE910GRANT1010REVOKE S

10、ELECT题号分值考生得分标准答案1110GRANT R11210AUDIT1310141011510syn1610ack1710rst1810ack1910syn201012110rst题号 I分值 I考生得分I标准答案1710rst1810ack1910syn2010121 1 022 1 023 1 024 1 025 1 026 1 027 1 0址针地区指:k数回码址Prstac参返代基es第二套1、为了构建一个简朴、安全的 客户机/服务器”模式的应用系统，规定：能安全存储用户的口令（无须解密），且对网络传输中的口令进行保护；使用第三方权威证书管理机构CA来对每个用户的公钥进行分派。

11、（共10分）假设要构建的应用系统只允许使用MD5、AES、RS A算法。请回答下述问题：（1）为了安全存储用户的口令，服务器需要将每个用户的口令采用 L U 算法运算后存储。为了能通过用户名和口令实现身份认证，用户将采用相同的算法对口令运算后发送给服务器。（1分）（2）S HA算法的消息摘要长度为 2位。（1分）S HA-1摘要比MD5摘要长32位，MD5有128位，故S HA算法的消息摘要长度为160位。（3）用户可将自己的公钥通过证书发给另一用户，接受方可用证书管理机构的【3】对证书加以验证。（2分）证书管理，一方信息通过证书发给对方，对方用证书的公共密钥进行验证。(4)要实现消息认证，产

12、生认证码的函数类型有三类：消息加密、消 息 认 证 码 和 4o(1分)要实现消息认证，产生认证码的函数类型有三类：消息加密、消息认证码和哈希函数(5)为了保证RS A密码的安全，必须认真选择公钥参数(n,e)：模数n至少 5 位；为了使加密速度快，根据”反复平方乘”算法，e的二进制表达中应当具有尽量少的6 o(每空1分)RS A安全性规定，模数位数限制最佳不要低于1024位；而计算速度要快，e的二进制表达中1要少，否则乘法会消耗大量时间。(6)假设Alice的RS A公钥为(n=15,e=3)。Bob发送消息m=3给A lice,贝 ijBob对 消 息 加 密 后 得 到 的 密 文 是

13、7。已知素数p=3,q=5,则Alice的私钥d=【8】。(第1空1分,第 2空2分)加密c=mAe mod n;私钥d*e三lmod(p-l)(q-l)2、请回答有关数据库自主存取控制的有关问题。(每空1分,共5分)(1)自主存取控制可以定义各个用户对不同数据对象的存取权限，向用户授予权限的SQL命令是 9 ,假如指定了 10子句，则获得某种权限的用户还可以把这种权限再授予其它的用户；向用户收回所授予权限的SQL命令是11O授权命令：GRANT；收回权限命令：REVOKE；允许用户将权限授予其他用户命令：WITH GRANT OPTION(2)对数据库模式的授权则由DBA在创建用户时实现，假

14、如在CREATE USER命令中没有指定创建的新用户的权限，默认该用户拥有 1 2)权限。创建用户默认有连接的权利，故【4】应填入：CONNECT；(3)可认为一组具有相同权限的用户创建一个 1 1 3,用其来管理数据库权限可以简化授权的过程。具有相同角色的用户具有相同的权限，权限分派面向角色3、在下图中，内网有两台计算机A和B,通过互换机连接到网关设备最后连入互联网，其中计算机A的IP地址为192.168.L10,MAC地址为MACA；计算机B的IP地址为192.168.1.20,MAC地址为MACB；网关设备的IP地址为59.60.1.1,MAC地址为MACG。（每空1分,共 10分）图网

15、络拓扑图arp病毒并不是某一种病毒的名称，而是对运用arp协议的漏洞进行传播的一类病毒的总称。arp协议是TCP/IP协议组的一个协议，可以把网络地址翻译成物理地址（又称MAC地址）。通常此类袭击的手段有两种：路由欺骗和网关欺骗。是一种入侵电脑的木马病毒。对电脑用户私密信息的威胁很大。其中，计算机B感染了ARP病毒，此ARP病毒向其它内网计算机发起伪装网关ARP欺骗袭击，它发送的ARP欺骗数据包中，IP地址为 14，MAC地址为 15o伪装网关ARP欺骗袭击，IP地址改为网关的地址，MAC地址仍然为B的地址为了防止ARP欺骗，需要在内网计算机和网关设备上进行IP地址与MAC地址的双向静态绑定。

16、一方面，在内网中的计算机A设立防止伪装网关欺骗袭击的静态绑定：arp16 清空ARP缓存表arp 171819 将IP地址与MAC地址静态绑定静态绑定IP地址与MAC地址，注意命令使用，ARP-d先清空ARP缓存表；然后ARP-sIPM AC,完毕IP地址与MAC地址静态绑定。然后，在网关设备中对计算机A设立IP地址与MAC地址的绑定:arp 20 清空ARP缓存表arp212223 将IP地址与MAC地址静态绑定4、有些软件的漏洞存在于动态链接库中，这些动态链接库在内存中的栈帧地址是动态变化的，因而进行漏洞运用的S hellcode地址也是动态变化的。下图是以jmpesp指令做为跳板，针对动

17、态变化S hellcode地址的漏洞运用技术原理图，左右两部分表白了缓冲区溢出前后内存中栈帧的变化情况。（每空1分，共5分）溢出前溢出后图漏洞运用技术原理图请补全图中右半部分的相应内容，并填入下面【2 4 1-【2 8 中。运用缓冲区溢出，将一系列s h e l l c o de用N O P （不做任何操作）和想要到达的地址覆盖，故【1】应填入：s h e l l c o de；【2】应填入：返回地址；【3】应填入：N O P；当执行到返回地址时，读取到指针寄存器中，跳到指定的代码。故【4】应填入e s p；【5】应填入：j m p e s p。题号例育I考生得分I标准答案110MD52101

18、60320公钥Public key公开密钥公有密钥公共密410哈希函数哈希51010246101710128203910GRANT1010WITH GRANT OPTION题号|分值I考生得分I标准答案1110REVOKE1210CONNECT1310角色141059.80.1.11510MACB1610d1710s181059.60.1.11910MACG2010-d2110-sAA*-/v弟 二 套题号分值考生得分标准答案181059.60.1.11910MACG2010-d211052210192.168.1.102310MACA2410shellcode2510返回地址2610N0P2

19、710E$p2810imp esp1、在一个基于公钥密码机制的安全应用系统中，假设用户Alice和Bob分别拥有自己的公钥和私钥。请回答下述问题：(每空1分，共10分)(1)在选择公钥密码RS A、ECC和日Gamal时，为了在相同安全性的基础上采用较短的密钥，应当选择其中的 1,且应保证选取的参数规模大于 2位。提高保密强度，RS A密钥至少为500位长，一般推荐使用1024位；160位ECC与1024位RS A具有相同的安全强度,210位ECC则与2048位RS A具有相同的安全强度。EIGamal的一个局限性之处是它的密文成倍扩张。故【1】应填入：ECC；2 应填入160；（2）为了获得

20、两方安全通信时所需的密钥，应用系统采用了基于中心的密钥分发，运用可信第三方KDC来实行。图1所示的密钥分发模型是【3】模型，图2所示的密钥分发模型是 4 模型。在客户端与服务器进行安全通信时，在Kerberos实现认证管理的本地网络环境中，把获得密钥的任务交给大量的客户端，可以减轻服务器的承担，即采用【5】模型；而在使用X9.17设计的广域网环境中，采用由服务器去获得密钥的方案会好一些，由于服务器一般和KDC放在一起，即采用【6】模型。图2假如主体A和B通信时需要一个密钥，那么A需要在通信之前从KDC获得一个密钥。这种模式称为拉模式。规定A和B先建立联系,然后让B从KDC获取密钥，称为推模式。

21、故【3】应填入：推；【4】应填入：拉。为了减轻服务器承担，应当减少在通信时获得密钥的状况，故【5】应填入：拉；而采用服务器去获得密钥，密钥在服务器那，故【6】应填入：推。(3)为了防止Alice抵赖，Bob规定Alice对其发送的消息进行署名。Alice将使用自己的 7对消息署名；而Bob可以使用Alice的【8】对署名进行验证。数字署名，私钥署名，公钥验证。（4）实际应用中为了缩短署名的长度、提高署名的速度，并且为了更安全，常对信息的 9 进行署名。实际应用中为了缩短署名的长度、提高署名的速度，并且为了更安全，需要对文献进行摘要，然后对摘要进行署名。（5）实际应用中，通常需要进行身份认证。基

22、于 10的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术，它可以存储用户的密钥或数字证书，运用内置的密码算法实现对用户身份的认证。基于USB Key的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术，它可以存储用户的密钥或数字证书，运用内置的密码算法实现对用户身份的认证。2、以root用户身份登录进入Linux系统后，请补全如下操作所需的命令：（每空1分，共5分）（1）查看当前文献夹下的文献权限。命令：$1s-1（2）给f。文献的分组以读权限。命令：$1 2 g+rfoochmod用于改变文献或目录的访问权限。用户用它控制文献或目录的访问权限。语法：chmod who+|

23、-|=mode文献名命令中各选项的含义为：操作对象who可是下述字母中的任一个或者它们的组合：u 表达”用 户(user),即文献或目录的所有者。g 表达 同组(group)用户，即与文献属主有相同组ID的所有用户。表达 其他(others)用户。a 表达 所有(a ll)用户”。它是系统默认值。操作符号可以是：+添加某个权限。-取消某个权限。=赋予给定权限并取消其他所有权限(假如有的话)。设立mode所表达的权限可用下述字母的任意组合：r 可读。w 可写。X可执行。X 只有目的文献对某些用户是可执行的或该目的文献是目录时才追加x 属性。s在文献执行时把进程的属主或组ID置为该文献的文献属主。

24、方式“u+s”设立文献的用户ID位，“g+s”设立组ID位。t保存程序的文本到互换设备上。u与文献属主拥有同样的权限。g与和文献属主同组的用户拥有同样的权限。与其他用户拥有同样的权限。故【2】应填入：chmod（3）查看当前登录到系统中的用户。命令：$13who：显示目前登入系统的用户信息（4）查看用户wang的近期活动。命令：$1 4last（选项乂参数）wang选项：-a：把从何处登入系统的主机名称或ip地址，显示在最后一行;-d：将IP地址转换成主机名称;-f记录文献：指定记录文献。-n 显示列数 或-显示列数：设立列出名单的显示列数；-R：不显示登入系统的主机名称或I P 地址；-X：

25、显示系统关机，重新开机，以及执行等级的改变等信息。参数：用户名：显示用户登录列表；终端：显示从指定终端的登录列表。故【4】应填入：l a st w a n g（5）用单独的一行打印出当前登录的用户，每个显示的用户名相应一个登录会话。命令：$1 5 u se rs命令用单独的一行打印出当前登录的用户，每个显示的用户名相应一个登录会话。3、请完毕下列有关S S L 协议连接过程的题目。（每空1 分，共1 0分）S S L 协议在连接过程中使用数字证书进行身份认证，S S L 服务器在进行S S L 连接之前，需要事先向C A 申请数字证书，再进行S S L服务器和客户端之间的连接。S S L协议的

26、连接过程，即建立S S L服务器和客户端之间安全通信的过程，共分六个阶段，具体连接过程如下。(1)S S L客户端发送ClientHello请求，将它所支持的加密算法列表和一个用作产生密钥的随机数发送给服务器。(2)S S L服务器发送S erverHello消息，从算法列表中选择一种加密算法，将它发给客户端，同时发送Certificate消息，将S S L服务器的 数字证书 发送给S S L客户端；S S L服务器同时还提供了一个用作产生密钥的随机数。服务器启动S S L握手第2阶段，是本阶段所有消息的唯一发送方,客户机是所有消息的唯一接受方。该阶段分为4步：(a)证书：服务器将数字证书和到

27、根CA整个链发给客户端，使客户端能用服务器证书中的服务器公钥认证服务器。(b)服务器密钥互换(可选)：这里视密钥互换算法而定(c)证书请求：服务端也许会规定客户自身进行验证。(d)服务器握手完毕：第二阶段的结束，第三阶段开始的信号，故【1】应填入：数字证书；(3)服务器可请求客户端提供证书。这个环节是可选择的。(4)S S L客户端一方面对S S L服务器的数字证书进行验证。数字证书的验证涉及对下列三部分信息进行确认：验证 17 性，通过比较当前时间与数字证书截止时间来实现；验证 18 性，查看数字证书是否已废除，即查看数字证书是否已经在 191 中发布来判断是否已经废除；查看数字证书是否已废

28、除确认信息是否可用，而废除的数字证书都存放在证书黑名单中 验证 2 0 性，即数字证书是否被篡改，S S L客户端需要下载 21 的数字证书，运用其数字证书中的 22 验证S S L服务器数字证书中CA的【23】o数字证书是否被篡改，是其真假，需要运用CA的数字证书对其署名进行判断。加密是用公钥，解密用私钥。5 应填入：真实；【6】应填入：CA；7 应填入：公钥;8 应填入：数字署名接着，客户端再产生一个pre_master_secret随机密码串，并使用S S L服务器数字证书中的 公钥对其进行加密，并将加密后的信息发送给S S L服务器。(5)S S L服 务 器 运 用 自 己 的 私

29、钥。解密pre_master_secret随机密码串，然后S S L客户端与S S L服务器端根据pre_master_secret以及客户端与服务器的随机数值，各自独立计算出会话密钥和MAC密钥。(6)最后客户端和服务器彼此之间互换各自的握手完毕信息。4、根据提醒，补全下列有关Windows操作系统中软件漏洞运用的防范技术。(每空1分，共5分)(1)26技术是一项缓冲区溢出的检测防护技术，它的原理是在函数被调用时，在缓冲区和函数返回地址增长一个随机数，在函数返回时，检查此随机数的值是否有变化。GS （缓冲区安全检查）检测某些改写返回地址的缓冲区溢出,这是一种运用不强制缓冲区大小限制的代码的常

30、用技术。编译器在包含本地字符串缓冲区的函数中或（在 X86上）包含异常解决功能的函数中插入检查。字符串缓冲区被定义为元素大小为一两个字节的数组（整个数组的大小至少为五个字节），或定义为使用?_alloca?分派的任何缓冲区。在所有的平台上，编译器都插入一个Cookie,以便在函数具有本地字符串缓冲区时保护函数的返回地址。在以下情况下检查此Cookie：在退出函数口 寸；在 64位操作系统或X86上针对具有某种异常解决的函数展开帧的过程中。在 X86上，编译器还插入一个Cookie以保护函数的异常解决程序的地址。在展开帧的过程中会检查此Cookie。（2）27 技术是一项设立内存堆栈区的代码为不

31、可执行的状态，从而防范溢出后代码执行的技术。数据执行保护技术是一项设立内存堆栈区的代码为不可执行的状态，从而防范溢出后代码执行的技术。数据执行保护有助于防止电脑遭受病毒和其他安全威胁的侵害，与防病毒程序不同,硬件和软件实行DEp技术的目的并不是防止在计算机上安装有害程序。而是监视您的已安装程序，帮助拟定它们是否正在安全地使用系统内存。为监视您的程序，硬件实行DEp将跟踪已指定为 不可执行 的内存区域。假如已将内存指定为“不可执行”，但是某个程序试图通过内存执行代码，Windows将关闭该程序以防止恶意代码。无论代码是不是恶意，都会执行此操作。因 此【2】处应填入：数据执行保护。(3)28 技术

32、是一项通过将系统关键地址随机化，从而使袭击者无法获得需要跳转的精确地址的技术。地址空间分布随机化技术是一项通过将系统关键地址随机化，从 而 使 袭 击 者 无 法 获 得 需 要 跳 转 的 精 确 地 址 的 技 术。AS LR(Address space layout randomization)是一一种针对缓冲区溢出的安全保护技术，通过对堆、栈、共享库映射等线性区布局的随机化，通过增长袭击者预测目的地址的难度，防止袭击者直接定位袭击代码位置，达成阻止溢出袭击的目的。据研究表白AS LR可以有效的减少缓冲区溢出袭击的成功率，如今Linux、FreeBS D、Windows等主流操作系统都已

33、采用了该技术。(4)29技术和 30技术是微软公司保护S EH函数不被非法运用，防范针对S EH袭击的两种技术。S EH是Windows异常解决机制所采用的重要数据结构链表，而S afeS EH就是一项保护S EH函数不被非法运用的技术。结构化异常解决覆盖保护(S EHOP)是微软公司针对S EH袭击提出的一种安全防护方案，即保护S EH不被非法运用。Is-Ichmodwholast wangusers数字证书证书有费可用证书黑名单CRL真实CA认证中心CA认证中心题号I分值考生得分标准答案7110ECC210160310推410拉510拉610推710私钥私有密钥私人密钥810公钥公共密钥公

34、有密钥公开密钥910摘要1010USB Key题号|分值I考生得分I标准答案 I题号 I分值 I考 生 得 分I标准答案20 10真实21 10CA认证中心CA认证中心22 10公钥公开密钥公有密钥公共密钥23 10数字签名签名24 10公钥公开密钥公有密钥公共密钥25 10私钥私有密钥私人密钥26 10GS27 10数据执行保护28 10地址空间分布随机化29 10SafeSEH30 10结构化异常处理覆盖保护第四套1、在一个基于公钥密码机制的安全应用系统中，假设用户Alice和Bob分别拥有自己的公钥和私钥。请回答下述问题。（共10分）（1）在产生Alice和Bob的密钥时，假如采用RS

35、A算法，选取的模数n至少要有_1024 位，假如采用椭圆曲线密码，选取的参数p的规模应大于 160 位。（每空1分）（2）基于公钥证书的密钥分发方法是目前广泛流行的密钥分发机制，用户可将自己的公钥通过证书发给另一用户，接受方可用证书管理机构的 公钥 对证书加以验证。（1分）（3）为了防止Alice抵赖，Bob规定Alice对其发送的消息进行署名。Alice将使用自己的 私钥 对消息署名；假如规定对消息保密传输，Alice将使用Bob的公钥 对消息加密。（每空1分）（4）实际应用中为了缩短署名的长度、提高署名的速度，并且为了更安全，常对信息的 16进行署名。（1分）（5）实际应用中，通常需要进行

36、身份认证。基于口令的认证协议非常简朴，但是很不安全，两种改善的口令验证机制是：运用 单向函数 加密口令和一次性口令。（1分）（6）基于公钥密码也可以实现身份认证，假定Alice和Bob已经知道对方的公钥，Alice为了认证Bob的身份：一方面，Alice发送给Bob一个随机数a,即 Alice-Bob：a；然后，Bob产生一个随机数b,并将b及通过其私钥所产生的署名信息发送给Alice,假设用S ignB表达用Bob的私钥产生数字署名的算法，即 Bob f Alice：b 1 1 S ignB（a|b）；最后，为了认证Bob的身份，Alice得到随机数b和署名信息之后，只需要使用Bob的 8

37、对署名信息进行解密，验证解密的结果是否等于9 即可。（空 1分，空 2分）在公钥密码实现身份认证过程中，Alice在接受到Bob发送来的信息后，应当使用Bob的公钥进行解密。由于Bob使用自己的私钥进行加密，所以Alice只要验证解密之后的结果是否是a|b。因 此 8 9 处应填入：公钥、a|b2、请补全下列有关Windows的安全实践：(每空1分，共5分)(1)Winlogon调用10D LL,并监视安全认证序列，所调用的DLL将提供一个交互式的界面为用户登陆提供认证请求。GINADLL被设计成一个独立的模块，它被Winlogon调用，并监视安全认证序列。GINADLL提供一个交互式的界面为

38、用户登陆提供认证请求。(2)为了防止网络黑客在网络上猜出用户的密码，可以在连续多次无效登录之后对用户账号实行1 1 策略。(3)在Windows系统中，任何涉及安全对象的活动都应当受到审核，审核报告将被写入安全日记中，可以使用 12查看器 来查看。(4)为了增强对日记的保护，可以编辑注册表来改变日记的存储目录。点击 开始 一 运营”，在对话框中输入命令”131 ,回车后将弹出注册表编辑器。（5）通过修改日记文献的访问权限，可以防止日记文献被清空，前提是Windows系统要采用 14 文献系统格式。修改了日记文献的存放目录后，日记还是可以被清空的，下面通过修改日记文献访问权限，防止这种事情发生，

39、但是前提是Windows系统要采用NTFS 文献系统格式。3、下图为一个单位的网络拓扑图。根据防火墙不同网络接口连接的网络区域，将防火墙控制的区域分为内网、外网和DMZ三个网络区域。为了实现不同区域间计算机的安全访问，根据此单位的访问需求和防火墙的默认安全策略，为防火墙配置了下面三条访问控制规则。请根据访问控制规则表的规定，填写防火墙的访问控制规则（表1）。其中，访问控制”中Y代表允许访问，N代表严禁访问。（每空1分，共10分）是DMZ；目的IP是DMZ的IP地址，即57.65.120.10；web服务器的协议时HTTP协议；访问控制应当为Y。外网可访问Mail服务器，由图可知，源区域是内网；

40、目的区域是DMZ；目的IP是DMZ的IP地址，即57.65.120.20。Mail服务器使用的协议有SMTP和POP3协议；访问控制应当为Y。表1防火墙访问控制规则表访问规则源区域目的区域口的IP协议名称访问控制内 网 可 访 问Web服务器15_116_ 117_ 1 1 8 Y外 网 可 访 问Mail服务器_ 1 9 20_ 21 22_ 或【23】Y任意地址访问任意地址任意任意任意任意N4、根据规定，请完毕下列题目。(每空1分，共5分)(1)根据软件漏洞在破坏性、危害性和严重性方面导致的潜在威胁限度，以及漏洞被运用的也许性，可对各种软件漏洞进行分级，所分为的四个危险等级是：第一级：25

41、 ；第二级：26 ；第三级：27；第四级：28 o根据软件漏洞在破坏性、危害性和严重性方面导致的潜在威胁限度，以及漏洞被运用的也许性对软件漏斗划分为以下等级：紧急级、重要级、中危级、低危级。（2）为了对软件漏洞进行统一的命名和管理，多个机构和国家建立了漏洞数据库。其中，很少的漏洞库提供了检测、测试漏洞的样本验证代码。我们往往用漏洞样本验证代码的英文缩写 2 9 来称呼漏洞样本验证代码。漏洞样本验证代码的英文缩写为P O C题号分值考生得分标准答案5T-T-1-T-T一7-I-T-O1234567891OOOOOOOOOO1024160公钥公开密钥公共密钥公有密钥私钥私有密钥私人密钥公钥公开密钥

42、公共密钥公有密钥摘要单向函数公钥公开密钥公共密钥公有密钥allbGINA题片I分值I考 生 得 分I标寇答案_1110谀T H lo cked1210事件1310R eg edit1410NTFS1510内网1610DMZ171057.65.120.101810HTTP1910外网2010DMZ211057.65,120.20L题号I分值I考生得分I标准答案1910外网2010DMZ211057.65.120.202210SMTP2310POP32410N2510紧急紧急级2610重要重要级2710中危中危级2810低危低危级2910P0C第五套1、顾客Alice计划通过某电子商务网站购买商家

43、Bob的商品，为了认定顾客的购买信息并防止顾客事后抵赖，规定顾客对订单信息进行署名；为了防止信息传输过程中泄密，规定顾客将信息加密后再发送给商家。假设Alice的公钥为PKA、私钥为S KA,Bob的公钥为PKB、私钥为S KB；公钥密码的加密算法为E,加密密钥为K 1,待加密的数据为M,加密结果为C,则有C=E(K1,M)；公钥密码的解密算法为D,解密密钥为K 2,待解密的数据为C,解密结果为M,则有M=D(K2,C)。(共10分)(1)请基于公钥密码的数字署名体制，补全署名和验证署名过程所执行的基本操作。假设顾客Alice需要署名的信息为M S G,署名的结果为S _MS G,署名过程所执

44、行的操作为：S _MS G=11_ o(2分)署名过程我们可以看作一个公钥密码解密的过程，给出的待解密数据为M S G,根据题中给出的信息公钥密码解密过称为：M=D(K2,C),而 已 知alice的 私 钥 为 S KA,所 以【1】处因填入D(S KA,MS G)o验证署名的过程就是恢复明文的过程，那么恢复署名的信息则执行的是加密的环节，给出了署名信息S _MS G,由 题 中 的 公 钥 加 密 算 法 C=E(K1,M),故【2】中因填入E(PKA,S _MS G)o验证署名的过程就是恢复明文的过程。商家Bob收到署名S _MS G后，恢复署名的信息所执行的操作为：MSG=2 _ o(

45、2分)(2)请基于公钥密码的加密体制，补全保密通信所执行的基本操作。假 设 顾 客 Alice需要将明文消息MS G1加密后发送给商家Bob,加密的结果为C_MS G,加密过程所执行的操作为：C_MS G=3 o(2分)商 家 Bob收到密文C_MS G后，通过解密得到保密传输的明文，解密过程所执行的操作为：MS G1=4 o(2分)给出了加密的信息，此时要解决的是要采用哪个公钥，由于是顾客alice将明文发送给商家Bob,所以因采用Bob的公钥，故【3】处因填入E(PKB,MS G1)。Bob收到密文C_MS G后需进行解密，采用解密算法得到相关密文，所 以【4】处因填入D(S KB,C_M

46、S G)。(3)实际应用中，为了能对恢复出的署名信息进行验证，并防止Alice用以前发送过的署名信息冒充本次署名，需要合理地组织明文的数据格式，一种可行的格式如下：方记发标符方记收标符报文序号时间数据正文纠错码形式上可将Alice发给Bob的第I份报文表达为：M=Alice,Bob,I,Tz DATA,C R O,并定义附加包头数据为H=。这样,Alice将以1023443 _一无一通过2B到A58.64.152.20192.168.20.100_TCP443_102 3 _ACK=1_通过 一3任意网址到任意网址任意任意任意任意在意任意阻断和外部网之间、专用网与公共网之间的界面上构造的保护屏

47、障。是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使 Internet与Intranet之间建立起一个安全网关（S ecurityGateway）,从而保护内部网免受非法用户的侵入，防火墙重要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。TCP（Transmission Control Protocol 传输控制协议）是一种面向连 接（连接导向）的、可靠的、基于IP的传输层协议。对于两个计算机进行连接所采用的协议应当是TCP协议。由于一般1-1023端口属于系统保存端口，所以用户使用的端口一般是介于1023和65535之间，因 此【2】处因填大于1023。由于是计算

48、机A向计算机B发出申请进行访问，而题中给出仅允许B计算机接受A计算机发来的对443端口的访问请求，故目的端口为443。由于计算机A是对计算机B的特定端口进行访问，所以无需用到标志位，故【4】处因填无。由于是计算机A对计算机B的443端口进行申请访问，故给出的操作是通过。ACK=1表达给出的数据无误，访问成功，返回访问数据4）根据题目规定，完毕下列题目。（每空1分，共5分）（1）根据漏洞生命周期的不同阶段，漏洞可分为如下三类:【22】漏洞，指处在未公开阶段的漏洞;【23】漏洞，通常指发布补丁时间不长的漏洞。Oday漏洞，是已经发现但是官方还没发布补丁的漏洞。假如黑客运用了此Oday漏洞进行袭击，

49、用户则将面临在官方发布补丁之前这段时间，没有安全防范的危险期。lday漏洞是指那些已经公布的但厂商或用户由于安全意识、时间等多种因素尚未及时修补的漏洞。（因此应当及时为操作系统、应用程序打补丁，防止遭受袭击）。已公开漏洞，指厂商已经发布补丁的漏洞。（2）在整数溢出漏洞中，导致整数溢出的三种因素是：2 4 溢出，使用此外的数据类型来保存整型数导致的；251 溢出，对整型变量的操作没有考虑其边界范围；【26】问题。由于计算机中整数都有一个宽度（本文中为32位），因此它就有一个可以表达的最大值。当我们试图保存一个比它可以表达的最大值还大的数时，就会发生整数溢出。第一种整数溢出是存储溢出，使用错误的数

50、据类型保存整数型导致。第二种整数溢出是运算溢出，即对整数类型变量操作时没有考虑边界范围。导致出现越界的情况，导致整数溢出。第三中整数溢出是符号问题，符号使用错误导致bug,例如：无符号数被解释成有符号数或有符号数被解释成无符号数都也许导致符号bug。I I I I考 生 得 分I标;隹答案12345678912222111111ooooooooooD(SKAZMSG)E(PKA,S_MSG)E(PKBZMSG1)D(SKBZC_MSG)H消息摘要GRANT SELECTREVOKE SELECTCREATE VIEWSELECT x FROM 学生题号 I分值 I考生得分 标准答案1分值 I考

51、 生 得 分I标准答案10性别理 性别=男 性别理10TCP101023 大于 10231044310无10通过10TCP10443101023 大于 102310ACK=110通过12345678901聘1111.1111111617181920212223242526111111111100000000000通过TCP4431023 大于 1023ACK=1通过Oday零 日。日 零 天 吠1d四一日1日 一 天1天存储运算符号第六套I、根据规定，完毕下列题目。（共10分）(1)RS A算法基于数论事实：将两个大素数相乘十分容易，但想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为

52、加密密钥，具体算法描述如下：随机选择两个大素数p和q,p和q都保密；计算n=pq,将n公开；(1分)(规定：A和B的乘积表达为AB)计算6(n)=(p-1)(q-1),将e(n)保密；(1分)随机选取一个正整数e,le(p-l)(q-l)p,q,e,6（n）o 对消息M进行加密运算，密文C=M mod n；因 此【4】处填写IVTe。对密文C进行解密运算，明文M=CAdmodn；因此 5 处填写I d。这 样，就拟定了 RS A密码的公开加密密钥Ke=（1分）根 据ed三1 mod巾 但），计算出d,d保密；这样，就拟定了RS A密码的私有解密密钥Kd=（n）对消息M进行加密运算：C=MAe

53、mod n；（2分）（规定：A的B次方表达为AW）对 密文C进行解密运算：M=C d mod n。（2分）（2）RS A算法既可用于加密，又可用于数字署名，已成为目前应用最广泛的公开密钥密码之一。在应用中，为了保证RS A密码的安全，必须认真选择RS A密码的参数：应 当 采 用 足 够 大 的 整 数 n,普 遍 认 为，n 至少应取1 0 2 4 位；（1 分）为 了使加密速度快，根据”反复平方乘”算法，e 的二进制表 达 中 应 当 具 有 尽 量 少 的 1,有 学 者 建 议 取 e=6 5 5 3 7,其二进制表达中只有两个1,它比3更安全，并且加密速度也不久；（1 分）与e 的选

54、择类似，为了使解密（数字署名）速度快，希望选 用 小 的 d,但 是 d 太 小 也 是 不 好 的。当d 小 于 n 的1/4 时，已有求出d 的袭击方法。（1 分）2、今有两个关系模式：职 工（职工号，姓名，年龄，职务，工资，部门号）;部 门（部门号，名称，经理名，地址，电话）。请基于数据库的自主存取控制及视图机制，根据操作规定补全S QL语句。(每空1分，共5分)(1)将职工表的INS ERT权限授予王平：GRANT I N SE R T ON TABLE 职工 TO 王平；(2)将职工表和部门表的所有权限授予王明，并授予其将权限授予其余用户的权力：G R A N T A L L P R

55、 I V E L E G E SON TABLE职工，部 门 T O 王明W I TH G R A N T OPT ION;(3)建立部门号为“01”的部门中年龄大于30的所有职工信息的视图VIEW_职工”，以便为用户杨兰分派S ELECT权限：CREAT VIEW VIEW_职工ASS ELECTX.*,Y.名称FROM 职工 X,部门YWHERE X.年龄 30 AND Y.部门号=01 AND X.部门号=Y.部门号3、如图1所示，A计算机和B计算机之间部署了防火墙进行NAT地址翻译，A计算机的IP地址为172.16.20.10,防火墙的IP地址为54.60.122.20,B计算机的IP

56、地址为210.64.102.30。对于A计算机访问B计算机的网络请求，防火墙进行NAT地址翻译，请根据NAT地址翻译的原理，将图1中（1）、（2）、（3）、（4）四个数据包的源IP、源端口、目的IP、目的端口信息填入“NAT地址翻译表中的相应位置。（每空1分，共10分）(I)(2)R计算机 防火墙 AH笠机-(3).-A图1NAT是将IP数据包头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT重要用于实现私有网络访问公共网络的功能。当A计算机访问B计算机时，数据包的源地址和端口是自己的地址和端口，分别为172.16.20.10、2025；目的地址和端口为210.64.102.30、

57、8080o 当通过防火墙时，源IP地址和端口就会变为防火墙的IP地址和端口,分别为54.60.122.20、3680；而目的IP地址和端口不变。表 NAT地址翻译表当B计算机访问A计算机时，源地址和端口为B计算机的地址和数据包序号源IP源端口目的IP目的端口(1)172.16.20.10 A2025A210.64.102.30 B8080B(2)54.60.122.20 F3680F_ B_B _(3)_B _B_F_F(4)_F _F_A_A端口，分别为210.64.102.30、8 0 8 0,目的地址为防火墙的地址和端口，分别为54.60.122.20、3680。当通过防火墙时，地址需要

58、转化，源地址和端口变成防火墙的地址和端口，而目的地址变为A计算机的地址和端口。4、Web应用系统安全涉及到安全防护技术和安全检测技术，请完毕下列题目。(每空1分，共5分)(1)根据Web安全防护的不同区域划分Web的安全防护技术，可分为如下三种：24端安全防护，指浏览器的安全防护；Web?客户端的防护措施，重点对Web程序组件的安全进行防护，严格限制从网络上任意下载程序并在本地执行。可以在 浏 览 器 进 行 设 立，如 Microsoft?!nternet?Explorer的Internet选项的高级窗口中将Java相关选项关闭。所以【1】处因填入客户。25 安全防护，指保护明文数据在网络中

59、传输的安全;通信信道的防护措施，可在安全性规定较高的环境中，运用HTTPS 协议替代HTTP协议。运用安全套接层协议S S L保证安全传输文献,S S L通过在客户端浏览器软件和Web服务器之间建立一条安全通信信道，实现信息在Internet中传送的保密性和完整性。故【2】处因填入通信信道。【26】端安全防护，指对Web应用程序的各种安全威胁的防护。o 服务器端安全防护是限制在Web服务器中账户数量，对在Web服务器上建立的账户，在口令长度及定期更改方面作出规定，防止被盗用。Web服务器自身会存在一些安全上的漏洞，需要及时进行版本升级更新。(2)针对Web的应用程序进行安全检测时，根据是否有源

60、代码，可分为如下两种安全检测技术：27检测技术，没有Web系统源代码的安全检测技术；2 8 检测技术，针对Web系统源代码的安全检测技术。白盒测试：是通过程序的源代码进行测试而不使用用户界面。这种类型的测试需要从代码句法发现内部代码在算法，溢出，途径，条件等等中的缺陷或者错误，进而加以修正。黑盒测试：是通过使用整个软件或某种软件功能来严格地测试，而并没有通过检查程序的源代码或者很清楚地了解该软件的源代码程序具体是如何设计的。110p q210310n,e n，e e,n40Mt50(T d6101 0 2 47106 5 5 3 78101/4910G R A N T I N S E R T1

61、 010G R A N T A L L P R I V I L E G E S题号 I分值 I考 生 得 分I标准答案10W I T H G R A N T O P T I O N10C R E A T E V I E W10X.年龄 3。102 1 0.6 4.1 0 2.3 0108 0 8 0102 1 0.6 4.1 0 2.3 0108 0 8 0105 4.6 0.1 2 2.2 0103 6 8 0105 4.6 0.1 2 2.2 0123456789011111111111题号I价值I考生得分I标准答案181054.60.122.2019103680201054.60.122

62、.20211036802210172.16.20.10231020252410客户client2510通信信道2610服务服务器server2710黑盒28100 a试题七1、在一个基于公钥密码机制的安全应用系统中，假设用户Alice和 B ob分别拥有自己的公钥和私钥。请回答下述问题：（共 5分）1）基于难解问题设计密码是非对称密码设计的重要思想，其中ElGamal基于离散对数求解困难的问题设计。（1 分）2）为了防止抵赖，Alice在购买完商品后，应用系统规定Alice使用她的私钥对购买信息进行署名。（1 分）3）为了发送保密信息给Bob,Alice将使用Bob的公钥对消息加密；Bob在收

63、到消息后，可以使用自己的私钥对消息进行解密。（每 空 1 分）4）假设Alice的 RSA公钥为（e=3,n=20）。Bob发送消息m=4给A lice,则 Bob对消息加密后得到的密文是4。（2 分）2、为了构建一个简朴、安全的 客户机/服务器”模式的应用系统，且假设要构建的应用系统只允许使用MD5、AES、RSA算法。请回答下述问题：（共 5 分）1）在网络中需要传输大量数据，考虑到加密性能，对这些数据加密应当采用的算法是AES算法。（1 分）2）为了安全存储用户的口令，服务器需要将每个用户的口令采用 M D5算法运算后存储。为了能通过用户名和口令对身份认证，用户将采用相同的算法对口令运算

64、后发送给服务器。（1 分）3）属于单向函数的算法是MD5算法。（1 分）4）假设Alice的 RSA公钥为（e=3,n=15）。Bob发送消息m=2给A lice,则 Bob对消息加密后得到的密文是8。已知素数p=3,q=5,则 Alice的私钥d=3。（第 1 空 1 分，第 2 空 2 分）3、Kerberos V 5协 议是属于应用层的安全协议。Kerberos V 5协议的参与者共三方：Client（用户计算机）、Server（用户计算机希望访问的应用服务器）和 Kerberos服务器（为 Client访问Server提供身份鉴别和权限许可的服务器）。其中，Kerberos服务器涉及:

65、AS服务器和TGS服务器。AS服务器用于鉴别Client用户身份的真实性，TGS服务器用于鉴别Client是否具有访问Server的权限。1）请根据上述各参与方的名称，补充完整图中Kerberos V5协议 的【2 5 1 2）Kerberos V 5协议通过6 步实现对用户的认证，其中的第1 步已在图中标为（1）,请将后续第2 步到第6 步的序号2 至 6,填写到相应的6-1 0 中对的的位置。4、某公司网络拓扑图如下图所示。防火*Inirriw t,心叩内四讣 机现需要通过设立防火墙的包过滤规则，达成如下规定：1）内网计算机的网段是10.102.50.*；2）外网计算机不允许访问内网；3）

66、限制内网计算机只能访问IP 为 65.20.30.105的外网Web服务器，且仅允许访问该服务器上采用SSL协 议（运用443端口提供服务）对外服务的网站。请补充完整下面的包过滤规则表,其中“操作”可填选项涉及“允许“和“拦截”两项。（每 空 1 分，共10分）方向，源IP，目 标m传输层协议“源靴口，目标端口标志位一操作一内网到外网1 1【3】*10块4 1-无允许2八外网到内网一 S .17】。1023-ACK=P【9】。33任意网址到任意网址“任意一任意一任意任意+任意1 0 1.试题八车载GPS导航仪（示意图如图3-1所示）用于在汽车行驶过程中定位导航、防盗防劫等。其基本功能规定有：a、可以接受GPS卫星发送的数据，计算出用户的三维位置、方向以及运动速度等信息。b能在LCD显示屏上显示电子地图，并显示车辆运营状况。c、具有语音提醒功能，即可以在转弯、高速公路匝道等处，用语音进行提醒。d、具有无线通信功能，可以将车辆的位置及速度等信息传输给监控中心。此功能重要用于车辆的防盗防劫。根据上述功能规定的描述，若采用S3c2410芯片为核心来构建该 GPS导航仪的硬件平台，请完善下面的叙