常见的信息安全问题测试

选择题

1.XSS攻击包含哪些类型？

A.反射性、存储型
B.主动型和被动型
C.相同的Origin和不同的Origin
D.直接、间接

2.以下哪种代码(java)不包含潜在的SQL注入漏洞？

A."SELECT name FROM employees WHERE id = '" + id + "'"
B.String.format(SELECT name FROM employees WHERE id = '%s'", id)
C.connection.prepareStatement("SELECT name FROM emplyees WHERE id = ?")
D.builder.append("SELECT name FROM employees WHERE id = '").append(id).append("'")

A.将Cookie设置为httponly
B.为Cookie设置secure标志
C.限制该Cookie的作用范围
D.通过安全的信道传输Cookie

4.如果需要获得大量的通用软件弱点。应该去查询：

A.Common Vectors Enumeration(CVE)
B.Critical Security Controls
C.Common Vulnerability Scoring System(CVSS)
D.Common Weakness Enumeration(CWE)

5.以下关于CSRF的说法，正确的是：

A.可以令攻击者修改referer header的漏洞
B.攻击者控制多个网站的方法
C.攻击者可以在受害者不知情的情况下发送请求
D.攻击者可以更改已发送请求的漏洞

6.如果设置正确的话，以下哪种Cookie可以有效的应对CSRF攻击

A.SameOrigin特性
B.ThirdPartyCookies特性
C.OriginatingSite特性
D.SameSite特性

7.如果希望测试实际部署的应用程序认证功能工作是否正常，端口暴露是否正确，哪种方法最适合进行此类测试？

A.日志分析
B.手动测试（渗透测试）
C.DAST
D.SAST

8.以下行为中安全的行为是？

A.使用输入的XML中内嵌的DTD对XML的结构进行验证
B.使用JSON中的@type 字段指导反序列化工作。并对黑名单上的类型进行屏蔽
C.在验证JWT时完全相信aig指定的签名算法，并使用该算法验证JWT的签名
D.禁止输入XML中包含任何内联或外部的DTD或XSD，使用服务端定义的XSD对输入XML进行验证

9.以下代码有哪种安全问题？

private boolean scan(String tagName, String xml) throws XMLStreamException {
        final XMLInputFactory factory = XMLInputFactory.newInstance();
        final XMLStreamReader reader = factory.createXMLStreamReader(new ByteArrayInputStream(xml.getBytes()));
        reader.next();
        final  boolean found = PayloadNameRequestWrapper.scanForChildTag(reader, tagName);
        if (found) {
            assertEquals("Found wrong tag", tagName, reader.getLocalName());
        }
        reader.close();
        return found;
    }

A.XXS
B.XXE
C.反序列化攻击
D.SQL Injection

10.威胁建模的架构图和普通架构图的主要区别是？

A.威胁建模的架构图是划分层次的
B.威胁建模架构图中要标明组件之间的通讯机制
C.威胁建模架构图中要表明资产
D.威胁建模架构图中要标明用户

常见的信息安全问题测试

选择题

1.XSS攻击包含哪些类型？

2.以下哪种代码(java)不包含潜在的SQL注入漏洞？

4.如果需要获得大量的通用软件弱点。应该去查询：

5.以下关于CSRF的说法，正确的是：

6.如果设置正确的话，以下哪种Cookie可以有效的应对CSRF攻击

7.如果希望测试实际部署的应用程序认证功能工作是否正常，端口暴露是否正确，哪种方法最适合进行此类测试？

8.以下行为中安全的行为是？

9.以下代码有哪种安全问题？

10.威胁建模的架构图和普通架构图的主要区别是？

简答题

1.安全的是三个基本原则CIA分别指什么？请简要解释每一个原则。

2.API安全设计的六个考虑因素是什么？其中，我们需要严格验证HTTP请求的内容类型(Content-Type)以确保其符合期望是其中的哪一个因素？

3.在百度上搜索某个银行，并按照官方链接进入主页(
中国农业银行 http://www.abchina.com/cn/
)，之后点击“登录”按钮登录到我的网上银行(https://perbank.abchine.com/)这种设计是否存在安全隐患？为什么？

常见的信息安全问题测试

选择题

1.XSS攻击包含哪些类型？

2.以下哪种代码(java)不包含潜在的SQL注入漏洞？

3.攻击者通过XSS的方式窃取已经登录用户的Session Cookie，以下哪种方法可以消解这种攻击？

4.如果需要获得大量的通用软件弱点。应该去查询：

5.以下关于CSRF的说法，正确的是：

6.如果设置正确的话，以下哪种Cookie可以有效的应对CSRF攻击

7.如果希望测试实际部署的应用程序认证功能工作是否正常，端口暴露是否正确，哪种方法最适合进行此类测试？

8.以下行为中安全的行为是？

9.以下代码有哪种安全问题？

10.威胁建模的架构图和普通架构图的主要区别是？

简答题

1.安全的是三个基本原则CIA分别指什么？请简要解释每一个原则。

2.API安全设计的六个考虑因素是什么？其中，我们需要严格验证HTTP请求的内容类型(Content-Type)以确保其符合期望是其中的哪一个因素？

3.在百度上搜索某个银行，并按照官方链接进入主页(中国农业银行 http://www.abchina.com/cn/)，之后点击“登录”按钮登录到我的网上银行(https://perbank.abchine.com/)这种设计是否存在安全隐患？为什么？

3.在百度上搜索某个银行，并按照官方链接进入主页(
中国农业银行 http://www.abchina.com/cn/
)，之后点击“登录”按钮登录到我的网上银行(https://perbank.abchine.com/)这种设计是否存在安全隐患？为什么？