試題一(共20分)

【闡明】

密碼編碼學是研究把信息(明文)變換成沒有密鑰就不能解讀或很難解讀的I密文的措施,

密碼分析學曰勺任務是破譯需碼或偽造認證密碼。

【問題1](10分)

一般一種密碼系統簡稱密碼體制，請簡述密碼體制口勺構成。

密碼體制由如下五個部分構成：

(1)明文空間M:全體明文的集合。

(2)密文空間C:全體密文日勺集合。

(3)加密算法E：一組明文M到密文C曰勺加密變換。

(4)解密算法D：一組密文C到明文M的)加密變換。

(5)密鑰空間K:包括加密密鑰(和解密密鑰的全體密鑰集合。

【問題2】(3分)

根據所基于的數學基礎的不同樣，非對稱密碼體制一般分為(1)、(2)、(3)o

(1)基于因子分解。

(2)基于離散對數。

(3)基于橢圓曲線離散對數。

【問題3](2分)

根據密文數據段與否與明文數據段在整個明文中的位置有關,可以將密碼體制分為(4)

體制和(5)體制。

(4)分組密碼。

(5)序列密碼。

【問題4](5分)

在下圖給出的加密過程中,m(i=1,2，…,n)體現明文分組，c.(i=l,2，…,n)體現密文分組，K

體現密鑰，E體現分組加密過程。該分組加密過程屬于哪種工作模式?這種分組密碼的工作

模式有什么缺陷？

該加密過程屬于CBC的密文鏈接方式。

CBC的密文鏈接方式下:加密會引起錯誤傳播無界解密弓1起錯誤傳播有界°CBC不利于并行

計算。

拓展:密碼分組鏈接模式(CBC)可以分為密文鏈接方式和明密文鏈接方式。

(1)CBC的密文鏈接方式。

密文鏈接方式中,輸入是目前明文組與前一密文組的異或。CBC的密文鏈接方式下:加密會

引起錯誤傳播無界,解密弓I起錯誤傳播有界，CBC不利于并行計算。

(2)CBC日勺明密文鏈接方式。

明密文鏈接方式中，輸入是前一組密文和前一組明文異或之后，再與目前明文組異或。CB

C的明密文鏈接方式下:加密和解密均會引起錯誤傳播無界。

試題二(共15分)

【闡明】

RSA是經典日勺非對稱加密算法該算法基于大素數分解。關鍵是模騫運算。運用RSA密

碼可以同步實現數字簽名和數據加密。

【問題1】(3分)

簡述RSA日勺密鑰生成過程。

選出兩個大質數p和q,使得pKq

計算pxq=n

計算(p(n)=(p-l)x(q-1)

選擇e,使得l<e<e-l)x(q-i),并且e和(p-1)x(q-l)互為質數

計算解密密鑰，使得ed=1mod(p-1)x(q-1)

公鑰二e,n

私鑰=d,n

公開n參數，n又稱為模

消除原始質數p和q

【問題2](4分)

簡述RSA的加密和解密過程。

設定C為密文，M為明文：

加密：

C二modn

解密：

M=C"mOdn

【問題3](4分)

簡述RSA的數字簽名過程。

設M為明文,M的簽名過程為:

簽名:M"modn

驗證簽名：(M')emodn

【問題4](4分)

在RSA中，已獲取顧客密文C=10,該顧客的公鑰e=5,n=35,求明文

M=5

解:已知n=35,得到p和q分別為5和7；

計算(P(n)=(p-1)x(q-i)=24

已知公鑰e=5,又由于私鑰d滿足ed=lmod(p-l)x(q-l),因此d=5

明文M二C'modn=10!mod35=5

試題三(英10分)

【闡明】

閱讀下面程序，回答'可題1至問題3。

voidfunctiofl(char*str)

(

charbuffa[16]r

$trcpy(bufifei,str),

)

voidmain()

(

intL

charbuflferll28],

6?0=0?1<127,1升)

buffe[i]—A',

bq啊]2N

fimction(buffer),

pxinU^Thisisatest\nw),

i

J

【問題1】(3分)

上述代碼能否輸出“Thisisatest”?上述代碼存在什么類型口勺隱患？

不能。(1分)

代碼存在緩沖區溢出錯誤,(2分)

【問題2](4分)

導致上述隱患日勺原因是？

(1)function()函數將長度為128字節日勺字符串拷貝到只有16字節的緩沖區中去。(2

(2)strcpy()函數進行字符串拷貝時,沒有進行緩沖區越界險查。(2分)

【問題3】(3分)

給出消除該安全隱患的I思緒。

防備緩沖溢出日勺方略有:

?系統管理防備方略:關閉不必要的特權程序、及時打好系統補丁。（1分）

軟件開發的防備方略對的編寫代碼、緩沖區不可執行、改寫C語言函數庫、程序指針完整

性檢查、堆棧向高地址方句增長等。（2分）

試題分析

C語言程序在內存中分為三個部分：程序段、數據段和堆棧。程序段里寄存程序的機器碼和

只讀數據;數據段寄存程序中的靜態數據;動態數據則通過堆棧來寄存。在內存中，它們的位置

如下圖所示。

內存高位

堆棧

數據段

程序段

內存低位

Function。函數將長度為128字節的字符串拷貝到只有16字節的緩沖區中去；而調用

strcpy（）函數進行字符串拷貝時，沒有進行緩沖區越界檢查。

下圖中可以看到執行tunctlon（）函數前后H勺堆棧狀況。

程序執行function。函數完畢時，由于緩沖區溢子程序的返回地址被覆蓋，變成

了0x41414141（AAAA的ASCII碼體現,A日勺ASCI碼為0x41）。因此無法執行prin

tf'Thisisatest\n"）語句。此時，返回地址已經不正常，也無法估計會執行什么指令。

內存高位…

壓入堆棧中

A

的參數

???

返回地址AAAA

少最緩存在此向上共256個A

緩存16個A

16字節空間內存低位

執行strcpyO能執行strcpyf)后

試題四(送15分)

【闡明】

某企業通過PIX防火墻接入Internet,網絡拓撲如下圖所示。

在防火墻上運用show命令查詢目前配置信息如下：

PIX#showconfig

nameifeth0outsidesecurity0

nameifethlinsidesecurity100

nameifeth2dmzsecurity40

fixupp「otoco1ft321(1)

fixupprotocol80

ipaddressoutside61.144.51.42255.255.255.248

ipaddressins1de192.168.0.1255.255.255.0

ipaddressdmz10.10.0.1255.255.255.0

globa1(outside)161.14<>4.51.46

nat(inside)10。.0.0.00.0.0.0

【問題1】（4分）

解釋（1）、（2）處畫線語句曰勺含義。

（1）啟用FTP服務（2分）

（2）設置ethO口的默認路由，指向61.144.51.45,且跳步數為1（2分）

【問題2］（6分）

根據配置信息填寫如下表格。

習題用表

域名稱接口名稱IP地址IP地址掩碼

1nsideEthl(3)2

OutsideEthO6⑷

Dmz(5)(6)2

(3)(1.5^)

(4)255.255.255.248(1.5分)

(5)eth2(L5分)

(6)10.10.0.1(1.5分)

【問題3】(2分)

根據所顯示的配置信息，由inside域發往Internet的IIP分組在抵達路由器RI時的源

IP地址是(7)o

(

【問題4】(3分)

假如需要dmz域日勺服務器(IP地址為10.10.0.1C0)對Internet顧客提供Web服

務(對外公開IP地址為61.144.51.43),請補充完畢下列配置命令。

PIX(conf1g)#static(dmz,outs1de)⑻⑼

P1X(contig)#conduitpermittcphost(10)eqany

(8)61.144.51.43(1分)

(9)10.10.0.100(1分)

(10)61.144.51.43(1分)

試題分析

Fixup命令可以啟用或者嚴禁特定的)服務、協議。

題干出現口勺PIX配置語句含義解釋如下：

PIX#showconfig

nameifeth0outsidesecurity。。//ethO接口命名為outside,安全級別設置為0

nameifeth1insidesecurity100〃eth1接口命名為inside,安全級別設置為

100

nameifeth2dmzsecurity40//eth2接口命名為dm乙安全級別設置為40

fixupprotocolftp21。//啟動FTP協議，容許21端口日勺數據通過

fixupprotocol80。//啟動協議，容許80端口日勺數據通過

//配置outside接口IP地址與掩碼

ipaddressin。//配置inside接口IP地址與掩碼

//配置dmz接口IP地址與掩碼

global(outside)1。61.144.51.46。。//經outside接.46,全局地址池標志為1,因

此由inside域發往Internet日勺IP分組，在抵達路由器R1時的源IP地址是61.144.51.46

nat(inside)1?！ㄋ械刂钒吹刂烦?定義進行地址轉換

routeoutside000.0OOO.061,144.51.451。//設定默認路由，所

有數據通過61.144.51.45轉發

使用static命令配置靜態地址映射，使得內外部地址一一對應。

Firewall(config)#static(1nternaIJnterface_name,external_mterfac

e_name)outside_1p_addressinsideJp_address

其中internal_interface_name體現內部網絡接口，安全級別較高，如inside;

external_interface_name體現外部網絡接口，安全級別較低，如outside;

outside_ip_address體現共有IP地址:inside_ip_address體現被轉換的IP地址。

假如需要dmz域的服務器(IP地址為10.10.0.100)對Intemet顧客提供Web服

務(對外公ITIP地址為61.144.51.43),就需要完畢兩步工作：

①將10.10.0.100和61,144.51.43建立映射關系。

PIX(config)#static(dmz.outs1de)61.144.51.4310.10.0.100可以完

畢這種映射。

②防火墻上放開外網地址曰勺80端口。

PIX(config)#conduitpermittcphost61.144.51.43eqany可以完畢

端口放開日勺任務。

試題五（站15分）

【闡明】

某企業在企業總部和分部之間采用兩臺WindowsServer2023服務器布署企業

IPSecVPN,將總部和分部口勺兩個子網通過Internet互連，如下圖所示。

Internet

【問題1】（3分）

隧道技術是VPN的基本技術,隧道是由隧道協議形成日勺，常見隧道協議有IPSec、PPT

P和L2TP,其中（1）和（2）屬于第二層隧道協議，（3）屬于第三層隧遣協議。

（1）PPTP

（2）L2TP（1.2次序可調換）

(3)IPSec

【問題2](3分)

IPSec安全體系構造包括AH,ESP和ISAKMP/。ak■|ey等協議。其中，(4)為IP

包提供

信息源驗證和報文完整性驗證，但不支持加密服務;(5)提供加密服務；(6)提供密鑰管理服務。

(4)AH

(5)ESP

(6)ISAKMP/Oakley

【問題3】(6分)

設置ServerA和ServerB之間通信日勺“篩選器屬性”界面如圖1所示，在Serv

erA的IPSec安全方略配置過程中，當源地址和目的地址均設置為“一種特定的IP子網”

時,源子網IP地址應設為⑺，目的子網IP地址應設為⑻。如圖2所示的隧道設置中的隧道

終點IP地址應設為(9)。

圖1“締選器屬性”對話框圖2"編輯規劃屬性”對話框

【問題4](3分)

在ServerA曰勺IPSec安全方略配置過程中,ServerA和ServerB之間通信的IPSec篩選

器“許可”屬性設置為“協商安全”，并且安全措施為"加密并保持完整性”，如圖3所示。

根據上述安全方略填寫圖4中口勺空格，體現完整的IPSec數據包格式。

r

t-

三芝」

二--I

rMTMatfHi.JJ

r金夕tENFHte，。

■U?L-1*,■**?*?a**?**,-?■<一■?—?I

CMJ-Jwj.a」

?一\?*^M****>-------------------------------------_--i9?

圖3“許可屬性”對話框

新IP頭皿-Ill)TCP頭數據(12)

圖10-4數據包格式

(10)-(12)備選答案:

A.AH頭。。B.ESP頭。C.舊

IP頭D.新TCP頭

E.AH尾。F.ESP尾G.舊IP尾。H.新TCP尾

(10)B或ESP頭

(11)C或舊IP頭

(12)F或ESP尾

試題分析

【問題1】（3分名1分）

常見的隧道協議

數據鏈路層：L2TP、PPTP.L2F

網絡層：IPsec

傳播層與應用層之間SSL

【問題2】（3分，各1分）

IPSec安全體系構造包括AH、ESP和ISAKMP/Oakley等協議。其中,AH為IP包提

供信息源驗證和報文完整性驗證,但不支持加密服務;ESP提供加密服務；ISAKM。

akley提供密鑰管理服務。

【問題3】（6分,各2分）

“篩選器屬性”界面配置源子網IP地址（內網地址）和目的子網IP地址（內網地址）。

針對ServerA,源子網IP地址（內網地址）為192.168.1.2/32,因此“篩選器屬性”

界面源子網IP地址應設為192.168.1。目曰勺子網IP地址（內網地址）為192168.1.2/32,

因此“篩選器屬性"界面目的子網IP地址應設為192.168.2.0。

“編輯規則屬性”界面日勺隧道地址應當配置隧道對端（公網地址）。

針對ServerA隧道對端（公網地址）為202.113.111.1,因此隧道設置中的隧道終點I

P地址應設為202.113.111.1o

【問題4】（3分,各1分:

本題規定“加密并保持完整性”，由于AH協議不支持加密，因此采用ESP封裝。前面題

目給出了總企業與子企業通信建立了隧道，因此采用隧道模式。詳細如下圖所示。

這里IP數據加密后，密文可以看作舊IP頭，ESP摘要可以看作ESP尾。

2023年下六個月信息安全工程師考試真題（下午

題）

試題一（共20分）

閱讀下列闡明和圖，回答問題1至問題3,將解答填入答題紙的對應欄內。

【闡明】

研究密碼編碼的科學稱為密碼編碼學，研究密碼破譯的科學稱為密碼分析學，密碼編

碼學和密碼分析學共同構成密碼學"密碼學作為信息安仝的關鍵技術，在信息安仝領域有

著廣泛的應用。

【問題1】（9分）

密碼學的安全目的至少包括哪三個方面？詳細內涵是什么？

（1）保密性：保密性是保證信息僅被合法顧客訪問，而不被泄露給非授權的顧客、實體或過

程，或供其運用的特性。卻防止信息泄漏給非授權個人或實體,信息只為授權顧客使用的特

性。

(2)完整性：完整性是指所有資源只能由授權方或以授權的J方式進行修改，即信息未經授權

不能進行變化H勺特性。信息在存儲或傳播過程中保持不被偶爾或蓄意地刪除、修改、偽

造、亂序、重放、插入等破壞和丟失H勺特性。

(3)可用性：可用性是指所有資源在合適的時候可以由授權方訪問，即信息可被授權實體訪

問并按需求使用的特性。信息服務在需要時，容許授權顧客或實體使用的特性，或者是網絡

部分受損或需要降級使用時，仍能為授權顧客提供有效服務的特性。

【問題2】(3分)

對下列違規安全事件，指出各個事件分別違反了安全目的中的哪些項？

(1)小明抄襲了小麗日勺家庭作業。

(2)小明私自修改了自己的成績。

(3)小李竊取了小劉日勺學位證號碼、登錄口令信息、并通過學位信息系統更改了

小劉的學位信息記錄和登陸口令，將系統中小劉的學位信息用一份偽造日勺信息替代,導致小

劉無法訪問學位信息系統，

(1)保密性

(2)完整性

(3)可用性

【問題3】(3分)

現代密碼體制的安全性一般取決于密鑰的安全，為了保證密鑰的安全,密鑰管理包括

哪些技術問題？

密鑰管理包括密鑰的I產生、存儲、分派、組織、使用、停用、更換、銷毀等一系列技術問

【問題4]（5分）

在圖1T給出H勺加密過程中，Mi,i=L2,…，n體現明文分組,Cbi=l,2,…,n體現

密文分組，Z體現初始序列，K體現密鑰，E體現分組加密過程。該分組加密過程屬于哪種

工作模式？這種分組密碼的工作模式有什么缺陷？

明密文鏈接模式。

缺陷：當小或G中發生一位錯誤時，自此后來的密文全都發生錯誤，即具有錯誤傳播

無界的特性，不利于磁盤文獻加密。并且規定數據的長度是密碼分組長度的整數倍，否則最

終一種數據塊將是短塊，這時需要特殊處理。

試題二（共10分）

閱讀下列闡明和圖，回答問題1至問題2,將解答填入答題紙日勺對應欄內。

【闡明】

訪問控制是對信息系統資源進行保護的重要措施1今適『、J訪問控制可以制止未經授權

的顧客故意或者無意地獲取資源。訪問控制一般是在操作系統的控制下，?按照事先確定的

規則決定與否容許顧客對資源的訪問。圖2—1給出了某系統對客體tracer。ute.mpg實

行的訪問控制規則。

□□

n□

Q□

Q□

n

口

【問題1】（3分）

針對信息系統的訪問控制包括哪些基本要素？

主體、客體、授權訪問

【問題2】（7分）

分別寫出圖2-1中顧客Administrator對應三種訪問控制實現措施，即能力表、訪

問控制表和訪問控制矩碎卜密訪問控制規則。

能力表：

（主體）Administrator<（客體）traceroute.mpg：讀取，運行）

訪問控制表：

（客體）Iraceroule.mpg〈（主體）Adminislralor：讀取，運行〉

訪問控制矩陣:

（客體）traceroute.mpg

（主體）Administrator讀取，運行

試題三（共19分）

閱讀下列闡明和圖，回答問題I至問題3,將解答填入答題紙的對應欄內。

【闡明】

防火墻是一種廣泛應用廿勺網絡安全防御技術，它阻擋對網絡的非法訪問和不安全的數

據傳遞，保護當地系統和網絡免于受到安全威脅。

圖3T給出了一種防火墻的體系構造。

圖3-1

【問題1】（6分）

防火墻的體系構造重要有：

（1）雙重宿主主機體系構造；

（2）（被）屏蔽主機體系構造;

（3）（被）屏蔽子網體系構造:

請簡要闡明這三種體系構造H勺特點。

雙重宿主主機體系構造:雙重宿主主機體系構造是指以一臺雙重宿主主機作為防火墻系

統的主體,執行分離外部網絡與內部網絡的任務。

被屏蔽主機體系構造:被屏蔽主機體系構造是指通過一種單獨H勺路由器和內部網絡上的

堡東主機共同構成防火墻.重要通過數據包過濾實現內外網絡的隔離和對內網的保護。

被屏蔽子網體系構造:被屏蔽子網體系構造將防火墻的概念擴充至一種由兩臺路由器包

圍起來的周圍網絡,并且招?輕易受到襲擊的堡壘主機都置于這個周圍網絡中。其重要由四個

部件構成,分別為:周圍網絡、外部路由器、內部路由器以及堡壘主機。

拓展：

雙重宿主主機體系結構

外部網絡

被屏前主機體系結構

內部M絡f)

56&&曲

被屏蔽于網體系結構

【問題2](5分)

(1)圖3T描述的是哪一種防火墻的體系構造?

(2)其中內部包過濾器和外部包過濾器的作用分別是什么？

(1)屏蔽子網體系構造。

(2)內部路由器：內部路由器用于隔離周圍網絡和內部網絡，是屏蔽子網體系構

造的第二道屏障。在其上設置了針對內部顧客的訪問過濾規劃，對內部顧客訪問周圍網絡

和外部網絡進行限制。

外部路由器:外部路由器I向重要作用在于保護周圍網絡和內部網絡,是屏蔽子網體系構

造的第一道屏障。在其上設置r對周圍網絡和內部網絡進行訪問的過濾規則，該規則重要

針對外網顧客。

【問題3】(8分)

設圖。

有關包過濾器,規定實現如下功能，不容許內部網絡顧客訪問外網和DMZ,外部網絡顧

客只容許訪問DMZ中的Web服務器和SMTP服務器。內部包過濾器規則如表3-1所示，請

完畢外部包過濾器規則表3—2,將對應空缺表項口勺答案填入答題紙對應欄內。

表3—1內部包過濾器規則表

規則號協議源地址目的地址源端口目的端口動作方向

]■拒絕

表3-2外部包過濾］器規則表

規則號協議源地址目的地址源端口目的端口動作方向

1TCP■>102480允許入

2TCP■80>1024允許出

3TCP(2)>102425允許入

4TCPAll.⑷25>1024允許出

5⑸⑹)102453允許入

6(7)(8)53)1024允許出

?

7■■■拒絕■

(1)*

(2)10.20.100.8

(3)10.20.100.8

(4)*

(5)UDP

(6)10.20.100.3

(7)UDP

試題四(共18分)

閱讀下列闡明，回答問題1至問題4,將解答填入答題紙時對應欄內。

【闡明】

顧客的身份認證是途多應用系統的第一道防線，身份識別對保證系統和數據的安全保

密極其重要。如下過程給出了實現顧客B對顧客A身份H勺認證過程。

1.A->B:A

2.B->A：{B,Nb}pk(A)

3.A->B：h(Nb)

此處A和B是認證的實體，Nb是一種隨機值，pk6)體現實體人的公鑰，{8,1'a51;

(A)體現用A的公鑰對消息B進行加密處理，h(Nb)體現用哈希算法h對Nb計算哈希

值。

【問題1](5分)

認證馬加密有哪些區別？

認證和加密口勺區別在于:加密用以保證數據口勺保密性,制止黑客的被動襲擊,如截取，竊聽

等;而認證用以保證報文發送者和接受者的真實性以及報文的完整性，制止黑客的積極襲

擊，如冒充、篡改、重播等。

【問題2】(6分)

(1)包括在消息2中的“Nb”起什么作用?

(2)“Nb”的選擇應滿足什么條件？

(1)Nb是一種隨機值，只有發送方B和A懂得,起到抗重放襲擊作用。

(2)應具有隨機性，不易被猜測。

【問題3】(3分)

為何消息3中依JNb要計算哈希值？

哈希算法具有單向性，通過哈希值運算之后的隨機數,雖然被襲擊者截獲也無法對該隨機數

進行還原，獲取該隨機數Nb的產生信息。

【問題4】(4分)

上述協議存在什么安全缺陷?請給出對應的處理思緒。

襲擊者可以通過截獲h(Nb)冒充顧客AH勺身份給顧客B發送h(Nb)。

處理思緒：顧客A通過將AH勺標識和隨機數Nb進行哈希運算，將其哈希值h(A,Nb)

發送給顧客B,顧客B接受后,運用哈希函數對自己保留的顧客標識A和隨機數Nb進行加

密,并與接受到的h(A,Nb)進行比較。若兩者相等,則顧客B確認顧客A的身份是真實R勺，

否則認為顧客A的身份是不真實日勺。

試題五(共8分)

閱讀下列闡明和代碼，回答問題1和問題2,將解答寫在答題紙口勺對應欄內。

【闡明】

某當地口令驗證函數(C語言環境，X8632指令集)包括如下關鍵代碼;某顧客的

口令保留在字符數組origPassword中，顧客輸入的口令保留在字符數組userPasswor

d中，假如兩個數組中的內容相似則容許進入系統。

[...]

CharorigPassword[l2]=M1Secretw

CharorigPassword[12]；

Gets(userPassword);/*讀取顧客輸入F、J口令*/

[...]

If(strncmp(origPassword,userPassword,12)!=0)

(

Printf1"Password,doesn,tmatch!/nn);

Exit(-1)；

)

[...]

/*口令認證通過時容許顧客訪問*/

【問題1】（4分）

顧客在調用get5（）函數時輸入什么樣式的字符串，可以在不懂得的J原始口令“Se

eret”的狀況下繞過該口令驗證函數的限制？

只要輸入長度為24的字符串，其前12個字符和后12個字符同樣即可。

【問題2】（4分）

上述代碼存在什么類型I）勺安全隱患？請給山消除該安全隱患的思緒。

gets（）函數必須保證輸入長度不會超過緩沖區，一旦輸入不不大于12個字符的口

令就會導致緩沖區溢出。

處理思緒:使用安全函數來替代gets。函數，或者對顧客輸入進行檢查和校

對，可通過if條件語句判斷顧客輸入與否越界。

2023年上六個月信息安全工程師考試真題（下午題）

第1題

閱讀下列闡明，回答問題1至問題3,將解答寫在答題紙的對應欄內。

【闡明】

安全目的的關鍵是實現安全的三大要素:機密性、完整性和可用性。對于一-般性的信

息類型的安全分類有如卜體現形式：

（（機密性，影響等級），（完整性，影響等級），（可用性，影響等級）｝

在上述體現式中，“影響等級”時值可以取為低（L）、中（M）、高（H）三級以及不

合用（NA）O

【問題1］（6分）

請簡要闡明機密性、完整性和可用性的含義。

（1）機密性:維護對信息訪問和公開經授權日勺限制J,包括保護個人隱私和私有的信息。

（2）完整性:防止信息不合適H勺修改和毀壞,包括保證信息H勺不可抵賴性和真實性。

（3）可用性：保證信息及時且可靠H勺訪問和使用。

解析：1、機密性機密性是保證信息僅被合法顧客訪問，而不被泄露給非授權的顧客實

體或過程,或供其運用的特性。即防止信息泄漏給非授權個人或實體，信息只為授權顧客使

用的特性。這里的"訪問,'是指不僅可以讀，還能瀏覽、打印或簡樸理解某些特殊資源與否

存在。常用日勺保密技術包括:防偵收（使對手偵收不到有用口勺信息）、防輻射（防止有用信息

以多種途徑輻射出去）、數據加密（在密鑰時控制下，用加密算法對信息進行加密處理。雖

然對手得到了加密后的信息也會由于沒有密鑰而無法讀懂有效信息）、物理保密（運用多種

物理措施，如限制、隔離、掩蔽、控制等措施,保護信息不被地露）等。

2、完整性完整性是指所有資源只能由授權方或以授權的方式進行修改，即信息未經授

權不能進行變化口勺特性。信息在存儲或傳播過程中保持不被偶爾或蓄意地刪除、修改、偽

造、亂序、重放、插入等破壞和丟失口勺特性。完整性是一種面向信患口勺安全性，它規定保持

信息的原樣，即信息的對的生成和對H勺存儲和傳播。完整性與保密性不同樣，保密性規定

信息不被泄露給未授權的人，而完整性則規定信息不致受到多種原因的破壞。影響網絡信

息完整性的主要原因有:設備故隙、誤碼（傳播、處理和存儲過程中產生的誤碼，定時

的穩定度和精度減少導致的誤碼，多種干擾源導致的誤碼）、人為襲擊、計算機病毒等。

3、可用性可用性是指所有資源在合適的時候可以由授權方訪問，即信息可被授權實體

訪問并按需求使用日勺特性，信息服務在需要時，容許授權顧客或實體使用H勺特性,或者是網

絡部分受損或需要降級使用時，仍能為授權顧客提供有效服務的特性。可用性是信息系統

面向顧客的安全性能。信息系統最基本日勺功能是向顧客提供服務，而顧客的需求是隨機

的、多方面的、有時尚有時間規定。可用性一般用系統王常使用時間和整個工作時間之

比來度量?？捎眯赃€應當滿足如下規定：身份識別與確認、訪問控制（對顧客H勺權限進行控

制，只能訪問對應權限的資源，防止或限制經隱蔽通道H勺非法訪問）。

【問題2]（2分）

對于影響等級"不合用"一般只針對哪個安全要素？

"不合用”一般只針對機密性

【問題3]（3分）

假如一種一般人在它的個人Web服務器上管理其公開信息。請問這種公開信息的安

全分類是什么？

｛（機密性，NA）,（完整性,M）,（可用性，M）｝

第2題

閱讀下列闡明，回答問題1和問題2,將解答寫在答題紙的對應欄內。

【闡明】

Windows系統的顧客管理配置中，有多項安全設置，如圖2-1所示。

圖2-1Windows本地安全策略

【問題1]（3分）

請問密碼和賬戶鎖定安全選項設置屬于圖中安全設置口勺哪一項？

賬戶方略中包括密碼方略和賬戶鎖定方略兩種安仝設置。

拓展:密碼方略為密碼復雜程度和密碼規則"勺修改提供了一種原則U勺手段，以便滿足高安全

性環境中對密碼U勺規定。賬戶鎖定方略可以跟蹤失敗的登錄，并且在必要時可以鎖定對應

賬戶。

【問題2】（3分）

Windows的密碼方略有?項安全方略就是規定密碼必須符合復雜性規定，假如啟用此方

略，那么請問：顧客Administrator擬選用時如下六個密碼中的哪些符合此方略？

123456Adminl23Abed321Admin@tes

tl23!123@host

密碼必須符合復雜性規定:啟用該項后，將對所有口勺新密碼進行檢查，保證滿足密碼復雜性

的基本規定。假如啟用此方略，密碼必須符合下列最低規定:不能包括顧客的賬戶名，不能

包括顧客姓名中超過兩個持續字符H勺部分，至少有六個字符長，包括如下四類字符中的三

類字符:英文大寫字母（A到Z）、英文小寫字母（a到z）、10個基本數字（0至

9）、非字母字符（例如！、$、#、%）。

Abed3218test123!123@hosl

第3題

【闡明】

掃描技術是網絡攻防的一種重要手段，在攻和防當中均有其重要意義。nmap是一種開

放源碼的網絡掃描工具,可以查看網絡系統中有哪些主機在運行以及哪時服務是開放II勺。na

mp工具的命令選項：sS用于實現SYN掃描，該掃描類型是通過觀測開放端口和關閉

端口對探測分組H勺響應來實現端口掃描的。請根據圖3-1回答下列問題。

【問題1]（2分）

本次掃描日勺目的主機的IP地址是多少?

nmap-sn/24

主機發現0@

nmap-sS-pl-100074

端口掃描十

-

nmap-O74

系統掃描-0

nmap-sV74

版本掃描

-*

nmap-A74

綜合掃描

拓展：.----------?

【問題2]（2分）

SYN掃描采用的傳播層協議名字是什么？

TCP（TransmissionControlProtocol傳播控制協議）是一種面向連接

的、可靠時、基于字節流的傳播層通信協議，由IETF/<JRFC793定義。

拓展:顧客數據報協議（UDP）是同一層內另一種重要的傳播協議。在因特網協議族（Inter

netprotocolsuite）中，TCP層是位于IP層之上，應用層之下『與中間層。不同樣主

機歐J應用層之間常常需要可靠的、像管道同樣的連接,不過IP層不提供這樣日勺流機制,而是

提供不可靠口勺包互換。

【問題3]（2分）

SYN的含義是什么？

SYN（synchronous）是TCP/IP建立連接時使用的1握手信號。

TCP是因特網中的傳播層協議，使用三次握手協議建立連接。當積極方發出SYN連接

祈求后，等待對方回答SYN+ACK,并最終對對方的SYN執行ACK確認。這種建立連接

的措施可以防止產生錯誤的連接，ICP使用的流量控制協議是可變大小H勺滑動窗口協議。

TCP三次握手口勺過程如下：客戶端發送SYN(SEQ=x)報文給服務器端，進入SYN_SEND狀

態。服務器端接受到SYN報文，回應一種SYN(SEQ=y)ACK(ACK=x+l)報文,進入

SYN_RECV狀態?？蛻舳耸盏椒掌鞫薍勺SYN報文，回應一種ACK(ACK=y+l)報文，進入Est

ablished狀態。三次握手完畢，TCP客戶端和服務器端成功地建立連接，可以開始傳播數

據了。

0

【問題4]（4分）

目的主機開放了哪幾種端口？簡要闡明判斷根據。

目的主機開放了135、139端口判斷根據：假如端口開放，目的主機會向掃描端

發送SYN+ACK連接祈求；假如端口關閉，則向掃描主機發送RST響應。

【問題5](3分)

每次掃描有無完畢完整的三次握手?這樣做H勺目的是什么？

都沒有完畢三次握手過程,尤其是最終的ACK報文沒有。

TcpSYNScan(sS)這是一種基本口勺掃描方式，它被稱為半開放掃描，由于這種技

術使得Nmap不需要通過完整口勺握手，就能獲得遠程主機的信息。Nmap發送SYN包到遠

程主機，不過它不會產生任何會話。因此不會在目的主機上產生任何日志記錄，由于沒有形

成會話。這個就是SYN掃描的優勢。假如Nmap命令中沒有指出掃描類型，默認H勺就是Tc

pSYNo不過它需要root/administrator權限。

【問題6](5分)

補全表3-1所示的防火墻過濾器規則的空(1)-(5),抵達防火墻嚴禁此類掃描流

量進入和處出網絡，同步又能容許網內顧客訪問外部網頁務器口勺目的。

表3-1防火墻過濾器規則表

(1)UDP

⑵*

(3)80

(4)0

(5)1

解析:第1條規則，拒絕從外網往內網發送日勺祈求連接信息，因此ACK=0;

第2、3、4條規則，配置容許內網顧客訪問外部網頁服務器。

第2條規則，容許內網往外網服務器80端口發送日勺祈求連接和應答信息，因此

目小弦需口為80；

第3條規則，容許內網向外網域名服務器發送的祈求連接和應答信息，因此協

議為UDP;

第4條規則，容許外網域名服務器發往內網的應答信息，因此ACK=1；

第5條規則，其他流量一律不容許進出內外部網絡，因此協議為*。

【問題7】（2分）

簡要闡明為何防火墻需要在進出兩個方向上對據數據包進行過漉。

在進入方向進行過濾是為了防止外部的襲擊行為進入內部網絡。在出口方向過濾是為

了防止自己內網主機被控制，成為肉雞，變為襲擊的源頭或者跳板。

第4題

【闡明】

DES是一種分組密碼，己知DES加密算法的某個S盒如表4-1所示。

請補全該S盒，彌補其中的空（1）一（4）,招解答寫在答題紙的對應欄內。

S盒有一種選擇矩陣,規定了其輸出與輸入的選擇規則。選擇矩陣有4行16歹（每行都是

0到15這16個數字，但每行的數字排列都不同樣，并且8個選擇矩陣被此也不同樣。

（1）10

(2)6

(3)1

（4）11

【問題2】（2分）

假如該S盒口勺輸入為110011,請計算其二進制輸出。

每個S盒有6位輸入，產生4位時輸出。選擇規則是S盒的6位輸入中的第1位

和第6位數字構成的二進制數值代表選中的行號，其他4位數字所構成的二進制數值代

表選中的列號，而處在被選中的行號和列號交點處的數字便是S盒的輸出（以二進制形式

輸出）。

11為行號，即為3

1001為列號，即為9

3行與9列的交差值,即為輸出4,轉化為二進制即為0100

【問題3】（6分）

DES加密時初始置換表如下:

[2L.504234261810

4i

'60524436282012

625446383022146

1645648403224168

t--

5749413325179i

595!43352719113

615345372921135i

6355473931231571

置換時，從左上角的第一種元素開始，體現輸入的明文的第58位置換成輸出的第

1位,輸入明文H勺第50位置換成輸出的第2位，從左至右，從上往下，依次類推。

DES加密時,對輸入的64位明文首先進行初始置換操作。若置換輸入的明文M=ABC

DEF（16進制），請計算其輸出（16進制體現）。

M=ABCDEF（16進制）

轉化為二進制為

00000001001000110100010101100111100010011010101111001101

11101111

根據置換規則進行置換

M=110011000000000011001100111111111111000010101010111100001

0101010

轉化為16進制為CC00CCFFF0AAF0AA

【問題4】（2分）

假如有簡化的DES版本,其明文輸入為8比特,初始置換表IP如下：

IP：26314857

請給出其逆初始置換表。

41357286

解析：逆初始置換是在初始置換的基礎上進行逆置換;例如原始數據次序為12345678；

通過初始置換之后變成：26314857：則逆初始置換是要將另一方面序進行還原，例如，原始

數據中第一位數據經初始置換之后放到了第4位，那么逆初始置換就要將初始置換后的第

4位放到第1位，即逆初始置換表第?位為4：原始數據中第二位數據經初始置換之后放

到了第1位，那么逆初始置換就要將初始置換后日勺第1位放到第2位，即逆初始置換表第

二位為1；其他依次類推,得出該逆初始置換表為41357286。

【問題5】(2分)

DES加密算法存在某些弱點和局限性，重要有密鑰太短和存在弱密鑰。請問，弱密

鑰的定義是什么？

弱密鑰不受任何循環移位的影響，并且只能得到相似的子密鑰，由全0或全1構成的密鑰

顯然是弱密鑰，子密鑰生成過程中被分割的兩部分分別為全?；蛉?時也是弱密鑰。CES

算法中存在弱密鑰和半弱密鑰。

解析:弱密鑰K:即K1=K2-=K16;弱密鑰不受任何循環移位的影響，并且只能得到相似的I

子密鑰，由全?；蛉?構成的密鑰顯然是弱密鑰,子密鑰生成過程中被分割的兩部分分別為

全0或全1時也是弱密鑰，并且存在4個弱密鑰。半弱密鑰K:有些種子密鑰只能生成兩個

不同樣的子密鑰，這樣的種子密鑰K稱為半弱密鑰，DES至少存在12個半弱密鑰。半弱密

鑰將導致把明文加密成相似。

口勺密文。第5題

【闡明】在公鑰體制中，每一顧客U均有自己的公開密鑰PKu和私鑰SKu。假如任意兩

個顧客A和B按如下方式通信：

voidChallenge(char*str)

(

chartemp[9]={0)；

strncpy(temp,str,8);

printf("temp=%s\n”,temp):

if(strcmpCtemp^Please!@")=0)(

printf("KEY:****")；

)

}

intmain(intargc,char*argv[])

{

charbuf2[16]；

intcheck=l;

charbuf[8];

strcpy(buf2,“givemekey!!")；

strepy(buf.argv[1]);

if(check=65)(

Chailonge(buf);

}

e1se{

printf("Checkisnot65(%d)\nProgrante

rminated!!\n",check)；

)

return0;

)

A發給B消息[EpKB(m),A]o

其中Ek(m)代表用密鑰K對消息m進行加密。

B收到后來，自動向A返回消息【EPkA(m),B],以使A懂得B確實收到消息

m