安全测试考试题目(全).pdf

软件安全性测试培训考试试卷部门：部门：姓名：姓名：一、一、单选题单选题(30(30 分，每题分，每题 2 2 分）分）1、信息安全系统安全保护等级分为(C）。A、3 级B、4 级C、5 级D、6 级2、从信息安全发展角度，目前主要是确保什么安全？（D）。A、通信B、计算机C、人D、信息和信息系统资产3、防火墙的原则是什么（B)。A、防攻击能力好B、一切未被允许的就是禁止的！C、一切未被禁止的都是允许的！D、是否漏电4、IDS 和 IPS 的部署模式是（D）。A、都是旁路模式B、都是在线模式C、IDS 在线模式、IPS 旁路模式D、IDS 旁路模式、IPS 在线模式5、VPN 是什么？（D）。A、安全设备B、防病毒软件C、安全测试软件D、虚拟专用网络6、下列哪个不是常见的安全设计问题(A）。A、数据库表太多B、密码技术使用的败笔C、创建自己的密码技术D、错误的处理私密信息7、下面哪个不是 VPN 分类包括的(A)。A、主机对远程用户B、主机对 VPN 网关C、VPN 网关对 VPN 网关D、远程用户对 VPN 网关1 1/5 58、动态测试方法不包括（D)。A、手动分析技术 B、安全扫描 C、渗透测试 D、用户测试9、最新的 WEB 系统版本是(D).A、Web7.0B、Weblogic8.0C、Websphere3.0D、Web3。010、渗透测试模拟什么角色进行（A)。A、模拟黑客B、模拟用户C、模拟系统管理员D、模拟开发11、信息系统安全问题产生的外因是什么（B).A、过程复杂B、对手的威胁与破坏C、结构复杂D、使用复杂12、关于测试的思想转变，描述正确的是（A）。A、所有系统不允许的事件都去想办法允许。B、所有系统允许的事件都去想办法不允许。C、根据用户指定内容进行测试。D、根据开发人员指定内容进行测试。13、以下不属于安全测试的辅助工具的是（D）。A、wiresharkB、APPSCANC、ZenmapD、QTP14、下列哪种不属于 WEB 系统文件上传功能安全隐患（D）。A、未限制扩展名B、未检查文件内容C、未查杀病毒文件D、未检查文件大小15、以下哪种说法是对的（B）。A、关系数据库不需要进行安全测试。2 2/5 5B、通过软件安全测试能够降低安全隐患。C、通过软件安全测试能够杜绝安全隐患。D、一个应用系统只需要一种测试工具测试.二、二、多选题（多选题（3030 分，每题分，每题 3 3 分，少选给分，少选给 2 2 分，多选无分）分，多选无分）1、以下属于软件安全产品的是（CD)。A、交换机B、路由器C、防火墙D、IDS/IPS2、主机 IDS 监测的资源主要包括（ABCD）。A、网络B、文件C、进程D、系统日志3、关于软件安全开发周期正确的说法是（AD）。A、软件安全生命周期纳入到软件生命周期。B、软件生命周期贯穿软件安全生命周期中的每个阶段.C、软件生命周期纳入到软件安全生命周期。D、软件安全生命周期贯穿软件生命周期中的每个阶段。4、测试实施阶段的工作包括(ABC)。A、白盒测试B、黑盒测试C、灰盒测试D、蓝盒测试5、安全测试七个接触点包括（ABCD）.A、代码审核B、滥用案例C、安全操作D、渗透测试6、根据渗透目标分类，渗透测试包括（ABCD）.A、主机操作系统渗透B、数据库系统渗透C、应用系统渗透D、网络设备渗透7、下面哪种是跨站脚本的攻击形式(ABCD).A、盗取 CookieB、钓鱼3 3/5 5C、操纵受害者的浏览器D、蠕虫攻击8、WEB 系统动态安全测试手段包括(ABC）。A、手动检查/配置检查B、渗透测试C、安全扫描D、用户测试9、Web 应用系统十大漏洞包括（ABCD）。A、反射型跨站B、存储型跨站 C、DOM 跨站 D、跨站脚本10、软件安全开发周期包括(ABC）。A、安全需求攻击用例B、架构和设计评审/威胁建模C、安全编码原则D、软件版本更新三、三、填空题（填空题（3030 分，每空分，每空 3 3 分）分）1、信息系统安全由物理安全、网络安全、系统安全、应用安全、安全管理等五部分组成。2、3、4、信息系统安全等级中，第一级是用户自主保护。等级保护评估手段包括管理评估、技术评估。防火墙的类型包括包过滤防火墙、应用网关(应用代理）防火墙、状态检测包过滤防火墙等。5、6、7、IDS 中文名称是入侵检测系统。软件安全测试应该像攻击者一样思考。隔离网闸由外部系统、内部系统和数据交换系统(开关系统）组成。8、根据渗透方法分类，渗透测试包括：黑箱测试、白盒测试、4 4/5 5隐秘测试。9、安全测试法包括静态测试和动态测试.10、隐藏在软件中的漏洞包括设计漏洞与实现漏洞。四、问答题(10 分)1、软件安全测试的常规方法是什么？（5 分）猜错法测试 模糊测试 语法测试 故障注入3、关于在实际工作中开展软件安全测试，谈谈你的想法(5）5 5/5 5