网络安全攻防基础知识题库

一个SQL注入的网络payload长这样：' OR 1=1 --。很多新手第一次看到会笑，安全觉得这也太蠢了。攻防但2017年Equifax泄露1.43亿用户数据，基础根因就是知识类似的东西——一个未打补丁的Apache Struts漏洞，攻击者用现成工具链直接拿走了数据库。题库别高估攻击者的网络智商，也别低估他们的安全耐心。

题库第一题：什么是攻防“攻击面”？
别背定义。你办公室那台打印机，基础连了WiFi，知识开了9100端口，题库固件三年没更新——这就是网络攻击面。攻击者不一定打你的安全服务器，他可能先打打印机，攻防拿到内网跳板，再横向移动去摸域控。所以回答这题时，你得说：攻击面是所有能被利用的入口，包括硬件、软件、人。人是最难补的那块。钓鱼邮件测试里，总有百分之十几的人会点链接，这不是他们笨，是攻击者把邮件写得太像真的了。

第二题：对称加密和非对称加密的区别。
别光说“对称快、非对称安全”。实际场景里，HTTPS握手用的是非对称交换密钥，然后转对称加密传数据。你问为什么？因为RSA算一次要几十毫秒，而AES每秒能处理几个GB。题库里这题的标准答案是“性能与安全的权衡”，但更真实的观察是：很多开发者懒得区分，直接把所有数据都用非对称加密，结果接口慢得像蜗牛。反过来，有人为了性能把密钥硬编码在前端代码里——那跟把家门钥匙放门口地垫下没区别。

第三题：什么是DDoS？
教科书会说“分布式拒绝服务”。我见过最狠的一次，是攻击者用物联网摄像头组成的僵尸网络，流量峰值到了600Gbps，直接把一个中型电商的机房交换机打崩了。防御方临时买了清洗服务，但业务已经断了四小时。这题有个容易忽略的点：DDoS不一定是流量洪水，也可能是慢速攻击——一个连接占着不放，把并发连接池耗尽。你光看流量图，根本发现不了。

第四题：XSS和CSRF有什么区别？
一句话：XSS是攻击者往你的页面里塞脚本，CSRF是攻击者借你的浏览器发请求。举个例子——你在论坛发帖，内容里带了个标签，src指向攻击者服务器，而你的cookie是httpOnly的，XSS读不到——但CSRF不需要读cookie，它只需要让浏览器自动带上cookie发请求。所以防御CSRF的关键不是加密cookie，而是加一个不可预测的token。这题经常有人答反，我建议你记一个场景：XSS是“你被下毒”，CSRF是“你被遥控”。

第五题：密码学里的“哈希”为什么不能逆推？
因为SHA-256是把任意长度输入映射到固定长度输出，信息量减少了，数学上不可逆。但实际题库里爱考的是：为什么不能直接存密码的哈希？因为彩虹表。攻击者预先算好了一亿个常见密码的哈希值，拿到你的数据库，一比对就出来了。所以得加盐——每个用户随机盐值，让同样的密码产生不同的哈希。这题有个反直觉的点：加盐不是为了增加哈希计算难度，而是为了破坏彩虹表的通用性。

最后一道送分题：如何判断一个系统是否安全？
没有绝对安全。你只能问：攻击者要花多少钱、多少时间才能攻破它？如果成本高于收益，那这个系统就是“足够安全”的。很多企业做等保测评，过了三级就以为高枕无忧，结果内部一个员工把数据库密码写在便签纸上贴在显示器旁边。物理安全也是安全的一部分，而且往往是最薄弱的。

题库就这些。但说真的，背答案没用。安全攻防是动态博弈，今天有效的防御，明天可能被新技巧绕过。你最好去搭个靶场，自己试着攻一次——被虐过，才记得住。