奇安信2020web安全工程师（二）-公司真题-面试哥

题型	单选题	多选题	填空题
数量	20	10	2

买口罩

问题详情

小明有N元钱去药店买口罩，药店里有6个品牌的口罩，A品牌2个装（2元），B品牌3个装（2元）、C品牌1个装（3元）、D品牌5个装（1元），E品牌4个装（5元），F品牌3个装（2元），由于限购每个品牌最多只能买一个，小明最多能买多少口罩？

输入描述：

N元钱（1

输入样例： 9 输出描述：

N元钱能买到的口罩数目

输出样例 13

三角形三边数字求和

问题详情

如下图所示的三角形，有三个边s1,s2,s3,边s1有四个圆圈⭕️1，2，3，4，边s2有四个圆圈⭕️4，5，6，7，边s3有四个圆圈⭕️7，8，9，1
把1-9这9个数字，分别填写到下图所示的9个圆圈圆圈里， 使每条边上的4个圆圈⭕️的和相等（9个圆圈里的数字不能重复)
例如：s1=[1=&gt9,2=&gt8,3=&gt1,4=&gt3]=9+8+1+3=21,s2=[4=&gt3,5=&gt5,6=&gt7,7=&gt6]=3+5+7+6=21,s3=[7=&gt6,8=&gt2,9=&gt4, 1=&gt9]=6+2+4+9=21

输入描述：

输入内容格式:

3,4,8,5,2,6,7,1,9

其中

3，4， 8，5 是s1 1-4填写的数字，数字之和20

5，2，6，7 是s2 4-7填写的数字，数字之和20

7，1，9，3 是s4 7-1填写的数字，数字之和20

输入样例： 3,4,8,5,2,6,7,1,9 输出描述：

当输入的数字满足三边之和相等的时候，输出yes

当输入的数字不满足三边之和相等的时候，输出no

输出样例 yes

Linux操作系统中更改文件的权限使用命令？

问题详情

A. chown
B. chmod
C. chgrp
D. set

Linux操作系统中更改文件的所属都使用命令？

问题详情

A. chown
B. chmod
C. chgrp
D. set

以下哪项权限数字为~/.ssh/id_rsa最优的设置

问题详情

A. 600
B. 740
C. 755
D. 300

PHP中关闭MySQL数据库连接的方法不包括以下哪个？

问题详情

A. mysql_free_result($sql)
B. $conn->close()
C. mysqli_close($conn)
D. $conn = null

PHP中防止文件上传漏洞攻击的方法应检查以下哪个选项？

问题详情

A. $_FILES['file']['name']
B. $_FILES['file']['error']
C. $_FILES['file']['type']
D. $_FILES["file"]["tmp_name"]

以下哪个payload未使用到JavaScript事件进行XSS绕过攻击？

问题详情

A. < img src=x onerror=alert(1)>
B. <div onclick ="alert('xss')">

C. <div onmuseenter="alert('xss')">

D. <div style="color: expression(alert('xss'))">

关于宽字节注入，以下说法不正确的是？

问题详情

A. BGK为宽字节字符集，占用两个字节
B. 防御宽字节注入时，可以使用函数将特殊字符转化为实体，即在字符前添加‘\’进行转义
C. mysql中设置字符集方法为mysql_query("SET NAMES 'gbk'", $conn)
D. 使用php函数addslashes()的时，会在引号的前面加上’\’变成%df\’

10.

通过利用xxe漏洞，可能造成的危害不包括？

问题详情

A. ssrf攻击
B. 任意文件读取
C. cookie盗取
D. 内网探测

11.

关于会话安全管理，以下说法不正确的是？

问题详情

A. 在正确活动的会话基础上，认证凭证应该足够长、随机且唯一
B. 认证成功或重新认证后，应生成新的会话和认证凭证，原会话失效
C. 不必设置应用程序的有效并发会话数量
D. 会话在指定的不活动时间后超时失效

12.

常见的文件读取函数不包括？

问题详情

A. fopen()
B. popen()
C. fgets()
D. file_get_contents()

13.

以下哪个方法不属于跨域的解决方案？

问题详情

A. session
B. CORS
C. WebSocket
D. jsonp

14.

假设student表有以下记录STUDENT_NOSEXAGE------...

问题详情

假设student表有以下记录
STUDENT_NO     SEX  AGE
----------------------------
1       M   20
2       F     30
3       NULL  NULL
TEACHER 表有以下记录
STUDENT_NO     TEACHER
--------------------------
1       Tim
1       Jack
2       Tim
查询语句select count(*) from student S LEFT JOIN TEACHER T on S.STUDENT_NO=T.STUDENT_NO 的结果是

A. 2
B. 3
C. 4
D. 5

15.

将事务写入数据库的命令是

问题详情

A. insert
B. commit
C. rollback
D. delete

16.

假设您需要存储从三个到30个字符不等的产品名称，您还需要将使用的存储空间量...

问题详情

假设您需要存储从三个到30个字符不等的产品名称，您还需要将使用的存储空间量降到最低，选择哪种字段类型

A. CHAR(3,30)
B. CHAR(30)
C. VARCHAR(3,30)
D. VARCHAR(30)

17.

下列TCP连接建立过程描述正确的是?

问题详情

A. 服务端收到客户端的SYN包后等待2*ml时间后就会进入SYN_SENT状态
B. 服务端收到客户端的ACK包后会进入SYN_RCVD状态
C. 当客户端处于ESTABLISHED状态时，服务端可能仍处于SYN_RCVD状态
D. 服务端未收到客户端确认包，等待2*ml时间后会直接关闭连接

18.

ARP协议的主要功能是

问题详情

A. 将IP地址解析为物理地址
B. 将物理地址解析为IP地址
C. 将主机域名解析为IP地址
D. 将IP地址解析为主机域名

19.

以下哪些IP地址不是保留地址?

问题详情

A. 192.168.1.23
B. 172.17.51.50
C. 10.206.1.2
D. 220.181.38.150

20.

以下哪种应用不可以充当'WAF'的角色对Web流量进行反向代理?

问题详情

A. nginx
B. apache
C. php
D. modsecurity

21.

关于Nginx特性，以下说法正确的是

问题详情

A. 当nginx不以root权限运行，查看其进程信息时，所有的nginx进程所属用户都不是root
B. 反向代理服务器可以隐藏源服务器的信息
C. 修改Nginx配置后，可以不用重启服务而使配置生效
D. Nginx可以在程序启动时动态加载模块

22.

关于Apache，以下说法正确的是

问题详情

B. 在配置文件中添加 <files> Order Allow,Deny Deny from all </files> 配置可以防止文件解析漏洞
C. 其默认配置文件为http.conf
D. 其默认配置文件为server.conf
A. 在Linux操作系统上，Apache进程以root身份运行更安全

23.

普通用户在使用非root权限的情况下，可以查看哪些文件

问题详情

A. /var/log/messages
B. /etc/profile
C. /etc/crontab
D. /root/.bashrc

24.

为了抓取手机上APP的数据包，可能涉及到哪些操作？

问题详情

A. 电脑与手机在同一局域网内
B. 手机上设置代理
C. 手机上导入https证书
D. 电脑浏览器导入https证书

25.

在进行命令执行漏洞攻击时，常用的命令连接符包括哪些？

问题详情

A. ||
B. |
C. &
D. &&

26.

对公网提供接口服务时，可以采取哪些安全防范措施保证安全？

问题详情

A. 数据加密
B. ACL
C. 身份验证
D. https传输

27.

常见的内网端口转发工具包括哪些？

问题详情

A. Tunna
B. FoxProxy
C. sSocks
D. proxychains

28.

假定有一个用户表，表中包含字段：userid(int)、username(...

问题详情

假定有一个用户表，表中包含字段：userid (int)、username (varchar)、 password(varchar)、等，该表需要设置主键，以下说法正确的是（）

A. 如果不能有同时重复的username和password，那么username和password可以组合在一起作为主键
B. 此表设计主键时，根据选择主键的最小性原则，最好采用userid作为主键
C. 此表设计主键时，根据选择主键的最小性原则，最好采用username和password作为组合键
D. 如果采用userid作为主键，那么在userid列输入的数值，允许为空。

29.

下列属于ipv6报文头中的字段的是

问题详情

A. 版本号
B. 留标签（flow label）
C. 跳数限制
D. 服务类型（Type of Service）

30.

以下协议中哪些属于路由协议？

问题详情

A. BGP
B. IGMP
C. OSPF
D. RIP

31.

以下哪种措施可以达到防止扫描器扫描出漏洞的目的

问题详情

A. 修改Web服务器的banner
B. 在Web服务器前添加WAF
C. 过滤user-agent包含"scanner"的所有请求
D. 修改Web服务的监听端口

32.

以下哪些nginx的配置可能会威胁到其安全性

问题详情

A. fastcgi split path info ^(.+?\.php)(.*)$
B. fastcgi param PATH INFO $fastcgi path_ info
C. fastcgi_pass unix:/var/run/php-fpm/php-fpm.sock
D. fastcgi_pass 127.0.0.1:9000

奇安信2020web安全工程师（二）

题型介绍

买口罩

三角形三边数字求和

Linux操作系统中更改文件的权限使用命令？

Linux操作系统中更改文件的所属都使用命令？

以下哪项权限数字为~/.ssh/id_rsa最优的设置

PHP中关闭MySQL数据库连接的方法不包括以下哪个？

PHP中防止文件上传漏洞攻击的方法应检查以下哪个选项？

以下哪个payload未使用到JavaScript事件进行XSS绕过攻击？

关于宽字节注入，以下说法不正确的是？

通过利用xxe漏洞，可能造成的危害不包括？

关于会话安全管理，以下说法不正确的是？

常见的文件读取函数不包括？

以下哪个方法不属于跨域的解决方案？

假设student表有以下记录STUDENT_NOSEXAGE------...

将事务写入数据库的命令是

假设您需要存储从三个到30个字符不等的产品名称，您还需要将使用的存储空间量...

下列TCP连接建立过程描述正确的是?

ARP协议的主要功能是

以下哪些IP地址不是保留地址?

以下哪种应用不可以充当'WAF'的角色对Web流量进行反向代理?

关于Nginx特性，以下说法正确的是

关于Apache，以下说法正确的是

普通用户在使用非root权限的情况下，可以查看哪些文件

为了抓取手机上APP的数据包，可能涉及到哪些操作？

在进行命令执行漏洞攻击时，常用的命令连接符包括哪些？

对公网提供接口服务时，可以采取哪些安全防范措施保证安全？

常见的内网端口转发工具包括哪些？

假定有一个用户表，表中包含字段：userid(int)、username(...

下列属于ipv6报文头中的字段的是

以下协议中哪些属于路由协议？

以下哪种措施可以达到防止扫描器扫描出漏洞的目的

以下哪些nginx的配置可能会威胁到其安全性