examination/topics/cybersecurity/network-attack/true_false.json

{
  "topic": "network-attack",
  "type": "true_false",
  "schema_version": "1.0.0",
  "generated": "2026-09-17T00:00:00+08:00",
  "questions": [
    {
      "id": "tf-001",
      "type": "true_false",
      "difficulty": 1,
      "tags": [
        "网络攻防",
        "arp欺骗"
      ],
      "question": "ARP 协议在设计时没有内置任何认证机制，因此 ARP 欺骗攻击才容易实施。",
      "answer": true,
      "explanation": "正确。ARP 协议在设计之初处于可信网络环境的假设下，没有任何身份认证和验证机制。任何主机都可以发送 ARP 应答报文，即使它并没有收到对应的 ARP 请求，接收方也不会验证报文的真实性。这种缺乏认证的设计是 ARP 欺骗（ARP Spoofing）得以实施的根本原因。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-002",
      "type": "true_false",
      "difficulty": 2,
      "tags": [
        "网络攻防",
        "DNS劫持"
      ],
      "question": "使用 HTTPS 协议访问网站可以完全防止 DNS 劫持攻击。",
      "answer": false,
      "explanation": "错误。HTTPS 能保护数据传输的机密性和完整性，但 DNS 解析发生在 HTTPS 连接建立之前。如果 DNS 解析阶段被劫持，用户会被引导到攻击者控制的 IP 地址。虽然 HTTPS 的证书验证机制可能在后续阶段发现异常（如证书不匹配），但 DNS 劫持本身仍然发生。要防御 DNS 劫持，应使用 DNSSEC、DoH（DNS over HTTPS）或 DoT（DNS over TLS）。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-003",
      "type": "true_false",
      "difficulty": 2,
      "tags": [
        "网络攻防",
        "端口扫描"
      ],
      "question": "TCP FIN 扫描在所有操作系统上的行为都是一致的。",
      "answer": false,
      "explanation": "错误。TCP FIN 扫描的行为依赖于目标操作系统对 RFC 793 的实现。按照 RFC 793 规范，关闭的端口收到 FIN 包应返回 RST，开放的端口应忽略。但 Microsoft Windows 系统不遵循此规范，无论端口是否开放都返回 RST。因此 TCP FIN 扫描在 Linux/Unix 系统上有效，但在 Windows 系统上无法区分端口状态。这也是 Nmap 要进行操作系统指纹识别的原因之一。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-004",
      "type": "true_false",
      "difficulty": 1,
      "tags": [
        "网络攻防",
        "中间人攻击"
      ],
      "question": "中间人攻击只能发生在局域网内部，无法在互联网上实施。",
      "answer": false,
      "explanation": "错误。虽然 ARP 欺骗等常见的中间人攻击主要在局域网内实施，但中间人攻击可以在多种网络环境中发生。例如，BGP 劫持可以在互联网骨干网层面实施中间人攻击；恶意 Wi-Fi 热点可以在公共场合对用户实施中间人攻击；DNS 劫持也可以在互联网层面将用户引导到恶意服务器。此外，ISP 层面的流量劫持也是互联网上的中间人攻击形式。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-005",
      "type": "true_false",
      "difficulty": 2,
      "tags": [
        "网络攻防",
        "arp欺骗"
      ],
      "question": "ARP 欺骗攻击可以使交换机退化为类似集线器的工作模式，导致所有流量被广播。",
      "answer": false,
      "explanation": "错误。ARP 欺骗和 MAC 泛洪（MAC Flooding）是两种不同的攻击。ARP 欺骗是通过伪造 ARP 应答污染目标主机的 ARP 缓存，使特定目标的流量被发送到攻击者，但交换机的 MAC 地址表仍然正常工作。使交换机退化为集线器模式的是 MAC 泛洪攻击，它通过发送大量伪造源 MAC 地址的帧使交换机 MAC 表溢出，交换机被迫将所有帧广播到所有端口。两者虽然都与局域网安全相关，但原理不同。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-006",
      "type": "true_false",
      "difficulty": 1,
      "tags": [
        "网络攻防",
        "DNS劫持"
      ],
      "question": "修改本地 hosts 文件可以使特定域名的 DNS 解析结果被劫持。",
      "answer": true,
      "explanation": "正确。hosts 文件的解析优先级高于 DNS 服务器查询。操作系统在进行域名解析时，会首先检查 hosts 文件中是否存在对应的映射记录。如果攻击者在 hosts 文件中为某个域名添加了错误的 IP 映射，系统就会直接使用该错误地址，而不会向 DNS 服务器发起查询，从而实现 DNS 劫持。这也是很多恶意软件常用的劫持手段。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-007",
      "type": "true_false",
      "difficulty": 2,
      "tags": [
        "网络攻防",
        "端口扫描"
      ],
      "question": "防火墙和入侵检测系统（IDS）无法检测到 TCP SYN 扫描。",
      "answer": false,
      "explanation": "错误。虽然 TCP SYN 扫描（半开扫描）比全连接扫描更隐蔽，但现代防火墙和 IDS 仍然可以通过多种方式检测到它。例如：检测短时间内对大量端口的 SYN 请求模式；检测同一源 IP 向多个端口发送 SYN 后收到 RST 的异常行为；利用状态检测（Stateful Inspection）发现未完成的 TCP 握手。入侵防御系统（IPS）还可以主动阻断可疑的扫描行为。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-008",
      "type": "true_false",
      "difficulty": 2,
      "tags": [
        "网络攻防",
        "中间人攻击"
      ],
      "question": "在中间人攻击中，攻击者可以同时修改 HTTP 请求和 HTTP 响应的内容。",
      "answer": true,
      "explanation": "正确。在 HTTP 明文通信的中间人攻击中，攻击者位于通信双方之间，拥有对数据流的完全控制权。攻击者可以修改客户端发送的 HTTP 请求（如篡改表单数据、添加恶意头部），也可以修改服务器返回的 HTTP 响应（如注入恶意脚本、替换页面内容、插入广告）。这也是为什么 HTTPS 的加密和完整性保护如此重要——它可以防止中间人篡改通信内容。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-009",
      "type": "true_false",
      "difficulty": 1,
      "tags": [
        "网络攻防",
        "端口扫描"
      ],
      "question": "端口 80 通常用于 HTTP 服务，端口 443 通常用于 HTTPS 服务。",
      "answer": true,
      "explanation": "正确。根据 IANA（互联网号码分配机构）的服务端口分配标准，端口 80 是 HTTP（超文本传输协议）的默认端口，端口 443 是 HTTPS（HTTP over TLS/SSL）的默认端口。当用户访问 http://example.com 时默认使用 80 端口，访问 https://example.com 时默认使用 443 端口。这些是端口扫描中最常见的发现。",
      "source": null,
      "related": []
    },
    {
      "id": "tf-010",
      "type": "true_false",
      "difficulty": 2,
      "tags": [
        "网络攻防",
        "DNS劫持",
        "arp欺骗"
      ],
      "question": "DNS 劫持和 ARP 欺骗都属于网络层攻击，都可以用于将用户重定向到恶意网站。",
      "answer": true,
      "explanation": "正确。DNS 劫持通过篡改 DNS 解析结果将域名指向恶意 IP，ARP 欺骗则通过伪造 ARP 映射截获流量后可进一步篡改 DNS 响应。两者都可以将用户对正常网站的访问重定向到攻击者控制的恶意网站。DNS 劫持工作在网络层（影响域名到 IP 的解析），ARP 欺骗工作在数据链路层到网络层的边界（影响 IP 到 MAC 的映射），但两者都属于广义的网络层攻击范畴。",
      "source": null,
      "related": []
    }
  ]
}