信息安全测试员三级高级工 详细题库

漏洞验证工具使用方法 题目预览

• 第 1 题 单选题
  BurpSuite中用于拦截和修改HTTP/HTTPS请求的核心模块是（ ）。
  • A. Intruder
  • B. Repeater
  • C. Proxy
  • D. Scanner
  解析：Proxy模块允许用户设置代理，拦截、查看和修改HTTP/HTTPS请求和响应，是BurpSuite的基础功能。
• 第 2 题 单选题
  在BurpSuite中，自动化执行定制攻击（如暴力破解或参数篡改）的工具是（ ）。
  • A. Decoder
  • B. Sequencer
  • C. Comparer
  • D. Intruder
  解析：Intruder工具提供自动化攻击能力，可配置负载位置和攻击类型，用于测试漏洞如SQL注入或XSS。
• 第 3 题 单选题
  BurpSuite的Repeater模块主要用于（ ）。
  • A. 自动扫描Web应用漏洞
  • B. 手动发送和修改单个请求
  • C. 分析会话令牌的随机性
  • D. 解码或编码数据
  解析：Repeater模块允许用户手动编辑HTTP请求并重复发送，便于漏洞验证和响应分析，而不影响自动化流程。
• 第 4 题 单选题
  使用BurpSuite进行HTTPS流量拦截时，必须（ ）。
  • A. 禁用防火墙
  • B. 配置目标站点域名
  • C. 安装Burp的CA证书
  • D. 启动Scanner模块
  解析：为了解密HTTPS流量，用户需安装BurpSuite生成的CA证书到浏览器或系统信任库，否则无法处理加密通信。
• 第 5 题 判断题
  BurpSuite的Scanner模块能完全自动检测并修复所有Web应用漏洞。
  • A. 对
  • B. 错
  解析：Scanner模块可自动检测常见漏洞，但无法修复漏洞，且可能遗漏复杂漏洞如逻辑错误，需手动确认和修复。
• 第 6 题 判断题
  BurpSuite的Intruder工具仅支持GET请求的攻击测试。
  • A. 对
  • B. 错
  解析：Intruder工具支持多种HTTP方法（如GET、POST），可对请求中任意部分进行攻击测试，包括参数和头部。
• 第 7 题 多选题
  BurpSuite中可直接用于漏洞验证的模块包括（ ）。
  • A. Proxy
  • B. Intruder
  • C. Repeater
  • D. Scanner
  • E. Sequencer
  解析：Proxy拦截请求、Intruder自动化攻击、Repeater手动重放、Scanner自动扫描，均用于漏洞验证；Sequencer用于分析随机性，不直接验证漏洞。
• 第 8 题 多选题
  配置BurpSuite代理以捕获浏览器流量时，需要设置（ ）。
  • A. 监听端口（如8080）
  • B. 目标应用的IP地址
  • C. 浏览器的代理服务器设置
  • D. Burp的CA证书安装
  • E. Intruder攻击负载
  解析：代理配置需设置监听端口、浏览器代理指向该端口，并安装CA证书处理HTTPS；目标IP和攻击负载是其他模块配置。