试题三
阅读下列说明，回答问题 ，将解答填入答题纸的对应栏内。
【说明】
某企业网络拓扑如图 3-1 所示，该企业内部署有企业网站 Web 服务器和若干办公终端，Web 服务器（问：//www.xxx.com） 主要对外提供网站消息发布服务， Web 网站系统采用JavaEE开发。
信息系统一般从物理安全、网络安全、主机安全、应用安全、数据安全等层面进行安全设计和防范，其中，"操作系统安全审计策略配置"属于（1）安全层面； "防盗防破坏、防火"属于（2）安全层面； "系统登录失败处理、最大并发数设置"属于（3）安全|层面； "入侵防范、访问控制策略配置、防地址欺骗"属（4）安全层面。
(1)主机
(2)物理
(3)应用
(4)网络
为增强安全防范能力，该企业计划购置相关安全防护系统和软件，进行边界防护、
Web全防护、终端 PC 病毒防范，结合图3-1 拓扑，购置的安全防护系统和软件应包括：（5）、（6）、（7）。
备选答案：
A.防火墙
B.WAF
C.杀毒软件
D.数据库审计
E.上网行为检测
（5）A
（6）B
（7）C
2017年5月，Wannacry蠕虫病毒大面积爆发，很多用户遭受巨大损失。在病毒爆发之出，应才去哪些应对措施？（至少答出三点应对措施）
对于擂虫病毒的攻击，在爆发之初一般可以采用下面一些措施：
1、开启系统自动更新，检侧更新并安装系统最新补丁。
2、开启防火墙，防火墙设置禁止135. 137. 139. 445端口访问连接。
3、及时备份重要的业务资料，办公电脑上的文件更要采取内外网隔离和移动存储的方式进行备份，以防止电脑中毒，文件丢失。
采用测试软件输入网站 www.xxx.comlinde x.action.
从图 3-2 可以看出，该网站存在（8）漏洞，请针对该漏洞提出相应防范措施。
（8）备选答案：
A.Java反序列化
B.跨站脚本攻击
C.远程命令执行
D.SQL 注入
通过浏览器访问网站管理系统，输入 www.xxx.com/login?f_page=-->'">
（8）C
防范措施：
1.假定左右输入都是可疑的，尝试对左右输入提交可能执行命令的构造语句进行严格的检查或者控制外部输入，系统命令执行函数的参数不允许外部传递。
2.不仅要验证数据的类型，还要验证其格式、长度、范围和内容。
3.不要仅仅在客户端做数据的验证和过滤，关键的过滤步骤在服务端进行。
4.对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点也要进行安全检查。
5.在发布应用程序之前测试所有已知的威胁。
（9）B
防范措施：
1.验证所有输入数据，有限监测攻击。
2.对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。