一、基础认知必考题

1. 什么是护网行动 HVV？红队、蓝队、紫队分别职责是什么？
2. 护网演练遵循哪些法律法规？私自渗透未授权系统会有什么后果？
3. 简述 PDCERF 应急响应六步模型。
4. 常见边界安全设备有哪些？WAF/IDS/IPS/ 态势感知 EDR 作用区分。
5. OWASP Top10 包含哪些高危漏洞？护网高频攻击漏洞有哪几类？
6. 常见危险端口及对应漏洞：3389、445、6379、8080、22、3306、7001。
7. 正向 Shell 与反向 Shell 区别，护网中哪种更常用？
8. 什么是 IOC、TTP、威胁情报？国内主流情报平台有哪些？
9. 如何通过 TTL 判断目标是 Windows 还是 Linux 服务器？
10. HTTP 常见状态码 200/301/302/403/404/500 含义。

二、Web 漏洞原理高频面试题（红蓝通用）

1. SQL 注入分类：报错注入、联合注入、布尔盲注、时间盲注、DNSlog 盲注区别；空格被过滤有哪些绕过方式？
2. XSS 三种类型（存储 / 反射 / DOM）原理，XSS 与 CSRF 核心区别，各自防御方案。
3. SSRF 漏洞成因、利用场景、绕过方式、防御手段。
4. 文件上传漏洞常见绕过思路（后缀、MIME、文件头、解析漏洞）。
5. Shiro550 与 Shiro721 漏洞原理、流量特征、检测方式。
6. Log4j2 远程代码执行漏洞原理、payload 特征、蓝队如何拦截告警。
7. FastJSON 反序列化漏洞成因、版本范围、流量识别特征。
8. Tomcat、Nginx、Apache 常见解析漏洞有哪些？
9. PHP 命令执行函数有哪些？无参数 RCE 思路是什么？
10. 内存马是什么？Java 内存马、PHP 内存马区别，蓝队如何查杀清除？

三、系统应急 & 取证综合大题

1. Windows 与 Linux 系统应急响应区别，分别重点排查什么？
2. 内存取证工具 Volatility 使用场景，排查内存马、恶意进程。
3. Rootkit 病毒排查思路（Linux rkhunter、对比 /proc 进程）。
4. 如何溯源攻击源 IP、攻击链路，完整写一份护网攻击事件报告包含哪些模块？

四、2026 新增热点考题

1. 云服务器 ECS 安全防护与传统物理机区别，云环境 SSRF、元数据漏洞利用。
2. AI 生成恶意载荷、AI 钓鱼，蓝队如何识别新型 AI 攻击流量？
3. 信创国产化系统（鸿蒙、麒麟）应急排查差异。
4. 零信任架构在护网重保中的应用。