NEW
Font size
Worksheets資訊系統與作業安全
Total questions: 35
Worksheet time: 3hrs 55mins
下列關於 MITRE ATT&CK 的敘述何者錯誤？
分為戰術（Tactics）、技術（Techniques）與子技術（Sub-Techniques）
僅適用於紅隊（Red Team）演練
可協助建立威脅模型
基於真實世界攻擊行為建構
APT 攻擊的特徵不包含以下哪一項？
短期性突襲
高度組織化
使用零日漏洞
有政府資助
下列關於 Windows 進程（Process）的描述，何者正確？
所有進程都必須由使用者手動啟動
進程之間可共用記憶體空間
每個進程擁有獨立的記憶體空間
一個進程只能包含一個執行緒
下列關於 Windows 服務（Service）的敘述何者正確？
必須由使用者登入後才能執行
與應用程式無關，不會佔用系統資源
一定會顯示在桌面工作列上
通常擁有較高權限，能在背景持續運作
哪個命令可查詢目前所有「正在執行」的 Windows 服務？
Get-Process
Get-WmiObject -Class Win32_Service
Get-Service | Where-Object { $_.Status -eq 'Running' }
net user
下列哪個是 PowerShell 管線 (pipeline) 符號的正確用法？
cmd >> list.txt
Get-Process // Select-Object
Get-Process & Format-List
Get-Process | Select-Object
在 PowerShell 中查詢登入成功事件（Event ID 4624），應使用下列哪一組指令？
Get-EventLog -LogName System | Where-Object { $_.Id -eq 4624 }
Get-WinEvent -LogName 'Security' | Where-Object { $_.Id -eq 4624 }
Get-Service | Where-Object { $_.Id -eq 4624 }
Get-Process | Where-Object { $_.Id -eq 4624 }
下列哪一項不是 Sysmon 的功能？
記錄命令列參數
記錄父子程序關係
記錄網路連線活動
擔任防毒軟體防護功能
在暴力破解攻擊中，以下哪一項事件 ID 用來記錄登入失敗？
4624
4625
4634
4688
下列哪個指令可用來觀察是否在非上班時間有可疑登入行為？
Get-Process
Get-SysmonEvent 4625
Get-WinEvent -FilterHashtable {... ID = 4624}
Get-Service | Where-Object { $_.Status -eq "Running" }
哪個攻擊工具可以建立 Reverse Shell 來遠端控制 Windows 系統？
nc.exe
Hydra
Netstat
ping.exe
哪一個攻擊類型會試圖讀取伺服器上的本地檔案，例如 wp-config.php？
SQL Injection
Cross-Site Scripting
Local File Inclusion (LFI)
CSRF
攻擊者利用 WordPress plugin 的漏洞輸入 t.co|systeminfo，這是何種攻擊？
檔案上傳
命令注入（Command Injection）
SQL Injection
XSS
Sysmon 的哪一個 Event ID 用於記錄進程創建（Process Create）事件？
3
1
11
4625
下列哪個工具是 Windows 內建、但可被濫用於下載惡意程式的？
Certutil.exe
Explorer.exe
Notepad.exe
Taskmgr.exe
針對特定目標（如企業高層）客製化設計的詐騙郵件屬於哪種攻擊？
假冒攻擊（Pretexting）
魚叉式網路釣魚（Spear Phishing）
誘餌攻擊（Baiting）
恐嚇詐騙（Scareware）
當使用者開啟惡意 Office 文件並啟用巨集後，攻擊者可能利用哪種技術取得控制權？
NTLM 中繼攻擊
Kerberos 誘導攻擊
Cookie 劫持
Reverse Shell
下列哪種 PowerShell 記錄方式能捕捉混淆後還原的完整指令碼內容？
模組紀錄（Module Logging）
指令碼區塊紀錄（Script Block Logging）
事件轉譯紀錄（Transcription Logging）
事件記錄（Windows Event Logging）
fodhelper.exe 被用於 UAC 繞過，是因為它具備什麼特性？
是第三方工具可自訂權限
可以修改帳號密碼
被列入 UAC 自動提升白名單，預設高權限執行
能夠關閉防毒軟體
攻擊者可以修改哪個註冊表鍵值，以使 fodhelper.exe 執行惡意程式？
HKCU:\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
HKLM:\System\CurrentControlSet\Services\Tcpip
HKCU:\Software\Classes\ms-settings\Shell\Open\command
HKLM:\Software\Policies\Microsoft\Windows\System
下列何者是「未加引號的服務路徑（Unquoted Service Path）」漏洞的潛在風險？
攻擊者可植入惡意程式並被服務誤執行
無法啟動服務
使用者帳號被鎖定
Windows Defender 無法更新
哪一個 Sysmon 事件 ID 可用於觀察「新增服務」或服務被修改的註冊行為？
1
3
11
13
使用 schtasks.exe 並搭配 IEX (New-Object Net.WebClient) 指令最可能代表？
利用任務排程執行 PowerShell 自動化維護腳本
建立每日備份任務並上傳至遠端伺服器
從遠端下載並執行惡意程式
設定系統啟動時匯入組態腳本以初始化環境
下列哪個註冊表路徑可讓程式在「每次登入」自動執行（所有使用者）？
HKCU\...\RunOnce
HKLM\...\Run
HKCU\...\Run
HKLM\...\Startup
以下哪一組指令可將惡意程式登錄至 Run Key？
net start malware.exe
reg add HKLM\...\Run /v Backdoor /t REG_SZ /d "C:\mal.exe"
tasklist /fi "IMAGENAME eq mal.exe"
schtasks /create /tn Mal /tr "C:\mal.exe"
關於 systemd-journald 與 rsyslog 的關係，下列何者正確？
rsyslog 管理 systemd 服務
journald 僅處理 GUI 記錄
journald 會將 log 傳送給 rsyslog 處理與儲存
rsyslog 專門用於 MySQL 的 log
systemd-journald 預設會將 log 儲存為哪種格式？
純文字（.txt）
JSON
XML
二進位格式（binary journal）
若要用 Python 抓取 SSH 有效登入的記錄，下列哪個 regex 最合適？
Failed password
login.*success
sshd.*Refused connection
sshd.*Accepted password
下列哪一個日誌檔案最常用於追蹤 SSH 登入紀錄？
/var/log/messages
etc/shadow
/var/log/auth.log
/var/log/apache2/access.log
ShellShock 漏洞主要存在於哪一個 Linux 元件中？
PAM 認證模組
systemd
Apache
Bash
哪一種 SQLi 攻擊會根據網頁回應的延遲判斷是否成功？
Boolean-based
Error-based
Time-based
Inline-based
以下哪個檔案最常出現 ShellShock 攻擊紀錄？
/var/log/auth.log
/var/log/httpd/error.log
/var/log/apache2/access.log
/etc/bash.bashrc
若系統中出現某使用者未經授權試圖使用 sudo 的紀錄，應從哪個 log 檔觀察？
/var/log/dmesg
/var/log/messages
/var/log/auth.log
/etc/sudoers
以下哪一個 auditd 稽核設定可監控 root 執行任何指令的行為？
-w /etc/passwd -p rwxa -k root_cmds
-a always,exit -F arch=b64 -F euid=0 -S execve -k root_cmds
-a exit,never -S open -k root_events
auditctl -l --filter=root
在使用者的 .bashrc 中植入惡意指令，可能導致什麼後果？
密碼重設為 root
系統無法開機
使用者每次登入即執行攻擊指令
關閉所有網路連線
