問題詳情
30. 若網頁瀏覽器的 Cookies 並未使用加密保護機制，網站設計者為圖登入方便性而將使用者帳密儲存在 Cookie 之中，此種安全漏洞可能讓駭客使用下列何種網頁攻擊手法取得 Cookie 中的機敏資料？
(A) SQL 資料隱碼攻擊（SQL Injection）
(B) XML 外部實體攻擊（XML External Entity Attack, XXE）
(C) Google 駭客（Google-Hacking）
(D) 跨站指令碼攻擊（Cross-Site Scripting, XSS）
(A) SQL 資料隱碼攻擊（SQL Injection）
(B) XML 外部實體攻擊（XML External Entity Attack, XXE）
(C) Google 駭客（Google-Hacking）
(D) 跨站指令碼攻擊（Cross-Site Scripting, XSS）
參考答案
答案：D
難度：計算中-1
書單：沒有書單，新增
內容推薦
- 下列何者「不」是因為開發過程中，未留意程式安全造成的問題？(A) 魚叉式網路釣魚（Spear Phishing）(B) SQL 資料隱碼攻擊（SQL Injection）(C) 跨站指令碼攻擊
- 下列何者最「不」能防範 SQL 資料隱碼攻擊（SQL Injection）？(A) 對資料庫進行加密(B) 對查詢字串進行字串過濾(C) 使用 Prepare Statement(D) 使用
- 使用 HTTP Cookie 的目的為下列何者？(A) 在瀏覽器中儲存資訊（如：Session ID）(B) 作為瀏覽器的組態設定檔(C) 防禦 XSS 攻擊(D) 防禦 XML Inject
- 下列何者是解決跨站請求偽造（Cross-Site Request Forgery, CSRF）的最佳方式？(A) 加入 HttpOnly(B) 過濾特殊字元(C) 使用 HTTPS 連線(D)
- 關於跨站指令碼攻擊（Cross-Site Scripting, XSS），請問攻擊成功的常見原因是資通系統未過濾或防範下列何種程式的注入攻擊？(A) Python(B) ASP.NET(C)
- 下列何者是被 SQL 資料隱碼攻擊（SQL Injection）成功的原因？(A) 作業系統漏洞未即時更新修補程式（Patch）(B) 未對使用者的輸入資料進行過濾與檢查(C) 資料庫存取權限
- 附圖為 OWASP Top 10 – 2017 文件敘述中的何項風險分類？ (A) 跨網站指令碼（Cross-Site Scripting, XSS）(B) XML 外部實體攻擊（XML Ex
- M 公司授權進行內部網路的安全活動，相關人員於過程中使用 Nmap進行掃描，發現有內部主機使用 vsftpd4，經判斷後發現具備漏洞可利用，後續使用 Msfconsole 成功利用漏洞
- 下列何者「不」屬於程式弱點可能的利用方式？(A) 暴力破解（Bruce Force）(B) 緩衝區溢位（Buffer Overflow）(C) 社交工程（Social Engineering）
- 系統管理人員於網站日誌中看見大量訊息含有類似字串「admin」，請問可能為下列何種(A) SQL 資料隱碼攻擊（SQL Injection）(B) 目錄遍歷（Directory Travers
內容推薦
- 某資安管理人員發現企業網路中爆發惡意軟體，該人員使用專門的惡意軟體分析工具從三個不同的系統中截取到惡意程式的樣本，並注意到惡意程式碼每次感染時均會略有變動，因此公司的防毒軟體無法盡早發現，請問
- 關於滲透測試，下列敘述何者「不」正確？(1)滲透測試只可委由第三方執行、(2)滲透測試只能透過人工進行、(3)滲透測試可以檢測出邏輯瑕疵、(4)滲透測試只能在系統上線後進行，無法在測試區進行(
- 關於資料傳輸安全（含實體資料及電子資料），下列敘述何者較「不」正確？(A) 含有高風險之個人資料檔案，無論內部傳輸或對外傳送，皆應採用確認送達對方之傳遞方式，如：親送(B) 傳送電子檔案資料可
- 為確保公司備份資料之完整性，下列何種處理方式最佳？(A) 加解密(B) 身分驗證(C) 雜湊計算(D) 資訊隱藏
- 某組織在資料異動量大以及期望資料復原速度快之前提下，規劃了資料備份策略為週日進行完全備份，週一至週六進行「X」備份。該組織週三因系統問題導致資料毀損，此時資料備份管理員之處理程序為先還原週日完
- 關於復原點目標（Recovery Point Objective, RPO），下列敘述何者正確？(A) RPO 指當災害發生後，資訊系統恢復基本或必要服務的所需時間(B) RPO 的定義與組織
- 下列何者較可保護資料傳輸過程中的機密性？(A) 雙因子驗證(B) 編碼技術(C) 加密技術(D) 雜湊函數
- 關於管理者及操作者日誌，下列敘述何者「不」正確？(A) 宜忠實記錄系統啟動及結束作業時間(B) 宜忠實記錄系統錯誤及更正作業(C) 宜忠實記錄建立日誌條目的人員(D) 系統作業日誌需要妥善保存
- 在調查使用動態主機設定協定（Dynamic Host Configuration Protocol,DHCP）分配 IP 地址的網路時，應在何處查看並確定哪種媒體存取控制位址（Media Ac
- 關於日誌管理，下列敘述何者較正確？(A) 日誌應正規化再留存，以利日後分析查閱使用(B) 日誌不應壓縮留存，確保內容正確未遭受破壞(C) 日誌應確保其「不可否認性」，透過日誌傳送協議（如：Sy
- 事件紀錄檔（Event log）用於蒐集、統計和分析電腦生成的事件紀錄檔消息，對於了解複雜系統的活動軌跡至關重要，它是由用於生成、傳輸、儲存、分析和處理事件紀錄檔數據的硬體、軟體、網路和媒體所
- 下列何者「不」是雲端運算服務形式？(A) SaaS(B) PaaS(C) IaaS(D) QaaS
- 在雲端平台建置過程中常會使用磁碟陣列（Redundant Array ofIndependent Disks, RAID）當作儲存空間，請問下列何種模式容錯率最高？(A) RAID 0(B)
- 關於雲端蜜罐（Honeypot），下列敘述何者「不」正確？(A) 通常設置在正式的產品運作環境之中(B) 任何連線蜜罐的行為都是可疑的(C) 偽裝成有價值的網路或電腦系統，並設置漏洞，誘使駭客
- 關於行動裝置安全，下列何者「不」在保護的面向之中？(A) 擴充性(B) 機密性(C) 完整性(D) 可用性
- 關於行動裝置連線安全，下列敘述何者正確？(1)不需要開啟定位功能（GPS）時，應保持關閉、(2)有免費提供 Wi-Fi 服務時就直接用，不需了解服務提供者身份、(3)應小心使用藍牙（Bluet
- 在物聯網裡，網路犯罪分子可能竊取用來加密通訊的金鑰，並將之用於解譯加密過的資料，屬於下列何種攻擊手法？(A) 監聽攻擊（Sniffing Attack）(B) 密碼攻擊（Password-Ba
- 物聯網時代的來臨，有人提出「預防無用論」（Perfect Prevention isImpossible），此一論點的主要見解為下列何者？(1)企業應永遠假設自身正在遭受攻擊、(2)企業應儘可
- 攻擊者控制了物聯網其中一個節點，並丟棄（Drop）所有傳送至此節點的封包，此為下列何種攻擊手法？(A) 黑函攻擊(B) 分割攻擊(C) 蟲洞攻擊(D) 黑洞攻擊
- 中華郵政公司以外之任何人印製之明信片，其紙質、規格不合規定者，應按何郵件交付郵資?(A)信函 (B)印刷物 (C)新聞紙 (D)雜誌
- 掛號印刷物專袋補償金額，每件依國際貨幣基金特別提款權多少計算單位計算？(A)50 單位 (B)100 單位 (C)150 單位 (D)200 單位
- 郵件處理規則之法源依據為何？(A)郵政法 (B)郵政儲金匯兌法(C)簡易人壽保險法 (D)中華郵政股份有限公司設置條例
- 依規定，郵局收到外國寄來之禁寄活生動物，其處理方式，下列何者正確?(A)逕行銷毀 (B)退還寄件人 (C)投遞予收件人 (D)退回原寄郵局
- 國際掛號函件，每件依國際貨幣基金特別提款權(SDR)若干計算單位，計算補償金額?(A)20 SDR (B)30 SDR (C)40 SDR (D)45 SDR
- 「包裹」無法投遞經寄件人表示抛棄者依下列何規定處理？(A)無著郵件 (B)民法 (C)遺失物 (D)以上皆非