杭州电子科技大学 · 06_智能安全

2026-07-28 · 备考资料 · 鸡蛋强基计划综合评价

智能安全（网络空间安全）

Intelligent Security (Cyberspace Security)

A. 方向画像与考察重点

智能安全（网络空间安全）是杭州电子科技大学卓越学院二次选拔的重点方向之一，依托学校网络空间安全学院与浙江省一流学科办学，也是卓越学院"智能安全实验班"的核心支撑方向。该方向关注信息系统在开放网络环境中的机密性、完整性、可用性，以及人工智能赋能下的主动防御与攻防对抗。面试官通常通过概念辨析、简单原理讲解与安全思维考察，判断考生是否具备扎实的计算机基础、良好的逻辑素养与正向的安全价值观。

从培养定位看，杭电在网络空间安全领域积淀深厚，拥有网络空间安全一级学科，并与卓越学院"一制三化"（导师制、小班化、个性化、国际化）培养模式深度衔接。因此面试中常把基础安全问题与工程落地、攻防竞赛、AI 安全趋势结合，例如"HTTPS 为何能防窃听""SQL 注入的本质是什么""白帽黑客行为的法律边界在哪里"。导师库涵盖密码学、网络攻防、系统安全、数据安全与人工智能安全等方向，跨方向关联性较强，特别看重学生的实践能力与竞赛经历。

本方向常见的考察角度包括：网络安全基础（CIA 三元组、威胁建模）、密码学基础（对称/非对称加密、哈希、数字签名）、Web 安全（注入、XSS、CSRF）、操作系统与系统安全（权限、沙箱、缓冲区溢出）、恶意代码（病毒、蠕虫、木马、勒索软件）、安全协议（TLS、防火墙、IDS/IPS）、区块链与安全、法律伦理（网络安全法、白帽道德）以及个人项目与 CTF 经历。建议考生在背诵核心概念的同时，能结合一两个动手例子（如参加过 CTF、搭过防火墙、复现过漏洞）说明自己的理解。

关键词智能安全 / 网络空间安全 · 面试常考维度

安全基础：CIA 三元组、威胁与漏洞、资产与风险
密码学：对称/非对称加密、哈希、数字签名、PKI
Web 安全：SQL 注入、XSS、CSRF、认证与会话
系统与 OS 安全：最小权限、沙箱隔离、缓冲区溢出
恶意代码：病毒、蠕虫、木马、勒索软件
安全协议与防御：TLS/HTTPS、防火墙、IDS/IPS、零信任
新兴安全：区块链安全、智能合约、AI 安全
法律伦理与项目：网络安全法、白帽道德、CTF 与攻防竞赛

B. 核心概念速查

速查表 8 条关键概念（一句话解释）

密码学（Cryptography）：研究信息保密、完整与认证的数学技术，分为对称、非对称与哈希三大支柱，是安全体系的数学底座。
网络安全（Network Security）：保护网络基础设施与传输数据免受未授权访问、篡改与拒绝服务，手段含防火墙、VPN、入侵检测等。
Web 安全（Web Security）：防护网站与 Web 应用漏洞，典型威胁有 SQL 注入、XSS、CSRF，核心是把"用户输入"视作不可信。
操作系统安全（OS Security）：通过权限隔离、最小权限、沙箱与地址空间随机化（ASLR）等机制，约束程序行为、遏制漏洞利用。
恶意代码（Malware）：带恶意意图的软件统称，含病毒、蠕虫、木马、勒索软件等，常以持久化、提权、传播为目标。
区块链安全（Blockchain Security）：借助哈希链、共识与密码学签名实现防篡改与可追溯，但智能合约逻辑缺陷仍是主要风险点。
道德黑客（Ethical Hacking）：在授权范围内以攻击者视角发现漏洞、提升防御，与非法入侵的根本区别在于"合法授权与正向目的"。
安全原则（Security Principles）：纵深防御、最小权限、默认安全、零信任——"不轻信任何边界内外的实体"是现代安全设计的总纲。

C. 面试真题（Q1–Q20）

Q1什么是网络安全的 CIA 三元组？请分别解释并各举一例。专业重点

EN: What is the CIA triad in cybersecurity? Explain each and give an example.

参考回答（中文）

CIA 三元组是信息安全的三个核心目标：机密性（Confidentiality）确保信息仅对授权者可见，例如用加密保护通信内容不被窃听；完整性（Integrity）确保信息在存储或传输中不被未授权篡改，例如用哈希值校验文件是否被替换；可用性（Availability）确保授权用户在需要时能正常访问资源，例如抵御 DDoS 攻击保障服务不中断。三者常需权衡——过度加密可能影响可用性，过度追求便利又可能削弱机密性。实际系统设计中要在三者间取得平衡，这也是所有安全机制的出发点。

Reference Answer (EN)

The CIA triad: Confidentiality (only authorized access, e.g. encryption); Integrity (no unauthorized modification, e.g. hash verification); Availability (authorized access when needed, e.g. DDoS defense). They often trade off—over-encryption hurts usability, over-convenience hurts confidentiality. Balance them in design.

备考提示：这是安全方向最经典的"开场题"，务必把三个词英文名与含义说清，并强调"三者的权衡"体现安全思维。

Q2对称加密与非对称加密有什么区别？各自适合什么场景？专业重点

EN: What is the difference between symmetric and asymmetric encryption? When is each used?

参考回答（中文）

对称加密用同一把密钥加解密（如 AES、DES），速度快、适合加密大量数据，但密钥分发困难——双方必须安全共享密钥。非对称加密用公钥加密、私钥解密（如 RSA、ECC），解决了密钥分发问题，但计算慢、适合加密小数据或协商密钥。工程上常结合二者：用非对称加密安全地协商出一把对称会话密钥，之后用对称加密传输业务数据，这正是对 HTTPS/TLS 的基础设计思想。选择依据主要是"性能 vs 密钥分发"的权衡。

Reference Answer (EN)

Symmetric (AES) uses one shared key—fast, good for bulk data, but key distribution is hard. Asymmetric (RSA/ECC) uses public/private keys—solves distribution, but slow, good for small data or key exchange. Real systems combine them: asymmetric to negotiate a symmetric session key, then symmetric for bulk transfer (the basis of TLS).

备考提示："混合加密"是高频追问点。能说出"非对称协商 + 对称传输"即可体现工程理解，可顺带引出 Q13 的 TLS。

Q3哈希函数有什么特性？为什么它不能用于加密但能用于校验完整性？

EN: What are the properties of a hash function? Why is it for integrity, not encryption?

参考回答（中文）

密码学哈希（如 SHA-256）具备：确定性（同输入同输出）、固定长度输出、单向性（由哈希难反推原文）、抗碰撞（难找到两个不同输入同哈希）。因为它单向且不可逆，所以不能"解密还原"明文，故不能用于保密；但接收方只要对收到的数据重新计算哈希并与发送方提供的哈希比对，就能判断数据是否被篡改——这正是完整性校验的原理（如软件下载的校验值、区块链的默克尔树）。加盐哈希还常用于口令存储，避免明文泄露。

Reference Answer (EN)

A cryptographic hash (SHA-256) is deterministic, fixed-length, one-way (hard to invert), and collision-resistant. Because it is irreversible, it cannot "decrypt" plaintext, so not for confidentiality; but recomputing and comparing the hash detects tampering—integrity check (download checksums, Merkle trees). Salted hashes store passwords safely.

备考提示：区分"加密（可逆、保机密）"与"哈希（不可逆、保完整/验证）"是易混点，务必点出"单向性"这个本质。

Q4数字签名是如何实现的？它与公钥加密有何关系？专业重点

EN: How does a digital signature work? How is it related to public-key encryption?

参考回答（中文）

数字签名用发送方的私钥对"消息哈希值"进行加密，得到签名随消息发出；接收方用发送方公钥解密签名得到哈希，再自行计算消息哈希比对，一致则说明消息"确实来自该私钥持有者且未被篡改"——同时实现身份认证与完整性。它与公钥加密恰好"方向相反"：公钥加密是用对方公钥加密、对方私钥解密，保护机密性；数字签名是用自己私钥签名、对方公钥验证，保护真实性与不可否认性。二者常配合 PKI/CA 体系解决"公钥归属可信"的问题。

Reference Answer (EN)

Sign by encrypting the message hash with the sender's private key. Receiver decrypts the signature with the public key, recomputes the hash, and compares—confirming authenticity + integrity + non-repudiation. Opposite of public-key encryption: that uses the recipient's public key for confidentiality; signing uses the sender's private key for authenticity. PKI/CA binds keys to identities.

备考提示："签名=私钥加密哈希，验证=公钥解密比对"是核心；强调与公钥加密的方向差异，并提一句 CA/PKI 更显体系化。

Q5什么是 SQL 注入？其本质与防御手段是什么？专业重点

EN: What is SQL injection? Its essence and defenses?

参考回答（中文）

SQL 注入是攻击者把恶意 SQL 片段拼接到查询中，使数据库执行了非预期命令。本质是"把用户输入当作代码执行"——程序用字符串拼接把未净化的用户输入直接并入 SQL。例如输入 ' OR '1'='1 可绕过登录判断。防御核心是"数据与代码分离"：使用参数化查询（预编译语句），让输入永远只作为数据；辅以输入校验、最小数据库权限、关闭错误信息回显、使用 ORM 框架。参数化查询是根本解法，单纯靠转义黑名单并不可靠。

Reference Answer (EN)

SQL injection concatenates attacker input into a query so the DB runs unintended commands. Essence: treating user input as code via string concatenation (e.g. ' OR '1'='1 bypasses login). Defense = separate data from code: parameterized/prepared statements (input is always data), plus input validation, least-privilege DB accounts, no verbose errors. Parameterization is the real fix; blacklist escaping alone is weak.

备考提示："数据与代码分离"是 Web 安全的万能钥匙，能上升到这一层作答非常加分；顺带对比 XSS/CSRF 体现知识网。

Q6XSS（跨站脚本）攻击的原理是什么？如何防御？

EN: What is XSS and how do you defend against it?

参考回答（中文）

XSS 是攻击者把恶意脚本注入到网页中，当其他用户浏览该页时脚本在其浏览器执行，可窃取 Cookie、伪造请求或钓鱼。分为存储型（恶意脚本存于数据库，如评论区）、反射型（通过诱骗链接参数反射执行）与基于 DOM 的类型。防御要点：对输出到页面的用户数据进行 HTML 转义（编码 < > & 等）；对富文本做白名单过滤；设置 Cookie 的 HttpOnly 防止脚本读取；使用 CSP（内容安全策略）限制可执行脚本来源。核心同样是"不信任任何用户输入"。

Reference Answer (EN)

XSS injects malicious scripts into pages that run in victims' browsers, stealing cookies or forging actions. Types: stored (in DB, e.g. comments), reflected (via trick link), DOM-based. Defenses: HTML-escape output, whitelist-filter rich text, set HttpOnly on cookies, deploy CSP to restrict script sources. Again: never trust user input.

备考提示：常与 SQL 注入并列考"输入信任"问题。能区分三种 XSS 类型并说出 CSP/HttpOnly 即为完整回答。

Q7CSRF（跨站请求伪造）与 XSS 有何区别？如何防护？

EN: How does CSRF differ from XSS, and how is it mitigated?

参考回答（中文）

CSRF 利用的是用户已登录的会话身份，诱导其浏览器在不知情下向目标站点发送"合法但非本意"的请求（如转账、改密码）。与 XSS 不同：XSS 是"在用户浏览器里注入并执行脚本"，CSRF 是"借用用户身份伪造请求"，并不需注入脚本。防护：使用 CSRF Token（服务端生成、随表单提交并校验，使伪造请求因缺令牌而失败）；校验 Referer/Origin 来源；对敏感操作要求二次认证或短时验证码；SameSite Cookie 属性也可限制跨站携带。

Reference Answer (EN)

CSRF rides on the victim's authenticated session to send unintended legitimate requests (transfer, password change). Unlike XSS (injecting and executing scripts), CSRF forges requests using the user's identity without injecting code. Mitigations: CSRF tokens (server-issued, verified on submit), Referer/Origin checks, re-authentication for sensitive actions, SameSite cookie attribute.

备考提示：面试官常直接问"CSRF 和 XSS 区别"，记住一句话：XSS 是注入执行，CSRF 是借身份伪造；Token 是最稳的防护。

Q8什么是最小权限原则（Principle of Least Privilege）？它在系统安全中如何体现？专业重点

EN: What is the principle of least privilege and how does it appear in system security?

参考回答（中文）

最小权限原则指每个主体（用户、进程、服务）只应拥有完成其任务所必需的最低权限，不多也不少。它体现在多处：操作系统为普通用户与 root/管理员划分权限，应用进程应以非特权账户运行；数据库账户按业务只授权所需表与操作；容器/沙箱把程序限制在受限环境中。其价值在于"即使某一部分被攻破，危害也被限制在该最小权限范围内"，是遏制漏洞横向扩散的关键，也是纵深防御思想在权限层面的落地。

Reference Answer (EN)

Least privilege: every subject (user, process, service) gets only the minimum rights needed for its task. Examples: non-root app processes, per-service DB grants, sandboxed containers. Value: even if one component is compromised, the blast radius stays limited—key to containing exploits and a concrete form of defense-in-depth.

备考提示：这是"安全原则"标杆题，常与纵深防御、沙箱一起考；用"限制爆炸半径"这一比喻很形象。

Q9什么是缓冲区溢出（Buffer Overflow）？它为何能导致严重后果？

EN: What is a buffer overflow and why can it be serious?

参考回答（中文）

缓冲区溢出指程序向固定长度缓冲区写入超过其容量的数据，多余字节覆盖相邻内存（如返回地址、函数指针）。若被精心构造，攻击者可覆盖返回地址跳转至其注入的恶意 shellcode，从而获得程序控制权乃至提权。它长期位居高危漏洞之列，根源常是 C/C++ 中缺乏边界检查的函数（如 strcpy）。防护包括使用安全函数、栈保护（canary）、地址空间随机化（ASLR）、数据执行保护（DEP/NX）等。理解它也是学习二进制安全与逆向的基础。

Reference Answer (EN)

Buffer overflow writes past a fixed-size buffer, overwriting adjacent memory (return address, function pointers). Crafted input can redirect execution to injected shellcode, gaining control or privilege escalation. Root cause: unchecked C/C++ functions (e.g. strcpy). Defenses: safe functions, stack canary, ASLR, DEP/NX. It is the gateway to binary/exploit study.

备考提示：能讲清"覆盖返回地址→控制流劫持"的链条即可；提 ASLR/DEP 显示对现代缓解机制的了解。

Q10病毒、蠕虫和木马三者的区别是什么？专业重点

EN: What are the differences among virus, worm, and trojan?

参考回答（中文）

三者都是恶意代码但传播与隐蔽方式不同：病毒（Virus）需附着于正常文件/程序，依赖用户执行被感染文件才能激活并自我复制，必须"宿主"；蠕虫（Worm）能自我复制并主动通过网络漏洞或邮件等自动传播，无需宿主、传播最快，典型如冲击网络的蠕虫；木马（Trojan）伪装成有用程序诱骗用户安装，本身不自我复制，却悄悄开后门、窃取信息或控制主机。简单记：病毒靠宿主、蠕虫靠自传播、木马靠伪装欺骗。

Reference Answer (EN)

All malware but differ: Virus attaches to a host file and needs user execution to replicate. Worm self-replicates and spreads automatically over networks without a host (fastest). Trojan disguises as useful software to trick install, doesn't self-replicate but opens backdoors. Mnemonic: virus=host, worm=self-spread, trojan=disguise.

备考提示：分类题常考，三个关键词"宿主/自传播/伪装"对应清晰即可；可提勒索软件是木马的"盈利化"变体衔接 Q11。

Q11勒索软件（Ransomware）的攻击链条通常包含哪些环节？如何防御？

EN: What are the typical stages of a ransomware attack and how to defend?

参考回答（中文）

典型链条：初始入侵（钓鱼邮件、漏洞利用、弱口令 RDP）→ 立足与提权 → 横向移动与侦察 → 窃取数据（双重勒索）→ 加密文件并删除/破坏备份 → 索要赎金。防御是系统工程：定期离线/异地备份且演练恢复；及时打补丁、关闭不必要的服务与端口；强化身份认证（多因素 MFA）；网络分段限制横向移动；终端检测与邮件过滤拦截投递；建立 incident response 预案。核心原则是"备份是最有效的最后防线"，绝不鼓励支付赎金。

Reference Answer (EN)

Chain: initial access (phishing/exploit/weak RDP) → foothold & privilege escalation → lateral movement → data theft (double extortion) → encrypt & destroy backups → demand ransom. Defense: offline/offsite backups with recovery drills, patching, MFA, network segmentation, EDR, email filtering, IR plan. Backups are the ultimate safety net; never encourage paying.

备考提示：用"攻击链"结构作答显条理；强调"多重防御 + 备份演练"，呼应杭电攻防竞赛中常见的勒索场景演练。

Q12防火墙（Firewall）与入侵检测/防御系统（IDS/IPS）有何区别？专业重点

EN: What is the difference between a firewall and IDS/IPS?

参考回答（中文）

防火墙工作在边界，依据规则对网络流量做"允许/拒绝"的访问控制，主要基于 IP、端口、协议等静态策略，是"门卫"。IDS（入侵检测系统）被动监控流量，发现攻击特征或异常时告警但不阻断，是"监控摄像头"；IPS（入侵防御系统）在 IDS 基础上能主动拦截恶意流量，是"会还手的摄像头"。二者互补：防火墙管"进不进得来"，IDS/IPS 管"进来的流量里有没有攻击"。现代部署常将二者结合，并与 SIEM 联动形成纵深防御。

Reference Answer (EN)

A firewall is a boundary gatekeeper allowing/denying traffic by IP/port/protocol rules. IDS passively monitors and alerts on attack signatures/anomalies but doesn't block (a camera); IPS actively drops malicious traffic (a camera that fights back). Firewall controls entry; IDS/IPS inspects what enters. They complement each other in defense-in-depth, often with SIEM.

备考提示："门卫 vs 摄像头 vs 会还手的摄像头"类比极好记；能说出二者互补关系即满分。

Q13请解释 HTTPS 与 TLS 的工作原理，为何它能防窃听与篡改？专业重点

EN: Explain how HTTPS/TLS works and why it prevents eavesdropping and tampering.

参考回答（中文）

HTTPS = HTTP over TLS。TLS 握手阶段：客户端与服务器协商加密套件，服务器出示由 CA 签发的证书（含公钥）以证明身份；双方通过非对称加密（或 DH 密钥交换）安全地协商出一把对称会话密钥；之后所有业务数据用该对称密钥加密传输。机密性来自对称加密，完整性来自 MAC/AEAD 校验，身份认证来自证书链与 CA 信任。因此即便流量被截获，攻击者也只能看到密文，且任何篡改都会被完整性校验发现。这正是 Q2 混合加密思想的落地。

Reference Answer (EN)

HTTPS = HTTP over TLS. During the TLS handshake, the server presents a CA-signed certificate (with public key) to prove identity; both sides negotiate a symmetric session key via asymmetric crypto or DH. Then all data is encrypted with that symmetric key. Confidentiality from symmetric encryption, integrity from MAC/AEAD, authentication from the certificate chain. Intercepted traffic is only ciphertext; tampering is detected. Embodies the hybrid encryption idea.

备考提示：这是把密码学（Q2/Q4）与网络（Q12）串联起来的综合题，答时主动回扣"混合加密 + 证书认证"最显功力。

Q14区块链为何被认为具有防篡改特性？它的安全边界在哪里？

EN: Why is blockchain considered tamper-resistant? Where are its security limits?

参考回答（中文）

区块链把交易按时间顺序打成区块，每个区块包含前一区块的哈希，形成"哈希链"；要篡改某历史区块，必须重算其后所有区块的哈希并掌握多数算力（51% 攻击），成本极高，因此具防篡改与可追溯性。但安全边界也很明确：共识层可能遭受 51% 攻击；更常见的是上层风险——智能合约代码漏洞（重入、整数溢出）、私钥丢失、交易所与钱包被攻破、钓鱼诈骗。换言之，区块链保证"链上数据不可改"，却不保证"链下输入与合约逻辑可信"。

Reference Answer (EN)

Blocks are chained by including the previous block's hash; altering history requires recomputing all subsequent hashes and gaining majority hash power (51% attack), which is prohibitively costly—hence tamper-resistance and traceability. But limits exist: 51% attacks on consensus, and far more often upper-layer risks—smart-contract bugs (reentrancy, overflow), lost keys, compromised exchanges, phishing. Blockchain secures on-chain data, not off-chain input or contract logic.

备考提示："链上可信 ≠ 链下可信"是体现思辨的加分句；可自然衔接 Q15 的智能合约漏洞。

Q15智能合约常见的安全漏洞有哪些？请以重入攻击为例说明。专业重点

EN: What are common smart-contract vulnerabilities? Explain reentrancy.

参考回答（中文）

常见漏洞包括重入攻击、整数溢出、权限控制缺失、未校验外部调用返回值、时间戳依赖等。重入攻击的经典案例是 The DAO 事件：合约在更新余额之前先对外调用了外部合约的提款函数，攻击者借此在被扣减余额前反复递归调用提款，从而"循环掏空"资金。防御方法是" Checks-Effects-Interactions "模式——先完成内部状态修改（扣余额），再做外部调用；或使用重入锁（mutex）、限制单次提款额度。它说明区块链安全不止于密码学，更在于合约逻辑的正确性。

Reference Answer (EN)

Common bugs: reentrancy, integer overflow, missing access control, unchecked return values, timestamp dependence. Reentrancy (The DAO): the contract sent funds to an external contract before updating the balance, letting the attacker recursively call withdraw and drain funds. Defense: Checks-Effects-Interactions (update state before external calls), reentrancy locks, withdrawal limits. Blockchain security is also about contract logic correctness.

备考提示："Checks-Effects-Interactions"是面试爱听的专业术语；强调"逻辑正确性与密码学同等重要"升华主题。

Q16什么是 DDoS 攻击？常见的防御思路有哪些？

EN: What is a DDoS attack and common defense ideas?

参考回答（中文）

DDoS（分布式拒绝服务）通过控制大量"肉鸡"或僵尸网络，向目标发送海量请求/流量，耗尽其带宽、连接或计算资源，使合法用户无法访问，破坏的是 CIA 中的可用性。防御思路：上游清洗与流量清洗中心过滤异常流量；使用 CDN 与 Anycast 分散压力；限速与连接数限制；区分真假用户的挑战机制（如 CAPTCHA）；云端 DDoS 防护与弹性扩容；配合威胁情报封禁恶意源。本质是"用规模对抗规模"，单点防御难以奏效，需运营商与云端协同。

Reference Answer (EN)

DDoS floods a target with massive traffic from many compromised hosts (botnets), exhausting bandwidth/connections/compute and breaking availability. Defenses: upstream/cloud traffic scrubbing, CDN + Anycast to disperse load, rate-limiting, CAPTCHA challenges, elastic scaling, threat-intel blocking. It's scale-vs-scale; single-point defense fails, needs ISP + cloud coordination.

备考提示：先点明"破坏可用性（A）"与 Q1 呼应；答防御时体现"协同/分层"而非单点，契合纵深防御。

Q17什么是零信任（Zero Trust）？它和传统"边界防御"有何不同？专业重点

EN: What is Zero Trust and how does it differ from perimeter defense?

参考回答（中文）

传统边界防御假设"内网可信、外网不可信"，靠防火墙把内外隔开。零信任则主张"永不信任、始终验证"——无论请求来自内外网，都必须持续进行身份认证、设备合规检查与最小权限授权，且默认不给予长期信任。它适应云、移动办公与供应链远程访问等"边界模糊"的现代环境。落地手段包括身份与访问管理（IAM）、多因素认证（MFA）、微隔离、基于属性的访问控制（ABAC）与持续风险评估。其理念正是对最小权限与纵深防御的极致化。

Reference Answer (EN)

Traditional perimeter defense assumes "internal = trusted". Zero Trust says "never trust, always verify"—every request, inside or outside, needs continuous identity, device compliance, and least-privilege authorization. It fits cloud/mobile/supply-chain where perimeters blur. Implemented via IAM, MFA, micro-segmentation, ABAC, continuous risk scoring. It is least-privilege and defense-in-depth taken to the extreme.

备考提示："永不信任、始终验证"是记忆锚点；能对比边界模型并联系最小权限（Q8）即显体系化思维。

Q18《网络安全法》与白帽黑客的合法边界在哪里？什么是授权测试？

EN: Where is the legal boundary for the Cybersecurity Law and white-hat hackers? What is authorized testing?

参考回答（中文）

我国《网络安全法》及相关法规明确禁止未经授权侵入他人网络、窃取或破坏数据。白帽黑客与黑产的根本区别在于"是否在明确授权范围内活动"：授权安全测试（如渗透测试、众测）须有书面授权范围、目标清单与时间窗口，且仅做"发现漏洞并报告"，不得破坏、不得扩大范围、不得窃取无关数据。越界即可能构成非法侵入、破坏计算机信息系统等违法乃至犯罪。作为安全学习者，必须树立"技术向善、合规先行"的底线意识，这也是卓越学院选拔人才时看重的价值观。

Reference Answer (EN)

China's Cybersecurity Law prohibits unauthorized intrusion, data theft, or destruction. The line between white hats and black hats is authorization: authorized security testing (pentest, bug bounty) requires written scope, target list, and time window, and only finds-and-reports—no destruction, no scope expansion, no unrelated data. Crossing it may be illegal. Security learners must uphold "tech for good, compliance first"—a value HDU's Excellence School weighs heavily.

备考提示：法律伦理题务必态度鲜明：强调"授权 + 仅发现报告 + 不破坏"。这是面试官对安全方向学生的硬底线考察。

Q19如果你发现一个网站漏洞，正确的处理流程是什么？这体现了什么安全伦理？

EN: If you find a website vulnerability, what is the correct process? What ethics does it show?

参考回答（中文）

正确流程：第一，不利用、不破坏、不窃取数据，也不公开细节以免造成危害；第二，通过正规渠道向网站方或平台安全应急响应中心（SRC）负责任地披露（Responsible Disclosure），说明复现步骤与影响；第三，配合对方修复并在补丁上线后再讨论公开。这体现了"负责任披露"的伦理——既帮助提升整体安全，又守住法律与道德的边界。对比之下，私自出售漏洞、勒索企业或公开 0day 都是不当甚至违法的。安全能力的价值在于"守护"而非"破坏"。

Reference Answer (EN)

Process: (1) do not exploit, destroy, or exfiltrate, and do not publicize details; (2) responsibly disclose via the vendor's SRC with reproduction steps and impact; (3) cooperate on remediation and discuss disclosure only after a patch. This is "responsible disclosure"—improving security while respecting legal/moral bounds. Selling vulns, extorting firms, or dumping 0days is unethical/illegal. Security skill's value is protection, not destruction.

备考提示：与 Q18 配套，给出"负责任披露"这个标准术语；最后一句"守护而非破坏"是价值观金句。

Q20请介绍你做过的一个安全相关项目或 CTF 经历，并说明你学到了什么。专业重点

EN: Introduce a security project or CTF experience and what you learned.

参考回答（中文）

我参加过校级/省级 CTF 竞赛，主攻 Web 与密码学方向。例如在一次解题中，我通过阅读源码发现一处未使用参数化查询的登录接口，构造 SQL 注入获取了后台凭证，并据此理解到"输入即不可信"这一核心原则；在密码题里我动手实现过 AES 加解密与 RSA 密钥生成，加深了对对称/非对称区别的认识。我还用 Wireshark 抓包分析过 HTTP 明文与 HTTPS 加密的差异。这段经历让我明白：安全不是背概念，而是"以攻击者视角发现问题、以工程能力解决问题"，也坚定了我加入智能安全实验班、在导师制指导下深入研究的意愿。

Reference Answer (EN)

I joined school/province-level CTF, focusing on Web and crypto. In one challenge I found an un-parameterized login, built an SQL injection to grab credentials, and learned "input is untrusted". In crypto tasks I implemented AES and RSA keygen, cementing symmetric vs asymmetric. I also used Wireshark to compare plaintext HTTP vs encrypted HTTPS. It taught me security means "think like an attacker, solve like an engineer", and strengthened my wish to join the Intelligent Security class under HDU's mentorship.

备考提示：项目/竞赛题贵在"真实细节 + 方法论升华"。用"攻击者视角 + 工程能力"收尾，并呼应杭电实验班的导师制，极具针对性。

D. 自我介绍模板（3 版 · 中英）

版本一 · 基础型（适合无竞赛经历、偏兴趣与基础）

各位老师好，我是来自××的××。我对计算机与网络安全有浓厚兴趣，系统学习过 C/Python 与计算机网络基础，自学了密码学常识与常见 Web 漏洞原理，并在本地搭建环境复现过 SQL 注入与 XSS。我做事踏实、乐于钻研，希望进入卓越学院智能安全实验班，在导师制与小班化培养中打牢基础，未来参与网络攻防与系统安全研究。

Hello professors, I'm ×× from ××. I have a strong interest in computer and cybersecurity. I've studied C/Python and networking basics, self-learned cryptography and common web vulnerabilities, and reproduced SQL injection and XSS in a local lab. I'm diligent and curious, and hope to join the Intelligent Security class of the Excellence School to build solid foundations under mentorship and eventually contribute to attack-defense and system security research.

版本二 · 竞赛型（适合有 CTF / 攻防竞赛经历）

老师好，我是××。我热爱网络安全，曾参加省级大学生网络安全竞赛/CTF，主攻 Web 与密码学方向，获×等奖；在备赛中我动手实现过 AES、RSA，并分析过真实漏洞的利用链。我理解"以攻击者视角发现问题、以工程能力解决问题"的安全思维，也熟悉渗透测试的基本流程与合规边界。希望能加入智能安全实验班，依托一制三化培养模式，在导师指导下把竞赛经验转化为科研能力。

Hello, I'm ××. I'm passionate about cybersecurity and joined a provincial CTF/cybersecurity contest (Web & crypto), winning × prize. While preparing, I implemented AES and RSA and analyzed real exploit chains. I embrace the security mindset—"think like an attacker, solve like an engineer"—and know the compliance bounds of pentesting. I hope to join the Intelligent Security class and, under the mentorship and personalized training, turn contest experience into research ability.

版本三 · 研究/综合型（适合有项目或 AI 交叉兴趣）

老师们好，我是××。我的方向是智能安全，既关注传统网络攻防与密码学，也对 AI 赋能的安全分析（如恶意流量检测、漏洞挖掘自动化）感兴趣。我曾用 Python 做过简单的日志异常检测小项目，并参加过 CTF。我看重杭电网络空间安全学科与卓越学院智能安全实验班的平台，希望在导师制、国际化视野下，把工程实践与学术研究结合，成长为复合型安全人才。

Hello professors, I'm ××. My focus is intelligent security—both classic attack-defense/cryptography and AI-enabled security analytics (e.g. malicious-traffic detection, automated vuln mining). I built a small Python log-anomaly detector and joined CTF. I value HDU's cyberspace security discipline and the Excellence School's Intelligent Security class, and hope, under mentorship and an international outlook, to combine engineering practice with research and grow into a versatile security talent.

E. 专业背景知识补充

杭州电子科技大学是我国早期开展电子信息与网络安全人才培养的高校之一，设有独立的网络空间安全学院，并拥有"网络空间安全"一级学科硕士学位与博士学位授权点，在浙江省属高校中优势明显。学校围绕密码学、网络攻防、数据安全、系统安全等方向建有多个省部级科研平台与实验室，师资力量雄厚，并与行业头部企业、科研机构保持紧密合作，为学生提供从基础课程到实战演练的完整培养链条。

卓越学院"智能安全实验班"是二次选拔的重点去向之一，采用"一制三化"特色培养模式——导师制、小班化、个性化、国际化：每位学生配备学术导师，从低年级即进入课题组参与科研；小班研讨与个性化培养方案尊重学生兴趣差异；并通过国际交流、全英文课程与海外研修拓展全球视野。这种"早进课题、早进实验室、早进团队"的安排，使学生在本科阶段即可接触真实安全课题与前沿方向。

在学科内涵上，网络空间安全以密码学为数学基石，向上延伸至网络安全（网络攻防、入侵检测、态势感知）、系统安全（操作系统、可信计算）、应用安全（Web、移动、云）与内容安全。杭电尤其重视"以赛促学"，学生在全国大学生信息安全竞赛、"强网杯""网鼎杯"等权威 CTF 与攻防演练中屡获佳绩，竞赛文化浓厚。对有意报考的同学，建议在掌握计算机网络、操作系统、数据结构等主干课程的同时，主动参与 CTF 或开源安全项目，并树立正确的安全伦理与法律意识——这正是智能安全方向选拔所看重的"技术 + 价值观"双重素养。

章节提示：智能安全方向考察的是"扎实的计算机基础 + 攻防实战思维 + 正向安全价值观"三位一体。复习时以 CIA 三元组、密码学双支柱、Web 三大漏洞（注入/XSS/CSRF）、系统最小权限与纵深防御为骨架，并务必把法律伦理（授权、负责任披露）作为不可逾越的底线来准备。

返回二次选拔