网络工程师考试2007年下半年下午试题解析（二）

试题四（15分）
　　阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。
【说明】
　　2007年间，ARP木马大范围流行。木马发作时，计算机网络连接正常却无法打开网页。由于ARP木马发出大量欺骗数据包，导致网络用户上网不稳定，甚至网络短时瘫痪。

【问题1】（2分）
　　ARP木马利用    （1）   协议设计之初没有任何验证功能这一漏洞而实施破坏。
答案：
　　（1）ARP 或地址解析协议                                （2分）

【问题2】（3分）
　　在以太网中，源主机以    （2）   方式向网络发送含有目的主机IP地址的ARP请求包；目的主机或另一个代表该主机的系统，以    （3）   方式返回一个含有目的主机IP地址及其MAC地址对的应答包。源主机将这个地址对缓存起来，以节约不必要的ARP通信开销。ARP协议    （4）   必须在接收到ARP请求后才可以发送应答包。
　　备选答案：
　　（2）A．单播            B．多播                  C．广播                  D．任意播
　　（3）A．单播            B．多播                  C．广播                  D．任意播
　　（4）A．规定            B．没有规定
答案：
　　（2）C 或广播                                            （1分）
　　（3）A 或单播                                            （1分）
　　（4）B 或没有规定                                        （1分）

【问题3】（6分）
　　ARP木马利用感染主机向网络发送大量虚假ARP报文，主机    （5）   导致网络访问不稳定。例如：向被攻击主机发送的虚假ARP报文中，目的IP地址为    （6）   。目的MAC地址为    （7）   。这样会将同网段内其他主机发往网关的数据引向发送虚假ARP报文的机器，并抓包截取用户口令信息。
　　备选答案：
　　（5）A．只有感染ARP木马时才会
　　　　　B．没有感染ARP木马时也有可能
　　　　　C．感染ARP木马时一定会
　　　　　D．感染ARP木马时一定不会
　　（6）A．网关IP地址                        B．感染木马的主机IP地址
　　　　　C．网络广播IP地址                  D．被攻击主机IP地址
　　（7）A．网关MAC地址                  B．被攻击主机MAC地址
　　　　　C．网络广播MAC地址            D．感染木马的主机MAC地址
答案：
　　（5）B 或没有感染ARP木马时也有可能                    （2分）
　　　    “C 或感染ARP木马时一定会”也算对
　　　　    这道题目象文字游戏。
　　（6）A 或网关IP地址                                    （2分）
　　（7）D 或感染木马的主机MAC地址                        （2分）

【问题4】（4分）
　　网络正常时，运行如下命令，可以查看主机ARP缓存中的IP地址及其对应的MAC地址：
　　C:\> arp      （8）   
　　备选答案：
　　（8）A．-s                  B．-d                  C．-all                  D．-a
　　假设在某主机运行上述命令后，显示如图C7-4-1中所示信息：
 
　　00-10-db-92-aa-30是正确的MAC地址。在网络感染ARP木马时，运行上述命令可能显示如图C7-4-2中所示信息：
 
　　当发现主机ARP缓存中的MAC地址不正确时，可以执行如下命令清除ARP缓存：
　　C:\> arp      （9）  
　　备选答案：
　　（9）A．-s                  B．-d                  C．-all                  D．-a
答案：
　　（8）D 或 -a                                            （1分）
　　（9）B 或 -d                                            （1分）

　　之后，重新绑定MAC地址，命令如下：
　　C:\> arp -s      （10）          （11）  
　　（10）A．172.30.0.1                              B．172.30.1.13
　　　　　C．00-10-db-92-aa-30                  D．00-10-db-92-00-31
　　（11）A．172.30.0.1                              B．172.30.1.13
　　　　　C．00-10-db-92-aa-30                  D．00-10-db-92-00-31
答案：
　　（10）A 或 172.30.0.1                                    （1分）
　　（11）C 或 00-10-db-92-aa-30                            （1分）

试题五（15分）
　　阅读以下说明，回答问题1至问题3，将解答填入答题纸对应的解答栏内。
【说明】
　　如图C7-5-1所示，某单位通过2M的DDN专线接入广域网，该单位内网共分为三个子网。服务器放置在子网192.168.5.0/24中，财务部工作站放置在子网192.168.10.0/24，销售部工作站放置在子网192.168.50.0/24。该单位申请的公网IP地址为61.124.100.96/29。

【问题1】（3分）
　　该单位的公网IP地址范围是    （1）   到    （2）   ；其中该单位能够使用的有效公网地址有    （3）   个。
答案：
　　（1）61.246.100.96 或 61.124.100.96                        （1分）
 　　　   之所以两个答案都对是因为试卷上出现印刷错误，导致歧义。
　　（2）61.246.100.103 或 61.124.100.103                    （1分）
　　　    之所以两个答案都对是因为试卷上出现印刷错误，导致歧义。
　　（3）5    或 6                                            （1分）
　　真正的答案应该是6，因为题目问的是“该单位能够使用的有效公网地址”。但考虑到某些考生将61.246.100.97（路由器占用）排除在外，因此选5也可以接受。

【问题2】（6分）
　　为保证路由器的安全，网络管理员做了如下设置，请阅读下列三段路由配置信息，并在（4）~（6）处填写该段语句的作用。
1．Router(config)# no ip http-server                          （4）  
2．Router(config)# snmp-server community admin RW                     （5）  
3．Router(config)# access-list 1 permit 192.168.5.1
    Router(config)# line con 0
    Router(config-line)# transport input none
    Router(config-line)# login local
    Router(config-line)# exec-timeout 5 0
    Router(config-line)# access-class 1 in                                       （6）  
试题解析：
　　关于路由器和访问控制列表的配置命令及用例，可以参看《网络工程师考前辅导》中的内容。
答案：
　　（4）禁用Router的http服务，以提高安全性                （2分）
　　（5）设置路由器读写团体字符串为admin                    （2分）
　　    “设置admin团体具有snmp读写权限”更准确。
　　（6）设置ACL，允许192.168.5.1进入（或访问）CON0        （2分）
　　    “设置con0的输入方向使用access-list 1”也可以

【问题3】（6分）
　　请参考图C7-5-1，在路由器上完成销售部网段NAT的部分配置。
……
Router(config)# ip nat pool xiaoshou 61.246.100.99 61.246.100.99 netmask  （7）  
! 设置地址池
!
Router(config)# access-list 2 permit      （8）           （9）  
！定义访问控制列表
！
Router(config)# ip nat inside source list 2 pool xiaoshou
! 使用访问控制列表完成地址映射
试题解析：
　　关于防火墙设备的配置命令及用例，可以参看《网络工程师考前辅导》中的内容。
答案：
（7）255.255.255.248                                    （2分）
（8）192.168.50.0                                        （2分）
（9）0.0.0.255                                            （2分）