最新的CompTIA PenTest+認證 PT0-002日本語考試題庫

問題1

ある会社は、顧客がローン申請を提出できるようにする新しい Web アプリケーションを開発しました。侵入テスターがアプリケーションをレビューしていると、アプリケーションが ASP で開発され、バックエンドデータベースに MSSQL を使用していることがわかりました。ペネトレーションテスターは、アプリケーションの検索フォームを使用して、検索入力フィールドに次のコードを入力します。
IMG SRC=vbscript:msgbox (「攻撃対象の脆弱性」) ; >originalAttribute="SRC"originalPath="vbscript;msgbox ("攻撃対象の脆弱性") ;>"
テスターが検索フォームの送信ボタンをチェックすると、Web ブラウザは「攻撃対象の脆弱性」を表示するポップアップウィンドウを返します。テスターが Web アプリケーションで発見した脆弱性は次のうちどれですか?

A. クロスサイトリクエストフォージェリ

B. クロスサイトスクリプティング

C. コマンドインジェクション

D. SQL インジェクション

正確答案: B

問題2

侵入テスターは、IT ナレッジベースをホストしている内部 Web サーバーの制御権を取得することに成功しました。
侵入テスターが次に試みるべき攻撃は次のどれですか?

A. 水飲み場

B. 捕鯨

C. スピアフィッシング

D. ヴィッシング

正確答案: A

說明：（僅 VCESoft 成員可見）

問題3

クライアントの関与中に、ペネトレーションテスターは次の Nmap コマンドを実行し、次の出力を取得します。
nmap -sV -- スクリプト ssl-enum-ciphers -p 443 リモートホスト
| TLS_ECDHE_ECDSA_WITH_RC4_128_SHA
| TLS_ECDHE_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_RC4_128_SHA (rsa 2048)
TLS_RSA_WITH_RC4_128_MD5 (rsa 2048)
ペネトレーションテスターがレポートに含めるべきものは次のうちどれですか?

A. 2,048 ビット対称キーは MD5 と互換性がありません。

B. 古くて安全でない暗号が使用されています。

C. このサーバーは TLS 1.2 にアップグレードする必要があります。

D. 3DES アルゴリズムは非推奨になる必要があります。

正確答案: B

說明：（僅 VCESoft 成員可見）

問題4

クライアント組織の侵入評価で、侵入テスターは、多数の古いソフトウェアパッケージバージョンがインストールされていることに気づきました ...s-クリティカルサーバー。この問題を軽減するのに最も適しているのは次のうちどれですか?

A. システムアップデートを実行するために使用されるクライアントスクリプトのリビジョン

B. 品質保証が承認するまでシステムへのパッチ適用を控える

C. パッチ適用および変更管理プログラムの実装

D. 顧客のシステム管理者に対する是正トレーニング

正確答案: C

說明：（僅 VCESoft 成員可見）

問題5

ペネトレーションテスターは、企業の Web サイトに対するクレデンシャルスタッフィング攻撃を準備しています。最も関連性の高い情報を受動的に取得するために使用できるものは次のうちどれですか?

A. 初段

B. HavelBeenPwned

C. マルテゴ

D. BeEF

正確答案: B

說明：（僅 VCESoft 成員可見）

問題6

ある企業が、ネットワーク上で脆弱性スキャンを実施する侵入テスターを採用しました。テストは、既知の環境で行われることが確認されています。評価を実行する前にシステムを適切に識別するための最良のオプションは、次のうちどれですか?

A. アセットインベントリ

B. Web アプリケーションスキャン

C. DNS レコード

D. フルスキャン

正確答案: A

問題7

次のうち、アプリケーションコードでサードパーティのオープンソースライブラリを使用することに関する最大の懸念を説明しているのはどれですか? （2つ選んでください。）

A. ソフトウェアのライセンスが曖昧です

B. ライブラリに脆弱性がある可能性があります

C. コードの出自が不明

D. ライブラリのコードベースは誰でも読める可能性がある

E. ライブラリがサポートされていない可能性があります

F. ライブラリがアプリケーションを壊す可能性があります

正確答案: B,C

說明：（僅 VCESoft 成員可見）

問題8

侵入テスターが評価を開始しようとしていますが、ターゲット企業に関する公開情報しか持っていません。クライアントはこの演習を認識しており、テストの準備をしています。
評価の範囲を説明しているのは次のうちどれですか?

A. 一部既知の環境でのテスト

B. 物理環境試験

C. 既知の環境でのテスト

D. 未知の環境でのテスト

正確答案: D

問題9

ペネトレーションテスターは、最近のテスト中に、経理部門の従業員が支払いシステムに変更を加え、個人の銀行口座に送金していることを発見しました。侵入テストはすぐに中止されました。今後この種の活動を防止するための最善の推奨事項は次のうちどれですか?

A. 銀行口座情報の暗号化パスワード

B. オフィスにビデオ監視機器を設置する

C. 多要素認証を実装する

D. 従業員の強制休暇の実施

正確答案: D

說明：（僅 VCESoft 成員可見）

問題10

ペネトレーションテスターは、新しいクライアントと共にスコーピングドキュメントに取り組んでいます。クライアントが使用する方法には、次のものが含まれます。
* エンゲージメント前のやり取り (スコーピングと ROE)
・情報収集（偵察）
* 脅威モデリング
*脆弱性分析
* 搾取とポスト搾取
* 報告
クライアントが使用する方法論は次のうちどれですか?

A. OSSTMM

B. PTES 技術ガイドライン

C. OWASP Web セキュリティテストガイド

D. NIST SP 800-115

正確答案: B

問題11

以前に正常にスキャンされたサーバーを侵入テスターがスキャンできない理由を最もよく説明しているのは、次のうちどれですか?

A. IP アドレスが間違っています。

B. IP アドレスは許可リストに含まれています。

C. IP アドレスはブロックリストにあります。

D. サーバーに到達できません。

正確答案: C

說明：（僅 VCESoft 成員可見）

問題12

ソフトウェア会社のネットワーク上のすべてのサーバーの認証スキャンを構成および実行するために、侵入テスターが雇われています。テスターが MOST の結果を返すために使用するアカウントは、次のうちどれですか?

A. ネットワーク管理者

B. ローカル管理者

C. root ユーザー

D. サービス

正確答案: D

問題13

最高情報セキュリティ責任者は、会社の電子商取引アプリケーションのセキュリティを評価したいと考えています。
アラームをトリガーせずにアプリケーションから関連情報を取得するために、侵入テスターが最初に使用する必要があるツールは次のうちどれですか?

A. ダーバスター

B. OWASP ZAP

C. w3af

D. SQL マップ

正確答案: C

說明：（僅 VCESoft 成員可見）

最新的CompTIA PenTest+ Certification (PT0-002日本語版) - PT0-002日本語免費考試真題

最新更新

站內鏈接

聯系我們