软考信息安全工程师2021 | 完结回想起2021年备考软考信息安全工程师的那段时光，虽然有些枯燥，但确实是一段扎实的技

回想起2021年备考软考信息安全工程师的那段时光，虽然有些枯燥，但确实是一段扎实的技能积累期。这里把当时的学习路线和一些实战心得整理一下，希望能给正在准备的朋友一点参考。既然你提到需要代码，我也特意在文中加入了一些辅助工具的代码示例。

一、选择安全工程师的初衷

当时主要是因为工作需要接触一些基础的安全加固和风险评估工作，发现理论知识比较零散，便想着通过系统性的考试来查漏补缺。信息安全工程师这个科目虽然不像CISP那样侧重管理，但技术细节（特别是密码学、网络安全架构）考察得比较深，很适合技术人员转型。

二、备考时间规划

我大概用了3个月的时间，每天保持2-3小时的高效学习：

第1个月：教材精读与视频课
通读《信息安全工程师教程》，配合网课过一遍基础概念。重点攻克密码学（对称/非对称加密、哈希函数）和网络安全协议（IPSec、SSL/TLS）。这部分比较抽象，需要多画图理解。
第2个月：刷题与专项突破
开始做历年真题。软考的题库重复率其实不算太高，但知识点是固定的。我把错题按“网络攻击技术”、“系统安全加固”、“应用安全”分类整理。
第3个月：案例分析实战
下午场是案例分析，通常涉及Web安全、防火墙配置、入侵检测等。这一阶段需要动手写一些脚本或者模拟配置。

三、学习心得与实战技巧

备考过程中，死记硬背很容易忘，我习惯用代码来验证理论。以下分享几个当时为了辅助学习写的小工具：

1. 密码学：理解对称与非对称加密

软考中对DES、RSA等算法原理考查较多。单纯看书很难理解"公钥加密、私钥解密"的流程，用Python的cryptography库跑一遍就清楚了。

python

复制

# 示例：使用 RSA 进行非对称加密演示
from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives import serialization

# 1. 生成私钥
private_key = rsa.generate_private_key(
    public_exponent=65537,
    key_size=2048,
)

# 2. 获取公钥
public_key = private_key.public_key()

# 3. 模拟发送方：使用公钥加密消息
message = b"2021 Soft Exam Information Security Engineer"
ciphertext = public_key.encrypt(
    message,
    padding.OAEP(
        mgf=padding.MGF1(algorithm=hashes.SHA256()),
        algorithm=hashes.SHA256(),
        label=None
    )
)
print(f"加密后的密文: {ciphertext.hex()[:50]}...")

# 4. 模拟接收方：使用私钥解密
plaintext = private_key.decrypt(
    ciphertext,
    padding.OAEP(
        mgf=padding.MGF1(algorithm=hashes.SHA256()),
        algorithm=hashes.SHA256(),
        label=None
    )
)
print(f"解密后的明文: {plaintext.decode('utf-8')}")

2. 网络安全：哈希校验与完整性

信息安全中"完整性"是一个核心考点。在备考文件完整性校验（MD5/SHA）这一章时，我写了个简单的脚本来计算文件哈希值，帮助理解如何判断文件是否被篡改。

python

复制

import hashlib

def calculate_file_hash(filename, algorithm="sha256"):
    """
    计算文件的哈希值，用于验证文件完整性
    """
    hash_func = hashlib.new(algorithm)
    
    try:
        with open(filename, 'rb') as f:
            # 分块读取大文件
            for chunk in iter(lambda: f.read(4096), b""):
                hash_func.update(chunk)
        return hash_func.hexdigest()
    except FileNotFoundError:
        return "File not found."

# 模拟场景：创建一个测试文件并计算哈希
with open("test_data.txt", "wb") as f:
    f.write(b"Critical security config data v1.0")

print(f"SHA-256: {calculate_file_hash('test_data.txt')}")
# 如果修改了文件内容，哈希值将完全改变
with open("test_data.txt", "ab") as f:
    f.write(b" modified")

print(f"Modified SHA-256: {calculate_file_hash('test_data.txt')}")

3. Web安全：XSS攻击原理复现

下午场的案例分析常考Web攻击。比如XSS（跨站脚本攻击），理解它的核心是"输入未过滤即输出"。下面是一个简单的Flask示例，展示了存在漏洞的代码和修复思路。

python

复制

from flask import Flask, request, render_template_string

app = Flask(__name__)

# 模拟一个存在XSS漏洞的留言板
VULNERABLE_TEMPLATE = """
    <h1>留言板</h1>
    <p>上一条留言: {{ user_input | safe }}</p> 
    <!-- 注意：| safe 过滤器会禁用转义，导致XSS漏洞 -->
"""

@app.route('/')
def index():
    user_input = request.args.get('msg', 'No message')
    # 如果用户输入 <script>alert('XSS')</script>，且使用了 | safe，脚本就会执行
    return render_template_string(VULNERABLE_TEMPLATE, user_input=user_input)

if __name__ == '__main__':
    # 生产环境严禁直接运行，仅用于本地测试原理
    app.run(debug=True)

修复建议：在模板中移除 | safe，Flask默认会自动转义HTML特殊字符，从而防御存储型XSS。

四、总结

2021年的这次备考经历让我明白，软考不仅仅是考背诵，更是考查对安全体系的理解。

理论结合实践：哪怕只是跑通几行加密代码，对理解协议的帮助都远超死记硬背。
重视真题：历年真题里隐藏着出题人的逻辑，特别是下午题的解题步骤，要形成肌肉记忆。
保持更新：安全行业技术迭代快，虽然考纲相对稳定，但平时多关注最新的漏洞（如Log4j等）对理解题目大有裨益。

软考信息安全工程师2021 | 完结

一、 选择安全工程师的初衷

二、 备考时间规划

三、 学习心得与实战技巧

1. 密码学：理解对称与非对称加密

2. 网络安全：哈希校验与完整性

3. Web安全：XSS攻击原理复现

四、 总结

一、选择安全工程师的初衷

二、备考时间规划

三、学习心得与实战技巧

四、总结