价格验证错误发生未知错误不发货,在客户未知情况下,直接退款给客户,后面客户要求必须发一半数量给他不然就投诉,索要


在现实Internet网络环境中大多数计算機主机都位于防火墙或NAT之后,只有少部分主机能够直接接入Internet很多时候,我们希望网络中的两台主机能够直接进行通信即所谓的P2P通信,洏不需要其他公共服务器的中转由于主机可能位于防火墙或NAT之后,在进行P2P通信之前我们需要进行检测以确认它们之间能否进行P2P通信以忣如何通信。这种技术通常称为NAT穿透(NAT Traversal)最常见的NAT穿透是基于UDP的技术,如 中定义的STUN协议

在新的RFC5389修订中把STUN协议定位于为穿透NAT提供工具,洏不是一个完整的解决方案英文全称是Session Traversal Utilities for NAT,即NAT会话穿透效用 除了名称变化外,最大的区别是支持TCP穿透

NAT,即使用中继穿透NAT:STUN的扩展简單的说,TURN与STURN的共同点都是通过修改应用层中的私网地址达到NAT穿透的效果异同点是TURN是通过两方通讯的“中间人”方式实现穿透。


了解STUN之前我们需要了解NAT的种类。

NAT对待UDP的实现方式有4种分别如下:

  • 完全锥形NAT,所有从同一个内网IP和端口号发送过来的请求都会被映射成同一个外網IP和端口号并且任何一个外网主机都可以通过这个映射的外网IP和端口号向这台内网主机发送包。
  • 限制锥形NAT它也是所有从同一个内网IP和端口号发送过来的请求都会被映射成同一个外网IP和端口号。与完全锥形不同的是外网主机只能够向先前已经向它发送过数据包的内网主機发送包。
  • 端口限制锥形NAT与限制锥形NAT很相似,只不过它包括端口号也就是说,一台IP地址X和端口P的外网主机想给内网主机发送包必须昰这台内网主机先前已经给这个IP地址X和端口P发送过数据包。
  • 对称NAT所有从同一个内网IP和端口号发送到一个特定的目的IP和端口号的请求,都會被映射到同一个IP和端口号如果同一台主机使用相同的源地址和端口号发送包,但是发往不同的目的地NAT将会使用不同的映射。此外呮有收到数据的外网主机才可以反过来向内网主机发送包。

Translators)即简单的用UDP穿透NAT,是个轻量级的协议是基于UDP的完整的穿透NAT的解决方案。咜允许应用程序发现它们与公共互联网之间存在的NAT和防火墙及其他类型它也可以让应用程序确定NAT分配给它们的公网IP地址和端口号。STUN是一種Client/Server的协议也是一种Request/Response的协议,默认端口号是3478(

所有的STUN消息都包含20个字节的消息头,包括16位的消息类型16位的消息长度和128位的事务ID。

消息類型许可的值如下:

  • 0x0111:捆绑验证错误发生未知错误响应
  • 0x0002:共享私密请求
  • 0x0102:共享私密响应
  • 0x0112:共享私密验证错误发生未知错误响应
消息长度昰消息大小的字节数,但不包括20字节的头部事务ID,128位的标识符用于随机请求和响应,请求与其相应的所有响应具有相同的标识符

消息头之后是0或多个属性,每个属性进行TLV编码包括16位的属性类型、16位的属性长度和变长属性值。

  • MAPPED-ADDRESS:MAPPED-ADDRESS属性表示映射过的IP地址和端口它包括8位的地址族,16位的端口号及长度固定的IP地址
  • CHASNGE-REQUEST:客户使用32位的CHANGE-REQUEST属性来请求服务器使用不同的地址或端口号来发送响应。
  • USERNAME:USERNAME属性用于消息的唍整性检查用于消息完整性检查中标识共享私密。USERNAME通常出现在共享私密响应中与PASSWORD一起。当使用消息完整性检查时可有选择地出现在捆绑请求中。
  • PASSWORD:PASSWORD属性用在共享私密响应中与USERNAME一起。PASSWORD的值是变长的用作共享私密,它的长度必须是4字节的倍数以保证属性与边界对齐。
  • ERROR-CODE:ERROR-CODE属性出现在捆绑验证错误发生未知错误响应或共享私密验证错误发生未知错误响应中它的响应号数值范围从100到699。
  • REFLECTED-FROM:REFLECTED-FROM属性只存在于其對应的捆绑请求包含RESPONSE-ADDRESS属性的捆绑响应中属性包含请求发出的源IP地址,它的目的是提供跟踪能力这样STUN就不能被用作DOS攻击的反射器。
具体嘚ERROR-CODE(响应号)与它们缺省的原因语句一起,目前定义如下:
  • 400(验证错误发生未知错误请求):请求变形了客户在修改先前的尝试前不應该重试该请求。
  • 420(未知属性):服务器不认识请求中的强制属性
  • 430(过期资格):捆绑请求没有包含MESSAGE-INTEGRITY属性,但它使用过期
  • 的共享私密愙户应该获得新的共享私密并再次重试。
  • 证失败这可能是潜在攻击的表现,或者客户端实现验证错误发生未知错误
  • USERNAME属性完整性检查中兩项都必须存在。
  • 传输层协议)发送但没有在TLS上收到。
  • 500(服务器验证错误发生未知错误):服务器遇到临时验证错误发生未知错误客戶应该再次尝试。
  • 600(全局失败):服务器拒绝完成请求客户不应该重试。
属性空间分为可选部分与强制部分值超过0x7fff的属性是可选的,即客户或服务器即使不认识该属性也能够处理该消息;值小于或等于0x7fff的属性是强制理解的即除非理解该属性,否则客户或服务器就不能處理该消息

STUN协议的完整交互过程如上,下面我们来介绍具体实现步骤

一般情况下,客户会配置STUN服务器提供者的域名该域名被解析为IP哋址和SRV过程的端口号。服务器名是“stun”使用UDP协议发送捆绑请求,使用TCP协议发送共享私密请求STUN协议的缺省端口号为3478。

若要提供完整性检查STUN在客户和服务器间使用128位的共享私密,作为在捆绑请求和捆绑响应中的密匙

首先,客户通过发现过程获得它将与之建立TCP连接的IP地址囷端口号客户打开该地址和端口的连接,开始TLS协商验证服务器的标识。客户发送共享私密请求该请求没有属性,只有头服务器生荿响应。

客户会在该连接上生成多个请求但在获得用户名和密码后关闭该连接。

服务器收到共享私密请求验证从TLS连接上到达的该请求;如果不是通过TLS收到的请求,则生成共享私密验证错误发生未知错误响应并设置ERROR-CODE属性为响应号433;这里区分两种情况:若通过TCP收到请求,則验证错误发生未知错误响应通过收到请求的相同连接发送;若通过UDP收到请求则验证错误发生未知错误响应发送回请求送出的源IP和端口。

服务器检查请求中的任何属性当其中有不理解的小于或等于0x7fff的值,则生成共享私密验证错误发生未知错误响应设置ERROR-CODE属性为响应号420,并包括UNKNOWN-ATTRIBUTE属性,列出它不理解的小于或等于0x7fff的属性的值该验证错误发生未知错误响应通过TLS连接发送。

若请求正确服务器创建共享私密响应,包含与请求中相同的事务ID并包含USERNAME和PASSWORD属性。用户名在10分钟内有效

共享私密响应通过与收到请求的相同的TLS连接发送,服务器保持连接打開状态由客户关闭它。

接着客户发送捆绑请求,携带的属性包括:

客户发送捆绑请求通过客户重传来提供可靠性。客户开始用100ms的间隔重传每次重传间隔加倍,直至1.6秒之间间隔1.6秒的重传继续,直到收到响应或总共已经发送了9次因此,若9500ms后还未收到响应,客户认為传输已经失败

服务器检查捆绑请求的MESSAGE-INTEGRITY属性,不存在则生成捆绑验证错误发生未知错误响应设置ERROR-CODE属性为响应号401;若存在,计算请求的HMACKey徝

服务器检查USERNAME属性,不存在则生成捆绑验证错误发生未知错误响应设置ERROR-CODE属性为响应号432;若存在,但不认识该USERNAME的共享私密(例如它超時了),生成捆绑验证错误发生未知错误响应设置ERROR-CODE属性为响应号430。

若服务器知道该共享私密但所计算的HMAC与请求的不同,生成捆绑验证錯误发生未知错误响应设置ERROR-CODE属性为响应号431。

假设消息完整性检查通过了服务器检查请求中的任何属性的值,若遇到不理解的小于或等於0x7fff的值生成捆绑验证错误发生未知错误响应,设置ERROR-CODE属性为响应号420该响应包含UNKNOWN-ATTRIBUTE属性,并列出不理解的小于或等于0x7fff的属性

若请求正确,垺务器生成单个捆绑响应包含与捆绑请求相同的事务ID。服务器在捆绑响应中加入MAPPED-ADDRESS属性该属性的IP地址和端口号为捆绑请求的源IP地址和端ロ号。

捆绑响应的源地址和端口号取决于捆绑请求中CHANGE-REQUEST属性的值及捆绑请求收到的地址和端口号相关总结如下:

服务器在捆绑响应中加入SOURCE-ADDRESS屬性,包含用于发送捆绑响应的源地址和端口号;加入CHANGED-ADDRESS属性包含源IP地址和端口号。

如果捆绑请求包含RESPONSE-ADDRESS属性则服务器在捆绑响应中加入REFLECTED-FROM屬性:如果捆绑请求使用从共享私密请求获得的用户名进行认证,则REFLECTED-FROM属性包含共享私密请求到达的源IP地址和端口号;若请求中的用户名不昰使用共享私密分配的则REFLECTED-FROM属性包含获得该用户名的实体的源IP地址和端口号;若请求中没有用户名,且服务器愿意处理该请求则REFLECTED-FROM属性包含请求发出的源IP地址和端口号。

服务器不会重传响应可靠性通过客户周期性地重发请求来保障,每个请求都会触发服务器进行响应

客戶端判断响应的类型是捆绑验证错误发生未知错误响应还是捆绑响应。捆绑验证错误发生未知错误响应通常在请求发送的源地址和端口收箌;捆绑响应通常在请求中的RESPONSE-ADDRESS属性的地址和端口收到若没有该属性,则捆绑响应将在请求发送的源地址和端口号收到

  • 若是捆绑验证错誤发生未知错误响应,客户检查响应中的ERROR-CODE属性的响应号:400至499之间的未知属性按属性400处理500至599之间的未知属性按500处理,600至699之间的未知属性按600處理任何100和399之间的响应都会使请求重传中止,但其他则忽略;若客户收到响应的属性类型大于0x7fff则忽略该属性,若小于或等于0x7fff则请求偅传停止,并忽略整个响应;
  • 若是捆绑响应客户检查响应的MESSAGE-INTEGRITY属性:如果不存在,客户在请求中加入MESSAGE-INTEGRITY属性并放弃该响应;如果存在,客戶计算响应的HMAC如果计算出的HMAC与响应中的不同,则放弃该响应并警告客户可能受到了攻击;若计算出的HMAC与响应中的匹配,则过程继续;
  • 鈈论收到捆绑响应还是捆绑验证错误发生未知错误响应都将中止该请求的重传。客户在第一次响应后继续监听捆绑请求的响应10秒钟如果这期间它收到任何消息类型不同的响应或不同的MAPPED-ADDRESS属性,它将警告用户可能受到攻击;并且如果客户收到的捆绑响应次数超过它发送的捆绑请求数的两倍,它将警告用户可能受到攻击;若捆绑响应经过认证上述攻击并未导致客户丢弃MAPPED-ADDRESS,则客户可以使用该MAPPED-ADDRESS和SOURCE-ADDRESS属性

客户通過带外方式获得STUN服务器信息后,就打开对应的地址和端口的连接并开始与STUN服务器进行TLS协商。一旦打开了连接客户就通过TCP协议发送共享私密请求,服务器生成共享私密响应STUN在客户和服务器间使用共享私密,用作捆绑请求和捆绑响应中的密匙之后,客户使用UDP协议向STUN服务器发送捆绑请求当捆绑请求消息到达服务器的时候,它可能经过了一个或者多个NAT结果是STUN服务器收到的捆绑请求消息的源IP地址被映射成朂靠近STUN服务器的NAT的IP地址,STUN服务器把这个源IP地址和端口号复制到一个捆绑响应消息中发送回拥有这个IP地址和端口号的客户端。

当STUN客户端收箌捆绑响应消息之后它会将自己发送捆绑请求时绑定的本地IP地址和端口号同捆绑响应消息中的IP地址和端口号进行比较,如果不匹配就表示客户端正处于一个或者多个NAT的前面。

在Full-Cone NAT的情况下在捆绑响应消息中的IP地址和端口是属于公网的,公网上的任何主机都可以使用这个IP哋址和端口号向这个应用程序发送数据包应用程序只需要在刚才发送捆绑请求的IP地址和端口上监听即可。

当然客户可能并不在一个Full-Cone NAT的湔面,实际上它并不知道自己在一个什么类型的NAT的前面。为了确定NAT的类型客户端使用附加的捆绑请求。具体过程是很灵活的但一般嘟会像下面这样工作:客户端再发送一个捆绑请求,这次发往另一个IP地址但是使用的是跟上一次同一个源IP地址和源端口号,如果返回的數据包里面的IP地址和端口号和第一次返回的数据包中的不同客户端就会知道它是在一个对称NAT的前面。客户端为了确认自己是否在一个完铨锥形NAT的前面客户端可以发送一个带有标志的捆绑请求,这个标志告诉服务器使用另一个IP地址和端口发送捆绑响应换句话说,如果客戶端使X/Y的IP地址端口对向A/B的IP地址端口对发送捆绑请求服务器就会使用源IP地址和源端口号为C/D的地址端口对向X/Y发送捆绑响应。如果客户端收到叻这个响应它就知道它是在一个Full-Cone

STUN协议允许客户端请求服务器从收到捆绑请求的IP地址往回发捆绑响应,但是要使用不同的端口号这可以鼡来检查客户端是否在Port Restricted Cone NAT的前面还是在Restricted Cone NAT的前面。


NAT即NAT会话穿透效用。在这里NAT会话穿透效用被定位为一个用于其他解决NAT穿透问题协议的协议。它可以用于终端设备检查由NAT分配给终端的IP地址和端口号同时,它也被用来检查两个终端之间的连接性好比是一种维持NAT绑定表项的保活协议。STUN可以用于多种NAT类型并不需要它们提供特殊的行为。

STUN本身不再是一种完整的NAT穿透解决方案它相当于是一种NAT穿透解决方案中的工具。这是与RFC3489/STUN版本相比最重要的改变


目前定义了三种STUN用途:

STUN消息头为20字节,后面紧跟0或多个属性STUN头部包含一STUN消息类型、magic cookie、事务ID和消息长喥。

每个STUN消息的最高位前2位必须为0当STUN协议为多个协议多路复用时若使用的是同一个端口,这可以用于与其他协议区分STUN数据包消息类型確定消息的类别(如请求、成功回应、失败回应、标志)。虽然这里有四种消息类型但可以分为2类事务:请求/响应事务、标志事务。

消息类型字段可进一步划分为下面结构:

  • 0b10表示成功响应
  • 0b11,表示验证错误发生未知错误响应
魔术字域必须包含固定的值0x在RFC3489中,该域是事务ID嘚一部分配置魔术字允许服务器检测客户是否理解某些在改进的版本中增加的属性。另外还可用于STUN多路复用时与其他协议的包进行区汾。

96位的事务ID用于唯一的识别STUN事务对于请求/响应事务,事务ID由STUN客户端来选择;对于标志事务由代理(代理指支持STUN的客户端或服务器)來选择并发送。它主要服务于与请求相关的响应因此它也扮演着一个帮助阻止确定类型的攻击的角色。服务器使用事务ID来唯一的标识出所有客户端的每一个事务事务ID本身必须是唯一的,并且随机的从0到2的96-1次方中选择重新发送相同的请求时,也必须使用新的事务ID成功戓验证错误发生未知错误响应必须携带与相对应的请求相同的事务ID。

消息长度字段不包括20字节的STUN头部所有的STUN属性必须填充为4字节的倍数。消息长度字段的最后2位总是为0这为区分STUN包与其他协议的包提供了另外一种方法。

STUN头之后是0或多个属性每个属性都采用TLV编码,16位的类型、16位的长度及可变长度的值每个STUN属性必须是4字节边界对齐。

属性空间被划分为2个范围属性的类型值在0x0000到0x7fff是强制理解属性,这意味着除非STUN代理能够理解这些属性否则将不能正常处理包含该属性的消息;属性的类型值在0x8000到0xffff范围是可选理解属性,这意味着如果STUN代理不能理解它们的话这些属性可以被忽略

STUN属性类型集由IANA维护,具体定义详见


  • 去掉STUN是一种完整的NAT穿透方案的概念,现在是一种用于提供NAT穿透解决方案的工具因而,协议的名称变为NAT会话穿透效用;
  • 定义了STUN的用途;
  • 增加了一个固定的32位的魔术字字段事务ID字段减少了32位长度;
  • 增加了XOR-MAPPED-ADDRESS屬性,若魔术字在捆绑请求中出现时该属性包括在捆绑响应中。否则RFC3489中的行为是保留的(换句话说,捆绑响应中包括MAPPED-ADDRESS);
  • 介绍了消息類型字段的正式结构带有一对明确的位来标识Request、Response、Error-Response或Indication消息。因此消息类型字段被划分为类别和方法两部分;
  • 明确的指出了STUN的最高2位是0b00,当用于ICE时可以简单的与RTP包区分开来;
  • 增加指纹属性来提供一种明确的方法来检测当STUN协议多路复用时STUN与其他协议之间的差异;
  • 增加支持IPv6,IPv4客户端可以获取一个IPv6映射地址反之亦然;
  • 去掉了共享密匙方法,因此PASSWORD属性也去掉了;
  • 去掉了使用连续10秒侦听STUN响应来识别一个攻击的做法;
  • 改变事务计时器来增加TCP友好性;
  • 去掉了STUN例子如集中分离控制和媒体面代替的,在使用STUN协议时提供了更多的信息;
  • 定义了一类填充机淛来改变长度属性的说明;
  • 为TCP和TLS改变了DNS SRV规程UDP仍然和以前保持一致。
IETF官文档详见:


FINGERPRINT机制是一种可选的用于其他协议多路复用STUN时发送給相同的传输地址时区分STUN数据包的机制该机制不支持与RFC3489相兼容。

在一些用途中基于相同的传输地址时多个协议会多路复用STUN消息,例如RTP協议STUN消息必须首先和应用报文分离开。目前在STUN报头中有3种固定的字段可以用于该目的。尽管如此在一些案例中,三种固定字段仍然鈈能充分的区别开

当扩展的指纹机制被使用时,STUN代理在发送给其他STUN代理的消息中包括FINGERPRINT属性当其他STUN代理收到时,除基本的检查之外还將检查是否包含FINGERPRINT属性及它是否包含正确的值,至此它将相信这是一个STUN消息。指纹机制帮助STUN代理检查其他协议那些看起来像是STUN消息的消息

2.4.2通过DNS发现服务器机制


STUN客户端可以使用DNS来发现STUN服务器的IP地址和端口。客户端必须知道服务器的域名

当客户端希望找出服务器在公网上的位置就采用捆绑请求/响应事务,SRV(资源记录表)中服务器名称是“stun”当通过TLS会话采用捆绑请求/响应事务,SRV中服务器名称为“stuns”STUN用户可鉯定义额外的DNS资源记录服务名称。

STUN请求的默认端口是3478用于TCP和UDP。STUN在TLS上的默认端口是5349服务器能够在TLS上运行STUN与STUN在TCP上时使用相同的端口,只有垺务器软件支持决定初始消息是否是TLS或STUN消息

如果SRV中没有记录可查,客户端执行A或AAAA记录查找域名结果将会是1张IP地址表,每一个都可以使鼡TCP或UDP采用默认端口号连接通常要求使用TLS,客户端使用STUN在TLS上的默认端口号连接其中一个IP地址

2.4.3认证和消息完整性机制


短期证书机制假设在STUN倳务之前,客户端和服务器已经使用了其他协议来交换了证书以username和password形式。这个证书是有时间限制的例如,在ICE用途中两个终端使用带外方式交换信息来对username和password达成一致,并在媒体会话期间使用这个证书被用来进行消息完整性检查,用于每个请求和多个响应中与长期证書机制相比,没有挑战和响应方式因此,这种证书的时间限制特性的优点是可以阻止重播
长期证书机制依赖于一个长期证书,username和password在客戶端和服务器中是共用的这个证书从它提供给 用户开始将一直是有效的,直到该用户不再是该系统的用户这本质上是一个提供给用户username囷password的传统的登入方式。    

客户端初始发送一个请求没有提供任何证书和任何完整性检测。服务器拒绝这个请求并提供给用户一个范围(鼡于指导用户或代理选择username和password)和一个nonce。这个nonce提供重放保护它是一个cookie,由服务器选择以这样一种方式来标示有效时间或客户端身份是有效的。客户端重试这个请求这次包括它的username和realm和服务器提供的nonce来回应。服务器确认这个nonce和检查这个message integrity如果它们匹配,请求则通过认证如果这个nonce不再有效,即过期了服务器就拒绝该请求,并提供一个新的nonce

在随后的到同一服务器的请求,客户端重新使用这个nonce、username和realm和先前使用的password。这样随后的请求不会被拒绝直到这个nonce变成无效的。需要注意的是长期证书机制不能用来保护Indications,由于Indications不能被改变因此,使用Indications時要么使用短期证书要么就省略认证和消息完整性。因为长期证书机制对离线字典攻击敏感部署的时候应该使用很难猜测的密码。

2.4.4备份服务器机制


服务器使用增强的重定向功能将一个客户端转向另一个服务器通过回应一个验证错误发生未知错误响应号为300(尝试备份)嘚验证错误发生未知错误响应。服务器在验证错误发生未知错误响应中携带一个ALTERNATE-SERVER属性

客户端收到验证错误发生未知错误响应号为300的验证錯误发生未知错误响应后,在该响应中查找ALTERNATE-SERVER属性若找到一个,客户端就会将当前的事务作废并重新尝试发送请求到该属性中列出的服務器。请求报文若已经通过认证则必须使用与先前发送给执行重定向操作的服务器同样的证书。如果客户端在最后5分钟里已经重试发送請求时已经重定向到了一个服务器它必须忽略重定向操作并将当前的事务作废,这是为了防止无限的重定向循环


  • UDP是唯一支持的传输协議
  • RFC5389中的魔术字字段是中事务ID的一部分,事务ID长128位

2.5.1客户端处理的改变 的服务器互操作应发送一个使用绑定方法的请求消息,不包含任何消息使用UDP协议发送给服务器。如果成功将收到服务器发回的包含MAPPED-ADDRESS属性而不是XOR-MAPPED-ADDRESS属性的成功响应。客户端试图与基于RFC3489的应用服务器互操作必須准备好接收任意一个属性此外,客户端必须忽略任何在响应中出现的保留的强制理解的属性

2.5.2服务器处理的改变
服务器能够察觉由 中嘚客户端发送的携带有不正确的魔术字的捆绑请求消息。当服务器察觉到 中的客户端它应该将捆绑请消息中魔术字域中的值拷贝到捆绑響应中的魔术字字段中,并且插入一个MAPPED-ADDRESS属性代替XOR-MAPPED-ADDRESS属性

客户端在极少的环境下可能包括RESPONSE-ADDRESS或CHANGE-REQUEST属性中的一个。在这些情况下服务器把这些属性看做是一个不认识的强制理解的属性,并回应一个验证错误发生未知错误响应 版本中的STUN缺少魔术字和指纹属性这两种能够高可靠性的囸确标识其他协议多路复用时的STUN消息。因此STUN执行与 兼容时不应该被用于多个协议。


NAT(STUN)即使用中继穿透NAT:STUN的中继扩展。简单的说TURN与STUN嘚共同点都是通过修改应用层中的私网地址达到NAT穿透的效果,异同点是TURN是通过两方通讯的“中间人”方式实现穿透

如果一个主机位于NAT的後面,在某些情况下它不能够与其他主机点对点直接连接在这些情况下,它需要使用中间网点提供的中继连接服务TURN协议就是用来允许主机控制中继的操作并且使用中继与对端交换数据。TURN与其他中继控制协议不同的是它能够允许一个客户端使用一个中继地址与多个对端连接

TURN协议被设计为ICE的一部分,用于NAT穿越虽然如此,它也可以在没有ICE的地方单独使用



在一个典型组网中,一个TURN客户端连接在一个私有网絡中通过一个或多个NAT来连接到公网。在公网中有一个TURN服务器在因特网的别处有一个或多个对端是这个TURN客户端希望通讯的。这些对端也囿可能是在一个或多个NAT的后面该客户端使用服务器作为一个中继来发送数据包 到这些对端去,并且从这些对端接收数据包

客户端通过┅个IP地址和端口的组合来与服务器建立会话。客户端使用TURN命令在服务器上创建和操作一个ALLOCATION一旦这个allocation创建好了,客户端能够在数据发往哪個对端的指示下发送应用数据到这个服务器服务器将中继这些数据到合适的对端。客户端发送的应用数据包含在TURN消息中服务器将数据提取出来,并以UDP数据包方式发送给对端反向上,对端以UDP数据包方式发送应用数据到这个allocation提供的中继传输地址因为TURN消息总是包含客户端與哪些对端通讯的指示,客户端能够使用单一的allocation来与多个对端通讯


  • Peer:TURN客户端希望连接的主机。TURN服务器为TURN客户端和它的对端中继流量但Peer並不与TURN服务器使用TURN协议进行交互,它接收从TURN服务器发送过来的数据并向TURN服务器发送数据。
  • Peer Transport Address:服务器看到的对端的传输地址当对端是在NAT後面,则是对端的服务器反射传输地址
  • Allocation:通过Allocate请求将中继传输地址提供给客户端,除了中继状态外还有许可和超时定时器等。
  • 5-tuple:五元組包括客户端IP地址和端口,服务器IP地址和端口和传输协议(包括UDP、TCP、TLS)的组合
  • Channel:通道号与对端传输地址的关联,一旦一个通道号与一個对端的传输地址绑定客户端和服务器就能够利用带宽效应更大的通道数据消息来交换数据。
  • Permission:一个对端允许使用它的IP地址和传输协议來发送数据到TURN服务器服务器只为从对端发来的并且匹配一个已经存在的许可的流量中继到相应的客户端。
  • Realm:服务器内用于描述服务器或內容的一个字符串这个realm告诉客户端哪些用户名和密码的组合可用于认证请求。
  • Nonce:服务器随机选择的一个字符串包含在报文摘要中。为叻防止中继攻击服务器应该有规律的改变这个nonce。
具体协议细节详见IETF官方文档: .

3.4 协议交互过程详细举例


以上图为例进行讲解,每个消息Φ多个属性包含在消息中并显示它们的值。为了方便阅读值以人们可读的格式来显示。

客户端使用10.1.1.2:49271作为传输地址向服务器的传输地址發送Allocate请求客户端随机选择一个96位的事务ID。该Allocate请求消息包括SOFTWARE属性来提供客户端的软件版本信息;包括LIFETIME属性指明客户端希望该allocation具有1小时的苼命期而非缺省的10分钟;包括REQUESTED-TRANSPORT属性来告诉服务器与对端之间采用UDP协议来传输;包括DONT-FRAGMENT属性因为客户端希望在随后的Send

服务器需要任何请求必须昰经过认证的,因此服务器拒绝了该最初的Allocation请求并且回应了携带有验证错误发生未知错误响应号为401(未授权)的Allocate验证错误发生未知错误響应;该响应包括一个REALM属性,指明认证的域;还包括一个NONCE属性和一个SOFTWARE属性

客户端收到了验证错误发生未知错误响应号为401的Allocate验证错误发生未知错误响应,将重新尝试发送Allocate请求此时将包括认证属性。客户端在新的请求中重新选择一个新的事务ID客户端包括一个USERNAME属性,使用从垺务器那收到的realm值来帮助它决定使用哪个值;请求还包括REALM和NONCE属性这两个属性是从收到的验证错误发生未知错误响应中拷贝出来的。最后客户端包括一个MESSAGE-INTEGRITY属性。

服务器收到认证的Allocate请求后检查每个属性是否正确;然后,产生一个allocation并给客户端回应Allocate成功响应。服务器在该成功响应中携带一个LIFETIME属性本例中服务器将客户端请求的1小时生命期减小为20分钟,这是因为这个特定的服务器可能不允许超过20分钟的生命期;该响应包括XOR-RELAYED-ADDRESS属性值为该allocation的中继传输地址;该响应还包括XOR-MAPPED-ADDRESS属性,值为客户端的server-reflexive地址;该响应也包含一个SOFTWARE属性;最后包括一个MESSAGE-INTEGRITY属性来证奣该响应,确保它的完整性

接着,客户端为了准备向对端A发送一些应用数据而创建一个permission这里通过一个CreatePermission请求来做到。该请求携带XOR-PEER-ADDRESS属性包含有确定的请求的IP地址这里为对端A的地址;需要注意的是,属性中地址的端口号被设置为0在CreatePermission请求中并且客户端使用的是对端A的server-reflexive地址而鈈是它的主机地址(私网地址);客户端在该请求中携带与之前的Allocate请求中一样的username、realm和nonce值,因此该请求被服务器认可此时在该请求中,客戶端没有携带SOFTWARE属性

现在客户端使用Send indication来发送应用数据到对端A。对端的server-reflexive传输地址包含在XOR-PEER-ADDRESS属性中应用数据包含在DATA属性中。客户端已经在应用層上执行了路径MTU发现功能因此通过DON’T-FRAGMENT属性来告知服务器当通过UDP方式来向对端发送数据时应设置DF位。Indications不能使用长期证书机制来认证所以該消息中没有MESSAGE-INTEGRITY属性。

服务器收到Send indication后提取出应用数据封装成UDP格式发给对端A;UDP报文的源传输地址为中继传输地址,并设置DF位

对端A回应它自巳的包含有应用数据的UDP包给服务器。目的地址为服务器的中继传输地址当服务器收到后,将生成Data indication消息给客户端携带有XOR-PEER-ADDRESS属性。应用数据包含在DATA属性中

客户端现在若要绑定一个通道到对端B,将指定一个空闲的通道号(本例中为0x4000)包含在CHANNEL-NUMBER属性中对端B的传输地址包含在XOR-PEER-ADDRESS属性Φ。与以前一样客户端再次利用上次请求中的username、realm和nonce。

当服务器收到该请求后服务器绑定这个对端的通道号,为对端B的IP地址安装一个permission嘫后给客户端回应一个ChannelBind成功响应消息。

客户端现在发送一个ChannelData消息给服务器携带有发送给对端B的数据。这个消息不是一个STUN消息因此没有倳务ID。它之有3个字段:通道号、数据、数据长度;服务器收到后检查通道号后发现当前已经绑定了,就以UDP方式发送数据给对端B

接着,對端B发送UDP数据包回应给服务器的中继传输地址服务器收到后,回应给客户端ChannelData消息包含UDP数据包中的数据。服务器知道是给哪个客户端发送ChannelData消息这是因为收到的UDP数据包中的目的地址(即服务器的中继传输地址),并且知道使用的是哪个通道号这是因为通道已经与相应的傳输地址绑定了。

有时候20分钟的生命期已经到了,客户端需要刷新allocation此时通过发送Refresh请求来进行。该请求包含最后一次使用的username、realm和nonce还包含SOFTWARE属性。当服务器收到这个Refresh请求时它注意到这个nonce值已经超期了,则给客户端回应一个验证错误发生未知错误响应号为438(过期Nonce)的Refresh验证错誤发生未知错误响应并提供一个新的nonce值。可护端将重试该请求此时携带新的nonce值。若第二次尝试被接受服务器将回应一个成功响应。需要注意的是此时客户端在请求中没有携带LIFETIME属性,所以服务器刷新客户端的allocation时采用缺省的10分钟生命期



如上图所示,如果A想与B通信那麼其过程如下:

  • 1)A收集所有的IP地址,并找出其中可以从STUN服务器和TURN服务器收到流量的地址;
  • 2)A向STUN服务器发送一份地址列表然后按照排序的哋址列表向B发送启动信息,目的是实现节点间的通信;
  • 3)B向启动信息中的每一个地址发送一条STUN请求;
  • 4)A将第一条接收到的STUN请求的回复信息發送给B;
  • 5)B接到STUN回复后从中找出那些可在A和B之间实现通信的地址;
  • 6)利用列表中的排序列最高的地址进一步的设备间通信。
由于该技术昰建立在多种NAT穿透协议的基础之上并且提供了一个统一的框架,所以ICE具备了所有这些技术的优点同时还避免了任何单个协议可能存在嘚缺陷。因此ICE可以实现在未知网络拓扑结构中实现的设备互连,而且不需要进行对手配置另外,由于该技术不需要为VoIP流量手动打开防吙墙所以也不会产生潜在的安全隐患。
在现实Internet网络环境中大多数计算机主机都位于防火墙或NAT之后,只有少部分主机能够直接接入Internet很哆时候,我们希望网络中的两台主机能够直接进行通信(即所谓的P2P通信)而不需要其它公共服务器的中转。由于主机可能位于防火墙或NATの后在进行P2P通信之前,我们需要进行检测以确认它们之间能否进行P2P通信以及如何通信这种技术通常被称为NAT穿透(NAT

RFC3489中定义的STUN,即简单地鼡UDP穿过NAT(STUN)是个轻量级的协议它允许应用发现它们与公共互联网之间存在的NAT和防火墙及其他类型。它还为应用提供判断NAT给它们分配的公囲网际协议(IP)地址STUN可工作在许多现存NAT上,并且不需要它们做任何特别的行为它允许广泛的各类的应用穿越现存的NAT设施。

RFC5389中对STUN协议进荇了修订将其定位于为穿透NAT提供工具,即NAT会话穿透效用是一个用于其他解决NAT穿透问题协议的协议它可以用于终端设备检查由NAT分配给终端的IP地址和端口号。同时它也被用来检查两个终端之间的连接性,好比是一种维持NAT绑定表项的保活协议STUN本身并不是一种完整的NAT穿透解決方案。它相当于是一种NAT穿透解决方案中的工具这是与先前的版本相比最重要的改变。之前的RFC3489中定义的STUN是一个完整的穿透NAT解决方案此外,最大的区别是支持TCP穿透

RFC5766中对STUN协议再次进行了扩展,即中继穿透NAT:STUN的扩展TURN与STUN的共同点都是通过修改应用层中的私网地址达到NAT穿透的效用,异同点是TUN采用了两方通讯的“中间人”方式实现穿透突破了原先STUN协议无法在两台主机不能够点对点直接连接下提供作用的限制。

技术无止境NAT穿透技术仍在不断更新中,这里只对STUN/TURN协议作了简单的介绍具体细节请参考 /

  1、在下列哪种情况下使用貨币单位抽样是无效的:

  C、每个账户都具有同等的重要性

  D、抽样单位的数字大

  2、当用货币单位抽样去测试发货票的总价值时,则每张发货票:

  A、被选中的可能性相等

  B、能被不超过一个货币单位所代表

  C、被选中的可能性是未知的

  D、被选中的可能性与其货币值成比例

  3、内部正在用固定间隔的货币单位抽样法测试某余额为$750000的账户样本量是50,该审计师以04719为随机起点选取样本下媔哪一项应是他选取的第三个样本项目:发票金额累计金额

  4、某审计师正设计抽样计划,以测试过去三年中日常生产报告的准确性所有的报告都包含同样的信息,只有星期五的报告例外—星期五的报告还包括每周总额而且是由生产经理而不是车间主任编写。在正常凊况下生产活动在接近每月月末时达到高峰。如果审计师希望应用间隔抽样计划每月选取两份报告那么,以下哪种技术能降低样本出現偏差的可能性

  A、推算总体的验证错误发生未知错误率

  B、应用多少随机启动方法

  5、在以下哪种情形下,审计师应该应用随機数字而不是系统间隔方法来选取样本?

  A、总体的可变性更高

  B、要求的置信度高

  C、需要进行分层抽样

  D、总体以重复形式组合

  6、内部审计师正在执行一项测试以确定煤气电力用具公司是否应将其服务中心从一个区域转移到另外一个区域去。服务中心擁有维修服务用车驶往顾客居住区,为其提供服务审计师想确定搬迁到另一区域会带来的驾驶平均里程的减少数量。以下哪个统计抽樣方法更适合于这种测试:

  C、按概率比例大小(货币单位)抽样

  D、单位平均值抽样

  7、将理想准确度从1000美元提高到2000美元将对的需的抽样规模产生何种影响

  C、不影响抽样规模

  D、无法确定对抽样规模的影响

  8、如果某制造商在生产一批总数为1200单位的订货時发生2%的残损率,在生产另一批总数为1800单位的订货时发生的3%的残损率那么这些订货总的残损率是多少?

  9、根据以下资料回答第9臸10题某机构1000笔应收账款的账面价值为2600,000美元审计师随机挑选了100笔应收帐,计算出其价值为275000美元,而不是账面价值显示的250000美元。9、應用比率推算法应收账款价值点估计为多少?

  10、应用差异推算法应收款的价值点估计为多少?

  11、为了测试对公司政策的遵守凊况审计师需要应用以下哪种方法来确定抽样计划的恰当抽样规模?

  ⅱ、希望达到的准确度

  ⅲ、希望达到的置信度

  A、应用ⅰ加上ⅱ或ⅲ的其中之一

  B、只能应用ⅱ和ⅳ

  C、应用ⅲ,加上ⅰ或ⅳ其中之一

  D、只能应用ⅰⅱ或ⅲ

  12、某审计师应用单位平均数抽样方法来估算某一阶段医疗卫生福利申请所涉及的总金额。已记录的申请金额为40万美元而理想的样本准确度为2万美元。如果抽样结果产生的置信区间为38万美元至41万美元那么已实现的准确度为:

  13、属性抽样适用于以下哪项内容?

  A、估计存货的货币价值

  B、对应收账款进行抽样余额核实

  C、检查发票核实付款批准情况

  D、检查发票,估算新增资产的价值

  14、某内部审计师运用烸单位均值抽样计划来估计维修复印机的平均成本样本量是50,总体规模是2000、样本的平均值是$75标准离差是$14,平均数的标准离差是$2在置信水平为95%(z=2)时,置信区间是多少:

  15、内部审计师随机抽取了200张发货票进行测试发现35张是没有得到批准的支付。在95 %的置信水平下應确定什么样的精确度:

  16、应用以下资料回答第16-17题为了降低处理的支付小额采购的成本,某公司发行信用卡供选定雇员采购小额噫耗商品和服务之用。某内部审计师测试了针对信用卡应用的控制措施并整理了他所观察到的以下情况:ⅰ、虽然公司政策规定,信用鉲的应用仅限于每笔不超过500美元的交易但内部审计师所测试的30笔交易中有4笔似乎代表采购一台个人电脑的单项交易,该笔交易的总开支超出1950美元ⅱ、内部审计师与信用卡提供商客户代表的面谈表明该信用卡系统没有用以确认和报告分散采购交易的内置自动化控制特征,泹公司信用卡系统没有激活此特征ⅲ、通过分散采购购置的个人电脑没有放入公司的固定资产设备管理系统理出是该电脑不是通过公司嘚正常固定资产采购系统购置。因此该电脑既不进行折旧,也没有投保防盗险ⅳ、需要改善控制措施防止通过应用信用卡来规避正常采购制度。16、以上哪种说法代表了审计观察的条件

  A、只有ⅰ代表了审计观察的条件

  B、只有ⅱ代表了审计观察的条件

  C、只有ⅲ代表了审计观察的条件

  D、只有ⅳ代表了审计观察的条件

  17、以上哪种说法代表了审计观察的效果?

  A、只有ⅰ代表了审计观察嘚效果

  B、只有ⅱ代表了审计观察的效果

  C、只有ⅲ代表了审计观察的效果

  D、只有ⅳ代表了审计观察的效果

  18、在以上哪种情況下内审部门的运做效率能得到最大的提高?

  A、内审部门的工作底稿标准允许文件编制范围随审计目的的变化而变化

  B、内审部門的工作底稿标准要求监管人员对他们审查的每一份底稿签署姓名首字母和日期

  C、内审部门工作底稿标准允许外部人员或机构获取工莋底稿但必须事先征得高级管理人员或审计委员会的同意

  D、内审部门工作底稿标准鼓励每份工作底稿对其所用的任何审计验证标记進行书面说明

  19、在审计采购申请书时,内部审计师发现23%的申请书没有得到正确填写,15%的申请书没有得到恰当批准这种陈述代表了审计观察的哪种属性?

  20、一个给定样本的规模是总体特征和审计师决策的共同结果在其他同等条件下,样本规模将:

  A、会增加如果内部审计师决定接受更多的得出验证错误发生未知错误结论的风险,即当控制事实上是无效的而得出的结论是有效的

  B、洳果内部审计师发现总体变动度是试点样本变动度的两倍,样本量也将是两倍

  C、会减少如果内部审计师提高可容忍误差率

  D、当抽样风险增加时,样本量也增加

  21、某审计小组编制了初步调查问卷对问题的答复可选择:ⅰ、很可能不是问题ⅱ、可能是个问题ⅲ、很可能是个问题。该问卷是应用以下哪种技术的范例:

  22、在进行审计访问之前发送内控问卷有许多好处但以下哪一项除外?

  A、被审计部门经理可以审计师来访之前将问卷用于自我评估

  B、问卷有助于被审计部门经理理解审计范围

  C、编制问卷有助于审计师計划审计范围、组织需要收集的信息

  D、被审计部门经理将只答复问卷提及的问题而不主动提供额外的信息

  23、在审计抽样中可能會发生两类验证错误发生未知错误:第一类验证错误发生未知错误和第二类验证错误发生未知错误。这些风险:

  A、直接来源于内部审計师取得的样本不能代表总体的概率

  B、可以通过运用更可靠、更昂贵的审计程序来降低

  C、其重要性是由根据不正确的样本得出的結论的经济后果确定的

  D、分别指(1)内部控制失败的风险(2)结果验证错误发生未知错误没有被发现的风险

  24、如果对余额函证信嘚答复率比较低审计最有可能采取以下哪项措施?

  ⅰ、再发一轮函证信

  ⅱ、接着应用其他可选程序

  ⅲ、假设未得到函证的餘额是正确的

  C、只有ⅰ和ⅱ是对的

  D、只有ⅰ和ⅲ是对的

  25、在讨论下一年的审计计划的业务提议时,某部门副主任注意到鉯往审计人员提出的所有重要建议都与关键控制活动有关,而该部门的标准运营程序手册为其管理人员对这些控制活动进行正确描述如果自我评价问卷体现了这些关键控制活动,这会对所提议的下一年审计计划产生何种影响

  A、问卷应该改善控制的充分性,但审计师需要核实控制措施正按规定运行

  B、增加问卷调查后来年就不需要提出重要审计建议,因此审计业务范围可以得到相应缩小

  C、洳果副主任同意就该部门所有标准运营程序获得内部审计部门的批准,那么审计业务就可以得到减少

  D、问卷必须出内部审计部门邮寄并控制,并联系审计计划提议得到考虑

  26、某内部审计师在总体中抽取了大的样本检测出是偏斜的,此样本由大量的小金额项目和尛量的大金额项目构成根据这些给定信息,内部审计师能够推断:

  A、样本分布是非正态的因此建立在泊松分布上的pps抽样能更准确的萣义总体的性质

  B、样本分布是正态的因此可以用z值评价抽样结果

  C、样本分布是非正态的因此,属性抽样是唯一可以选择的适用嘚统计工具

  D、以上答案均不正确

  27、下列选项哪个是时间序列的四个组成部分:

  A、趋势、周期性、季节性和不规则性

  B、平滑指数、周期性、季节性和不规则性

  C、平滑指数、周期性、季节性和重复

  D、趋势、周期性、季节性和重复

  28、在审计师实地测試针对限制进入工作领域的进入控制时两名雇员来向审计师反映情况,他们指出由于有些过程中应用的化学物质,他们都出现过头疼囷其他症状对此,审计师应该:

  A、从每名雇员处获得详细的陈述并对这些陈述内容进行追踪

  B、告诉这两名雇员,内部审计部門对这些信息不感兴趣

  C、告诉这两名雇员这些信息通过管理渠道能够得到更好的反映,并将情况通报给审计管理人员

  D、将雇员反映的情况转给公律部门

  29、开展跟踪审查的首要目的是:

  A、保证内部审计建议得到及时考虑

  B、确证是否针对审计师报告的情況采取恰当行动

  C、允许内部审计师评估其建议的效果性

  D、为针对该领域的未来审计活动编制计划

  30、如果被审计单位在最终审計报告出具之前已对审计发现做出了反应这些反应:

  A、应该在最终审计报告中得到反映

  B、应该马上接受准确性测试

  D、不需偠包括在审计卷宗中

  31、公司的管理层要求内部审计部门协助确定新的自动化系统是否可执行,以及支持软件是由自己开发还是购买或昰租用这将要求对备选方案的结果进行评价。该公司对这些选择方案进行评价所使用的最有效的工具将是:

  32、在某大型计算机制造公司中各部门间是否一致遵守一项新的、但不受欢迎的采购指南引起了很大关注。内部审计师按照采购百分比加以排序并且标明该部門所属的分公司。审计师对分公司A与分公司B中部门平均等级的标准差进行t检验以测试二者在遵守政策方面有无差异,结果发现分公司A(蔀门较多)的平均等级明显高(优)于分公司B、根据该分析可以得出以下结论:

  A、分公司A更好地遵守了新政策

  B、应当对各部门进荇随机抽样并重新进行计算分析

  C、当接受检查各组的规模不一样时t检验无效

  D、关于此类数据不适用t检验,应当采用其他方法进荇分析

  33、在核证以下哪项存在性论断时函证手段最为有效?

  A、为机械车间增加了一台铣床

  B、在正常经营期间销售商品

  D、对公司开发的特殊程序授予专利

  34、以下有关边际成本的哪个表述是准确的:

  A、边际成本等于总成本函数求导

  B、边际成本增加产量增加

  C、边际成本减少,产量增加

  D、当总成本增加时边际成本增加

  35、内部审计师在发出最终的审计报告前应与恰当層面的管理层讨论结论和建议。以下哪项是结束会议应由内部审计师记录的主要原因:

  A、如果引起争论就可能需要有关的信息

  B、專业实务标准要求记录结束会议

  C、可能需要信息来修改以后的业务工作方案

  D、结束会议记录是以后的业务的依据

  36、内部审计師发现一名高级经理从事的非法活动这类信息:

  A、不应包括在内部审计报告中,而应与该高级经理口头讨论

  B、必须立即报告给適当的政府机构

  C、可能在单独的报告中披露并发送给所有高层管理人员

  D、可能在单独的报告中披露,并发送给董事会

  37、与郵寄问卷调查相比面对面谈话有许多优势,但以下哪项内容除外

  A、一般而言,面谈的答复率更高

  B、面谈可以增进答复者对问題的理解

  C、调查问卷设计者可以应用更加丰富多样的问题类别

  D、由于避免了邮寄成本面谈比较便宜

  38、现有有力证据表明,某高级经理已参与舞弊性质的内幕交易但是,该证据是在开展经营审计时获得而且被认为与审计不相关,首席审计执行官应该采取的朂恰当行动是以下哪项内容

  A、向外部法律顾问报告该证据,以便后者就此开展调查然后,将法律顾问的调查发现报告管理层

  B、向审计委员会主席报告该证据并建议开展调查

  C、开展充分的审计工作,以得出是否已发生舞弊行为的结论然后的将审计发现报告给审计委员会主席,如果公司没有采取任何恰当的行动则将审计发现报告给政府官员

  D、停止与内部交易有关的审计工作,因为该項工作现有审计不相关

  39、应用以下信息回答第39-41题在准备审计某著名零售公司的鞋类分部时,内部审计师收集了以下关于该公司零售商店的信息:所有商店东北地区西南地区中部地区各商店平均销售额$736000$840,000$760000$630,000各商店销售商品平均成本$375000$420,000$325000$395,000商店数量各商店平均面積(平方英尺)1500全职雇员人均销售额$137000$152,000$140000$122,000各商店平均工资支出$98000$102,000$82000$112,000各商店平均净利润$238000$285,000$320000$115,000除了劳动力成本与每家商店有关嘚其他成本还包括租赁和维修费用。

  39、以下哪项内容可以解释中部地区比较低的利润率

  ⅰ、中部地区的租赁和维修费用高于其怹地区

  ⅱ、中部地区的雇员在创造销售额方面没有其他地区雇员那么高效

  ⅲ、中部地区的毛利率比较低。

  C、只有ⅱ和ⅲ是对嘚

  D、iⅱ和ⅲ都对

  40、以下哪项内容表述了一种正确有效的结论?

  A、各商店平均销售额与商店规模直接相关

  B、规模较大商店的雇员劳动生产率比较低

  C、毛利率与商店规模直接相关

  D、所售商品成本与商店规模直接相关

  41、以下哪种说法不正确

  A、中部地区各店平均全职雇员人数少于其他地区各店平均数

  B、其他所有地区每平方英尺所产生的销售额都高于中部地区

  C、中部地區全职雇员人均工资最高

  D、为公司总利润做出最大贡献的是西南地区

  42、银行的内部审计师注意到一项与接触某分行金库里的现金囿关的重大薄弱环节。以下哪项是针对这一薄弱环节的最令人满意的方式内部审计师应:

  A、在草拟审计报告前,与分行经理讨论该缺陷若审计师与经理在纠正措施上达成了一致,且纠正措施在报告拟就前已经实施这一缺陷就不必写进审计报告中

  B、在草拟审计報告前,与分行经理讨论该缺陷若审计师与经理在纠正措施上达成了一致则将该缺陷与纠正措施都写进审计报告

  C、在审计报告拟就後,与分行经理讨论该缺陷

  D、在审计报告拟就前后都不与分行经理讨论该缺陷讨论可能弱化报告的影响

  43、以下哪类人员的组合朂适合参加结束会议(exit ConferenCe):

  A、负责的内部审计师、熟悉运营细节并有权采取纠正措施的管理层的代表

  B、首席审计执行官与负责所審核活动或部门的管理人员

  C、在现场工作的助理内部审计师、日常负责所审核活动或部门的工作人员

  D、在现场工作的助理内部审計师与负责所审核活动或部门的管理人员

  44、在审计某银行商业货款处理程序是地,审计师检查了85笔已发放的贷款样本结果他注意到,尽管银行政策要求在发入贷款必须事先经过贷款委员会批准其中的4笔贷款并没有得到贷款委员会批准。由于时间限制一位银行副行長批准了这4笔贷款。针对这种情况以下哪种说法是正确的?

  ⅰ、样本离差率超过4%

  ⅱ、审计师应该检查副行长批准的贷款的性質以确定这是否已形成一种模式

  ⅲ、应该在该项审计业务的最终报告中包括上述观察到的情况,并建议贷款委员会复核这些已发放嘚贷款

  A、只有ⅰ和ⅱ是对的

  B、只有ⅰ和ⅲ是对的

  C、只有ⅱ和ⅲ是对的

  D、ⅰ,ⅱ和ⅲ都对

  45、某大银行的审计师正在審计以不动产抵押的一笔贷款的可收回性关于该笔货款可收回性的最佳证据是:

  A、对被抵押不动产价值进行的最新独立评价

  B、證明贷款委员会已批准该笔货款的文件

  C、借款人对贷款余额的核实

  D、填写正确的署名贷款申请表格

  46、作为风险分析的一部分,一位审计师希望使用过去30个月的销售结果预测下个月某个工厂销售量的增长情况审计人员已经归纳了在过去9个月组织内影响销售量变囮的显著因素。最有效的分析技术将是:

  A、未加权的移动平均

  47、以下哪项不是出具中期报告的优势:

  A、缩短撰写最终报告的時间

  B、中期报告使需要立即引起关注的信息得到沟通

  C、中期报告可以是非正式的可以只通过口头来传递

  D、正式的书面中期報告打消了对特定情形的审计报告的需要

  48、首席审计执行官应将结果发布给适当的对象(标准2440)。向外部机构发布信息:

  A、受《標准》的禁止

  B、要求排除对《标准》的参考

  C、要求所开展的业务生成的信息与《标准》保持一致

  D、仅在开展新业务的时候是尣许的

  49、关于空中旅行信息的报告(包括舱位等级、购票日期和最低票价)最可能被用于以下哪项内容

  A、评价对公司差旅政策嘚遵守情况

  B、确定雇员差旅成本

  C、将各部门实际费用与预算相比较

  D、确定可能对公司信用卡进行不恰当应用的情况

  50、应鼡以下资料回答第50至51题。某公司正在按自己的需要对采购来的自动化计时和考勤系统进行改造目前,这一重大项目正严重超过资金预算并大大落后于原时间计划。该系统没有按要求与现有的人力资源和工薪系统成功连接项目领导声称,已经在该项目上花费太多的时间囷金钱因此现在不能停止项目。于是项目小组仍在开展工作

  50、内部审计师现在应该开展哪项工作?

  A、建议暂停项目重新评價其他选择方案

  B、建议修改时间资金预算

  C、建议项目领导聘用外部咨询专家来协助完成项目

  D、主动提出直接协助项目的日常唍成工作,以控制成本

  51、对该系统开发项目进行审计的内部审计师应该把以下哪项内容确定为关键问题

  A、专门投入该项目的财仂和人力都不够充分

  B、用户没有充分参与软件的选择

  C、尽管项目没有有效运作,项目小组还在继续投入资源

  D、该项目的时间囷资金预算都定得太低

  52、在评估员工所拥有技能是否足以胜任其工作时审计师将各职位的说明与担任这些岗位的雇员所持有资历证書进行比较,通过这种比较获得的证据是:

  53、某生产部门从过去12个月中有采购行为的所有客户中随机抽取了100个采购部门并将客户服務调查问卷邮寄给他们,最后收到的回复有45份生产部门经理担心在这种情形下被调查客户倾向于不答复问卷,这种担心最有可能是出于鉯下哪种原因

  A、更难计算抽样平均数的标准验证错误发生未知错误

  B、不作答复者可能与答复者存在体制上的区别

  54、内部审計师已完成对公司活动的审计,准备出具审计报告不过,业务客户内部审计师的结论内部审计师应该:

  A、直到达成一致意见后才絀具审计报告

  B、与客户一起开展更多的工作,解决意见不一致的地方直到达成一致意见后才出具审计报告

  C、出具审计报告,并指出业务客户作出的范围限制使结论产生差异

  D、出具审计报告同时表明内部审计师与业务客户的立场以及意见不一致的原因

  55、朂终的业务沟通中的建议应关注哪类属性:

  56、审计师在审计中发现,被审计部门存在大额差旅费预支累积现象以下哪项说明了造成這种现象的原因?

  A、为雇员预支的大额差旅费的积累对公司的现金状况产生了负面影响

  B、一些差旅费的预支超过了规定的最高限額

  C、公司政策规定只有雇员已得到出差授权后才可预支差旅费

  D、公司程序不要求为超过最高限额的差旅费预支提供具体理由说奣

  57、提供及时有用的信息并促进改善经营管理是内部审计师的目标。为了实现这一目标审计师在审计报告中应该:

  A、向高层管悝部门提供强调经营缺陷详情的报告

  B、向经营管理部门提供强调普遍关注问题和风险的报告

  C、在与被审计单位讨论报告之前,用書面形式提供信息

  D、提供符合经营管理部门和高层管理部门期望和观念的报告

  58、在开展经营审计业务时某审计师观察到,公司囿大量地面储存容器而且公司烟囱排放出大量黑色排放物。公司已设立环境安全部门而且审计范围不包括环境问题。那么审计行动嘚最好程序是:

  A、在为下一年制定审计计划时考虑环境风险问题,但不要拓展现有审计范围因为预算和重点风险领域已经确定

  B、将所观察到的情况向审计委员会报告,并就是否应该将审计范围扩大以覆盖环境问题寻求后者的建议

  C、将所观察到的情况进行文字處理并向环境安全部门报告。采取跟踪行动确定该部门是否已采取及时行动

  D、向当地政府询问储存容器的使用规定,以确定这些嫆器是否已正确归类为资产不要对环境问题采取任何行动,因为审计师在该领域缺乏训练而且此种行动属于另一现有职能部门的责任

  59、审计某医疗研究公司的目的是,评价管理层的控制保证及时向公司承包的研究项目的赞助人提交报告。在为实现此目的而编制审計计划时审计师应该从何入手?

  A、审查政策和程序

  B、与一组研究管理人员面谈

  C、在一些实验室中观察报告的编写过程

  D、对研究赞助人进行抽样问卷调查

  60、要确定已完成的采购交易是否有效以及是否在最佳价位采购物资,以下哪项内容能够提供最佳證据

  A、采购申请、日记账凭证分录以及投标报价

  B、采购申请、采购定单和卖方发票

  C、采购申请和购货定单

  D、对存货进荇的观察和检查

  61、某审计经理允许某审计工作小组就是否采用新的工作程序做决定。在允许工作小组这么做时审计经理应该明白,笁作小组:

  A、倾向于作出非常保守的决定而且不想承担风险

  B、与个人相比,做决定的速度更快因为小组比个人拥有更多的技術专长

  C、所做出的决定没有个人决定准确

  D、所做出的决定比个人决定风险更大,而且削减了个人对所做决定应负的责任

  62、内蔀审计师怀疑财务报表可能存在潜在的误报情形但缺乏可靠证据。审计师采取以下哪项行为将会违背应有的职业审慎原则:

  A、辩明驗证错误发生未知错误可能存在的方式并将其列作审计调查的内容

  B、将这一疑点告知审计经理并寻求如何开展审计的建议

  C、不对鈳能的误报进行测试因为审计业务工作方案已通过审计管理层的批准

  D、未经业务客户同意就扩大审计工作方案,以确定误报发生的朂可能情形

  63、在评估某大型医院后勤工作的质量时以下哪项内容可以提供最可靠的证据来源?

  A、对医务人员进行抽样面谈

  B、在医务人员之间开展问卷调查并对医务人员直接返回后勤工作部经理的问卷进行审查

  C、对后勤工作部经理保持的后勤工作记录进荇检查

  D、与高层医院领导面谈

  64、以下哪项对内部审计师在审计业务中所表达的意见做出了最佳界定:

  A、重要审计发现的总结

  B、内部审计师对所审核情形的专业判断

  C、在审计报告中包含的结论

  D、为纠正措施提出的建议

  65、在下列实质性调查工作程序中,哪一项能够最好地提供关于收入记录的完整性的信息:

  A、总账控制账户与销售日记账核对一致

  B、保证应收账款辅助分类账嘚凭单能够支持运输记录

  C、保证运输记录是连续编号的

  D、运输记录与已记录的销售额一致

  66、分析性程序能使内部审计师预测項目的金额或数量以下哪项信息不能形成对项目金额或数量的估计:

  A、追踪贯穿于系统中的交易,确定是否按规定运用了分析性程序

  B、将财务数据与可比期间的数据、预期的结果(如预算和预测)以及类似的行业数据进行比较

  C、研究财务数据要素间的关系,根据公司的经验可以预期到这种数据间的关系与可预测的模型是保持一致的

  D、研究财务数据与相关的非财务数据

  67、应用以下資料回答第67至68题审计师对某工程研究部门的有害原料装卸和处理进行审计,其工作底稿提供了关于以下程序得到开展的证据●没有来得及從现场装运走的桶装有害废弃物得到库存实物清点结果与公司存货记录吻合●将在处理地点收到的有害废弃物装运样本与装运单以及公司记录相比较,没有发现任何验证错误发生未知错误●在废弃物装卸过程中审计人员对工程人员进行了实地观察,没有发现有违反公司政策的地方●审计人员核实有害原料的采购已得到批准。在50个被测试的栏目中有一张发票找不着,因而也就无法核实这张发票是否得箌批准67、将桶废弃物数量与存货记录进行核对,可以提供关于以下哪项内容的证据

  A、有害废弃物正按公司政策规定得到处理

  B、所使用的有害原料数量得到准确记录

  C、运到废弃物处理地点的桶装废弃物一直得到记录

  D、存货中的所有有害桶装废弃物都得到会計处理

  68、根据审计工作底稿该审计业务提供了关于以下哪项内容的保证:

  A、运到处理地点的有害废弃物已经得到正确记录

  B、有害原料的使用得到正确授权

  C、目前的有害原料库存以安全方式存放

  D、有害原料没有排放到该部门的空气、地面或水环境中

  69、关于某博物馆礼品店每月销售退货量的最可靠证据是以下哪项内容?

  A、仓库中标明为“退货”商品

  B、现金出纳机收据每张嘟写有“退货”字样

  C、向客户退款的信用卡凭证

  D、客户填写和署名的退货表格

  70、在将当前的财务报表与预算或以前的报表进荇比较时,分析性程序主要是用于确定:

  A、财务报表披露的适当性

  B、存在具体的验证错误发生未知错误或遗漏

  C、报表内容的總体合理性

  D、截止日的验证错误发生未知错误采用

  71、在审计过程中内部审计师应该考虑以下哪个因素来确定分析性程序的使用范围:

  A、内部控制系统的充分性

  B、被检查领域的重要性

  C、预测分析性程序结果的准确度

  D、以上答案都正确

  72、使用个囚电脑提高审计的效率和效果的两个必要条件是选择:

  A、适合于个人电脑应用程序的审计任务,以及完成这些审计任务所需要的软件

  B、可以完成选择审计任务的软件以及可以被审计师个人电脑进入的数据

  C、可以被审计师个人电脑进入的数据,以及适合于个人電脑应用程序的审计任务

  D、对公司数据的合理抽样以及完成这些审计任务所需要的软件

  73、以下哪项内容可以使公司的应收账款周转率在三年中稳步下降?

  A、提高为提前付款提供的折扣

  B、实施更加开放的信贷政策

  C、按周而不是按月提供发票

  74、与开票记录相比以下哪种文件能为确定是否所有装运货物都已向客户开票提供最佳信息来源?

  A、事先编号的客户发票

  B、应收帐会计倳项

  C、事先编号的装运单据

  75、从卖方发票进行随机抽样并将样本与采购定单进行比较,在此基础上可以得出哪种结论

  A、沒有重复收到同样的发票

  C、发票针对得到授权的采购内容开具

  D、经过授权的发票得到的支付

  76、在审计现金控制时,审计师将收到的现金收入样本与(1)每日现金日记账分录的现金收入总额及(2)每日银行储蓄凭证金额进行比较结果表明(1)每份现金收入清单與现金日记账分录总额相符,但与每日银行储蓄金不符(2)从长期角度看现金收入清单总额与银行储蓄总额相符。

  A、充分但不够囿力,也不相关

  B、充分、有力、相关

  C、不充分不有力,也不相关

  D、相关但不充分,也不有力

  77、通过应用综合测试功能测试银行贷款余额审计师可以检查以下哪种论断?

  ⅰ、关于货款存在性的论断

  ⅱ、关于货款计价的论断

  ⅲ、关于货款得箌正确利息计提的论断

  ⅳ、关于货款资金得到恰当应用的论断

  A、只有ⅰ和ⅱ是对的

  B、只有ⅱ和ⅲ是对的

  C、只有ⅲ和ⅳ是對的

  D、ⅰⅱ,ⅲⅳ都对

  78、小组决定最适用于确定:

  A、是否需要报告对管理部门提出批评的重要审计发现

  B、在被审计單位的运营存在不确定性和风险时是否需要扩大审计方案

  C、在最初抽样结果显示存在重大舞弊嫌疑时,是否需要扩大审计程序

  D、茬编制最终审计报告之前与被审计单位一起复核关键审计发现

  79、一个会计部门的职员,将一些不存在的供应商的虚假发票输入系统所有的支付都被寄到一个地址。审计师怀疑这是一种欺诈检查这种欺诈的最有效的计算机审计技术是:

  A、使用几个供应商作为测試数据,寻找意外的结果

  B、对计算机程序变化进行一次完全审计

  C、使用审计自动化软件在多个文件中比较地址,打印出所有重複的地址进行检查

  D、使用整合测试设施对应用程序的控制措施进行检查,寻找意外的结果

  80、在审计一个计算机会计系统时以丅哪项有关平行模拟的说法是验证错误发生未知错误的:

  A、管理者的计算机程序对交易进行重新处理

  B、审计期间的交易可能被重噺处理

  C、只有实际的,而不是虚拟的交易被重新处理

  D、通常这种审计方法成本高昂

  81、某目前担任某公司的采购部主任他签署了一份合同,从价格、质量和业绩都属上乘的供应商进行大宗采购在签署合同后不久,该供应商将一件价值不菲的礼品赠送给该注册內部审计师以下哪项关于接受该礼品的说法是正确的?

  A、只有当接受礼品打破常规时才禁止接受该礼品

  B、接受该礼品将违反《協会职业道德规范》而且注册内部审计师不得接受此类礼品

  C、鉴于该注册内部审计师并没有担任内部审计师职位,因此是否接受禮品只受该公司行为道德规范的管辖

  D、鉴于合同已以赠送礼品前签署,因此接受该礼品不会违反《协会职业道德规范》

  82、某内部審计师在对某保险公司进行审计时发现该公司高层管理人员为了逃避重大法定制裁,故意在提交给监管机构的财务报表中将资产项下的20萬美元进行了验证错误发生未知错误分类要继续遵守《国际内部审计师协会职业道德规范》,审计师应采取的最合适的措施是什么

  A、在工作底稿中记录以上情况,但在得到指示之前不采取进一步措施

  B、与审计管理人员讨论此事并保证将情况通报董事会

  C、姠董事会发送情况通报备忘录

  D、既然已牵涉到高层管理人员,应将此事向监管机构报告

  83、在将标准用于内部审计专业时以下哪項内容不属于标准所指内容?

  A、籍以评估和衡量内部审计部门运作的标准

  B、决定内部审计最低行为道德水平的说明

  C、用以代表内部审计所应开展实务的基本原则

  D、适用于各种内部审计部门的标准

  84、某公司总裁拥有该公司55%的股份以下哪项说法不合情理?

  A、总裁对改善公司的经营状况有强烈的动机因为这将增加公司股份的价值

  B、总裁会面临将个人利益凌驾于其他股东之上的诱惑

  C、总裁舞弊的可能性减少,因为舞弊将削弱投票的价值

  D、总裁不会参加董事会的审计委员会

  85、某牙齿保险公司已实施电子保险索赔提交程序它担心的是,牙医们在为子虚乌有的服务申请保险索赔要防止此类舞弊的发生,以下哪种控制程序最为有效

  A、编制一种程序,依据被保险人年龄确定针对个人的、超出正常预期的程序并确定最近是否实施过类似程序,或者确定每份保险索赔的岼均成本

  B、要求提交的所有保险索赔申请都附有牙医署名声明证明保险索赔申请所指过程确实已得到履行

  C、向牙医进行函证,核实向保险公司提交的保险索赔申请的确切性质

  D、开发综合测试功能并提交虚假保险索赔,以核实系统能够连贯一致地发现这些虚假索赔

  86、对于计算机化程度为什么应该影响审计师对舞弊风险的分析评价这一问题以下哪项内容提供了最佳描述?

  A、信息系统笁作人员以及电脑用户可能都能获得接触资产的途径

  B、设计并实施内置良好控制程序的计算机化系统成本太高

  C、以人工手段超越計算机系统控制的现象难以被发现

  D、在计算机化系统中更容易超越控制措施

  87、要防止有人通过向子虚乌有的卖主发送采购定单的方式进行舞弊以下哪种控制程序效果最差?

  A、要求所有物资都必须向得到授权的卖主采购而且负责维护该清单的人不能同时负责發出采购定单

  B、要求只能根据实际生产情况,对业经批准的卖主支付货款

  C、要求出售给公司生产材料的所有主要卖主都与公司签署合同

  D、要求每个月的总采购额不得超过该月的采购总预算

  88、某大型政府机构的内部审计师在开展工薪审计时发现分配给人事蔀门助理主任的存在分工不充分问题。当内部审计师解释舞弊风险时该助理主任显得沮丧,他终止了面谈并威胁说,如果审计业务不停止他将起诉机构损害其名誉。于是内部审计师就此情况与审计执行主管讨论,后者应该:

  A、停止审计业务以免陷入潜在的法律訴讼

  B、向高层管理人员提交报告建议开展舞弊调查

  C、按计划继续执行原定审计方案,但在最终审计报告中加入关于该助理主任反应的评论意见

  D、增加测试工作以确定是否存在其他舞弊迹象

  89、某政府机构的审计师发现,与该机构签约提供计算机服务的一镓公司明显是在开展研究和开发工作并就这些工作向政府机构收费。就可能存在的舞弊而言以下哪种说法是正确的?

  ⅰ、舞弊必須展示故意的欺骗行为

  ⅱ、确定该公司的行径是否违反合同条款是法律部门而非审计部门的职责

  ⅲ、只有在该公司已对其他客戶实施类似的计算机服务时,此种行为才构成舞弊

  C、只有ⅰ和ⅱ是对的

  D、ⅰ、ⅱ和ⅲ都对

  90、以下哪种情形是管理层发生舞弊最可能出现的迹象?

  A、根据销售额的增加支付佣金

  B、管理报告的出具总是不及时

  C、管理人员经常履行其下属的职责

  D、茬本行业中收益较低

  91、舞弊最经常通过以下哪种方式得到发现:

  A、对雇员或公民提供的线索进行追踪

  B、对高风险领域的分析性复核进行追踪

  C、对现金和其他资产进行定期对账

  D、以突然袭击方式对程序或部门开展审计或审查

  92、审计师在获悉某机构存茬严重控制薄弱环节、表明可能已发生舞弊后下一步应该采取什么措施?

  A、发布确定控制薄弱环节的书面报告

  B、开展旨在发现其它舞弊迹象的测试

  C、将怀疑已发生舞弊的情况通知管理人员

  D、在合适时建议开展有内部审计师、律师、调查人员、安全人员囷其他有关专家参加的舞弊调查

  93、某政府承包商的审计师发现了舞弊活动。该公司有专门调查舞弊的部门审计师与高层管理人员和舞弊专门调查部门都进行了沟通,此后调查工作交给了专门调查部门。但是一个月以后高层管理人员已明显指示专门调查部门停止调查。那么审计师应该:

  A、马上将此种情况和审计师的发现向审计委员会报告

  B、马上将此种情况和审计师的发现向相关政府监管蔀门报告,因为审计师不能明知故犯成为非法活动的帮凶

  C、不采取任何进一步的行动。审计师已将舞弊活动的性质向公司内部恰当主管人员报告而且审计师无权继续开展调查工作

  D、将审计发现通报外部审计师,因为外部审计师应该知悉任何已经发生的舞弊行为

  94、某大型零售公司的审计师怀疑销售商品成本很高的三家商店都在发生存货舞弊以下哪种审计活动可以提供关于舞弊正在发生的最囿说服力的证据?

  A、应用综合测试功能(ift)将单项销售交易与通过综合测试功能提交的测试交易进行比较,对两者的差异进行调查

  B、与三家商店的经理进行面谈确定他们对所观察到的差异的解释是否一致,然后将他们的期望与部门经理进行比较

  C、安排一次突袭型存货审计包括对实物存货进行清点。调查存在存货萎缩的领域

  D、选取各商品价格样本将它们与现金收款机上输入的同一项目的价格进行比较

  95、某内部审计师收到匿名举报,得知某生产线经理订购的更替部件远远超过所需数量而且多余的部件从未发货。該经理对收货单据进行处理然后将这些部件在机器维修帐目中列支。针对这些从未发货的部件的货款都支付给了供应商后者再将所得金额与生产线经理分赃。以下哪种测试最能协助审计师决定是否调查该匿名举报线索

  A、将当前季度的维修费用与前一阶段的业务进荇比较

  B、对更替部件进行实物存货测试,以确定其存在性和价值

  C、对在机器维修帐目中列支的维修部件进行分析审查被更替项目数量的合理性

  D、对部件发票的测试抽样进行审查,以确认是否获得恰当授权、是否确实收货

  96、在准备审计某著名零售公司的鞋類分部时内部审计师收集了以下关于该公司零售商店的信息:

  除了劳动力成本,与每家商店有关的其他成本还包括租赁和维修费用

  以下哪项内容可以解释中部地区比较低的利润率

  1、中部地区的租赁和维修费用高于其他地区

  2、中部地区的雇员在创造销售額方面没有其他地区雇员那么高效

  3、中部地区的毛利率比较低

  C、只有2和3是对的

  D、1,23都对

  97、在准备审计某著名零售公司嘚鞋类分部时,内部审计师收集了以下关于该公司零售商店的信息:

  除了劳动力成本与每家商店有关的其他成本还包括租赁和维修費用。

  以下哪项内容表述了一种正确有效的结论

  A、各商店平均销售额与商店规模直接相关

  B、规模较大商店的雇员劳动生产率比较低

  C、毛利率与商店规模直接相关

  D、所售商品成本与商店规模直接相关

  98、在准备审计某著名零售公司的鞋类分部时,内蔀审计师收集了以下关于该公司零售商店的信息:

  除了劳动力成本与每家商店有关的其他成本还包括租赁和维修费用。

  以下哪種说法不正确

  A、中部地区各店平均全职雇员人数少于其他地区各店平均数

  B、其他所有地区每平方英尺所产生的销售额都高于中蔀地区

  C、中部地区全职雇员人均工资最高

  D、为公司总利润作出最大贡献的是西南地区

  99、某审计师根据产品类别计算存货周转率,他发现一些产品类别的周转率不到3、5、这些审计结果可以证明以下哪些结论是站得住脚的

  1、审计师发现的产品类别包括过时存貨

  2、存货计价超过净可实现价值

  3、存货成本太高,因为公司正在储存过时存货

  B、只有1和3是对的

  C、12,3都对

  D、12,3都鈈对

  100、审计师在审计描述公司采购部门的流程图时最有可能发现以下哪种控制薄弱环节

  A、公司没有为得到授权进行采购的雇员莋保

  B、公司没有利用其供应商按采购数量提供的折扣

  C、公司没有为担任负责职务的个人制定强制休假政策

  D、公司在收到货物の前就对供应商付款

  101、底稿提供了关于以下程序得到开展的证据:

  A、没有来得及从现场装运走的桶装有害废弃物得到库存。实物清点结果与公司存货记录吻合

  B、将在处理地点收到的有害废弃物装运样本与装运单以及公司记录相比较没有发现任何验证错误发生未知错误

  C、在废弃物装卸过程中,审计人员对工程人员进行了实地观察没有发现有违反公司政策的地方

  D、审计人员核实,有害原料的采购已得到批准在50个被测试的栏目中,有一张发票找不着因而也就无法核实这张发票是否得到批准

  102、将桶装废弃物数量与存货记录进行核对,可以提供关于以下哪项内容的证据:

  A、有害废弃物正按公司政策规定得到处理

  B、所使用的有害原料数量得到准确记录

  C、运到废弃物处理地点的桶装废弃物一直得到记录

  D、存货中的所有有害桶装废弃物都得到会计处理

  103、根据审计工作底稿该审计业务提供了关于以下哪项内容的保证:

  A、运到处理地点的有害废弃物已经得到正确记录

  B、有害原料的使用得到正确授权

  C、目前的有害原料库存以安全方式存放

  D、有害原料没有排放到该部门的空气,地面或水环境中

  104、小组决定最适用于确定:

  A、是否需要报告对管理部门提出批评的重要审计发现

  B、在被审计单位的运营存在不确定性和风险时是否需要扩大审计方案

  C、在最初抽样结果显示存在重大舞弊嫌疑时是否需要扩大审计程序

  D、在编制最终审计报告之前,与被审计单位一起复核关键审计发現

  105、某公司为几个项目进行人员配备用以验证各项目劳动力成本的最有用的证据是什么?

  A、由每位雇员保持的经项目监管人員审批的工作记录单

  B、工资系统出具的项目劳动力分配报告

  C、电脑系统自动保持的上班签到和下班签退记录

  D、项目经理关于烸位雇员在每个项目所花工作时间的估算

  106、某审计师怀疑计算机的人力资源系统包含无效的数据。例如无效的工种分类、超过退休姩限的年龄及无效的民族分类等。为确定此情况最佳的方法是:

  A、利用测试数据,测试数据输入的编辑控制的有效性

  B、检查和測试存取控制确保只有经授权的职员才能进入系统

  C、运用通用审计软件,确定不在特定参数内的所有数据

  D、运用通用审计软件選取职员的样本确定样本中数据项目的有效性,并以此推断总体情况

  107、某连锁面包房的统计模型可根据销售额与所用配料成本的正仳关系以及与雨天天数的反比关系预计各连锁店的每日销售额。内部审计师可从以下哪项内容寻找雇员从某家连锁店偷盗食品的线索

  A、在某个下雨天,如果与所用配料之成本相比较则总销售额高于预计水平

  B、在某个晴天,如果与所用配料之成本相比较则总銷售额低于预计水平

  C、总销售额和所用配料成本都高于预计水平

  D、总销售额和所用配料成本都低于预计水平

  应用以下资料回答题

  某审计师在初步调查中收集了以下信息:

  客户满意度(1[最满意]~10[最不满意])6 8 10未知

  行政管理人员奖金165万美元250万美元280万美元未知

  经销中心数量12 7 3未知

  108、从上表数据可以合乎逻辑的得出以下哪种结论:

  1、客户满意程度不是行政管理人员奖金的重要组成內容

  2、管理人员在降低单位库存总成本和存货储存成本方面效率低下

  3、行政管理人员奖金没有依据总体赢利情况或股票价格

  C、只有1和2是对的

  D、1,23都对

  109、根据作为初步调查内容而收集的信息,以下哪项关于因果关系的表述是不合理的原因结果

  A、經销中心数量减少客户满意程度降低

  B、客户满意程度降低销售商品库存天数增加

  C、客户满意程度降低应收帐款周转率降低

  D、銷售商品库存天数增加应收帐款周转率降低

  根据以下内容回答题

  某中型城市每年为31000名用户提供85亿加仑水。水表至少每隔5年更换一佽以保证准确的记表数。供水部门最近公布了以下业务报告:

  110、根据针对更换水表项目所报告的业务情况内部审计师得出的结论昰:

  A、既定操作标准已得到客户的理解和遵守

  B、在该季度可能已采取了所需的纠正措施

  C、应分析和纠正偏离目标的现象

  D、每隔3年应该更换一次水表

  111、根据报告中提到的第一季度渗漏水维修业务情况,内部审计师可以得出以下哪项结论

  A、既定操作標准已得到客户的理解和遵守

  B、应分析和纠正偏离目标的现象

  C、应修改操作标准

  D、渗漏维修项目的人员配备过剩

  112、在核證以下哪项存在性论断时,函证手段最为有效

  A、为机械车间增加了一台铣床

  B、在正常经营期间销售商品

  D、对公司开发的特殊程序授予专利

  113、以下哪项内容是审计过程中向雇员收集敏感信息的有效方法?

  A、将此前与该雇员的同伴进行面谈时获取的一条信息告诉该雇员

  B、问卷一开始就开宗明义提出敏感问题,从而保证它们得到回答

  C、指出职业道德声誉对于审计师获得业务成功具有至关重要的意义如果审计师违反保密规定其声誉将受到严重损害

  D、指出管理人员已全面授权审计师开展这种面谈

  114、系统流程图:

  A、说明已得到执行的具体编辑测试和批量控制协调措施

  B、为未来的职责分工提供良好指南

  C、一般根据系统变化得到及時更新

  D、只显示电脑处理过程,不显示人工处理过程

  115、在开展经营审计业务时某审计师观察到,公司有大量地面储存容器而苴公司烟囱排放出大量黑色排放物。公司已设立环境安全部门而且审计范围不包括环境问题。那么审计行动的最好程序是:

  A、在為下一年制定审计计划时考虑环境风险问题,但不要拓展现有审计范围因为预算和重点风险领域已经确定

  B、将所观察到的情况向审計委员会报告,并就是否应该将审计范围扩大以覆盖环境问题寻求后者的建议

  C、将所观察到的情况进行文字处理并向环境安全部门報告。采取跟踪行动确定该部门是否已采取及时行动

  D、向当地政府询问储存容器的使用规定,以确定这些容器是否已正确归类为资產不要对环境问题采取任何行动,因为审计师在该领域缺乏训练而且此种行动属于另一现有职能部门的责任

  116、在以下哪种情况下,内审部门的运作效率能得到最大的提高

  A、内审部门的工作底稿标准允许文件编制范围随审计目的的变化而变化

  B、内审部门的笁作底稿标准要求监管人员对他们审查的每一份底稿签署姓名首字母和日期

  C、内审部门的工作底稿标准允许外部人员或机构获取工作底稿,但必须事先征得高级管理人员或审计委员会的同意

  D、内审部门的工作底稿标准鼓励每份工作底稿对其所用的任何审计验证标记進行书面说明

  117、开展跟踪审查的首要目的是

  A、保证内部审计建议得到及时考虑

  B、确证是否针对审计师报告的情况采取恰当荇动

  C、允许内部审计师评估其建议的效果性

  D、为针对该领域的未来审计活动编制计划

(责任编辑:中大编辑)

我要回帖

更多关于 验证错误发生未知错误 的文章

 

随机推荐