2025年移动安全工程师考试题库（附答案和详细解析）（0918）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下Android组件中，默认与应用进程共享且最易因未限制导出导致安全风险的是？

A.Activity

B.Service

C.BroadcastReceiver

D.ContentProvider

答案：B

解析：Android的Service组件默认与应用运行在同一进程，且若未在AndroidManifest.xml中设置android:exported=false，外部应用可通过Intent调用，易导致越权执行（如恶意应用调用后台Service发送短信）。Activity通常需用户交互触发，BroadcastReceiver需注册特定Action，ContentProvider需URI匹配，三者默认导出风险低于Service。

iOS应用沙盒机制的核心限制是？

A.禁止访问系统相册

B.限制应用仅能访问自身目录下的文件

C.禁用网络请求

D.强制使用HTTPS通信

答案：B

解析：iOS沙盒机制通过文件系统隔离，每个应用仅能访问自身沙盒目录（如Documents、Library），无法直接访问其他应用或系统根目录，是iOS应用数据隔离的核心机制。其他选项均为沙盒的延伸影响而非核心限制。

移动应用中使用SharedPreferences存储敏感数据（如token）的主要风险是？

A.数据存储在内存中易被内存dump

B.文件默认全局可读（Android）或可被其他应用通过iTunes备份获取（iOS）

C.无法设置加密算法

D.存储容量受限

答案：B

解析：Android的SharedPreferences默认存储为XML文件，若未设置MODE_PRIVATE则全局可读；iOS的NSUserDefaults数据会被iTunes备份，导致敏感信息泄露。敏感数据应使用加密存储（如AndroidKeystore、iOSKeychain）。

以下工具中，专门用于Android应用逆向分析的是？

A.Charles

B.Frida

C.Wireshark

D.Xcode

答案：B

解析：Frida是动态插桩工具，支持Android/iOS应用逆向分析，可Hook函数调用并修改行为。Charles和Wireshark是网络抓包工具，Xcode是iOS开发工具。

移动应用中WebView组件最常见的安全漏洞是？

A.SQL注入

B.任意URL加载导致的钓鱼攻击

C.栈溢出

D.拒绝服务攻击

答案：B

解析：WebView若未限制可加载的URL范围，恶意应用可通过loadUrl()加载钓鱼页面，诱导用户输入敏感信息。SQL注入多见于本地数据库操作，栈溢出是二进制漏洞，拒绝服务攻击较少针对WebView。

以下不属于移动终端恶意软件常见传播途径的是？

A.第三方应用市场下载

B.系统升级推送

C.钓鱼短信链接

D.蓝牙文件传输

答案：B

解析：系统升级由官方渠道推送，通常经过安全校验；恶意软件多通过第三方应用市场（含恶意APK）、钓鱼链接（诱导下载）、蓝牙文件传输（发送伪装APK）传播。

移动支付场景中，“二次跳转”攻击主要针对的是？

A.支付接口未校验来源

B.支付密码复杂度不足

C.设备未开启指纹识别

D.网络传输未加密

答案：A

解析：二次跳转攻击指恶意应用拦截支付请求后，修改支付目标地址（如将A商户跳转为B商户），利用支付接口未校验请求来源（如缺少Referer或签名校验）完成攻击。

以下Android权限中，属于“危险权限”的是？

A.ACCESS_NETWORK_STATE

B.READ_EXTERNAL_STORAGE

C.INTERNET

D.ACCESS_WIFI_STATE

答案：B

解析：Android将权限分为普通权限（自动授予）和危险权限（需用户手动授权）。READ_EXTERNAL_STORAGE涉及用户文件访问，属于危险权限；其余选项为普通权限。

iOS应用使用私有API的主要风险是？

A.无法通过AppStore审核

B.导致应用崩溃

C.泄露用户隐私

D.降低应用性能

答案：A

解析：Apple严格禁止应用使用私有API（如_UIDocumentPickerViewController），审核时通过静态分析检测，发现后会拒绝上架。其他选项是可能的间接影响，但核心风险是审核失败。

移动应用安全加固的主要目的是？

A.提升应用运行速度

B.防止逆向工程获取源代码

C.增加应用功能

D.优化用户界面

答案：B

解析：加固技术（如代码混淆、Dex加密、反调试）主要用于提高逆向难度，防止恶意用户通过Jadx、GDA等工具分析源代码逻辑或提取敏感信息。

二、多项选