2025年移动安全工程师考试题库（附答案和详细解析）（1013）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是Android应用组件导出时最常见的安全风险？

A.使用了过时的加密算法（如MD5）

B.未限制导出组件的访问权限（如exported=“true”）

C.应用图标设计不符合用户习惯

D.未对应用进行代码混淆

答案：B

解析：Android组件（Activity、Service、BroadcastReceiver、ContentProvider）若设置exported=“true”且未通过intent-filter或权限限制访问，可能被恶意应用调用，导致数据泄露或代码执行。A是加密算法问题，C是UI问题，D是防护手段，均非组件导出的核心风险。

iOS应用沙盒机制的主要目的是？

A.加速应用运行速度

B.限制应用对系统资源和其他应用数据的访问

C.支持应用多任务处理

D.优化应用内存管理

答案：B

解析：iOS沙盒机制通过文件系统隔离，确保应用仅能访问自身目录下的文件和系统授权的资源，防止应用间数据越界访问。A、C、D均与沙盒机制的安全目标无关。

以下哪种攻击方式主要针对移动应用的WebView组件？

A.SQL注入

B.反编译逆向

C.URL任意加载

D.重放攻击

答案：C

解析：WebView若未限制可加载的URL范围（如设置webViewClient不校验URL来源），可能被诱导加载恶意网页，导致钓鱼或数据窃取。A针对数据库，B针对代码，D针对网络请求，均非WebView特有的风险。

移动应用使用HTTPS时，若未验证服务器证书会导致？

A.无法建立加密连接

B.中间人攻击（MITM）可拦截解密数据

C.客户端无法解析响应内容

D.服务器拒绝连接

答案：B

解析：证书验证是HTTPS防止MITM的核心机制。若跳过验证（如信任所有证书），攻击者可伪造证书拦截流量并解密。A错误，未验证仍可建立连接；C、D与证书验证无关。

Android应用中，敏感信息（如API密钥）硬编码在代码中的主要风险是？

A.导致应用编译失败

B.反编译后可直接获取

C.增加应用安装包大小

D.影响应用运行效率

答案：B

解析：硬编码的敏感信息可通过反编译工具（如jadx）直接提取，是移动应用最常见的安全漏洞之一。A、C、D均非核心风险。

iOS应用签名机制中，用于验证应用来源的核心凭证是？

A.应用图标

B.开发者证书（由苹果审核签发）

C.应用版本号

D.设备UDID

答案：B

解析：iOS应用必须通过苹果签名（开发者证书或企业证书）才能安装，系统通过证书验证应用的合法性。A、C、D均不参与签名验证。

以下哪项不属于移动应用安全测试的常规流程？

A.静态代码分析（SAST）

B.动态行为监测（DAST）

C.用户界面（UI）美观度测试

D.渗透测试（PenetrationTesting）

答案：C

解析：安全测试关注漏洞检测，UI美观度属于功能测试范畴。A、B、D均为安全测试的核心方法。

移动应用使用第三方SDK时，最需要关注的安全风险是？

A.SDK的版本更新频率

B.SDK是否请求了不必要的权限

C.SDK的开发语言

D.SDK的文档完整性

答案：B

解析：第三方SDK若越权获取敏感信息（如通讯录、位置），可能导致用户数据泄露。A、C、D是功能或开发体验问题，非安全核心。

以下哪种防护手段可有效防止Android应用被反编译？

A.代码混淆（ProGuard/R8）

B.关闭debuggable属性

C.使用HTTP代替HTTPS

D.减少应用功能模块

答案：A

解析：代码混淆通过重命名类、方法名等方式增加逆向难度，是防止反编译的主要手段。B防止调试，C降低安全性，D与反编译无关。

移动应用发生SQL注入攻击的前提是？

A.应用使用了SQLite数据库

B.用户输入未经过安全过滤直接拼接SQL语句

C.数据库表结构设计不合理

D.数据库版本过旧

答案：B

解析：SQL注入的本质是用户输入未做转义处理，导致恶意代码被拼接执行。A是数据库类型，C、D是设计问题，均非攻击前提。

二、多项选择题（共10题，每题2分，共20分）（每题至少2个正确选项）

以下属于Android应用常见安全漏洞的有？

A.WebView任意URL加载

B.Intent数据泄露（未校验Intent来源）

C.硬编码敏感信息（如API密钥）

D.代码混淆（ProGuard）

答案：ABC

解析：A可能导致钓鱼攻击，B可能被恶意应用窃取数据，C导致敏感信息泄露；D是防护手段，非漏洞。

iOS应用安全防护的常用措施包括？

A.二进制加密（防止反编译）

B.沙盒机制（系统级隔离）

C.禁用所有网络请求

D.