2025年移动安全工程师考试题库（附答案和详细解析）（1002）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是Android应用签名的主要目的？

A.加密应用内敏感数据

B.防止APK被非法篡改

C.提升应用运行权限

D.加速应用安装过程

答案：B

解析：Android应用签名是为了验证开发者身份并确保APK在发布后未被篡改（B正确）。签名不涉及数据加密（A错误），权限由Android系统动态分配（C错误），安装速度与签名无关（D错误）。

iOS应用沙盒机制的核心作用是？

A.限制应用间数据共享

B.提升应用运行效率

C.支持多任务处理

D.增强用户界面交互性

答案：A

解析：iOS沙盒机制通过文件系统隔离限制应用访问其他应用或系统目录的数据（A正确）。运行效率由硬件和代码优化决定（B错误），多任务处理依赖系统调度（C错误），界面交互性与UI设计相关（D错误）。

移动应用中“URLScheme”最常见的安全风险是？

A.中间人攻击

B.深度链接劫持

C.SQL注入

D.内存溢出

答案：B

解析：URLScheme用于应用间跳转，若未校验来源可能被恶意应用劫持（B正确）。中间人攻击主要针对网络传输（A错误），SQL注入是代码漏洞（C错误），内存溢出属于代码缺陷（D错误）。

以下哪种工具主要用于移动应用逆向分析？

A.Charles

B.IDAPro

C.OWASPZAP

D.Wireshark

答案：B

解析：IDAPro是专业的二进制逆向分析工具（B正确）。Charles和Wireshark用于抓包（A、D错误），OWASPZAP是Web安全测试工具（C错误）。

Android应用的“debuggable”属性在发布版中应设置为？

A.true

B.false

C.auto

D.不影响安全

答案：B

解析：发布版应关闭debuggable（设置为false），否则攻击者可通过调试工具获取敏感数据（B正确）。开启会引入调试风险（A错误），auto根据构建类型决定（C错误），直接影响安全（D错误）。

移动应用使用HTTPS时，若仅验证证书域名而未校验证书链，可能导致？

A.重放攻击

B.证书吊销攻击

C.中间人攻击

D.拒绝服务攻击

答案：C

解析：未校验证书链可能接受伪造的中间CA证书，攻击者可实施中间人攻击（C正确）。重放攻击与会话管理相关（A错误），证书吊销不影响当前连接（B错误），拒绝服务攻击与流量洪泛相关（D错误）。

以下哪项不属于移动应用动态安全检测的常用方法？

A.内存数据抓取

B.网络流量分析

C.反编译代码审计

D.接口参数篡改测试

答案：C

解析：动态检测需在应用运行时测试（如抓包、篡改参数、内存分析），反编译属于静态检测（C正确）。A、B、D均为动态检测方法（错误）。

iOS应用通过TestFlight分发时，最多支持多少外部测试用户？

A.100

B.1000

C.10000

D.无限制

答案：C

解析：TestFlight外部测试用户上限为10000（C正确），100是内部测试上限（A错误），B、D数值错误（错误）。

移动应用中“硬编码密钥”的主要风险是？

A.密钥被逆向获取

B.加密算法被破解

C.网络传输被截获

D.设备存储被损坏

答案：A

解析：硬编码密钥可通过反编译APK/IPA直接提取（A正确）。加密算法强度与密钥存储无关（B错误），网络传输风险由传输协议决定（C错误），存储损坏属于物理风险（D错误）。

以下哪项是移动应用权限最小化原则的最佳实践？

A.申请所有系统权限以确保功能完整

B.仅申请当前功能必需的权限

C.动态申请权限时不说明用途

D.提前申请所有敏感权限

答案：B

解析：权限最小化要求仅申请必要权限（B正确）。申请非必要权限会增加数据泄露风险（A错误），需向用户说明用途（C错误），敏感权限应按需动态申请（D错误）。

二、多项选择题（共10题，每题2分，共20分）

以下属于移动应用常见安全漏洞的有？

A.SQL注入

B.跨站脚本攻击（XSS）

C.代码注入

D.蓝牙中间人攻击

答案：ABC

解析：SQL注入（代码未过滤用户输入）、XSS（WebView未禁用JavaScript接口）、代码注入（动态加载未校验脚本）均为常见漏洞（ABC正确）。蓝牙中间人攻击属于设备通信层风险（D错误）。

移动应用数据传输安全的防护措施包括？

A.使用HTTPS并开启HSTS

B.对敏感数据额外进行AES加密

C.禁用HTTP协议强制跳转HTTPS

D.忽略证书校验以提升连接成功率

答案：ABC

解析：HTTPS+HSTS（防止降级攻击）、二次加密（增强数据必威体育官网网址性）、禁用HTTP（避免明文传输）均为有效措施（ABC正确）。忽