2025年移动安全工程师考试题库（附答案和详细解析）（1029）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

关于Android组件的默认安全配置，以下说法正确的是？

A.Activity默认android:exported=“true”

B.Service默认允许远程调用

C.BroadcastReceiver默认接收所有广播

D.ContentProvider默认不允许外部访问

答案：D

解析：Android组件中，Activity、Service、BroadcastReceiver的android:exported默认值为false（除非声明了Intent过滤器），而ContentProvider默认需要通过android:readPermission或android:writePermission限制访问，因此默认不允许外部访问。选项A错误，因无Intent过滤器时exported默认false；B错误，Service需显式配置才能远程调用；C错误，未声明Intent过滤器的BroadcastReceiver无法接收广播。

iOS应用沙盒机制的核心作用是？

A.限制应用访问系统核心进程

B.隔离应用间的文件访问

C.防止应用使用蓝牙功能

D.强制应用使用HTTPS传输数据

答案：B

解析：iOS沙盒机制通过文件系统权限控制，使每个应用仅能访问自身目录（如Documents、Library），无法直接访问其他应用或系统关键目录，核心是隔离数据。选项A错误，沙盒不限制进程访问；C错误，蓝牙权限由系统单独控制；D错误，HTTPS由ATS（应用传输安全）机制强制。

以下哪类漏洞属于移动应用代码逻辑漏洞？

A.界面元素未隐藏导致的敏感信息泄露

B.SQL注入漏洞

C.未限制组件导出导致的劫持

D.证书未固定导致的中间人攻击

答案：B

解析：代码逻辑漏洞指因编程逻辑错误导致的安全问题，如SQL注入（未对输入参数做安全校验）。选项A属于数据显示漏洞；C属于组件安全配置问题；D属于网络传输防护缺失。

以下工具中，专门用于APK反编译的是？

A.IDAPro

B.Jadx

C.Charles

D.BurpSuite

答案：B

解析：Jadx是针对AndroidDEX文件的反编译工具，可将classes.dex转换为Java源码。IDAPro主要用于二进制文件逆向分析；Charles是抓包工具；BurpSuite是Web渗透测试工具。

移动应用存储用户密码时，最安全的方式是？

A.明文存储在SharedPreferences

B.使用AES加密后存储

C.存储在SD卡的明文文件中

D.使用Base64编码后存储

答案：B

解析：AES是对称加密算法，可有效保护敏感数据；明文存储（A、C）和Base64编码（仅编码非加密）均无法防止数据泄露。

移动支付场景中，最核心的安全要求是？

A.界面美观度

B.防篡改与防重放

C.支持多种支付方式

D.广告推送精准度

答案：B

解析：支付交易需确保请求未被篡改（如金额、收款人）、未被重复提交（防重放），这是资金安全的核心。其他选项与安全无直接关联。

Android6.0（API23）及以上系统中，危险权限的授权方式是？

A.安装时一次性授权

B.运行时动态申请

C.系统自动授予

D.需要用户在设置中手动开启

答案：B

解析：Android6.0引入运行时权限机制，危险权限（如相机、位置）需在应用使用时动态申请，普通权限仍在安装时授权。

以下工具中，属于移动应用安全测试综合框架的是？

A.Nessus

B.MobSF（MobileSecurityFramework）

C.Wireshark

D.Metasploit

答案：B

解析：MobSF是专门针对移动应用的安全测试框架，支持静态分析、动态测试和漏洞检测。Nessus是网络扫描工具；Wireshark是抓包工具；Metasploit是渗透测试框架。

iOS应用的代码保护技术中，最关键的是？

A.资源文件加密

B.应用程序二进制接口（ABI）加密

C.界面元素混淆

D.日志输出过滤

答案：B

解析：iOS应用的可执行文件（.app中的二进制）会经过FairPlay加密，防止直接反编译，这是代码保护的核心。其他选项是辅助防护措施。

移动应用收集用户个人信息时，最核心的合规依据是？

A.《网络安全法》

B.《数据安全法》

C.《个人信息保护法》

D.《密码法》

答案：C

解析：《个人信息保护法》明确规定了个人信息收集、使用的“最小必要”“知情同意”等原则，是移动应用个人信息处理的核心合规依据。

二、多项选择题（共10题，每题2分，共20分）

以下属于移动应用常见安全风险的有？

A.代码可被反编