2025年移动安全工程师考试题库（附答案和详细解析）（1015）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

Android6.0（API23）及以上版本中，应用默认对敏感权限的处理方式是？

A.安装时自动获取所有声明的敏感权限

B.默认不获取任何敏感权限，需运行时请求用户授权

C.默认获取位置、相机等高频敏感权限

D.根据应用类型自动分配部分敏感权限

答案：B

解析：Android6.0引入运行时权限机制，普通权限（如网络访问）安装时自动授予，敏感权限（如位置、相机）需在应用运行时由用户主动授权。选项A错误，因敏感权限不再默认获取；C、D不符合运行时权限设计原则。

iOS设备越狱后对系统安全的核心影响是？

A.增强系统数据加密强度

B.破坏系统沙盒机制

C.提升应用安装的安全性

D.禁用所有第三方插件

答案：B

解析：越狱通过绕过苹果的代码签名机制获取root权限，导致应用可突破沙盒限制访问其他应用数据及系统核心文件。A、C、D均与越狱的实际影响相反。

以下移动应用数据存储的安全实践中，正确的是？

A.将用户Token以明文形式存储在SharedPreferences中

B.使用SQLite数据库时采用参数化查询

C.将加密密钥硬编码在Java代码中

D.用明文存储用户支付密码

答案：B

解析：参数化查询可防止SQL注入攻击，是数据库操作的安全实践。A错误，Token需加密存储；C错误，硬编码密钥易被逆向提取；D错误，支付密码需通过哈希+盐值存储。

关于移动网络通信安全，以下描述正确的是？

A.HTTPS通信无需验证服务器证书即可防止中间人攻击

B.HTTP协议通过对称加密可完全替代HTTPS

C.HTTPS可防止中间人攻击，但需正确验证证书有效性

D.移动应用使用HTTP通信时，添加自定义加密即可等同于HTTPS

答案：C

解析：HTTPS通过TLS加密通信，但如果忽略证书验证（如信任所有证书），攻击者仍可实施中间人攻击。A错误，未验证证书的HTTPS不安全；B、D错误，HTTP本身无身份验证，自定义加密无法替代TLS的完整性保护。

以下工具中，专门用于APK静态反编译分析的是？

A.Charles（抓包工具）

B.IDAPro（二进制分析工具）

C.Frida（动态调试工具）

D.Apktool（APK反编译工具）

答案：D

解析：Apktool可将APK反编译为smali代码和资源文件，是静态分析的核心工具。A用于网络抓包，B用于二进制文件逆向，C用于动态注入调试。

以下属于移动应用组件安全漏洞的是？

A.登录接口未限制错误尝试次数（业务逻辑漏洞）

B.WebView配置为允许加载任意URL

C.数据库存在SQL注入（数据操作漏洞）

D.日志中输出敏感信息（数据泄露漏洞）

答案：B

解析：WebView若未限制加载URL范围，可能被诱导加载钓鱼页面或执行恶意JS代码，属于组件（WebView）配置不当的安全漏洞。其他选项分别属于业务逻辑、数据操作和数据泄露漏洞。

移动设备管理（MDM）的核心功能不包括？

A.远程擦除丢失设备的数据

B.监控设备位置与状态

C.强制应用安装指定安全策略

D.为设备获取root/jailbreak权限

答案：D

解析：MDM的核心是管理设备合规性，包括远程擦除、监控、策略强制等；获取root权限是破坏设备安全的行为，不属于MDM功能。

关于移动应用加固技术，以下描述正确的是？

A.加固可完全阻止APK被反编译

B.代码混淆通过重命名类/方法增加逆向难度

C.加固仅适用于iOS应用

D.资源加密会导致应用无法正常运行

答案：B

解析：代码混淆通过模糊类名、方法名等方式增加逆向分析成本，是加固的核心技术之一。A错误，加固只能增加难度，无法完全阻止反编译；C错误，加固对Android和iOS均适用；D错误，资源加密后需在运行时解密，不影响正常使用。

移动应用合规性需重点遵循的法律不包括？

A.《中华人民共和国个人信息保护法》

B.《通用数据保护条例》（GDPR）

C.《中华人民共和国网络安全法》

D.《中华人民共和国专利法》

答案：D

解析：移动应用合规主要涉及个人信息保护（《个人信息保护法》《GDPR》）和网络安全（《网络安全法》），《专利法》与数据安全无直接关联。

移动支付场景中，以下安全措施最关键的是？

A.使用短信验证码作为唯一验证方式

B.采用双重签名机制验证交易信息

C.明文传输支付金额与商品信息

D.允许应用在后台无限制运行

答案：B

解析：双重签名（如支付信息与订单信息的关联签名）可防止交易信息被篡改，是移动支付的核心安全机制。A错误，短信可能被拦截；C错误，明文传输易被中间人攻击；D错误，后台运行与支付安全无直接关联。

二、多项