2025年移动安全工程师考试题库（附答案和详细解析）（1102）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是移动应用最常见的注入攻击类型？

A.XSS注入（跨站脚本攻击）

B.SQL注入（结构化查询语言注入）

C.命令注入（CommandInjection）

D.路径遍历（PathTraversal）

答案：B

解析：移动应用常使用本地数据库（如SQLite）存储数据，若数据库操作未对输入参数进行严格校验，易引发SQL注入；XSS主要发生在Web前端与后端交互场景；命令注入多见于服务器端执行系统命令场景；路径遍历是文件操作漏洞，均非移动应用最典型注入类型。

Android应用中，用于保护敏感数据的系统级安全组件是？

A.SharedPreferences

B.AndroidKeystore

C.InternalStorage

D.ExternalStorage

答案：B

解析：AndroidKeystore是系统提供的密钥管理组件，支持硬件级安全存储（如TEE/SE），可防止密钥被逆向提取；SharedPreferences默认明文存储；Internal/ExternalStorage为普通存储路径，无加密保护机制。

iOS应用沙盒机制的核心目的是？

A.提升应用运行效率

B.限制应用间数据访问权限

C.优化系统内存管理

D.增强应用图形渲染能力

答案：B

解析：iOS沙盒机制通过文件系统隔离，限制应用仅能访问自身目录及授权的系统资源，防止应用间越权访问数据；其他选项均与沙盒设计目标无关。

移动应用使用HTTPS通信时，若未校验服务器证书，可能导致的攻击是？

A.中间人攻击（MITM）

B.SQL注入攻击

C.缓冲区溢出攻击

D.拒绝服务攻击（DoS）

答案：A

解析：未校验证书时，攻击者可伪造证书劫持通信，实施中间人攻击；其他攻击类型与证书校验无直接关联。

以下哪项不属于移动应用加固的核心技术？

A.代码混淆（CodeObfuscation）

B.资源加密（ResourceEncryption）

C.反调试（Anti-Debug）

D.广告插件集成

答案：D

解析：加固技术旨在保护代码和数据不被逆向分析，包括混淆、加密、反调试等；广告插件集成为功能扩展，与安全加固无关。

移动设备中，用于检测Root/越狱状态的常用方法是？

A.检查系统时间是否同步

B.检测特定文件（如/su/bin）是否存在

C.验证应用签名是否完整

D.监控网络流量大小

答案：B

解析：Root/越狱设备通常存在SU二进制文件或超级用户权限文件（如/su/bin、/system/xbin/su），检测这些文件是常用方法；其他选项与Root状态无直接关联。

移动应用隐私合规中，“最小必要原则”要求？

A.收集用户所有可能用到的信息

B.仅收集完成功能必需的最少信息

C.无需告知用户信息收集目的

D.可以共享用户信息给任意第三方

答案：B

解析：《个人信息保护法》要求移动应用遵循“最小必要原则”，即仅收集完成功能必需的最少信息；其他选项均违反合规要求。

Android应用组件中，默认不导出（android:exported=“false”）时，外部应用无法通过以下哪种方式调用？

A.显式Intent

B.隐式Intent

C.本地广播（LocalBroadcastManager）

D.内容提供器（ContentProvider）

答案：B

解析：隐式Intent通过Action/Type等匹配组件，若组件未导出则无法被外部调用；显式Intent明确指定组件类名，不受导出限制；本地广播和内容提供器的访问控制机制独立于exported属性。

iOS应用中，用于存储少量敏感数据（如Token）的安全方案是？

A.NSUserDefaults

B.Keychain

C.文件存储（Documents目录）

D.内存缓存（NSCache）

答案：B

解析：iOSKeychain由系统加密存储，支持跨应用组共享（需授权），适合存储敏感数据；NSUserDefaults明文存储；文件存储无加密；内存缓存易被内存dump攻击获取。

移动应用动态调试工具Frida的核心功能是？

A.反编译APK获取源代码

B.拦截并修改应用运行时函数调用

C.分析应用静态代码漏洞

D.生成应用性能分析报告

答案：B

解析：Frida是动态插桩工具，通过注入脚本拦截并修改运行时函数（如加密函数、网络请求函数）；反编译是jadx/Apktool功能；静态分析是AndroBugs等工具的功能。

二、多项选择题（共10题，每题2分，共20分）

以下哪些属于移动应用常见的代码安全风险？（）

A.硬编码敏感信息（如APIKey