2025年信息系统安全专家安全事件响应中的安全事件响应中的安全事件响应中的移动设备取证专题试卷及解析.pdfVIP

2025

2025年信息系统安全专家安全事件响应中的安全事件响应

中的安全事件响应中的移动设备取证专题试卷及解析

2025年信息系统安全专家安全事件响应中的安全事件响应中的安全事件响应中的

移动设备取证专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在移动设备取证中，以下哪种数据提取方式对设备原始数据影响最小？

A、逻辑提取

B、物理提取

C、文件系统提取

D、备份提取

【答案】B

【解析】正确答案是B。物理提取通过直接访问设备存储介质获取完整镜像，能够

获取已删除和加密数据，且不依赖设备操作系统，对原始数据影响最小。A选项逻辑提

取仅能获取用户可访问的数据，C选项文件系统提取依赖系统API，D选项备份提取数

据不完整。知识点：移动设备取证提取技术。易错点：混淆物理提取与逻辑提取的区别。

2、iOS设备取证中，以下哪个文件最可能包含用户位置历史记录？

A、/var/mobile/Library/AddressBook/AddressBook.sqlitedb

B、/var/mobile/Library/Caches/locationd/consolidated.db

C、/var/mobile/Library/SMS/sms.db

D、/var/mobile/Library/Notes/notes.sqlite

【答案】B

【解析】正确答案是B。consolidated.db是iOS系统存储位置历史记录的核心文件。

A选项是通讯录数据库，C选项是短信数据库，D选项是备忘录数据库。知识点：iOS

文件系统结构。易错点：容易混淆不同数据库文件的功能。

3、Android设备取证中，以下哪个分区包含用户安装的应用数据？

A、/system分区

B、/recovery分区

C、/data分区

D、/boot分区

【答案】C

【解析】正确答案是C。/data分区存储用户数据和应用数据，是取证分析的重点。

A选项/system分区存储系统文件，B选项/recovery分区用于系统恢复，D选项/boot

分区包含启动加载程序。知识点：Android分区结构。易错点：混淆系统分区与数据分

区的功能。

2025

4、在移动设备取证中，以下哪种工具主要用于iOS设备的物理提取？

A、OxygenForensicDetective

B、CellebriteUFED

C、XRY

D、GrayKey

【答案】D

【解析】正确答案是D。GrayKey是专门用于iOS设备物理提取的硬件工具。A、B、

C选项是通用移动取证工具，但对iOS物理提取能力有限。知识点：移动取证工具特

性。易错点：混淆通用工具与专用工具的区别。

5、移动设备取证中，以下哪种技术可以绕过Android锁屏？

A、JTAG

B、Chipoff

C、BruteForce

D、Alloftheabove

【答案】D

【解析】正确答案是D。JTAG和Chipoff是硬件级绕过技术，BruteForce是软件

级攻击方法，三者均可用于绕过锁屏。知识点：锁屏绕过技术。易错点：忽略硬件级与

软件级技术的结合应用。

6、在移动设备取证中，以下哪种数据类型最可能包含用户社交应用聊天记录？

A、通话记录

B、SQLite数据库

C、系统日志

D、配置文件

【答案】B

【解析】正确答案是B。大多数社交应用使用SQLite数据库存储聊天记录。A选项

通话记录不包含聊天内容，C选项系统日志不存储应用数据，D选项配置文件仅存储设

置信息。知识点：移动应用数据存储方式。易错点：混淆不同数据类型的存储内容。

7、iOS设备取证中，以下哪个文件最可能包含WiFi连接历史？

A、/var/mobile/Library/Preferences/SystemConfiguration/com.apple.wifi.plist

B、/var/mobile/Library/AddressBook/AddressBook.sqlitedb

C、/var/mobile/Library/SM