2025年信息系统安全专家Web应用静态应用安全测试实践专题试卷及解析.pdfVIP

2025年信息系统安全专家WEB应用静态应用安全测试实践专题试卷及解析1

2025年信息系统安全专家Web应用静态应用安全测试实

践专题试卷及解析

2025年信息系统安全专家Web应用静态应用安全测试实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在SAST（静态应用安全测试）中，以下哪项技术主要用于分析源代码中的潜在

漏洞？

A、动态黑盒测试

B、数据流分析

C、模糊测试

D、渗透测试

【答案】B

【解析】正确答案是B。数据流分析是SAST的核心技术，通过跟踪变量在代码中

的流动路径来识别安全漏洞。A选项动态黑盒测试属于DAST范畴；C选项模糊测试

通过输入异常数据触发漏洞，属于动态测试；D选项渗透测试是模拟攻击的综合性测试

方法。知识点：SAST技术原理。易错点：混淆SAST与DAST的技术特点。

2、以下哪种漏洞类型最容易被SAST工具检测到？

A、业务逻辑漏洞

B、硬编码密钥

C、权限绕过

D、会话固定攻击

【答案】B

【解析】正确答案是B。硬编码密钥属于静态代码中的明显安全缺陷，SAST可通过

模式匹配直接识别。A、C、D选项涉及运行时行为或业务逻辑，需要动态测试或人工

审计。知识点：SAST检测能力边界。易错点：高估SAST对业务逻辑漏洞的检测能力。

3、SAST工具在CI/CD流水线中的最佳集成阶段是？

A、生产环境部署后

B、代码提交阶段

C、功能测试阶段

D、用户验收测试阶段

【答案】B

【解析】正确答案是B。在代码提交阶段集成SAST可实现”左移安全”，最早发现

问题。A阶段太晚；C、D阶段属于动态测试范畴。知识点：DevSecOps实践。易错点：

混淆静态测试与动态测试的适用阶段。

4、以下哪项不是SAST工具的典型局限性？

2025年信息系统安全专家WEB应用静态应用安全测试实践专题试卷及解析2

A、无法检测运行时漏洞

B、误报率较高

C、需要访问源代码

D、不能检测第三方组件漏洞

【答案】D

【解析】正确答案是D。现代SAST工具可通过SCA（软件成分分析）检测第三方

组件漏洞。A、B、C都是SAST的固有局限。知识点：SAST工具能力评估。易错点：

忽视SAST与SCA的集成能力。

5、在SAST报告中，以下哪种漏洞等级应优先修复？

A、低危的反射型XSS

B、高危的SQL注入

C、中危的CSRF

D、高危的目录遍历

【答案】B

【解析】正确答案是B。SQL注入属于高危漏洞且可直接导致数据泄露，优先级最

高。A选项低危漏洞可暂缓；C选项中危漏洞次之；D选项目录遍历虽高危但影响范围

通常小于SQL注入。知识点：漏洞风险评估。易错点：仅看等级不看实际影响。

6、SAST工具检测”路径遍历”漏洞的主要依据是？

A、HTTP请求分析

B、文件操作函数参数检查

C、会话令牌验证

D、输入输出编码检查

【答案】B

【解析】正确答案是B。路径遍历漏洞通常由文件操作函数（如fopen）接收未过滤

的用户输入导致，SAST通过分析此类函数的参数来检测。A、C、D属于动态检测范

畴。知识点：漏洞检测原理。易错点：混淆静态分析与动态分析的检测逻辑。

7、以下哪种编程语言的SAST工具发展最成熟？

A、Rust

B、Go

C、Java

D、Swift

【答案】C

【解析】正确答案是C。Java作为企业级主流语言，其SAST工具生态最完善（如

FindBugs、SpotBugs）。其他语言的SAST工具相对较新。知识点：SAST工具生态现

状。易错点：忽视语言流行度与工具成熟度的关联性。

2025年信息系统安全专家WEB应用静态应用安全测试实践专题试卷及解析