2025年信息系统安全专家移动应用安全代码审计专题试卷及解析.docxVIP

2025年信息系统安全专家移动应用安全代码审计专题试卷及解析

2025年信息系统安全专家移动应用安全代码审计专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在对Android应用进行代码审计时，发现以下代码片段：`Intentintent=newIntent();intent.setAction(com.example.VIEW);intent.addFlags(Intent.FLAG_GRANT_READ_URI_PERMISSION);startActivity(intent);`。这段代码最可能存在的安全风险是什么？

A、隐式Intent劫持

B、权限过度授予

C、Intent重定向

D、组件暴露

【答案】C

【解析】正确答案是C。代码中使用了`startActivity(intent)`但没有指定明确的组件，且使用了`FLAG_GRANT_READ_URI_PERMISSION`标志，这可能导致Intent被恶意应用劫持并重定向到恶意组件，造成数据泄露或未授权操作。A选项隐式Intent劫持通常指没有设置`setPackage`导致恶意应用响应，但这里的关键风险是重定向；B选项权限过度授予通常指在Manifest中声明了过多权限，与代码片段无关；D选项组件暴露通常指组件的`android:exported`属性设置不当，与本题无关。知识点：Intent安全机制。易错点：容易混淆隐式Intent劫持和Intent重定向的区别。

A、SQL注入

B、跨站脚本攻击（XSS）

C、URL注入

D、命令注入

【答案】C

【解析】正确答案是C。代码直接将用户输入拼接到URL参数中，可能导致URL注入攻击，攻击者可以通过构造恶意输入篡改URL路径或参数，访问未授权资源。A选项SQL注入通常发生在数据库查询中；B选项XSS通常发生在Web视图或HTML渲染中；D选项命令注入通常发生在系统命令执行中。知识点：输入验证与URL编码。易错点：容易忽略URL参数拼接中的注入风险。

3、在对Android应用的WebView组件进行审计时，发现以下配置：`webView.getSettings().setJavaScriptEnabled(true);webView.addJavascriptInterface(newJSObject(),injectedObject);`。这种配置最可能引发的安全问题是？

A、跨域访问

B、本地文件泄露

C、远程代码执行

D、会话劫持

【答案】C

【解析】正确答案是C。`addJavascriptInterface`方法允许JavaScript调用Java对象的方法，如果WebView加载不可信内容，攻击者可能通过反射调用敏感方法导致远程代码执行。A选项跨域访问通常与`setAllowFileAccess`或`setAllowUniversalAccessFromFileURLs`相关；B选项本地文件泄露通常与`setAllowFileAccess`为true相关；D选项会话劫持通常与Cookie或Token泄露相关。知识点：WebView安全配置。易错点：容易低估`addJavascriptInterface`的风险。

4、在审计iOS应用的Keychain存储时，发现以下代码：`letquery=[kSecClass:kSecClassGenericPassword,kSecAttrAccount:user,kSecValueData:password.data(using:.utf8)!];SecItemAdd(queryasCFDictionary,nil);`。这段代码的安全隐患是？

A、Keychain数据未加密

B、Keychain访问控制不当

C、Keychain数据可被备份

D、Keychain数据未设置访问组

【答案】B

【解析】正确答案是B。代码没有设置`kSecAttrAccessControl`或`kSecAttrAccessible`属性，导致Keychain数据可能被其他应用或未授权访问。A选项Keychain数据默认是加密的；C选项备份控制由`kSecAttrAccessibleWhenUnlockedThisDeviceOnly`等属性决定；D选项访问组是可选的，与本题无关。知识点：Keychain安全配置。易错点：容易忽略访问控制属性的重要性。

5、在对Android应用的本地数据库进行审计时，发现以下代码：`SQLiteDatabasedb=context.openOrCreateDatabase(data.db,MODE_WORLD_READABLE,null);`。这种配置最可能导致的安全问题是？