2025年移动安全工程师考试题库（附答案和详细解析）（1207）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪种Android组件默认不导出（即无法被其他应用调用）？

A.Activity（未设置android:exported属性）

B.Service（设置android:exported=“true”）

C.BroadcastReceiver（通过代码动态注册）

D.ContentProvider（设置android:readPermission）

答案：A

解析：Android组件默认导出规则为：Activity、Service、BroadcastReceiver若未显式设置android:exported属性，默认值取决于是否声明了intent-filter（无intent-filter则默认false，即不导出）；ContentProvider默认导出为true（除非设置android:exported=“false”）。选项B显式设置导出为true；选项C动态注册的广播接收器默认对其他应用可见；选项D通过权限控制访问而非默认导出状态。因此正确答案为A。

iOS应用沙盒机制的核心作用是？

A.限制应用间文件共享，防止越权访问

B.加速应用运行效率

C.强制应用使用HTTPS通信

D.自动检测应用代码漏洞

答案：A

解析：iOS沙盒（Sandbox）是iOS的核心安全机制，每个应用只能访问自身沙盒目录下的文件，无法直接访问其他应用或系统目录，从而隔离应用数据，防止越权访问。选项B是运行优化功能，与沙盒无关；选项C是ATS（应用传输安全）的要求；选项D是代码审计工具的功能。因此正确答案为A。

移动应用中，以下哪种数据存储方式最不安全？

A.使用Keychain存储敏感信息

B.将Token明文存储在SharedPreferences

C.加密后存储到SQLite数据库

D.使用AndroidKeystore生成的密钥加密文件

答案：B

解析：SharedPreferences默认以明文XML文件存储在应用私有目录，虽其他应用无法直接访问（未root设备），但反编译后可直接读取明文数据，安全性最低。选项A（Keychain）是iOS的安全存储方案，受硬件保护；选项C（加密SQLite）通过加密提升安全性；选项D（AndroidKeystore）的密钥由系统管理，无法导出，安全性高。因此正确答案为B。

以下不属于移动应用常见WebView安全漏洞的是？

A.任意URL加载（allowFileAccess设置为true）

B.未禁用JavaScript接口的安全限制（addJavascriptInterface未限制调用来源）

C.使用https协议进行页面加载

D.允许通过file协议加载本地文件（setAllowFileAccessFromFileURLs为true）

答案：C

解析：WebView常见漏洞包括：允许加载任意URL（可能触发钓鱼或恶意脚本）、未限制JS接口调用（导致JS桥接漏洞）、允许file协议跨域加载（可能泄露本地文件）。使用https协议是安全实践，不属于漏洞。因此正确答案为C。

Android应用签名的主要目的是？

A.防止应用被反编译

B.验证应用开发者身份，确保APK未被篡改

C.提升应用运行权限

D.加密应用代码

答案：B

解析：Android签名用于标识开发者（通过证书），并通过哈希验证APK文件完整性（防止篡改）。签名无法防止反编译（反编译与代码混淆相关），也不影响运行权限或代码加密。因此正确答案为B。

iOS应用的IPA包中，用于描述应用权限和功能的文件是？

A.Info.plist

B.entitlements.plist

C.embedded.mobileprovision

D.PkgInfo

答案：A

解析：Info.plist是iOS应用的核心配置文件，包含应用名称、BundleID、版本、所需权限（如相机、位置）等信息。entitlements.plist是应用的权限声明（如推送、iCloud）；embedded.mobileprovision是描述文件（包含证书、设备列表等）；PkgInfo是包类型标识文件。因此正确答案为A。

移动应用进行网络通信时，以下哪种场景最可能触发中间人攻击（MITM）？

A.使用HTTPS且校验了服务器证书

B.使用HTTP且未校验证书（如绕过SSLpinning）

C.使用TLS1.3协议

D.客户端内置CA根证书

答案：B

解析：MITM攻击需要拦截通信并伪造证书，若应用使用HTTP（无加密）或绕过SSLpinning（不校验服务器证书），攻击者可通过伪造证书拦截流量。选项A、C、D均通过加密或证书校验防止M