2025年移动安全工程师考试题库（附答案和详细解析）（1212）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

移动安全的核心目标是（）

A.提升应用运行速度

B.保护用户数据与应用完整性

C.优化界面交互体验

D.降低开发成本

答案：B

解析：移动安全的核心是通过技术手段保障用户敏感数据（如账号、支付信息）不被泄露或篡改，同时确保应用自身代码、资源不被恶意篡改。选项A（性能优化）、C（交互体验）、D（成本控制）均属于应用开发的其他目标，与安全无关。

Android中用于限制组件访问权限的关键属性是（）

A.android:icon

B.android:exported

C.android:label

D.android:theme

答案：B

解析：android:exported属性用于控制组件（如Activity、Service）是否可被其他应用调用。设置为false时，仅允许同一应用或有相同签名的应用访问。选项A（图标）、C（标签）、D（主题）均与组件访问权限无关。

iOS应用沙盒机制的主要作用是（）

A.加速应用启动

B.限制应用间数据共享

C.提升图形渲染性能

D.支持后台多任务

答案：B

解析：iOS沙盒机制通过文件系统隔离，确保每个应用仅能访问自身目录下的文件，防止跨应用数据窃取。选项A（启动速度）、C（图形性能）、D（后台任务）均为iOS系统其他功能特性。

移动应用中“深度链接（DeepLink）”的主要安全风险是（）

A.导致应用崩溃

B.触发跨站脚本攻击（XSS）

C.被恶意应用劫持跳转

D.增加流量消耗

答案：C

解析：深度链接允许外部应用调用本应用特定页面，若未校验调用来源，可能被恶意应用诱导用户跳转至钓鱼页面。选项A（崩溃）通常由代码缺陷引起，B（XSS）多见于WebView交互场景，D（流量消耗）与链接设计无关。

以下不属于移动应用数据存储安全措施的是（）

A.使用SQLite明文存储密码

B.调用AndroidKeystore存储密钥

C.对敏感数据进行AES加密

D.限制SharedPreferences的访问权限

答案：A

解析：明文存储密码会直接导致数据泄露，是严重的安全隐患。其他选项均为标准安全措施：Keystore（系统级密钥存储）、AES加密（数据脱敏）、权限限制（防止越权访问）。

移动应用逆向分析中，常用的APK反编译工具是（）

A.Wireshark

B.Charles

C.JD-GUI

D.Apktool

答案：D

解析：Apktool是专门用于反编译APK文件（提取资源和Smali代码）的工具。Wireshark（抓包）、Charles（HTTP代理）用于网络分析，JD-GUI用于Java字节码反编译。

移动支付场景中，“二次打包”攻击的主要目标是（）

A.篡改支付金额

B.窃取用户通讯录

C.破坏应用UI布局

D.提升应用运行效率

答案：A

解析：二次打包指恶意修改原应用代码（如替换支付接口），诱导用户输入信息后篡改支付金额或收款方。选项B（通讯录窃取）多通过权限滥用实现，C（UI破坏）无实际攻击价值，D（效率提升）与攻击无关。

以下属于iOS应用特有的安全机制是（）

A.应用签名验证

B.沙盒隔离

C.代码混淆

D.设备标识（IDFV）

答案：D

解析：IDFV（IdentifierForVendor）是iOS为同一开发者的应用分配的唯一标识，用于跨应用统计，Android无此机制。应用签名（Android/iOS均有）、沙盒（iOS更严格）、代码混淆（跨平台技术）均非iOS特有。

移动应用WebView组件的主要安全风险不包括（）

A.任意URL加载

B.JavaScript接口暴露

C.启用DOM存储

D.支持HTTPS请求

答案：D

解析：HTTPS请求（TLS加密）是WebView的安全增强措施，而非风险。其他选项：任意URL加载（可能跳转钓鱼网站）、JS接口暴露（可能被注入恶意代码）、DOM存储（可能存储敏感信息被窃取）均为典型风险。

移动设备丢失后，最有效的数据保护措施是（）

A.定期清理缓存

B.开启设备加密（如AndroidFile-basedEncryption）

C.关闭蓝牙功能

D.卸载第三方应用

答案：B

解析：设备加密可确保存储在硬件中的数据无法被未授权用户读取，是丢失场景下的核心防护。其他选项：清理缓存（无关）、关闭蓝牙（防短距离攻击）、卸载应用（无法阻止已存储数据泄露）均非最有效措施。

二、多项选择题（共10题，每题2分，共20分）

Android应用组件暴露可能引发的安全风险包括（）

A.Activity被恶意应用劫持

B.Service被非法调用执行敏感操作

C.