2025年移动安全工程师考试题库（附答案和详细解析）（1219）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪种攻击方式属于移动应用客户端的典型安全风险？

A.DDoS攻击（分布式拒绝服务）

B.SQL注入攻击

C.BGP劫持（边界网关协议劫持）

D.DNS缓存投毒

答案：B

解析：移动应用客户端的典型风险包括代码逆向、数据泄露、注入攻击等。SQL注入攻击（B）是客户端与后端数据库交互时，因未对输入数据做有效过滤导致的漏洞。A、C、D均属于网络层攻击，主要针对服务器或网络基础设施，非客户端典型风险。

Android应用的APK文件签名使用的算法是？

A.SHA-1+RSA

B.MD5+ECC

C.SHA-256+DSA

D.CRC32+HMAC

答案：A

解析：Android应用签名机制要求使用RSA私钥对APK进行签名，公钥证书中包含SHA-1指纹（用于标识开发者）。尽管Google已推荐使用SHA-256，但基础签名算法仍基于SHA-1+RSA（A）。B、C、D中的算法均不符合Android官方签名规范。

iOS应用的沙盒机制主要限制的是？

A.应用间的网络通信速率

B.应用对系统文件的访问范围

C.应用的后台运行时长

D.应用的UI界面布局

答案：B

解析：iOS沙盒（Sandbox）机制通过文件系统权限隔离，限制应用仅能访问自身目录下的文件和系统分配的资源（B）。A、C、D均属于系统资源调度或功能限制，非沙盒核心目标。

移动应用使用HTTP协议传输敏感数据时，最直接的安全改进措施是？

A.对数据进行Base64编码

B.升级为HTTPS协议

C.增加请求频率限制

D.对URL参数进行混淆

答案：B

解析：HTTP是明文传输协议，敏感数据易被截获。HTTPS通过TLS加密传输（B）是最直接的改进措施。A仅为编码非加密，C是防攻击手段，D无法解决传输层明文问题，均不直接解决安全风险。

以下哪个工具主要用于Android应用的静态代码分析？

A.Charles

B.AndroBugs

C.Frida

D.Xposed

答案：B

解析：AndroBugs（B）是Android静态分析工具，可自动检测代码中的安全漏洞（如硬编码密钥、未授权组件）。Charles（A）是抓包工具，Frida（C）和Xposed（D）是动态调试工具，均非静态分析核心工具。

移动应用的“重打包攻击”主要利用了以下哪项漏洞？

A.应用未校验签名

B.应用未做代码混淆

C.应用未限制网络请求来源

D.应用未加密本地存储

答案：A

解析：重打包攻击指攻击者修改APK后重新签名安装，若原应用未在运行时校验签名（A），则恶意版本可正常运行。B、C、D是其他类型漏洞，但非重打包攻击的直接利用点。

移动支付应用中，“二次验证”通常用于增强哪类安全场景？

A.设备唯一性识别

B.身份认证

C.交易抗抵赖

D.数据完整性校验

答案：B

解析：二次验证（如短信验证码、动态令牌）是身份认证（B）的增强手段，用于确认用户操作的真实性。A是设备识别，C是数字签名功能，D是哈希校验功能，均非二次验证核心场景。

以下哪种Android组件最易因未正确配置而导致信息泄露？

A.Activity

B.Service

C.BroadcastReceiver

D.ContentProvider

答案：D

解析：ContentProvider（D）用于跨应用数据共享，若未通过android:exported=false限制外部访问，攻击者可直接读取敏感数据（如联系人、短信）。其他组件虽可能暴露，但ContentProvider的跨应用数据共享特性使其风险更高。

iOS应用的“越狱检测”主要目的是？

A.防止应用被反编译

B.检测设备是否被非法修改

C.限制应用在特定地区运行

D.优化应用性能

答案：B

解析：越狱（Jailbreak）是iOS设备绕过苹果官方限制的行为，可能导致恶意软件安装。越狱检测（B）用于识别设备是否被非法修改，防止恶意环境下的攻击。A是代码加固目标，C是地区限制，D是性能优化，均非主要目的。

移动应用的“运行时防护”技术不包括？

A.反调试检测

B.内存保护

C.代码混淆

D.钩子（Hook）拦截

答案：C

解析：运行时防护针对应用运行阶段的攻击（如调试、注入），包括反调试（A）、内存保护（B）、Hook拦截（D）等。代码混淆（C）是开发阶段的静态保护技术，不属于运行时防护。

二、多项选择题（共10题，每题2分，共20分）

以下属于移动应用数据存储安全风险的有？

A.敏感信息明文存储在SharedPreferences中

B.应用私有目录下的文件未加密

C.使用外部存储（如SD卡）保存用户隐私数据

D