2026年移动安全工程师考试题库（附答案和详细解析）（0107）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

Android应用的签名机制主要用于以下哪项功能？

A.验证开发者身份

B.防止应用被篡改

C.管理应用权限

D.加速应用启动

答案：B

解析：Android签名机制的核心作用是确保应用的完整性（防篡改），同时通过证书验证开发者身份（A是辅助功能）。权限管理由Android系统的权限机制实现（C错误），启动速度与签名无关（D错误）。

iOS应用的沙盒机制主要限制应用的哪类操作？

A.网络访问速度

B.文件系统访问范围

C.后台运行时长

D.摄像头调用频率

答案：B

解析：iOS沙盒机制通过隔离每个应用的文件目录（如Documents、Library），限制其只能访问自身沙盒内的文件，防止应用间数据泄露（B正确）。网络访问、后台运行和硬件调用由系统权限控制（A、C、D错误）。

以下哪项是移动应用逆向工程的常用工具？

A.Wireshark

B.Charles

C.APKTool

D.Postman

答案：C

解析：APKTool用于反编译Android应用的APK文件，提取资源和Smali代码（C正确）。Wireshark（抓包）、Charles（HTTP代理）是网络分析工具（A、B错误），Postman用于接口测试（D错误）。

移动应用中SQL注入攻击的主要原因是？

A.数据库版本过旧

B.未对用户输入进行转义处理

C.数据库权限配置过高

D.网络传输未加密

答案：B

解析：SQL注入的本质是用户输入的恶意字符串被直接拼接至SQL语句中执行，未转义处理是核心原因（B正确）。数据库版本、权限和传输加密与注入无直接关联（A、C、D错误）。

移动设备丢失后，最有效的数据保护措施是？

A.开启开发者模式

B.设备加密+远程擦除

C.关闭蓝牙功能

D.定期清理缓存

答案：B

解析：设备加密（如Android的File-basedEncryption）可防止物理窃取时的数据泄露，远程擦除（如FindMyiPhone）可远程删除敏感数据（B正确）。开发者模式开启会增加风险（A错误），蓝牙和缓存清理与数据保护无关（C、D错误）。

以下哪项是Android的四大核心组件之一？

A.ServiceWorker

B.ContentProvider

C.WebView

D.Fragment

答案：B

解析：Android四大组件为Activity、Service、BroadcastReceiver、ContentProvider（B正确）。ServiceWorker是Web技术（A错误），WebView是网页渲染组件（C错误），Fragment是Activity内的界面模块（D错误）。

GDPR对移动应用的核心要求是？

A.强制使用HTTPS传输

B.用户数据最小化原则

C.禁止收集儿童信息

D.应用必须开源

答案：B

解析：GDPR（通用数据保护条例）的核心是“数据最小化”（仅收集必要数据）和“用户控制权”（B正确）。HTTPS是安全措施非法规强制（A错误），儿童信息需特殊同意而非禁止（C错误），开源无要求（D错误）。

移动应用中使用HTTPS时，最常见的安全风险是？

A.证书过期

B.证书.pin文件被逆向提取

C.服务器支持TLS1.0

D.DNS解析失败

答案：B

解析：证书固定（CertificatePinning）是防止中间人攻击的关键，但.pin文件若未加密存储，逆向工程可提取并绕过验证（B正确）。证书过期（A）、TLS版本低（C）、DNS失败（D）是次要风险。

iOS越狱后，设备失去的主要安全特性是？

A.多任务处理

B.系统完整性保护（SEPOS）

C.应用内购买

D.iCloud同步

答案：B

解析：iOS的SEPOS（安全_enclave处理器）负责系统完整性验证和密钥管理，越狱会绕过该机制，导致恶意代码可篡改系统（B正确）。多任务、内购、iCloud与越狱无直接关联（A、C、D错误）。

移动应用安全测试中，动态分析的主要工具是？

A.AndroBugs

B.IDAPro

C.Charles

D.Jadx

答案：C

解析：动态分析需在应用运行时监测行为，Charles通过代理拦截HTTP/HTTPS流量，分析数据传输（C正确）。AndroBugs（静态扫描）、IDAPro（逆向分析）、Jadx（反编译）是静态工具（A、B、D错误）。

二、多项选择题（共10题，每题2分，共20分）

以下属于移动应用敏感数据的有？

A.用户手机号

B.设备IMEI

C.应用崩溃日志

D.用户收货地址

答案：ABD

解析：敏感数据包括可识别用户身份的信息（手机号、IMEI