2026年移动安全工程师考试题库（附答案和详细解析）（0103）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

Android应用中，若Activity未显式设置android:exported属性，其默认值由以下哪项决定？

A.必须显式设置，无默认值

B.根据是否声明intent-filter自动判断

C.默认值为true

D.默认值为false

答案：B

解析：Android12及以上版本中，若未显式设置android:exported，系统会根据是否声明intent-filter自动判断：存在则默认true，否则默认false（低版本行为略有差异）。选项A错误，因系统有默认逻辑；C、D未考虑intent-filter的影响，故错误。

iOS应用沙盒机制的核心目的是？

A.限制应用间数据共享，防止越权访问

B.提升应用运行效率

C.允许应用访问系统所有文件

D.简化应用开发流程

答案：A

解析：沙盒机制通过文件系统隔离限制应用访问范围，防止应用越权访问其他应用或系统文件。B、D与安全无关；C与沙盒目的完全相反，故错误。

以下哪种网络攻击方式主要针对移动应用的HTTPS通信？

A.SQL注入

B.SSL剥离（SSLStripping）

C.缓冲区溢出

D.跨站脚本攻击（XSS）

答案：B

解析：SSL剥离通过劫持HTTP请求，强制降级为HTTP传输，绕过HTTPS加密。A、D针对应用逻辑层，C针对内存操作，均与网络传输层加密无关，故错误。

常用于Android应用逆向分析的工具是？

A.Xcode

B.IDAPro

C.VisualStudio

D.Excel

答案：B

解析：IDAPro是专业的反汇编工具，支持Android的DEX文件分析。A、C为开发工具，D为办公软件，均不用于逆向分析，故错误。

以下哪种加密方式属于对称加密？

A.RSA

B.ECC

C.AES

D.哈希（如SHA-256）

答案：C

解析：AES使用相同密钥加密和解密，属于对称加密。RSA、ECC为非对称加密，哈希为摘要算法，均不符合，故错误。

移动应用使用数字证书签名的主要目的是？

A.加速应用运行

B.防止应用被篡改

C.提升用户体验

D.减少内存占用

答案：B

解析：数字签名通过私钥加密应用哈希值，安装时用公钥验证，确保应用未被篡改。A、C、D与签名无关，故错误。

移动安全测试中，“静态分析”主要针对？

A.运行中的应用行为

B.未运行的应用代码

C.网络传输数据

D.设备硬件状态

答案：B

解析：静态分析通过直接分析应用代码（如APK、IPA文件）检测漏洞，无需运行应用。A、C属于动态分析范畴，D与测试无关，故错误。

以下哪类漏洞属于输入验证缺陷？

A.缓冲区溢出

B.SQL注入

C.界面劫持（Tapjacking）

D.应用崩溃

答案：B

解析：SQL注入因未对用户输入进行严格校验，导致恶意代码执行。A与内存操作相关，C与界面交互相关，D为异常处理问题，故错误。

Android的SELinux（安全增强型Linux）主要用于？

A.优化电池续航

B.实现多任务切换

C.强制访问控制（MAC）

D.管理应用通知

答案：C

解析：SELinux通过强制访问控制策略，限制进程和文件的访问权限，提升系统安全性。A、B、D均与SELinux无关，故错误。

移动应用加固的主要目标是？

A.减少安装包大小

B.防止逆向分析与篡改

C.提升应用启动速度

D.支持更多设备型号

答案：B

解析：加固通过代码混淆、DEX加密、反调试等技术增加逆向难度，保护核心逻辑。A、C、D是优化目标，非安全加固目的，故错误。

二、多项选择题（共10题，每题2分，共20分）

移动应用常见的安全风险包括？

A.敏感数据明文存储（如SharedPreferences）

B.使用未经验证的第三方SDK

C.Activity组件过度暴露

D.强制使用HTTPS传输

答案：ABC

解析：A（明文存储易导致数据泄露）、B（第三方SDK可能存在漏洞）、C（组件暴露可被恶意调用）均为典型风险。D是安全防护措施，非风险，故错误。

Android应用的安全防护措施包括？

A.使用ProGuard进行代码混淆

B.对本地数据库（如SQLite）加密

C.为Service组件设置android:exported=false

D.使用硬编码的API密钥

答案：ABC

解析：A（混淆增加逆向难度）、B（加密防止数据泄露）、C（限制组件暴露）均为有效措施。D（硬编码密钥易被逆向获取）是高风险行为，故错误。

iOS应用的安全特性包括？

A.严格的沙盒机制

B.强制代码签名

C.支持任意目录文件访问

D.数据保护（DataProtect