2026年移动安全工程师考试题库（附答案和详细解析）（0104）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下Android组件中，默认情况下最易被外部应用调用的是？

A.Service（服务）

B.Activity（活动）

C.BroadcastReceiver（广播接收器）

D.ContentProvider（内容提供者）

答案：B

解析：Android组件的android:exported属性决定是否可被外部调用。Activity默认exported值为true（若声明了intent-filter），而Service默认exported为false（除非声明intent-filter），BroadcastReceiver默认exported为true（但需注册方式），ContentProvider默认exported为false（需明确设置）。因此Activity是最易被外部调用的组件。

iOS应用的沙盒机制主要限制的是？

A.应用与系统内核的交互权限

B.应用访问其他应用数据的能力

C.应用使用蓝牙等硬件的权限

D.应用调用网络接口的频率

答案：B

解析：iOS沙盒（Sandbox）机制通过文件系统隔离，限制应用仅能访问自身目录下的文件和数据，无法直接读取其他应用的沙盒数据，从而防止应用间数据泄露。其他选项属于权限管理（如硬件访问）或网络限制（如ATS），非沙盒核心功能。

移动应用中，“证书固定（CertificatePinning）”主要用于防御哪种攻击？

A.SQL注入攻击

B.中间人攻击（MITM）

C.反编译逆向攻击

D.代码注入攻击

答案：B

解析：证书固定通过在应用中预存服务器公钥或证书哈希，强制校验服务器返回的证书是否匹配预存值，防止攻击者通过伪造证书实施中间人攻击。其他攻击类型需通过输入过滤（SQL注入）、代码混淆（逆向）、权限控制（代码注入）防御。

Android应用使用SharedPreferences存储敏感数据时，最常见的安全风险是？

A.数据被其他应用通过反射读取

B.数据以明文形式存储在XML文件中

C.存储容量超过系统限制导致崩溃

D.多线程并发写入时数据丢失

答案：B

解析：SharedPreferences默认以XML格式存储在/data/data/包名/shared_prefs目录下，若未加密，敏感数据（如token、密码）会明文暴露，其他应用虽无法直接读取（沙盒限制），但root设备或调试模式下可获取。其他选项中，反射读取需应用拥有root权限（非常见风险），存储容量限制和并发问题非主要安全风险。

以下哪种行为符合《个人信息保护法》对移动应用的要求？

A.收集用户位置信息前未明确告知用途

B.仅收集实现功能必要的最小范围个人信息

C.共享用户数据给第三方时不提供数据类型详情

D.未提供用户注销账号并删除个人信息的渠道

答案：B

解析：《个人信息保护法》要求“最小必要原则”，即仅收集实现功能必需的个人信息。其他选项均违反规定：需明确告知收集用途（A错误），共享数据需告知接收方、数据类型等（C错误），需提供注销及删除数据的渠道（D错误）。

iOS应用的代码签名机制中，用于验证应用完整性的是？

A.开发者证书（DeveloperCertificate）

B.苹果根证书（AppleRootCA）

C.应用的entitlements（权限声明）

D.哈希值（Hash）与私钥签名

答案：D

解析：代码签名流程中，开发者使用私钥对应用的哈希值签名，安装时iOS用苹果公钥验证签名，确保应用未被篡改。开发者证书（A）用于标识开发者身份，苹果根证书（B）用于信任链验证，entitlements（C）定义应用权限，均非直接验证完整性的核心。

移动应用逆向分析中，“脱壳”操作主要针对的是？

A.混淆后的Java代码

B.加密的资源文件（如图片、布局）

C.经过加固的可执行文件（如dex、so）

D.动态加载的插件模块

答案：C

解析：移动应用加固（如梆梆、爱加密）会对dex文件或so库进行加密/混淆，形成“壳”保护。脱壳（Unpack）是通过调试或内存Dump获取原始未加密代码的过程，主要针对加固后的可执行文件。混淆代码（A）、资源加密（B）、插件加载（D）均非脱壳主要目标。

以下Android权限中，属于“危险权限”的是？

A.ACCESS_NETWORK_STATE（访问网络状态）

B.READ_EXTERNAL_STORAGE（读取外部存储）

C.ACCESS_WIFI_STATE（访问WiFi状态）

D.GET_ACCOUNTS（获取账户列表）

答案：B

解析：Android危险权限需在运行时动态申请（Android6.0+），包括涉及用户隐私的权限如存储