2026年移动安全工程师考试题库（附答案和详细解析）（0122）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

Android应用中，Activity组件的默认导出属性（exported）在API31（Android12）及以上版本的默认值是？

A.默认允许外部调用（exported=true）

B.默认禁止外部调用（exported=false）

C.由父组件继承

D.根据Intent-filter自动判断

答案：B

解析：Android12（API31）开始，若Activity声明了Intent-filter但未显式设置android:exported属性，系统将默认其为false；若未声明Intent-filter，exported默认也为false。因此必须显式声明exported值以避免安全漏洞（如组件劫持）。选项A错误，因默认值已调整；C、D不符合Android官方文档规范。

以下哪种攻击方式主要针对iOS应用的动态调试防护？

A.SSLPinning绕过

B.Frida注入

C.反编译APK

D.SQL注入

答案：B

解析：Frida是常用的动态调试工具，可注入iOS应用进程修改运行时逻辑，因此iOS应用的动态调试防护（如反调试检测）主要针对此类攻击。A是针对HTTPS证书绑定的攻击；C是Android应用的静态分析手段；D是针对数据存储的注入攻击。

移动应用中，WebView组件启用allowFileAccessFromFileURLs属性最可能导致的安全风险是？

A.跨站脚本攻击（XSS）

B.文件跨域访问漏洞

C.远程代码执行

D.点击劫持

答案：B

解析：allowFileAccessFromFileURLs允许文件协议（file://）的页面访问其他文件协议页面的内容，若未严格限制，可能导致恶意页面读取应用私有目录文件（如数据库、配置文件）。A通常由未过滤的用户输入导致；C需结合其他漏洞（如JS接口注入）；D与页面布局渲染相关。

以下哪项不属于移动设备管理（MDM）的核心功能？

A.远程擦除设备数据

B.应用黑白名单控制

C.设备定位追踪

D.芯片级硬件加密

答案：D

解析：MDM（MobileDeviceManagement）主要用于企业移动设备的远程管理，包括设备状态监控、应用管控、数据擦除等。芯片级硬件加密（如TEE、SE）属于硬件安全模块功能，不属于MDM管理范畴。

iOS应用通过AppStore分发时，必须使用的通信安全协议是？

A.HTTP/1.1

B.HTTPS（TLS1.2及以上）

C.FTP

D.WebSocket

答案：B

解析：苹果自iOS9起强制要求应用使用ATS（AppTransportSecurity），默认仅允许HTTPS（TLS1.2+）通信，HTTP请求需在Info.plist中显式禁用ATS。其他选项均不符合AppStore的安全要求。

移动应用反编译防护中，“代码混淆”主要针对哪种分析手段？

A.静态代码分析

B.动态调试分析

C.内存数据提取

D.网络流量抓包

答案：A

解析：代码混淆（如ProGuard、R8）通过重命名类/方法/变量、删除无用代码等方式，使静态反编译后的代码难以阅读和理解，主要防御静态分析。动态调试防护需结合反调试检测（如ptrace），内存防护需加密敏感数据，网络防护需SSLPinning。

以下哪种漏洞属于移动应用特有的逻辑漏洞？

A.弱口令

B.支付越权

C.短信验证码绕过

D.应用多开作弊

答案：D

解析：应用多开（如通过双开工具运行多个实例）可能导致虚拟定位、重复刷奖等作弊行为，是移动应用特有的逻辑漏洞。其他选项（弱口令、越权、验证码绕过）在Web系统中也常见。

移动应用使用SQLite数据库存储敏感数据时，最基本的安全措施是？

A.启用WAL日志模式

B.加密数据库文件

C.限制数据库读写权限

D.定期清理日志

答案：B

解析：SQLite默认以明文存储数据，若设备被root/jailbreak，攻击者可直接读取数据库文件。因此最基本的防护是使用SQLCipher等工具加密数据库。A是性能优化；C是文件系统权限控制（需配合加密）；D与数据安全无直接关联。

以下哪项是Android应用进程沙盒机制的核心限制？

A.禁止访问其他应用的文件

B.限制CPU占用率

C.禁止启动系统服务

D.限制网络访问速率

答案：A

解析：Android沙盒机制通过Linux用户隔离（每个应用一个独立UID），限制应用仅能访问自身数据目录（/data/data/包名），无法直接访问其他应用文件。其他选项（CPU、系统服务、网络速率）由系统资源管理器或权限机制控制，非沙盒核心。

移动应用使用第三方