2025年大學(xué)技術(shù)偵查學(xué)專業(yè)題庫——移動設(shè)備安全漏洞挖掘考試時間：______分鐘總分：______分姓名：______一、選擇題1.在Android系統(tǒng)中，決定一個應(yīng)用能訪問哪些敏感數(shù)據(jù)或執(zhí)行哪些敏感操作的關(guān)鍵機(jī)制是？A.硬件鎖B.沙盒機(jī)制C.代碼簽名D.虛擬機(jī)2.當(dāng)一個Android應(yīng)用的Activity在內(nèi)存中被銷毀，但仍然持有某個資源（如文件句柄）的引用，而隨后該Activity又被重新創(chuàng)建，訪問該資源時發(fā)生崩潰，這種現(xiàn)象最可能是哪種漏洞？A.StackOverflowB.Use-After-Free(UAF)C.NullPointerDereferenceD.RaceCondition3.以下哪種工具通常用于對Android應(yīng)用進(jìn)行反編譯，得到近似源代碼的Java字節(jié)碼？A.FridaB.GhidraC.JEBDecompilerD.Wireshark4.在進(jìn)行Android應(yīng)用動態(tài)分析時，通過附加到應(yīng)用進(jìn)程的調(diào)試器，修改應(yīng)用內(nèi)存中的數(shù)據(jù)或注冊表項(xiàng)，這種技術(shù)通常稱為？A.FridaHookingB.ProcessModificationC.DebuggingD.Tracing5.若要檢測一個Android應(yīng)用是否存在內(nèi)存泄漏，以下哪種工具是常用的選擇？A.GDBB.SystraceC.LeakCanaryD.ADB6.iOS系統(tǒng)中，沙盒機(jī)制限制了應(yīng)用對哪些目錄的訪問？A./system、/dataB./private/var/containers/Data/Application、/private/var/containers/Bundle/ApplicationC./usr/bin、/usr/libD./tmp、/var/log7.某款移動瀏覽器存在一個邏輯漏洞，用戶在特定順序輸入URL后，可以觸發(fā)越權(quán)訪問其他用戶隱私信息。這種漏洞通常歸類為？A.內(nèi)存損壞漏洞B.邏輯漏洞C.配置錯誤D.代碼執(zhí)行漏洞8.從一個加密的應(yīng)用包中提取出未加密的代碼段，以便進(jìn)行分析，這個過程通常稱為？A.解密(Decryption)B.簽名驗(yàn)證C.反編譯(Decompilation)D.代碼注入9.在進(jìn)行移動設(shè)備取證時，分析設(shè)備日志文件以查找異常行為或敏感信息泄露的證據(jù)，這屬于哪種分析？A.靜態(tài)分析B.動態(tài)分析C.日志分析D.逆向工程10.根據(jù)中國相關(guān)法律法規(guī)，進(jìn)行移動設(shè)備漏洞挖掘和利用活動時，最基本的要求是？A.必須公開披露漏洞B.需獲得設(shè)備所有者的明確授權(quán)C.只能由官方安全機(jī)構(gòu)進(jìn)行D.不需要遵守任何法律二、填空題1.Android系統(tǒng)中，每個應(yīng)用都運(yùn)行在自己的獨(dú)立進(jìn)程中，這就是著名的_______機(jī)制，它有助于隔離應(yīng)用，提高安全性。2.當(dāng)應(yīng)用程序請求運(yùn)行時權(quán)限，但用戶拒絕了該權(quán)限，應(yīng)用仍嘗試訪問受保護(hù)數(shù)據(jù)，這種漏洞通常稱為_______繞過。3.使用Frida等工具時，通過附加到目標(biāo)進(jìn)程并注入自己的代碼，來攔截、修改或替換函數(shù)調(diào)用，這種技術(shù)稱為_______。4.iOS應(yīng)用中的許多敏感數(shù)據(jù)（如用戶憑證）會存儲在沙盒目錄下的_______文件中，該文件默認(rèn)是加密的。5.漏洞挖掘的靜態(tài)分析階段，通常不依賴于目標(biāo)程序是否在運(yùn)行，而是通過_______代碼或二進(jìn)制文件來進(jìn)行分析。6.在進(jìn)行技術(shù)偵查取證時，針對安裝了特定應(yīng)用的移動設(shè)備，分析該應(yīng)用的代碼、行為和通信，以獲取證據(jù)，這體現(xiàn)了漏洞挖掘技術(shù)的_______應(yīng)用。7.某個移動應(yīng)用在處理用戶輸入時，沒有對輸入長度進(jìn)行足夠檢查，導(dǎo)致緩沖區(qū)溢出，這種漏洞的根本原因在于_______。8.為了在調(diào)試器中跟蹤函數(shù)調(diào)用和變量變化，通常需要設(shè)置_______點(diǎn)。9.漏洞利用代碼（PoC）的主要目的是_______，展示漏洞可以被實(shí)際利用。10.《網(wǎng)絡(luò)安全法》等法律法規(guī)要求網(wǎng)絡(luò)運(yùn)營者采取技術(shù)措施，防止用戶信息泄露，這本身就是一種針對_______漏洞的防護(hù)措施。三、簡答題1.簡述Android系統(tǒng)中“權(quán)限”的概念及其在安全中的作用。2.靜態(tài)分析和動態(tài)分析在移動設(shè)備漏洞挖掘中分別有哪些主要優(yōu)勢和局限性？3.什么是移動應(yīng)用的沙盒機(jī)制？請簡述其核心原理和主要的安全作用。4.在技術(shù)偵查工作中，進(jìn)行移動設(shè)備漏洞挖掘分析時，必須遵守的法律法規(guī)底線有哪些？（至少列舉兩項(xiàng)）四、分析題1.假設(shè)你正在對一款流行的第三方支付App進(jìn)行安全分析。通過靜態(tài)分析發(fā)現(xiàn)，該App在本地存儲用戶的銀行卡號時，未進(jìn)行任何加密處理，且以明文形式存儲在沙盒目錄下的`/data/data/com.example.payapp/databases/`路徑下的`user_info.db`數(shù)據(jù)庫文件中。請分析這種做法存在的安全風(fēng)險，并提出至少兩種可行的改進(jìn)措施。2.描述一下利用Frida對一個運(yùn)行中的Android應(yīng)用進(jìn)行動態(tài)分析的基本步驟，并說明在分析一個涉及WebView調(diào)用的復(fù)雜漏洞時，F(xiàn)rida的哪些功能特別有用？3.某技術(shù)偵查人員在執(zhí)行一項(xiàng)任務(wù)時，獲取了一部已經(jīng)關(guān)機(jī)的涉案移動設(shè)備。設(shè)備中存有重要證據(jù)，但部分應(yīng)用的數(shù)據(jù)已被加密。已知該應(yīng)用使用了AES加密，且密鑰可能存儲在設(shè)備的RAM中。請分析在設(shè)備關(guān)機(jī)狀態(tài)下，嘗試恢復(fù)該應(yīng)用加密數(shù)據(jù)的可能性和面臨的挑戰(zhàn)。---試卷答案一、選擇題1.B2.B3.C4.C5.C6.B7.B8.A9.C10.B二、填空題1.沙盒(或sandbox)2.運(yùn)行時(或Runtime)3.Hooking(或Hook)4.app.dat(或AppData)5.反匯編(或Disassembly)6.偵查取證(或取證)7.輸入驗(yàn)證不充分(或InputValidation)8.斷點(diǎn)(或Breakpoint)9.漏洞驗(yàn)證(或驗(yàn)證漏洞可利用性)10.數(shù)據(jù)泄露(或信息泄露)三、簡答題1.答：Android系統(tǒng)中的“權(quán)限”是操作系統(tǒng)提供的一種訪問控制機(jī)制，用于限制應(yīng)用對設(shè)備硬件資源（如相機(jī)、麥克風(fēng)、聯(lián)系人）和系統(tǒng)數(shù)據(jù)的訪問。一個應(yīng)用在安裝時可以請求多種權(quán)限。用戶在安裝或首次運(yùn)行時需要授權(quán)。權(quán)限在安全中的作用是實(shí)施最小權(quán)限原則，確保應(yīng)用只能訪問其運(yùn)行所必需的資源，防止惡意應(yīng)用濫用權(quán)限，侵犯用戶隱私或破壞系統(tǒng)穩(wěn)定，從而提高移動系統(tǒng)的整體安全性。2.答：靜態(tài)分析的主要優(yōu)勢是無需運(yùn)行目標(biāo)程序即可進(jìn)行分析，可以快速掃描大量應(yīng)用，發(fā)現(xiàn)明顯的代碼錯誤或模式；可以分析源代碼或反編譯后的代碼，理解應(yīng)用邏輯；工具通常輕量，易于部署。局限性在于無法檢測運(yùn)行時行為、依賴環(huán)境（如網(wǎng)絡(luò)、其他應(yīng)用）的影響、內(nèi)存狀態(tài)、并發(fā)問題，分析的準(zhǔn)確性依賴于反編譯/反匯編的質(zhì)量。動態(tài)分析的主要優(yōu)勢是可以觀察應(yīng)用的實(shí)時運(yùn)行狀態(tài)、內(nèi)存內(nèi)容、系統(tǒng)調(diào)用、網(wǎng)絡(luò)通信等，能夠發(fā)現(xiàn)靜態(tài)分析無法捕捉的運(yùn)行時漏洞（如內(nèi)存損壞、邏輯錯誤）；可以模擬各種輸入和場景。局限性在于分析過程可能干擾應(yīng)用正常行為，耗時較長，需要運(yùn)行在特定或模擬環(huán)境中，難以自動化分析所有路徑，對調(diào)試器和運(yùn)行環(huán)境有較高要求。3.答：移動應(yīng)用的沙盒機(jī)制是iOS和Android系統(tǒng)為每個應(yīng)用提供的一個隔離環(huán)境。其核心原理是將應(yīng)用的代碼、數(shù)據(jù)、文件、進(jìn)程等資源都限制在應(yīng)用的專屬目錄下，應(yīng)用只能訪問自己的沙盒目錄，而無法直接訪問系統(tǒng)目錄或其他應(yīng)用的目錄，除非通過系統(tǒng)提供的特定API進(jìn)行權(quán)限請求和授權(quán)。主要安全作用包括：隔離應(yīng)用，防止一個應(yīng)用的問題（如崩潰、內(nèi)存泄漏）影響其他應(yīng)用或系統(tǒng)；限制數(shù)據(jù)訪問，保護(hù)用戶隱私和系統(tǒng)文件不被應(yīng)用隨意讀取或修改；限制系統(tǒng)調(diào)用，防止應(yīng)用執(zhí)行惡意操作（如格式化存儲）。4.答：必須遵守的法律法規(guī)底線包括：①《網(wǎng)絡(luò)安全法》的相關(guān)規(guī)定，不得竊取或泄露個人信息、商業(yè)秘密等；②《數(shù)據(jù)安全法》的相關(guān)規(guī)定，確保數(shù)據(jù)處理活動合法合規(guī)，防止數(shù)據(jù)泄露或?yàn)E用；③《個人信息保護(hù)法》的相關(guān)規(guī)定，在處理個人信息時需遵循合法、正當(dāng)、必要原則，并獲得用戶同意（如適用），保護(hù)個人信息權(quán)益；④執(zhí)法活動必須依法進(jìn)行，遵循法定權(quán)限和程序，不得侵犯公民、法人和其他組織的合法權(quán)益；⑤不得利用漏洞挖掘技術(shù)從事任何違法犯罪活動。四、分析題1.答：存在的安全風(fēng)險：①銀行卡號等敏感支付信息以明文形式存儲，極易被惡意應(yīng)用、Root/Jailbreak工具、設(shè)備木馬或物理攻擊者通過文件讀取、內(nèi)存掃描等方式竊取，可能導(dǎo)致金融欺詐；②如果設(shè)備丟失或被盜，信息泄露風(fēng)險極大；③應(yīng)用本身存在代碼漏洞被利用，也可能導(dǎo)致數(shù)據(jù)庫被非法訪問。改進(jìn)措施：①對存儲的銀行卡號等敏感信息進(jìn)行強(qiáng)加密，使用成熟的加密算法（如AES-256）和安全的密鑰管理方案；②敏感信息不應(yīng)僅存儲在本地數(shù)據(jù)庫，可考慮結(jié)合安全芯片（SE）或可信執(zhí)行環(huán)境（TEE）進(jìn)行存儲；③提供安全的支付環(huán)境，如使用支付網(wǎng)關(guān)處理敏感信息，減少本地存儲需求；④加強(qiáng)應(yīng)用自身的安全防護(hù)，防止本地提權(quán)或數(shù)據(jù)讀取攻擊。2.答：利用Frida對Android應(yīng)用進(jìn)行動態(tài)分析的基本步驟：①確定目標(biāo)應(yīng)用包名(PackageName)和主進(jìn)程名(ProcessName)；②使用FridaCLI或FridaServer啟動并附加到目標(biāo)應(yīng)用進(jìn)程；③編寫JavaScript或TypeScript腳本，使用FridaAPI（如`Intercept`、`Hook`、`Overwrite`等）實(shí)現(xiàn)對感興趣的函數(shù)、方法調(diào)用鏈、網(wǎng)絡(luò)請求、內(nèi)存讀寫等的攔截、監(jiān)控或修改；④執(zhí)行腳本，運(yùn)行目標(biāo)應(yīng)用并觸發(fā)被監(jiān)控的行為；⑤分析Frida控制臺輸出的日志信息或通過腳本獲取的數(shù)據(jù)，完成漏洞分析或功能調(diào)試。在分析涉及WebView調(diào)用的復(fù)雜漏洞時，F(xiàn)rida的`Intercept`功能特別有用，可以：①攔截應(yīng)用代碼對WebView的調(diào)用（如`loadUrl`、`evaluateJavascript`）；②攔截從WebView回調(diào)到應(yīng)用代碼的函數(shù)調(diào)用；③攔截WebView內(nèi)部執(zhí)行的JavaScript代碼及其與Java/Kotlin代碼的交互；④分析WebView加載的URL、資源類型、注入的JavaScript代碼，以及與外部域的通信，有助于發(fā)現(xiàn)跨域訪問、XSS、遠(yuǎn)程代碼執(zhí)行等風(fēng)險。3.答：在設(shè)備關(guān)機(jī)狀態(tài)下嘗試恢復(fù)該應(yīng)用加密數(shù)據(jù)的可能性和面臨的挑戰(zhàn)：可能性：①如果該應(yīng)用在設(shè)備運(yùn)行時使用了某種形式的內(nèi)存加密，且密鑰確實(shí)存儲在RAM中，并且有證據(jù)表明RAM在設(shè)備關(guān)機(jī)后短時間內(nèi)可能未完全清除（例如，某些特殊設(shè)備或特定關(guān)機(jī)場景下），理論上可能通過非常規(guī)手段（如芯片拆解分析、冷啟動攻擊等）嘗試捕獲或分析RAM狀態(tài)，以獲取密鑰或解密信息。②如果密鑰是通過某種動態(tài)生成或派生的方式存在，且能找到其生成邏輯或相關(guān)憑證，可能