南开大学23春“信息安全”《计算机病毒分析》考试高频考点参考题库带答案

长风破浪会有时，直挂云帆济沧海。南开大学23春“信息安全”《计算机病毒分析》考试高频考点参考题库带答案（图片大小可自由调整）第I卷一.综合考核(共15题)1.以下说法错误的是()。A.OllyDbg可以很容易修改实时数据，如寄存器和标志。它也可以将汇编形式的修补代码直接插入到一个程序B.OllyDbg可以使用00项或nop指令填充程序C.键单击高亮的条件跳转指令，然后选择Binary→FillwithNOPs，该操作产生的结果时NOP指令替换了JNZ指令，这个过程会把那个位置上的NOP永久保存在磁盘上，意味着恶意代码以后会接受任意输入的密钥D.当异常发生时，OllyDbg会暂停运行，然后你可以使用进入异常、跳过异常、运行异常处理等方法，来决定是否将异常转移到应用程序处理2.运行计算机病毒，监控病毒的行为，需要一个安全、可控的运行环境的原因是什么?()A.恶意代码具有传染性B.可以进行隔离C.恶意代码难以清除D.环境容易搭建3.IDAPro都有以下什么功能?()A.识别函数B.标记函数C.划分出局部变量D.划分出参数4.网络特征码可以在没有进行恶意代码分析时创建，但在恶意代码分析帮助下提取的特征码往往更加有效的，可以提供更高的检测率和更少的误报。()A.正确B.错误5.恶意代码经常使用自创的加密方法，比如将多个简单加密方法组装到一起。()A.正确B.错误6.以下哪种互联网连接模式允许虚拟机与物理机连接到相同的物理网卡上?()A.bridgedB.NETC.Host-onlyD.Custom7.下列是抓包的工具是()。A.ApateDNSB.NetcatC.INetSimD.Wireshark8.在通用寄存器中，()是基址寄存器。A.EAXB.EBXC.ECXD.EDX9.单步调试是通过()实现的。A.每条代码之前添加软件断点B.每条代码之前添加硬件断点C.标志寄存器中的陷阱标志(trapflag)D.标志寄存器中的zf标志位10.GFI沙箱生成报告不包括哪个小节?()A.分析摘要B.文件活动C.注册表D.程序功能11.病毒特征码关注是恶意代码对系统做什么，而主机特征码关注恶意代码本身的特性。()A.正确B.错误12.Strings程序检测到的一定是真正的字符串。()A.正确B.错误13.加法和减法是从目标操作数中加上或减去()个值。A.0B.1C.2D.314.检测加密的基本方法是使用可以搜索常见加密常量的工具，我们可以使用IDAPro的FindCrypt2和KryptoANALyzer插件。()A.正确B.错误15.要插入一个跨反汇编窗口，并且在任何时候只要存在对你添加注释的地址的交叉引用就重复回显，应该按()键。A.;B.：C.shiftD.ctrl第II卷一.综合考核(共15题)1.在图形模式中，以下哪种颜色的箭头表示的路径表示一个无条件跳转被采用了?()A.红色B.黄色C.蓝色D.绿色2.下列说法正确的是()。A.IDAPro有一个在识别结构方面很有用的图形化工具B.从反汇编代码来看，很难知道原始代码是一个switch语句还是一个if语句序列C.switch中各无条件跳转相互影响D.使用了一个跳转表，来更加高效地运行switch结构汇编代码3.()是一把双刃剑，可以用来分析内部网络、调试应用程序问题，也可以用来嗅探密码、监听在线聊天。A.ApateDNSB.NetcatC.INetSimD.Wireshark4.OllyDbg提供了多种机制来帮助分析，包括下面几种：()A.日志B.监视C.帮助D.标注5.当重命名假名时，你只需要在一个地方做一次，新名字会扩散到任何被引用的地方。()A.正确B.错误6.在默认情况下，IDAPro的反汇编代码中包含PE头或资源节。()A.正确B.错误7.以下WindowsAPI类型中()是表示一个将会被WindowsAPI调用的函数。A.WORDB.DWORDC.HabdlesD.Callback8.恶意的应用程序会挂钩一个经常使用的Windows消息。()A.正确B.错误9.网络黑客产业链是指黑客们运用技术手段入侵服务器获取站点权限以及各类账户信息并从中谋取()的一条产业链。A.非法经济利益B.经济效益C.效益D.利润10.轰动全球的震网病毒是()。A.木马B.蠕虫病毒C.后门D.寄生型病毒11.在操作系统中所有的文件都不可以通过名字空间进行访问。()A.正确B.错误12.WinDbg支持在命令行中使用简单的算数操作符，对内存和寄存器进行直接的操作，如加减乘除。()A.正确B.错误13.D键是定义原始字节为代码。()A.正确B.错误14.后门的功能有()。A.操作注册表B.列举窗口C.创建目录D.搜索文件15.APC可以让一个线程在它正常的执行路径运行之前执行一些其他的代码。每一个线程都有一个附加的APC队列，它们在线程处于()时被处理。A.阻塞状态B.计时等待状态C.可警告的等待状态D.被终止状态第III卷一.综合考核(共15题)1.这种进程替换技术让恶意代码与被替换进程拥有相同的特权级。()A.正确B.错误2.微软VisualStudio和GNU编译集合(GCC)。前者，adder函数和printf的函数在调用前被压到栈上。而后者，参数在调用之前被移动到栈上。()A.正确B.错误3.基于链接的分析中，URLDownloadToFile()一般提示计算机病毒会从Internet上下载一个文件。()A.正确B.错误4.有时，某个标准符号常量不会显示，这时你需要手动加载有关的类型库。()A.正确B.错误5.在以下寄存器中用于定位要执行的下一条指令的寄存器是()。A.通用寄存器B.段寄存器C.状态寄存器D.指令指针6.()能够将一个被调试的进程转储为一个PE文件。A.OllyDumpB.调试器隐藏插件C.命令行D.书签7.INetSim可以模拟的网络服务有()。A.HTTPB.FTPC.IRCD.DNS8.一共有()个硬件寄存器存储断点的地址。A.1个B.3个C.4个D.7个9.注入shellcode属于()。A.进程注入B.DLL注入C.钩子注入D.直接注入10.以下的恶意代码行为中，属于后门的是()。A.netcat反向shellB.windows反向shellC.远程控制工具D.僵尸网络11.恶意代码编写者可以挂钩一个特殊的Winlogon事件，比如()。A.登录B.注销C.关机D.锁屏12.用IDAPro对一个程序进行反汇编时，字节偶尔会被错误的分类。可以对错误处按()键来取消函数代码或数据的定义。A.C键B.D键C.shiftD键D.U键13.Base64编码将二进制数据转化成()个字符的有限字符集。A.16B.32C.48D.6414.病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组()。A.计算机指令B.程序代码C.文件D.计算机指令或者程序代码15.用户模式下的APC要求线程必须处于()状态。A.阻塞状态B.计时等待状态C.可警告的等待状态D.被终止状态第I卷参考答案一.综合考核1.参考答案：C2.参考答案：ABC3.参考答案：ABCD4.参考答案：A5.参考答案：A6.参考答案：A7.参考答案：D8.参考答案：B9.参考答案：C10.参考答案：D11.参考答案：B12.参考答案：B13.参考答案：B14.参考答案：A15.参考答案：A第II卷参考答案一.综合考核1.参考答案：C2.参考答案：ABD3.参考答案：D4.参考答案：ABCD5.参考答案：A6.参考答案：B7.参考答案：D8.参考答案：B9.参考答案：A10.参考答案：B11.参考答案：B12.参考答案：A13.参