22春学期（高起本1709、全层次1803-2103）《逆向工程》在线作业答卷

admin

22春学期（高起本1709-1803、全层次1809-2103）《逆向工程》在线作业-00002
& x+ H/ L# }! J4 V$ n试卷总分:100  得分:94
+ M# t1 [- `- \) l" E% Z一、单选题 (共 25 道试题,共 50 分)
1.代表文件缓存管理的函数前缀是（）。
A.Ex
B.Ke
C.HAL
# ]+ n8 H" `( K& ?D.Cc
. C3 r- c0 O  D% O* K+ k4 A资料:
/ l4 D, Y! b0 B5 Y5 K
6 A* D6 k* p/ N+ J& l' p2.ascii码是一种（）
A.字符编码
& q' X5 R4 _: n& @& a- UB.压缩编码
C.传输码
- H0 O% O3 F. c  ]$ ?D.校验码
资料:

. k- T) X1 F# x! b7 o# N3.为了让操作系统变得简单，将设备驱动程序运行在（）级。
* F* m- S$ i) w  N" BA.R0
B.R1
C.R2
D.R3
资料:

+ _: }. `0 _7 f% p! h9 @; J4.PE文件中的分节中唯一包含代码的节是（）。
A..rdata
5 {" y8 U' `" Q  d" h3 P! B- @B..text
/ N# ^7 O# J8 X" BC..data
D..rsrc
资料:

5.系统服务描述表的英文缩写是（）。
' }  d. z1 ]) v9 M9 `A.SSDT
B.IAT
C.GPT
D.IRP
资料:

6.数据目录表(DataDirectory)的第（）个成员指向绑定输人。绑定输入以一个IMAGE_ BOUND_IMPORT _DESCRIPTOR结构的数组开始。
A.10
B.11
C.12
D.13
" z5 J# \8 n) [* l% u资料:
6 |" g: B  k6 W( c/ ^, ~  q
& a! f" X5 w# s7.由R3进入R0是通过（）实现的。
6 S1 M$ r: W) J6 ?; wA.内存映射
& p* X, {7 h" \6 Q* I* W& `% @B.基地址重定位
3 ~" @  K  V/ V+ @C.中断
  \0 ?# T  f* ED.异常
+ E5 W6 y* ]7 n7 |9 t5 `资料:
6 ~, z9 W  M! k
8.IDA是按（）装载PE文件的。
A.时间戳
B.资源
C.区块
* A" F% \  ~6 ]8 J: ~  _3 Q; bD.导入导出函数
( k- O$ z  ~6 W  U, t* l资料:
/ G2 [3 f8 d" {" p0 m( z
9.IDA PRO简称IDA，是一个交互式（）工具。
A.调试
& z8 A" _  A* @( D5 fB.汇编
. E: i5 H4 @* z! i) [8 u9 VC.编译
D.反汇编
$ b. d! W) I0 x/ H( H+ [资料:
& y7 H( ]5 t; {" t- E$ ?  F
10.虚函数的地址是在（）时候确定的。
; w7 R3 h$ |  h5 ]* ^A.程序编写时
B.编译程序时
C.调用即将进行时
- J8 Y9 y; W& _% MD.程序执行后
资料:
) V3 p; g; ]* J; R3 N
11.获得注册文件属性的API函数是
+ i5 L% P7 t4 ?/ t. M( P9 Q2 eA.FindFirstFileA函数
B.CreateFileA函数
C.GetFileAttributesA函数
  ?# I* c) f; G) b! gD.ReadFile函数
资料:
% w- W2 ?* j) P6 q6 ]7 T
5 A, }6 w5 |% ?; l; Y5 h/ X# e* x% O12.基址重定位数据采用类似按页分割的方法组织，是由许多重定位块串接成的，每个块中存放（）KB的重定位信息
A.1
0 A  m2 S7 S6 r( p1 [) WB.2
C.4
D.8
4 C! _& G. a9 b3 Y# Q- S' O: ~: }资料:
2 L$ r6 k5 N9 n6 Y
. J6 U( m( T: D( d/ v$ ~# \: I13.CPU设计者将CPU的运行级别从内向外分为4个，依次为R0, R1, R2, R3，（）拥有最高执行权限。
A.R0
B.R1
C.R2
' H; i& w2 i) X6 UD.R3
! L! q  E" t. h! R: F资料:

14.SSDT通过内核（）导出。
A.NTOSKRNL.exe
0 {+ P+ K8 r1 V, O1 c2 V3 A- }B.NTDLL.DLL
; |2 R* i5 G1 rC.HAL.DLL
D.SHELL32.DLL
" @/ J+ p. r9 T+ _0 ~1 U资料:
# O; X4 b9 Q2 d  @) p
2 P6 d; _+ O! D. m4 N15.以下对x86架构指令集的支持是最全的反汇编引擎是（）
' p$ }0 ?, @$ k6 W- R7 p( nA.ODDisasm
* a0 @  ]6 c4 {2 y. W; ^B.BeaEngine
6 G3 G1 C3 S9 HC.Udis86
- D+ ^! `0 z# Q. L% TD.Capstone
资料:
6 T" ]3 M5 t7 I8 Q; [
7 T6 J0 C) \- [  z5 [16.表示回调函数在进行异常展开操作时再次发生了异常，其中展开操作可以简单理解为恢复发生事故的第一现场，并在恢复过程中对系统资源进行回收的返回值是下面哪个（）？
! b! ?/ j) U! v2 wA.ExceptionContinueExecution
3 c/ f9 W5 N4 |! j* M9 |B.ExceptionContinueSearch
, Y" X" R' \4 y5 a& z" QC.ExceptionNestedException
' ?% l# l9 b# T9 T, {# dD.ExceptionCollidedUnwind
; g  V& K$ G) L3 K- j( d$ _资料:

17.PE文件在定位输出表、输入表和资源等重要数据时，就是从（）结构开始的
( i' ?4 k, O* x8 eA.IMAGE_DATA_DIRECTORY
B.IMAGE _OPTIONAL_HEADER
C.IMAGE_FILE_HEADER
D.IMAGE_NT_HEADER
资料:

2 ]7 l4 p9 H/ _: _9 _( G& b18.紧跟资源目录结构的就是资源目录入口(Resource Dir Entries)结构，此结构长度为()字节，包含2个字段。
) E1 A( {* d4 o6 }) |, F" NA.4
" D' d6 ~# V$ \' SB.8
C.12
D.16
' _& p) q9 G' V资料:
1 Q; D* _9 m: M( a4 q: b
19.（）可以将调试程序执行过程中的事件记录下来。
  ^( q+ [& n4 i) z6 [7 x7 FA.断点
B.跟踪
& L" ?' t8 v& \, ~" cC.修改可执行文件
D.参考重命名
5 L- |+ J9 X0 p* B# y资料:
7 e- t/ y: z3 ~; o& X# \4 K+ D
6 x8 ~$ X( Q: H7 |( [& M20.所有进程的EPROCESS内核结构都被放入一个（）数据结构中。
A.单向链表
B.结构体
2 @; B7 a: N$ W2 FC.双向链表
D.数组
资料:
4 [" `; e. R; O5 L+ n% j
21.以下先执行语句块，再进行表达式判断的循环语句是（）。
A.do循环
4 B3 Q' ?. H1 y8 UB.while循环
C.for循环
D.都不是
资料:
' l, b9 |% [. F; r% F3 A% I2 n
' k' M5 o" [5 y3 \, G. m1 n8 N22.表示回调函数不能处理异常，需要用SEH回调函数的链表中的其他回调函数来处理的返回值是下面哪个（）
7 F: w1 T8 W2 p! K4 K" e0 fA.ExceptionContinueExecution
B.ExceptionContinueSearch
C.ExceptionNestedException
D.ExceptionCollidedUnwind
' W* n. Y" s0 m- v资料:

23.DPC和更低的中段被屏蔽，内存不能分页的中断级别是（）。
A.PASSIVE_LEVEL
, u0 P% Y9 b( o; @B.APC_LEVEL
3 `% j. j9 k2 `' P  r3 MC.DISPATCH_LEVEL
% g0 ]& Z: |3 z2 p6 iD.DIRQL
资料:
% m. ~0 X9 [: i9 e" a
24.以下动态链接库中哪个负责对象安全性、注册表操作
A.Advapi32.dll
5 c6 S+ o% g. n+ Q1 f- R4 SB.Comctl32.dll
- X. D/ r( [! ?0 ?C.Comdlg32.dll
D.Shell32.dll
, c  E, q* g8 o资料:

' Q9 X) i' x2 y; i25.MDebug支持多Tab显示（）个内存窗口，为内存复制、内存修改提供了丰富的功能
A.3
! @" A) o$ [& p( o, P. }B.5
- v. w+ f0 }  O' Z, _C.7
D.8
$ V: T. w5 T/ H. p资料:
. Y5 m8 d% `; h2 g. @
二、多选题 (共 10 道试题,共 20 分)
9 [) P1 z2 l, |0 V26.下列是汇编引擎的有（）。
A.ODAssembler
4 x0 x& w$ r+ H1 O; f& ^: mB.Keystone
. z, g6 z1 f! a+ bC.AsmJit
1 E! [! [% Q( d, o* Z# s/ ZD.Capstone
8 s1 h) x6 G: _  o: ?资料:BC
4 J2 g# P( T( X/ N( p4 i- r
4 `0 \% r  i, ^/ }6 N27.去除警告窗口常用的3种方法是（）？
  {; v3 X$ [3 sA.修改程序的资源
* F5 y! b6 b9 D4 oB.静态分析
C.动态分析
D.放置不管
* o5 T# H; u1 ^1 Z2 q资料:BC
; J7 ~! }: G0 x; N2 V
* ?& l3 Z# L5 T" h9 E( R28.以下是for循环的执行组件的是
A.初始化
+ G( k- H4 p4 C- k# WB.比较
0 _2 \* D: ?! I4 R7 L$ _C.执行指令
D.递增或递减
资料:BCD

29.C++的三大核心机制是什么（）
A.封装
B.继承
$ T8 Z5 f/ U) ?, d" b6 B( X( R% hC.对象
7 n' w7 x) \7 @' H: N9 ^7 Z4 eD.多态
资料:BD
. T! h, n' h0 a
30.WinDbg支持哪些调试（）
A.以打开、附加的方式调试应用程序
$ f3 ?4 ^2 ]8 e  @) NB.可以分析Dump文件
C.可以进行远程调试
D.内核调试
资料:BCD

* ^+ J/ ?, b8 g) X5 N0 {* I31.可以通过（）函数调用和（）段寄存器来访问TEB结构。
" p! E) ~7 {+ [+ EA.NtCurreentTeb
  l- i" ~( z& P3 TB.deviceIoControl
3 o( t8 |$ u& M3 dC.FS
D.DS
: m3 z' _: L9 \资料:

5 K8 h- j9 @, V. I# l: P$ a. t32.下列是反汇编引擎的有（）。
A.ODDisasm
B.BeaEngine
C.Udis86
' m% Y" t; F/ [# {D.Keystone
资料:BC

5 p* G: |& A5 ~2 G33.有关进程和线程的数据结构有（）。
9 F. `( b# M4 w0 y( v$ ?A.EPROCESS
: B  p4 d& n/ l2 q* A: }: yB.ETHREAD
C.PEB
D.TEB
$ r' q6 `1 s/ c资料:BCD
0 L; r6 u5 y) x9 V$ r. P' O
! i& ]2 I  w3 Y2 g( D0 @1 m7 w34.常用的十六进制工具有（）。
A.HexWorkshop
0 X/ u# J9 |* O* ?8 tB.WinHex
C.Hiew
D.ApateDNS
# m  Q* J9 Z! E, A- A+ Y6 m资料:BC

! g; `- N5 m2 d2 l- [+ j35.查找具有相同窗口类名和标题的窗口的Windows API函数都有（）
A.FindWindowA
$ n& l9 F0 o$ {B.GetWindowText
C.CreateMutexA
D.GetLogicalDriveStrings()
资料:B

% E8 Z+ [* y; i( X0 n' a( @" C三、资料来源：谋学网（www.mouxue.com） (共 15 道试题,共 30 分)
! U2 `; o1 t# f1 s& G4 \$ F36.Enablewindow()函数的功能是允许或禁止指定窗口
1 z$ O) m3 S. I. O资料:正确
4 [6 L! q( X& c2 U* C
2 D/ {: G2 ?8 D9 U37.进人指令汇编修改状态，jne指令共2字节，因此用2个nop指令代替，这种跳过算法分析直接修改关键跳转指令使程序注册成功的方法，通常被解密者称为"爆破法"
资料:正确
9 R& Y6 m  J- ~! Z7 K- q3 [. D9 m4 q' B
38.在另外一些情况下，对话框不是以资源形式存在的，通过常用断点就可以拦截不下来
0 y4 A; u' T3 l1 L. n资料:正确
' V" \! z- b) T. V8 _' W
* r% U5 B  I9 q+ U) b/ l; x39.输出表的主要内容是一个表格，其中并不包括函数名称、输出序数信息。
资料:错误
8 B1 _( \" R; O8 t- P( }* C
3 F# H/ T+ Z; q0 \2 j0 F40.PE文件格式在头部存储了很多有趣的信息。我们可以使用PEview工具来浏览这些信息。
- a5 f3 K  ]8 h资料:正确

+ |3 F- I5 F" ], \% z8 q! C8 L41.输人函数就是被程序调用但其执行代码不在程序中的函数，这些函数的代码不是位于相关的DLL文件中。
' F! Z% }+ k$ S资料:错误
' C3 o( E* ?# z
42.所谓粗跟踪，是指在跟踪时要大块大块地跟踪。
资料:正确

43.所有在线程中发生的异常，只要没有被线程异常处理过程或调试器处理，最终均交由顶层异常回调函数处理
1 k  k) Q) @& R+ f资料:正确
% m3 ?  R: Q! m  x* ]  ?
/ D, d2 B& Q" d: v2 O6 ~( g$ L44.SEH机制只能在用户模式下使用
& F( f  y( i& `/ ^$ J  R4 B5 \资料:错误

6 w' j; F! I/ B  G8 u5 C45.软件断点可以监视I/0访问等
+ |& y) j; r) e1 ]% G0 V资料:错误

46.Olly可以直接加载DLL程序，能够支持执行DLL中某个函数
资料:正确

47.WinDbg在用户态、在内核态都最多支持32个软件断点
资料:错误
& B* W# P$ h, _. A! }
( \/ U0 @2 _  m) V3 w48.如果载入时将默认的值作为基地址载入，则不需要重定位。
8 \7 Y" J/ o  E3 |: t( Z资料:正确
% a8 L2 o+ @0 c; n7 ]( P& x5 P0 B' m
9 F/ R" B, A3 u: @  z2 A* T8 m/ ^49.延迟载入不是操作系统的特征，其通过向链接器和运行库加入额外的代码和数据来实现。
, g( g1 V/ v7 L5 p2 Y, D资料:正确
5 @6 O/ ?8 K  H4 `% X
& Y' m% O! N3 d: n. I1 R) W" ~( k50.虚表的最后一项一定是以0结尾的
资料:错误
: ?+ D" }- ?; `0 O) O
# a, v/ E) n: m/ D+ x

7 q/ K# t7 X6 X5 q3 X- r

9 V6 a  `" I. @4 R( o) b+ F; o
4 L5 O% f! E# K





) P. X! a( [( K8 L