WorksheetsMã Độc 2
Total questions: 60
Worksheet time: 20mins
Name
Class
Date
1.
01. Mã độc có tên tiếng anh đầy đủ là?
(a)
2.
02. Đâu không phải mục đích của mã độc?
a)
A. Theo dõi hoạt đông, lấy cắp thông tin của người dùng
b)
B. Tối ưu hóa hệ thống
c)
C. Chiếm quyền điều khiển của máy tính
d)
D. Hiển thị các quảng cáo
3.
03. Con đường lây nhiễm mã độc
a)
A. Qua thư điện tử
b)
B. Từ máy ảnh sang máy tính
c)
C. Qua trình duyệt web
d)
D. Qua các thiết bị di động
4.
04. Logic Bombs cần chương trình lây nhiễm hay không?
a)
A. Có
b)
B. Không
5.
05. Những loại nào có khả năng nhân bản
a)
A. Worms
b)
B. Viruses
c)
C. Trap Doors
d)
D. Trojan Horses
e)
E. Logic Bombs
6.
06. Kể tên loại mã độc đã được học có khả năng hoạt động độc lập với chương trình
(a)
7.
07. Vòng đời của virus gồm những giai đoạn nào?
a)
A. Trú ẩn
b)
B. Lây lan
c)
C. Kích hoạt
d)
D. Thực thi
8.
08. Những khả năng mà worm mang lại
a)
A. Làm lăng phí băng thông
b)
B. Kiểm soát máy tính nạn nhân
c)
C. Tao cửa sau
d)
D. Xóa tệp
9.
09. Các loại Trojan điển hình
a)
A. Trojan gửi dữ liệu
b)
B. Trojan truy cập từ xa
c)
C. Trojan Dos
d)
D. Trojan tắt phần mềm an ninh
e)
E. Trojan phá hoại
10.
10. Có mấy mức trừu tượng của ngôn ngữ
a)
A. 1
b)
B. 3
c)
C. 5
d)
D. 6
11.
11. Đâu không phải mức ngôn ngữ trừu tượng của ngôn ngữ
a)
A. Hardware
b)
B. Low-level languages
c)
C. Machine coce
d)
D. Middle-level languages
12.
12. Microcode còn có tên tiếng anh là (a)
13.
13. Loại ngôn ngữ nào là những chỉ thị để ra lệnh cho CPU làm một công việc
a)
A. Imterpreted languages
b)
B. Hardware
c)
C. Mircocode
d)
D. Machine code
14.
14. Assembly language là loại ngôn ngữ nào?
a)
A.Low-level language
b)
B. Interpreted language
c)
C. High-level language
d)
D. Middle-level language
15.
15. Tên dạng ngôn ngữ cao nhất có thể tái tạo từ các chương trình sử dụng các ngôn ngữ biên dịch khi mà mã nguồn của phần mềm hệ thống không phải lúc nào cũng có
(a)
16.
16. Trong quá trình chuyển đổi sang mã máy, high-level languagé có cần thông qua trình biên dịch hay không?
a)
A. Có
b)
B. Không
17.
17. (a) được gọi là mã trung gian, độc lập với phần cứng và hệ điều hành
18.
18. Quá trình (a) sẽ tái tạo và chuyển đổi phần mềm độc hại ở dạng nhị phân và dạng hợp ngữ
19.
19. Dịch ngược theo luồng hoạt động của chương trình là
a)
A. Flow-Oriented Disassembly
b)
B. Disassembly
c)
C. Flow Disassembly
d)
D. Linear Disassembly
20.
20. IDA Pro là một chương trình ___ phổ biến trong việc dịch ngược
a)
A. Disassembler
b)
B. Reverser
c)
C. Diassembly
d)
D. Reverser Engineering
21.
21. Lệnh call được xử lý tương tự như lệnh nhảy có điều kiện là đặc điểm miêu tả của?
a)
A. Flow-Oriented Disassembly
b)
B. Debug
c)
C. Linear Disassembly
22.
22. Các phần mềm độc hại tồn tại trên ổ cứng ở dạng
a)
A. Hardware
b)
B. Tệp nhị phân
c)
C. Bit
d)
D. Bytecode
23.
23. Đâu là những nhược điểm của Linear Disassembly?
a)
A. Dịch ngược quá nhiều lệnh vì quá trình dịch ngược thực hiện cho hết phần mà
b)
B. Không cho rằng tất cả dữ liệu là lệnh
c)
C. Dữ liệu trong phần mã sẽ gây ra các vấn đề như giá trị con trỏ và bảng nhảy
d)
D. Bỏ qua tất cả luồng điều khiển chương trình
e)
E. Dễ gây dơ máy hoặc trả về giá trị sai
24.
24. Hầu hết các mã độc đều được thiết kế chạy trên x86
a)
A. Đúng
b)
B. Sai
25.
25. CPU gồm những thành phần nào?
a)
A. Main Memory
b)
B. Anthmetic Logic Unit
c)
C. Control Unit
d)
D. Register
26.
26. Tốc độ của Register là rất chậm, chậm hơn nhiều lần so với bộ nhớ RAM
a)
A. Đúng
b)
B. Sai
27.
27. Đâu là những đặc điểm của Stack Segment
a)
A. Vùng nhớ lưu chứa các biến cục bộ trong hàm, các tham số truyền vào cho hàm, các giá trị trả về của hàm…
b)
B. Vùng nhớ quản lý bởi CPU
c)
C. Khi không có nhu cầu sử dụng cần phải giải phóng (free, delete,…)
d)
D. Vùng nhớ dùng trong cấp phát động (mallcoc,new,…)
e)
E. Vùng nhớ này thay đổi thường xuyên trong quá trình thực hiện chương trình
28.
28. Bit MSB lưu ở ô nhớ có địa chỉ nhỏ nhất( ngoài cùng bên phải)
a)
A. Đúng
b)
B. Sai
29.
29. Chương trình trên Windows x86 sử dụng kiểu?
a)
A. Big-Endian
b)
B. Little-Endian
30.
30. IP: 127.0.0.1 gửi qua mạng dưới dạng?
a)
A. 0x7F000001
b)
B.0x0100007F
c)
C. 7F 00 00 01
31.
31. Tạo biểu đồ theo dõi hàm hiện tại
a)
A. Ctrl + 12
b)
B. F8
c)
C. F12
d)
D. Ctrl + F9
32.
32. Windows API quản lý cách những chương trình nào tương tác với các thư viện của Microsoft?
a)
A. Special Files
b)
B. File system Functions
c)
C. Handles
d)
D.Register Address
33.
33. Đáp án nào sau đây không thuộc File System Funtions?
a)
A. ReadFile
b)
B. WriteFile
c)
C. ViewFile
d)
D. CreateFile
e)
E. CreateFileMapping
34.
34. Mã độc nào đã viết vào \\.\PhysicalDisk1 để làm hỏng đĩa?
a)
A. WannaCry
b)
B. PathDestroy Virus
c)
C. Witty Worm
d)
D. Misleading
35.
35. Tại sao mã độc thường sử dụng Registry để duy trì tồn tại của nó trên hệ thống?
a)
A. Dễ dàng bypass qua AV
b)
B. Làm cho mã độc tự khởi động cùng hệ thống
c)
C. Làm cho phần mềm diệt virus khó nhận dạng hơn khi ở vị trí khác
d)
D. Dễ dàng xâm nhập vào memory
36.
36. Phát biểu đúng về Static linking
a)
A. Thường gặp trong các phần mềm độc hại, đặc biệt là với các chương trình độc hại bị packed (nén) và Obfuscate (làm rối)
b)
B. Hiếm khi được sử dụng cho các file thực thi trên Windows, phổ biến trên nền tảng Unix/Linux
c)
C. Không phổ biến ở các chương trình/phần mềm thông thường
d)
D. Là phương pháp phổ biến nhất
37.
37. Nhược điểm của máy thật khi phân tích mã độc?
a)
A. Khó khăn trong việc loại bỏ hoàn toàn mã độc trên máy thật, do đó cần phải có những phương án dự phòng
b)
B. Nó không hỗ trợ debug file thực thi và file thư viện
c)
C. Mã độc hoạt động như quá trình lây nhiễm thực tế, không có giới hạn nếu mã độc có các cơ chế chống môi trường ảo
d)
D. Một số mã độc phát hiện môi trường máy ảo và không chạy trên môi trường này, gây khó khăn trong phân tích
38.
38. Những ưu điểm dưới đây nói về môi trường nào?
• Môi trường phân tích mã độc, tích hợp nhiều công cụ phục vụ phân tích động cơ bản
• Môi trường ảo hóa mô phỏng các dịch vụ mạng
• Hỗ trợ rất tốt trong việc lập báo cáo, thống kê,…
a)
A. Máy thật
b)
B. Máy ảo
c)
C. BufferZone
d)
D. Sandbox
39.
39. Phân tích tĩnh cơ bản có thể dùng công cụ hoặc các cách nào dưới đây:
a)
A. So sánh Registry
b)
B. Antivirus scanning, Tìm kiếm theo giá trị Hash, Tìm kiếm theo chuỗi ký tự, Xác định các thư viện và hàm được dùng
c)
C. Antivirus scanning, Tìm kiếm theo chuỗi ký tự, Xác địch các thư viện và hãm được cùng
d)
D. Giám sát hệ thống và theo dõi các tiến trình độc hại đồng thời theo dõi kết quả
40.
40. Đâu là công cụ giúp hiển thị các hàm trong Dynamic Linked
a)
A. Strings
b)
B. Antivirus scanning
c)
C. Peview
d)
D. Dependency Walker
41.
41. Trong phân tích động cơ bản công cụ nào dùng để theo dõi Registry
a)
A. Antivirus scanning
b)
B. Process Monitor
c)
C. Strings
d)
D. Peview
42.
42. ___ hỗ trợ chụp lại Registry trước và sau khởi chạy mã độc
a)
A. Regshot
b)
B. Process Monitor
c)
C. Peview
d)
D. Strings
43.
43. Khi tiến hành phân tích động cần lưu ý những gì?
a)
A. Cách ly với môi trường máy thật, tránh lây nhiễm sang các máy khác
b)
B. Thực thi/chạy phần mềm mã độc hại đồng thời theo dõi kết quả. Yêu cầu cần có một môi trường an toàn cho việc phân tích.
c)
C. Máy thật có thể ngắt kết nối Internet hoặc kết nối với máy khác
d)
D. Cả 3 đáp án trên
44.
44. Khi Imports và Exports đâu là phát biểu đúng
a)
A. Các file thư viện DLL sẽ Export ra các hàm
b)
B. Các file thực thi * EXE sẽ Import các hàm vào từ thư viện
c)
C. Các hàm, thư viện được Import hay Export đều được liệt kê trong PE Header của file
d)
D. Cả 3 đáp án trên
45.
45. Trình nào hỗ trợ gỡ lỗi ở mức nhân?
a)
A. Ollydbg
b)
B. Windbg
c)
C. PronMon
d)
D. ProExp
46.
46. Để debug một phần mềm đang chạy sử dụng chức năng nào trong Ollydgb
a)
A. Entry Point
b)
B. WinMain
c)
C. Attach Process
d)
D. Debugger
47.
47. Mô tả đúng về Step-into?
a)
A. Giảm khối lượng code
b)
B. Di chuyển đến lệnh đầu tiên của hàm và dừng lại
c)
C. Di chuyển đến lệnh cuối cùng của hàm và dừng lại
d)
D. Di chuyển đến lạnh cuối cùng của chương trình và dừng lại
48.
48. Có mấy loại breakpoints?
a)
A. 4
b)
B. 5
c)
C. 3
d)
D. 6
49.
49. Khi đặt software breakpoints, trình gỡ lỗi sẽ ghi đè lệnh nào?
a)
A. 0xAC
b)
B. 0xCC
c)
C. 0xCD
d)
D. 0xAD
50.
50. Loại breakpoints nào không làm chậm quá trình thực thi?
a)
A. Software Breakpoints
b)
B. Conditional Breakpoints
c)
C. Hardware Breakpoints
d)
D. Breakpoints in Memory
51.
51. First-Chane Exceptión là?
a)
A. Các lỗi chưa được ghi chú và xử lý trong chương trình
b)
B. Các lỗi đã được ghi chú và chưa xử lý trong chương trình
c)
C. Các lỗi chưa được ghi chú và chưa xử lý trong chương trình
d)
D. Các lỗi đã được ghi chú và xử lý trong chương trình
52.
52. Để chỉnh sửa dữ liệu trong cửa sổ Disassembler trong Ollydbg thực hiện như thế nào?
a)
A. Nhấp phím Space
b)
B. Ctrl+G
c)
C. Chuột phải – Modify
d)
D. Chuột phải – Binary - Edit
53.
53. Hầu hết các file EXE thường được thiết kế để nạp vào địa chỉ ưu tiên của nó là?
a)
A. 0x00400000
b)
B. 0x00040000
c)
C. 0x04000000
d)
D. 0x40000000
54.
54. Đâu là một loại Tracing trong Ollydgb?
a)
A. Run Trace
b)
B. Stop Trace
c)
C. Advance Back Trace
d)
D. Normal Back Trace
55.
55. Để chạy trình xử lý ngoại lệ (Run exception handler) trong Ollydbg sử dụng câu lệnh nào sau đây?
a)
A. Shift + F7
b)
B. Shift + F8
c)
C. Shift + F9
d)
D. Shift + F10
56.
56. Sắp xếp các hàm thường gọi:
1. Socket
2. Listen
3. Bind
4. Accecpt
a)
A. 4 - 3 - 2 - 1
b)
B. 2 - 3 - 4 - 1
c)
C. 1 - 2 - 3 - 4
d)
D. 1 - 3 - 2 - 4
57.
57. Service nào dùng để load code vào kernel
a)
A. KERNEL_DRIVER
b)
B. WIN32_OWN_PROCESS
c)
C. WIN32_SHARE_PROCESS
d)
D. KERNEL_LOADER
58.
58. Trong kernel-mode, Ring nào dưới đây không sử dụng bởi Windows?
a)
A. 0
b)
B. 1 và 2
c)
C. 0 và 1
d)
D. 0,1 và 2
59.
59. Ngoại trừ hệ điều hành và các driver phần cứng đều chạy ở Kernel-mode, tất cả các mode đều chạy ở
(a)
60.
60. Native AP nào dưới đây được sử dụng để gây sự nhầm lẫn cho các nhà phân tích và làm cho một chương trình khó debug hơn?
a)
A. N:QueryInformationThread
b)
B. N:QueryInformationFile
c)
C. N:QuerySystemInformation
d)
D. N:Continue
100 %
