WorksheetsSadboydatinh
Total questions: 45
Worksheet time: 23mins
Name
Class
Date
1.
Câu 1. Môi trường phân tích mã độc tối thiểu bao gồm:
a)
(A) Một máy thực thi mã độc, một máy giả lập IDS Server.
b)
(B) Một máy thực thi mã độc, một IDS Server.
c)
(C) Một máy thực thi mã độc, một DNS Server.
d)
(D) Một máy thực thi mã độc, một máy giả lập DNS Server.
2.
Câu 2. Runtime Linking thường được sử dụng trong:
a)
(A) Các Worms.
b)
(B) Các mã độc hại bị nén hoặc làm rồi.
c)
(C) Các Virus.
d)
(D) Các mã độc có khả năng tự sao chép
3.
Câu 3. Những Registry entries mà mã độc thường thay đổi để duy trì hiện diện bao gồm:
a)
(A) Appinit_DLLs.
b)
(B) Winlogon Notify.
c)
(C) ScvHost DLLs.
d)
(D) Cȧ A, B, C.
4.
Câu 4.Kỹ thuật phân tích tĩnh là
a)
(A) Kỹ thuật phân tích mã độc dựa vào các thư viện liên kết của mã độc.
b)
(B) Kỹ thuật phân tích mã độc bằng cách nghiên cứu mã dịch ngược của mã độc.
c)
(C) Kỹ thuật phân tích mã độc mà không cần phải thực thi mã độc.
d)
(D) Kỹ thuật phân tích mã độc bằng cách nghiên cứu mã nguồn của mã độc.
5.
Câu 5. Kernel mode còn được gọi là:
a)
(A) Ring 0.
b)
(B) Ring 2.
c)
(C) Ring 3.
d)
(D) Ring 1.
6.
Câu 6. Thư viện nào sau đây giúp mã độc truy cập và thao tác lên bộ nhớ, tập tin, phần cứng:
a)
(A) Kernel32.dll
b)
(B) Memory32.dll
c)
(C) Memory.dll
d)
(D) Kernel.dll
7.
Câu 7. Để diệt mã độc trên máy laptop cá nhân chạy HĐH Window có thể dùng những phần mềm nào sau đây:
a)
(A) BKAV, Kaspersky, Ollydbg.
b)
(B) BKAV, Kaspersky.
c)
(C) BKAV, Kaspersky, Virus total.
d)
(D) AVG, BKAV, Windbg.
8.
Câu 8.Dùng PEiD đọc thông tin của một tập tin cho ra kết quả như hình sau.
a)
(A) Là một mã độc được pack bằng thuật toán UPX.
b)
(B) Là một tệp tin thực thi được pack bằng thuật toán UPX.
c)
(C) Là một tập tin thực thi.
d)
(D) .Là một mã độc.
9.
Câu 9. Lệnh nào sau đây thường được mã độc sử dụng để phòng chống thực thi trong môi trường ảo hóa:
a)
(A) sidt.
b)
(B) sgdt.
c)
(C) smsw.
d)
(D) Cȧ A, B, C.
10.
Câu 10. Để chọn kiểu hiển thị các toán tử trong IDAPro ta cần:
a)
(A) Nhấn chuột phải vào toán tử và chọn kiểu hiển thị.
b)
(B) sử dụng tính năng xref
c)
(C) Nhấn chuột trái vào toán tử và chọn kiểu hiển thị.
d)
(D) sử dụng tính năng subview.
11.
Câu 11. Virtual Size là
a)
(A) Kích thước của file trên đĩa CD.
b)
(B) Kích thước của file trên USB.
c)
(C) Kích thước của file trên bộ nhớ RAM.
d)
(D) Kích thước của file trên ổ đĩa cứng.
12.
Câu 12. Nâng cao nhận thức người dùng là việc:
a)
(A) Đào tạo về các nguy cơ, cách thức phần mềm độc hại xâm nhập vào hệ thống cho người dùng
b)
(B) Hướng dẫn người dùng sử dụng phần mềm Anti virus.
c)
(C) Cấp quyền cho người dùng dựa trên nguyên tắc đặc quyền tối thiểu.
d)
(D) Hướng dẫn cho tất cả cán bộ, nhân viên cách phòng tránh sự cố liên quan đến mã độc hại, giảm thiểu mức độ nghiêm trọng của sự cố.
13.
Câu 13. Time Date Stamp trong PE Header chỉ ra
a)
(A) Không đáp án nào đúng.
b)
(B) Thời gian chương trình được biên dịch.
c)
(C) Thời gian chương trình bắt đầu khởi chạy.
d)
(D) Tổng thời gian chương trình đã thực thi.
14.
Câu 14. Mã độc là
a)
(A) Các chương trinh máy tính có khả năng tự sao chép và làm hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của dữ liệu, ứng dụng và hệ điều hành của của hệ thống
b)
(B) Các chương trình máy tính có khả năng tự sao chép và lây nhiễm vào máy tính của người dùng.
c)
(C) Các chương trình máy tính được tạo ra với mục đích làm hại đến tinh bí mật, tinh toàn vẹn hoặc tính sẵn sàng của dữ liệu và ứng dụng thực thi trên hệ thống
d)
(D) Các chương trình máy tính được tạo ra với mục đích làm hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của dữ liệu, ứng dụng và hệ điều hành của của hệ thống.
15.
Câu 15. Mã độc có thể lây nhiễm qua
a)
(A) Qua các thiết bị lưu trữ di động, qua thư điện tử, qua trình duyệt web và lây nhiễm từ smartphone sang máy tính.
b)
(B) Qua các USB, qua thư điện tử, qua trình duyệt web và lây nhiễm từ smartphone sang máy tính.
c)
(C) Qua các thiết bị lưu trữ di động, qua thư điện tử, và lây nhiễm từ smartphone sang máy tính.
d)
(D) Qua USB, qua thư điện tử, qua các trang web không an toàn và lây nhiễm từ smartphone sang máy tính.
16.
Câu 16.Đoạn mã sau đây thể hiện cơ chế gì của mã độc CreateProcess (..., "svchost.exe",..., CREATE_SUSPEND,...);
ZwUnmapViewOfSection(...);
VirtualAllocEx(..., ImageBase, Size Of Image,...);
WriteProcessMemory (...,headers,...);
for (i=0; i< NumberOfSections; i++) {
WriteProcessMemory (..., section,...);
}
SetThreadContext();
a)
(A) Tiêm vào tiên trình.
b)
(B) APC.
c)
(C) Detour.
d)
(D) Thay thế tiên trình.
17.
Câu 17. sử dụng máy thật làm môi trường phân tích mã độc:
a)
(A) . Quá trình thực hiện phân tích đơn giản, tuy nhiên kết quả đôi khi không chính xác.
b)
(B) . Kết quả phân tích đội khi không chính xác, quá trình thực hiện phân tích phức tạp.
c)
(C) Cho kết quả phân tích chính xác, tuy nhiên quá trình thực hiện phân tích phức tạp.
d)
(D) Cho kết quả phân tích chính xác, quá trình thực hiện phân tích đơn giản.
18.
Câu 18. Trojan horse là
a)
(A) Mã độc có khả năng nhân bản, không cần vật chủ để lây nhiễm.
b)
(B) Mã độc không có khả năng nhân bản, không cần vật chủ để lây nhiễm.
c)
(C) Mã độc không có khả năng nhân bản, cần vật chủ để lây nhiễm.
d)
(D) Mã độc có khả năng nhân bản, cần vật chủ để lây nhiễm.
19.
Câu 19. Mã độc thường nhắm đến Registry vì
a)
(A) Registry lưu trữ cài đặt cấu hình của hệ điều hành và các ứng dụng.
b)
(B) Registry có thể tạo kết nối mạng.
c)
(C) Không đáp án nào đúng.
d)
(D) Registry chỉ có một kiểu dữ liệu.
20.
Câu 20. ZwUnmapViewOfSection là hàm mã độc sử dụng để:
a)
(A) Ghi lên vùng nhớ.
b)
(B) Giải phóng vùng nhớ.
c)
(C) Hủy vùng nhớ.
d)
(D) Tạo vùng nhớ.
21.
Câu 21. Mật khẩu đăng nhập Window được lưu tại:
a)
(A) File LSASS.
b)
(B) File NTLM.
c)
(C) File LSA.
d)
(D) File SAM.
22.
Câu 22. Hình sau đây thể hiện cửa sổ nào trên Ollydbg
a)
(A) String window.
b)
(B) Data window.
c)
(C) Memory dump window.
d)
(D) Address window.
23.
Câu 23. Thành phần nào của mã độc chịu trách nhiệm thực hiện các hành vi độc hai
a)
(A) Spam.
b)
(B) Frame.
c)
(C) Payload.
d)
(D) Exploit.
24.
Câu 24.Sử dụng IDA pro để phân tích mã độc Test.exe thu được kết quả như sau .Từ kết quả trên ta có thể dự đoán được gì từ Test.exe
a)
(A) sử dụng thư viện WinINET để kết nối tới địa chỉ 127.26.152.13.
b)
(B) Thực hiện mã hóa các tập tin trên máy nạn nhân.
c)
(C) Sử dụng thư viện Winsock để kết nối tới địa chỉ 127.26.152.13.
d)
(D) Là một backdoor.
25.
Câu 25. (Những) công nghệ nào sau đây giúp giảm thiểu nguy cơ lấy nhiễm mã độc trong hệ thống:
a)
(A) Anti virus.
b)
(B) Hệ thống phát hiện tấn công (IDS).
c)
(C) Tưởng lửa.
d)
(D) Cȧ A, B, C
26.
Câu 26. Giai đoạn ngăn chặn, loại bỏ và phục hồi nhằm:
a)
(A) Giảm thiểu tác động của phần mềm độc hại.
b)
(B) Tiêu diệt các tác hại của mã độc.
c)
(C) Phục hồi sau sự cố.
d)
(D) Cȧ A, B, C.
27.
Câu 27.Hooking keylog sử dụng hàm nào để thu thập thao tác nhân phim của người dùng:
a)
(A) LoadWindowsHookEx.
b)
(B) SetWindowsHookEx.
c)
(C) WindowsHookEx.
d)
(D) GetWindowsHookEx
28.
Câu 28. Phân tích tiến trình TEST.exe thu được kết quả như sau.
a)
(A) Tiến trình đã bị thay thế bởi một đoạn mã độc.
b)
(B) Tệp tin TEST.exe là một mã độc dạng keylog.
c)
(C) Tập tin TEST.exe là một mã độc, cố gắng kết nối đến địa chỉ practicalmalvareanalysis.com.
d)
(D)Tên tin TEST.exe là một tệp tin binh thưởng.
29.
Câu 29. Hàm nào sau đây được mã độc dùng để xác định trình debug:
a)
(A) IsDebuggerPresent.
b)
(B) CheckRemoteDebuggerPresent.
c)
(C) OutputDebugString.
d)
(D) Cȧ A, B, C.
30.
Câu 30. Địa chỉ IP 127.0.0.1 được lưu trữ trong RAM dưới dạng:
a)
(A) 0x0100007F.
b)
(B) 1.0.0.127.
c)
(C) 127.0.0.1.
d)
(D) 0x7F000001.
31.
Câu 31. Nhược điểm của kỹ thuật phân tích động là
a)
(A) Không cho kết quả phân tích chính xác với tất cả các loại mã độc.
b)
(B) Khó phân tích được những mẫu mã độc phức tạp.
c)
(C) Chỉ phân tích được những mã độc chạy trên HĐH Window.
d)
(D) Không phân tích được những mã độc chạy trên HĐH Window
32.
Câu 32. Handle có thể hiểu là:
a)
(A) Con trỏ tới một tiến trình.
b)
(B) Con trỏ tới một đối tượng.
c)
(C) Con trỏ lỗi một vùng nhớ.
d)
(D) Con trỏ tới một tệp.
33.
Câu 33. Sự có mã độc có thể được phát hiện thông qua:
a)
(A) Cảnh báo của các hệ thống phòng chống mã độc.
b)
(B) Báo cáo của người dùng về những bất thường trong hoạt động của hệ thống.
c)
(C) Sự thay đổi của các tệp tin hệ thống.
d)
(D) Cȧ A, B, C.
34.
Câu 34. GINA Registry Key lưu tại:
a)
(A) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\MSGinaDLL.
b)
(B) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion MSGinaDLL.
c)
(C) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\GinaDLL.
d)
(D) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GinaDLL.
35.
Câu 35. Phát biểu nào sau đây đúng về Svchost.
a)
(A) Chỉ chạy một tiến trình duy nhất.
b)
(B) Ít bị mã độc lợi dụng.
c)
(C) Chạy được trong chế độ nhân.
d)
(D) Dùng chung cho các service khác nhau.
36.
Câu 36. Ollydbg là công cụ:
a)
(A) Phân tích tĩnh cơ bản.
b)
(B) Phân tích động nâng cao.
c)
(C) Phân tích động cơ bản.
d)
(D) Phân tích tĩnh nâng cao.
37.
Câu 37.Sử dụng IDAPro để phân tích mã độc Test.exe thu được kết quả như sau.Mã độc TEST.exe thực hiện những hành động gì sau đây
a)
(A) Gọi tiến trình Internet Explorer 8.0, kiểm tra có kết nối Internet không, tiến hành kết nối đến địa chỉ "http: //www.malwareanalysisbook.com".
b)
(B) Kiểm tra có kết nối Internet không, gọi tiến trình Internet Explorer 8.0, tiến hành kết nối đến địa chỉ "http: //www.malwareanalysisbook.com".
c)
(C) Kiểm tra có kết nối Internet không, gọi tiến trình Internet Explorer 8.0, tiến hành kết nối đến địa chỉ "http: //www.malwareanalysisbook.com", lặp lại quả trình kết nối.
d)
(D) Gọi tiến trình Internet Explorer 8.0, kiểm tra có kết nối Internet không, tiến hành kết nối đến địa chỉ "http: //www.malwareanalysisbook.com", lặp lại quả trình kết nối.
38.
Câu 38. Trước khi tiến hành phân tích mã độc trên môi trường máy ảo cần:
a)
(A) Kết nối mạng từ máy ảo đến DNS Server.
b)
(B) Tạo snapshots cho máy ảo.
c)
(C) Không cần làm gì.
d)
(D) Khởi chạy mã độc trên máy ảo.
39.
Câu 39. Một chương trình khi dừng tại breakpoint được gọi là:
a)
(A) Breaked
b)
(B) Broken.
c)
(C) Breaker.
d)
(D) Paused.
40.
Câu 40. Backdoor thường sử dụng cổng nào để kết nối tới máy tính nạn nhân:
a)
(A) Cống 21.
b)
(B) Cổng 80.
c)
(C) Cổng 43.
d)
(D) Cổng 23.
41.
Câu 41. Socket là lệnh mã độc sử dụng để:
a)
(A) Cho phép kết nối đến một cổng
b)
(B) Tạo một socket.
c)
(C) Lắng nghe kết nối đến một cổng .
d)
(D) Gắn socket đến một cổng.
42.
Câu 42. Native API là các hàm của thư viện nào sau đây:
a)
(A) Ntdll.dll.
b)
(B) User32.dll.
c)
(C) Kernel32.dll.
d)
(D) Kernel.dll.
43.
Câu 43.Sử dụng Process Monitor để phân tích mã độc TEST.exe thu được kết quả như sau.Từ kết quả trên ta có thể thu được kết luận gì về TEST.exe
a)
(A) Sao chép file thực thi của chính nó vào thư mục C:\WINDOWS\system32 với tên vmx32t064.exe
b)
(B) Tao một registry value tại HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\VideoDriver
c)
(C) Registry tạo ra có giá trị trỏ tới C:\WINDOWS\system32\vmx32to64.exe.
d)
(D) Cȧ A, B, C.
44.
Câu 44. Sử dụng những công cụ nào sau đây có thể tiến hành phân tích động mã độc
a)
(A) Ollydbg, Strings.
b)
(B) Ollydbg, HashCal
c)
(C) Ollydbg, Process Explorer.
d)
(D) Ollydbg, PEView.
45.
Câu 45. Để thực hiện chế độ single-step trên Ollydbg cần ấn phím
a)
(A) F6
b)
(B) F5.
c)
(C) F7.
100 %
