WorksheetsPTMĐ - C2
Total questions: 141
Worksheet time: 1hrs 11mins
Name
Class
Date
1.
Công cụ nào được sử dụng để phát hiện mã độc được che giấu bằng cách mã hóa hoặc nén?
a)
DIE
b)
PPEE
c)
Wireshark
d)
AutoRuns
e)
Procmon
2.
Phần mềm nào giúp phân tích mã độc bằng cách tìm kiếm các chỉ số mạng và IP liên quan?
a)
PEview
b)
VirusTotal
c)
FLOSS
d)
Ghidra
3.
Phương pháp nào dùng để so sánh các mẫu mã độc dựa trên sự tương đồng của chúng?
a)
Fuzzy Hashing
b)
XOR Encryption
c)
Base64 Encoding
d)
ROT13
4.
Magic byte là gì?
a)
Một phần của tên tệp giúp xác định định dạng của nó
b)
Trình tự byte duy nhất được viết ở đầu tệp để xác định loại tệp
c)
Ký tự đặc biệt dùng để mã hóa nội dung tệp
d)
Tên của kỹ thuật nén tệp mã độc
5.
Magic byte của các tệp thực thi trên Windows là gì?
a)
89 50 4E 47
b)
25 50 44 46
c)
FF D8
d)
4D 5A
6.
Kỹ thuật nào có thể được sử dụng để thay đổi magic byte nhằm lừa người dùng?
a)
Obfuscation
b)
Base64 Encoding
c)
Side-loading
d)
File signature tampering
7.
Magic byte có thể giúp nhận diện các loại tệp nào?
a)
Chỉ tệp văn bản và tệp hình ảnh
b)
Tất cả các loại tệp, bao gồm nhị phân và thực thi
c)
Chỉ tệp thực thi và tài liệu PDF
d)
Chỉ các tệp nén
8.
Công cụ nào có thể được sử dụng để xem magic byte của tệp?
a)
HxD Hex Editor
b)
Wireshark
c)
AutoRuns
d)
VirusTotal
9.
Điều gì xảy ra nếu một mã độc thay đổi magic byte của tệp?
a)
Tệp sẽ trở thành mã nguồn mở
b)
Phần mềm bảo mật có thể không nhận diện đúng loại tệp
c)
Tệp sẽ tự động mã hóa nội dung của nó
d)
Kích thước của tệp sẽ bị giảm đáng kể
10.
Section .text trong tệp PE chứa gì?
a)
Thông tin nhập và xuất
b)
Mã thực thi
c)
Các tài nguyên như biểu tượng và menu
d)
Dữ liệu có thể đọc/ghi và biến toàn cục
11.
Section .data hoặc DATA thường chứa gì?
a)
Các bảng nhập
b)
Dữ liệu có thể đọc/ghi và biến toàn cục
c)
Mã thực thi
d)
Tài nguyên như biểu tượng và hộp thoại
12.
Section .rdata chứa loại dữ liệu nào?
a)
Mã thực thi
b)
Dữ liệu chỉ đọc, đôi khi chứa thông tin nhập và xuất
c)
Tài nguyên hệ thống
d)
Các hàm API cần thiết
13.
Thông tin nhập của tệp PE thường được chứa ở đâu nếu không có section .idata?
a)
.text
b)
.data
c)
.rdata
d)
.rsrc
14.
Section .edata chứa gì nếu có?
a)
Tài nguyên như biểu tượng và hộp thoại
b)
Thông tin nhập
c)
Thông tin xuất
d)
Mã thực thi
15.
Phần nào trong tệp PE chứa tài nguyên như biểu tượng, hộp thoại, menu?
a)
.edata
b)
.idata
c)
.rdata
d)
.rsrc
16.
Phân tích tĩnh cơ bản bao gồm các kỹ thuật nào sau đây?
a)
Giải mã, phân tích chuỗi, phân tích cấu trúc
b)
Phân tích luồng điều khiển, giải mã mã nhị phân
c)
Phân tích dòng dữ liệu, phân tích hàm
d)
Tạo mã nguồn, kiểm tra độ phức tạp của hàm
17.
Mục tiêu chính của kỹ thuật phân tích chuỗi là gì?
a)
Biến đổi mã nhị phân thành mã nguồn lập trình
b)
Tìm kiếm các chuỗi, hằng số trong mã
c)
Phân tích cấu trúc dữ liệu của tệp
d)
Theo dõi dòng dữ liệu qua chương trình
18.
Kỹ thuật phân tích luồng điều khiển được sử dụng trong phân tích tĩnh nâng cao nhằm làm gì?
a)
Theo dõi dòng dữ liệu qua chương trình
b)
Giải mã mã nhị phân thành mã nguồn
c)
Tìm hiểu luồng điều khiển của chương trình
d)
Phân tích tài nguyên trong mã độc
19.
Phân tích dòng dữ liệu là gì?
a)
Phân tích mã nguồn để tìm lỗi logic
b)
Kiểm tra chuỗi ký tự Unicode trong mã
c)
Theo dõi cách dữ liệu di chuyển qua chương trình
d)
Phân tích cấu trúc gói, lớp, hàm trong mã
20.
Kỹ thuật nào sau đây thuộc phân tích tĩnh nâng cao?
a)
Phân tích hàm để hiểu chức năng
b)
Giải mã mã nhị phân
c)
Phân tích chuỗi ASCII
d)
Phân tích cấu trúc gói và lớp
21.
Magic byte của các tệp thực thi trên Linux là gì?
a)
89 50 4E 47
b)
25 50 44 46
c)
7F 45 4C 46
d)
4D 5A
22.
Trên linux, sử dụng lệnh strings với tham số gì để trích xuất toàn bộ chuỗi
a)
-a
b)
-al
c)
-all
d)
-l
23.
Trên linux, sử dụng lệnh strings với tham số gì để trích xuất unicode
a)
-el
b)
-al
c)
-ul
d)
-cl
24.
Kỹ thuật nào sau đây thường được sử dụng để obfuscate (che giấu) chuỗi?
a)
SHA-256 Encryption
b)
XOR Encryption
c)
MD5 Hashing
d)
GZIP Compression
25.
FLOSS được sử dụng để làm gì?
a)
Mã hóa dữ liệu trong thời gian thực
b)
Phân tích và giải mã các chuỗi đã được obfuscate
c)
Kiểm tra mã độc trong hệ điều hành Linux
d)
Mã hóa chuỗi bằng thuật toán AES
26.
XOR Encryption hoạt động như thế nào?
a)
Mỗi ký tự được mã hóa bằng cách thay đổi vị trí trong bảng ký tự
b)
Kết quả của phép XOR giữa hai giá trị giống nhau là 1
c)
XOR giữa hai giá trị giống nhau cho kết quả là 0
d)
Mã hóa dữ liệu dựa trên các hàm hash
27.
Packer được sử dụng để làm gì trong mã độc?
a)
Mã hóa toàn bộ dữ liệu trong tệp
b)
Nén và gói mã thực thi vào một tệp mới để khó phân tích
c)
Tạo ra các chuỗi ASCII từ mã nhị phân
d)
Phát hiện mã độc trong hệ điều hành
28.
Kỹ thuật ROT13 hoạt động như thế nào?
a)
Dịch chuyển mỗi ký tự trong chuỗi 13 vị trí trong bảng chữ cái
b)
Mã hóa dữ liệu bằng cách thay đổi mỗi bit
c)
Sử dụng thuật toán nén để bảo vệ dữ liệu
d)
Mã hóa chuỗi bằng thuật toán bất đối xứng
29.
Wrapper Program trong packed program có nhiệm vụ gì?
a)
Mã hóa toàn bộ dữ liệu trong bộ nhớ
b)
Giải nén và kích hoạt chương trình thực thi đã được đóng gói
c)
Nén mã nguồn thành một tệp duy nhất
d)
Giám sát mã độc trong thời gian thực
30.
Hàm LoadLibrary thường được sử dụng để làm gì?
a)
Tải và giải nén các tệp thực thi
b)
Gọi và tải các tệp thư viện động (.dll)
c)
Mã hóa dữ liệu nhạy cảm trong tệp
d)
Nén dữ liệu trong bộ nhớ tạm thời
31.
Hàm GetProcAddress trong mã độc có chức năng gì?
a)
Lấy địa chỉ của một hàm trong một thư viện chia sẻ
b)
Giải mã các chuỗi đã được obfuscate
c)
Nén dữ liệu trong các tệp PE
d)
Tạo khóa đối xứng để mã hóa dữ liệu
32.
LdrGetProcAddress và LdrLoadDll là gì?
a)
Các hàm được sử dụng để mã hóa tệp
b)
Các hàm dùng để tải và truy cập các thư viện trong mã độc
c)
Công cụ kiểm tra mã nguồn mở
d)
Các hàm nén dữ liệu trong bộ nhớ
33.
PE Header chứa thông tin gì?
a)
Địa chỉ bắt đầu thực thi, danh sách thư viện được sử dụng, tài nguyên của tệp
b)
Các chuỗi mã hóa và tài nguyên nén
c)
Mã nguồn và dữ liệu văn bản
d)
Kết quả phân tích tĩnh của mã độc
34.
DLL nào cung cấp các chức năng hệ thống cơ bản cho ứng dụng Windows?
a)
GDI32.DLL
b)
KERNEL32.DLL
c)
USER32.DLL
d)
SHELL32.DLL
35.
WSOCK32.DLL cung cấp chức năng nào cho mã độc?
a)
Tạo giao diện người dùng
b)
Hỗ trợ các kết nối mạng và TCP/IP
c)
Tạo mã hóa đối xứng cho dữ liệu
d)
Chạy các tiến trình hệ thống
36.
Tại sao kiểm tra exports trong tệp PE lại quan trọng?
a)
Để tìm các tài nguyên đã bị xóa
b)
Để đánh giá chức năng mà DLL cung cấp cho các ứng dụng khác
c)
Để mã hóa mã nguồn trong tệp
d)
Để tối ưu hóa hiệu năng mạng
37.
MSVCRT.DLL cung cấp chức năng gì?
a)
Giao diện mạng
b)
Quản lý giao diện người dùng
c)
Chứa code wrapper cho các hàm chuẩn C
d)
Cung cấp mã hóa cho dữ liệu nhạy cảm
38.
USER32.DLL cung cấp chức năng gì trong hệ điều hành Windows?
a)
Quản lý giao diện mạng TCP/IP
b)
Quản lý giao diện người dùng như cửa sổ, nút bấm, thanh cuộn
c)
Hỗ trợ mã hóa và bảo mật hệ thống
d)
Cung cấp chức năng đồ họa 2D cho Windows
39.
ADVAPI32.DLL được sử dụng cho mục đích gì?
a)
Quản lý bộ nhớ hệ thống
b)
Hỗ trợ các chức năng bảo mật và quản lý đăng ký hệ thống
c)
Quản lý giao diện mạng và kết nối từ xa
d)
Thực thi các mã độc được nén
40.
DLL nào chịu trách nhiệm quản lý đồ họa 2D trong Windows?
a)
SHELL32.DLL
b)
GDI32.DLL
c)
USER32.DLL
d)
KERNEL32.DLL
41.
SHELL32.DLL cung cấp chức năng gì?
a)
Quản lý mã hóa và giải mã dữ liệu
b)
Quản lý giao diện vỏ của Windows Explorer và các chức năng liên quan
c)
Cung cấp các chức năng mạng
d)
Thực thi mã độc từ xa
42.
Chức năng của RPCRT4.DLL là gì?
a)
Quản lý giao diện người dùng
b)
Hỗ trợ giao tiếp từ xa thông qua RPC (Remote Procedure Call)
c)
Cung cấp chức năng mã hóa dữ liệu
d)
Quản lý các tiến trình hệ thống
43.
WS2_32.DLL và WSOCK32.DLL hỗ trợ chức năng nào?
a)
Giao tiếp và truyền dữ liệu qua mạng TCP/IP
b)
Quản lý các tiến trình hệ thống
c)
Thực thi mã độc qua mã nguồn mở
d)
Tạo các giao diện đồ họa 2D
44.
MSCTF.DLL cung cấp chức năng nào trong Windows?
a)
Quản lý bộ nhớ hệ thống
b)
Hỗ trợ xử lý chữ và bàn phím cho ứng dụng Windows
c)
Thực thi mã độc từ xa
d)
Nén và giải nén tệp PE
45.
Tên công cụ tạo ra fuzzy hash cho mẫu
a)
ssdeep
b)
hashdeep
c)
sshash
d)
fhass
46.
Magic byte của PDF
a)
25 50 44 46
b)
25 50 23 46
c)
25 30 23 46
d)
25 50 44 44
47.
Magic byte của RAR
a)
52 49 46 46
b)
52 61 72 21
c)
52 61 72 31
d)
52 49 46 48
48.
Magicbyte Adobe Flash
a)
46 57 53
b)
46 57 56
c)
46 4C 56
d)
46 4C 53
49.
Magicbyte Flash Video
a)
46 57 53
b)
46 57 56
c)
46 4C 56
d)
46 4C 53
50.
Magicbyte videdo AVI files
a)
52 49 46 46
b)
52 61 72 21
c)
52 49 72 21
d)
52 61 46 21
51.
Magicbyte zip
a)
50 4B
b)
52 61 72 21
c)
25 50 44 46
d)
4D 5A
52.
Magicbyte Microsoft document
a)
DF C0
b)
D0 CF
c)
DC F0
d)
CF D0
53.
Magicbyte Mach-0
a)
FE ED FE CE
b)
FA ED FA CE
c)
FE ED FA CE
d)
FE ED FA CA
54.
File extension Adobe Flash
a)
.adf
b)
.af
c)
.swf
d)
.sf
55.
File extension Flash Video
a)
.flv
b)
.fv
c)
.fl
d)
.fvi
56.
Magicbyte ASCII Windows exe
a)
exe
b)
dos
c)
mz
d)
mw
57.
Magicbyte ASCII Linux exe
a)
.efl
b)
elf
c)
.elf
d)
.efl
58.
Magicbyte ASCII PDF
a)
pdf
b)
%pdf
c)
.pdf
d)
pdfs
59.
Magicbyte ASCII Adobe Flash
a)
FWS
b)
SWF
c)
FSW
d)
WFS
60.
Magicbyte ASCII AVI files
a)
.AVI
b)
AVI
c)
RIF
d)
RIFF
61.
Magicbyte ASCII Zip
a)
.ZIP
b)
ZIP
c)
PK
d)
.PK
62.
Magicbyte ASCII Rar
a)
rar
b)
.rar
c)
rar!
d)
rar.
63.
Phần nào của PE file chứa thông tin về các segment (mảng dữ liệu, mã lệnh)?
a)
Section Table
b)
File Header
c)
Optional Header
d)
Import Table
64.
Phần nào trong Optional Header của PE file chứa địa chỉ bắt đầu của mã lệnh thực thi?
a)
Entry Point
b)
Base Address
c)
Magic Number
d)
Image Base
65.
PE file có thể chứa thông tin về các thư viện được liên kết động. Phần nào chứa thông tin này?
a)
Export Table
b)
Import Table
c)
Resource Section
d)
Debug Data
66.
Cấu trúc nào trong PE file chứa thông tin về địa chỉ bộ nhớ khi chương trình được nạp vào RAM?
a)
Section Table
b)
File Header
c)
Image Base
d)
Entry Point
67.
Phần nào trong PE file cung cấp thông tin về các đoạn mã đã được biên dịch từ các module khác nhau và có thể được tái sử dụng?
a)
Import Table
b)
Export Table
c)
Section Table
d)
Relocation Table
68.
Câu lệnh nào trong PE file giúp xác định nếu chương trình cần phải được nạp lại vào bộ nhớ hoặc cần tái phân bổ các địa chỉ?
a)
Import Table
b)
Relocation Table
c)
Export Table
d)
Resource Section
69.
Trong PE file, phần nào chứa thông tin liên quan đến các tài nguyên như biểu tượng, hình ảnh, chuỗi văn bản, v.v.?
a)
Resource Section
b)
Import Table
c)
Export Table
d)
Debug Data
70.
Cấu trúc nào trong PE file lưu trữ thông tin về các đoạn mã thực thi của chương trình được lưu trữ trong bộ nhớ?
a)
Text Section
b)
Data Section
c)
.reloc Section
d)
.rsrc Section
71.
Cấu trúc nào trong PE file cung cấp thông tin về số lượng phần dữ liệu và mã (sections) được chia ra trong PE file?
a)
File Header
b)
Section Table
c)
Data Directories
d)
Optional Header
72.
Cấu trúc nào trong PE file chứa thông tin về sự tương thích của chương trình với các hệ điều hành khác nhau?
a)
File Header
b)
Magic Number
c)
Optional Header
d)
Import Table
73.
IMAGE_SECTION_HEADER trong PE file chứa thông tin nào?
a)
Các thông tin về file như tên và kích thước
b)
Thông tin về các section (mã, dữ liệu, tài nguyên, v.v.) trong PE file
c)
Địa chỉ entry point của chương trình
d)
Các thông tin về thư viện liên kết động
74.
Cấu trúc nào trong IMAGE_SECTION_HEADER lưu trữ tên của một section trong PE file?
a)
Name
b)
PointerToRawData
c)
VirtualAddress
d)
Characteristics
75.
Phần nào trong IMAGE_SECTION_HEADER chỉ ra địa chỉ bắt đầu của section trong bộ nhớ ảo?
a)
PointerToRawData
b)
VirtualAddress
c)
SizeOfRawData
d)
Characteristics
76.
Phần nào trong IMAGE_SECTION_HEADER chỉ ra địa chỉ của dữ liệu raw của section trong file PE?
a)
VirtualSize
b)
SizeOfRawData
c)
PointerToRawData
d)
Name
77.
Câu nào sau đây đúng về trường Characteristics trong IMAGE_SECTION_HEADER?
a)
Chứa thông tin về kích thước raw data của section
b)
Chứa các thuộc tính của section như có thể thực thi, có thể đọc, có thể ghi
c)
Lưu trữ địa chỉ entry point của PE file
d)
Chứa thông tin về các thư viện liên kết động
78.
Trường SizeOfRawData trong IMAGE_SECTION_HEADER chỉ ra điều gì?
a)
Kích thước của section khi được nạp vào bộ nhớ
b)
Kích thước của section trong file PE
c)
Địa chỉ của section trong bộ nhớ
d)
Tên của section
79.
Phần nào trong IMAGE_SECTION_HEADER xác định kích thước ảo (virtual size) của section?
a)
VirtualSize
b)
SizeOfRawData
c)
PointerToRawData
d)
Characteristics
80.
IMAGE_SECTION_HEADER có thể có bao nhiêu section trong một PE file?
a)
Một section
b)
Hai sections
c)
Tối đa 256 sections
d)
Không giới hạn, tùy vào số lượng section trong file
81.
Trường SizeOfRawData trong IMAGE_SECTION_HEADER chỉ ra điều gì?
a)
Kích thước của section khi được nạp vào bộ nhớ ảo.
b)
Kích thước của section trong file PE, tức là dung lượng mà section chiếm trong file.
c)
Địa chỉ của dữ liệu raw của section trong file PE.
d)
Kích thước của dữ liệu thực thi trong bộ nhớ.
82.
Trường VirtualSize trong IMAGE_SECTION_HEADER chỉ ra điều gì?
a)
Kích thước của section khi được nạp vào bộ nhớ ảo.
b)
Kích thước của section trong file PE, tức là dung lượng mà section chiếm trong file.
c)
Địa chỉ bắt đầu của section trong bộ nhớ ảo.
d)
Kích thước của section trong bộ nhớ khi thực thi.
83.
IMAGE_FILE_HEADER trong PE file chứa thông tin nào sau đây?
a)
Địa chỉ entry point của chương trình
b)
Thông tin về số lượng sections trong PE file
c)
Thông tin về loại và cấu trúc của file PE
84.
Trường Machine trong IMAGE_FILE_HEADER cho biết điều gì?
a)
Kiểu máy tính (kiến trúc) mà PE file hỗ trợ, ví dụ: x86, x64
b)
Địa chỉ của máy chủ xử lý
c)
Kích thước của file PE
d)
Địa chỉ entry point của chương trình
85.
Trường TimeDateStamp trong IMAGE_FILE_HEADER chứa thông tin nào?
a)
Thời gian biên dịch file PE
b)
Địa chỉ bắt đầu của PE file trong bộ nhớ
c)
Thời gian thực thi của PE file
d)
Thời gian cuối cùng mà PE file được chỉnh sửa
86.
IMAGE_OPTIONAL_HEADER trong PE file chứa thông tin nào?
a)
Các thông tin về các sections trong PE file
b)
Thông tin về kích thước và thông số cấu hình của file PE, bao gồm entry point, image base, và các dữ liệu liên quan đến nạp chương trình
c)
Thông tin về các thư viện liên kết động
d)
Địa chỉ của các symbol trong PE file
87.
Trường ImageBase trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Địa chỉ mà chương trình được nạp vào bộ nhớ khi thực thi
b)
Địa chỉ của entry point trong bộ nhớ
c)
Kích thước của PE file
d)
Địa chỉ của các dữ liệu tài nguyên trong bộ nhớ
88.
Trường EntryPoint trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Địa chỉ của entry point trong bộ nhớ, nơi chương trình bắt đầu thực thi
b)
Địa chỉ của file PE trong bộ nhớ
c)
Địa chỉ của thư viện liên kết động
d)
Kích thước của section đầu tiên
89.
Trường BaseOfCode trong IMAGE_OPTIONAL_HEADER cho biết điều gì?
a)
Địa chỉ của đoạn mã (code) trong bộ nhớ
b)
Kích thước của đoạn mã trong PE file
c)
Địa chỉ của dữ liệu tài nguyên
d)
Kích thước của PE file trong bộ nhớ
90.
Trường SizeOfImage trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Tổng kích thước của tất cả các sections trong PE file khi chúng được nạp vào bộ nhớ
b)
Kích thước của file PE
c)
Kích thước của section đầu tiên trong PE file
d)
Kích thước của image base
91.
Trường SizeOfHeaders trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Kích thước của tất cả các header, bao gồm file header và optional header
b)
Kích thước của section đầu tiên trong PE file
c)
Kích thước của các dữ liệu raw trong file PE
d)
Kích thước của các bảng tài nguyên
92.
Trường Subsystem trong IMAGE_OPTIONAL_HEADER xác định điều gì?
a)
Kiểu hệ thống con mà file PE yêu cầu (ví dụ: Windows GUI, Windows Console, v.v.)
b)
Các thư viện liên kết động mà PE file sử dụng
c)
Địa chỉ của entry point trong bộ nhớ
d)
Kiểu máy tính (kiến trúc) mà PE file hỗ trợ
93.
Trường DllCharacteristics trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Các đặc tính của file PE, ví dụ như là DLL có hỗ trợ chạy độc lập hay không
b)
Kích thước của dữ liệu trong PE file
c)
Các thư viện liên kết động mà PE file sử dụng
d)
Địa chỉ của thư viện hệ thống
94.
Trường Magic trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Kiểu của PE file (x86 hay x64)
b)
Loại PE file (EXE, DLL)
c)
Giá trị xác định phiên bản của Optional Header
d)
Địa chỉ của thư viện hệ thống
95.
Trường SectionAlignment trong IMAGE_OPTIONAL_HEADER chỉ ra điều gì?
a)
Độ căn chỉnh của các sections trong bộ nhớ khi được nạp vào
b)
Địa chỉ của các thư viện liên kết động trong bộ nhớ
c)
Kích thước của section khi được nạp vào bộ nhớ
d)
Địa chỉ của entry point trong bộ nhớ
96.
SSDeep được sử dụng để làm gì trong lĩnh vực bảo mật?
a)
Mã hóa thông tin để bảo mật file
b)
Kiểm tra độ tương đồng giữa các file để xác định sự trùng lặp hoặc thay đổi
c)
Xác thực người dùng trên các hệ thống mạng
d)
Tạo khóa bảo mật cho các hệ thống phân tán
97.
Điểm khác biệt giữa SSDeep và các thuật toán hash thông thường như MD5 hay SHA là gì?
a)
SSDeep tạo ra giá trị hash cố định cho tất cả các chuỗi dữ liệu
b)
SSDeep so sánh độ tương đồng của dữ liệu thay vì so sánh trực tiếp các giá trị hash
c)
SSDeep được thiết kế chỉ để sử dụng cho mật mã học
d)
SSDeep chỉ có thể áp dụng cho văn bản, không phải các loại dữ liệu khác
98.
IMPHASH là gì?
a)
Một thuật toán hash dựa trên nội dung của các phần tài nguyên trong PE file
b)
Một thuật toán hash tính toán trên các imports trong một file PE để tạo ra một giá trị đại diện cho tệp đó
c)
Một loại mã hóa tệp tin PE để bảo vệ chống lại phần mềm độc hại
d)
Một phương pháp để phát hiện các lỗi trong tệp PE
99.
Mục đích của việc tính toán Section Hash là gì?
a)
Để mã hóa toàn bộ tệp PE
b)
Để xác định các lỗi trong các sections của tệp PE
c)
Để phát hiện các thay đổi hoặc sự khác biệt giữa các tệp PE thông qua các phần của chúng
d)
Để phân tích kích thước và vị trí các sections trong tệp
100.
YARA có thể phát hiện phần mềm độc hại dựa trên những yếu tố nào?
a)
Nội dung tệp tin (mã, chuỗi, ký tự)
b)
Mã hóa tệp tin và địa chỉ IP của tệp
c)
Tên và kích thước của tệp tin
d)
Tất cả các yếu tố trên
101.
Một "rule" trong YARA bao gồm những gì?
a)
Tên của tệp tin và các quyền truy cập của tệp
b)
Các biểu thức tìm kiếm, các điều kiện và tên của rule
c)
Địa chỉ IP và thông tin máy chủ
d)
Mã nguồn và các thuật toán mã hóa của tệp
102.
Câu lệnh YARA nào sau đây sẽ tìm kiếm tất cả các chuỗi "malware" trong tệp?
a)
rule malware {strings: $malware = "malware" condition: $malware}
b)
rule malware {condition: "malware"}
c)
rule malware {strings: $malware = "malware"}
d)
rule malware {condition: true}
103.
YARA sử dụng thành phần nào để định nghĩa các mẫu cần tìm trong tệp tin?
a)
Metadata
b)
Strings
c)
PE header
d)
Import Table
104.
Câu lệnh nào trong YARA dùng để kiểm tra kích thước của tệp tin?
a)
file_size >
b)
filesize >
c)
size_of_file >
d)
file_length >
105.
Từ khóa nào trong YARA được sử dụng để xác định chuỗi biểu thức chính quy (regex)?
a)
regexp
b)
/regex/
c)
$regex
d)
@regex
106.
Câu lệnh YARA nào sau đây kiểm tra một chuỗi cụ thể tại vị trí đầu tiên của tệp?
a)
$string at 0
b)
$string in 0
c)
$string[0]
d)
$string from 0
107.
Câu lệnh nào dùng để kiểm tra một đoạn mã byte trong tệp tin?
a)
{ byte_sequence }
b)
<< byte_sequence >>
c)
[ byte_sequence ]
d)
( byte_sequence )
108.
Câu lệnh nào dùng để tìm tệp có giá trị hash SHA256 cụ thể?
a)
hash.sha256("value")
b)
sha256.hash("value")
c)
file.hash("value")
d)
hash_sha256("value")
109.
Phần nào trong quy tắc YARA được sử dụng để lưu trữ thông tin bổ sung về quy tắc?
a)
strings
b)
meta
c)
condition
d)
header
110.
Câu lệnh nào sau đây là một quy tắc YARA hợp lệ?
a)
rule example { strings: $a = "malware" condition: $a }
b)
example rule { strings: $a = "malware" condition: $a }
c)
rule: example { strings: $a = "malware" condition: $a }
d)
rule example { $a = "malware" condition: $a }
111.
Điều kiện nào trong YARA sẽ chỉ kích hoạt khi một chuỗi cụ thể xuất hiện ít nhất 2 lần trong tệp tin?
a)
#string >= 2
b)
$string >= 2
c)
@string >= 2
d)
%string >= 2
112.
Lệnh YARA nào kiểm tra nếu tệp là định dạng PE (Portable Executable)?
a)
pe
b)
is_pe
c)
pe.file
d)
pe.is_pe
113.
Khi muốn chỉ định một chuỗi không phân biệt chữ hoa chữ thường, bạn cần dùng tùy chọn nào?
a)
nocase
b)
ignore_case
c)
case_insensitive
d)
anycase
114.
Câu lệnh nào trong YARA cho phép bạn so sánh một chuỗi với một biểu thức chính quy?
a)
string.regex
b)
regex.match
c)
match.regex
d)
match.regex
115.
Tùy chọn nào trong YARA cho phép bạn tìm chuỗi trong tệp mà không phân biệt chữ hoa chữ thường?
a)
nocase
b)
case_sensitive
c)
ignore_case
d)
uppercase
116.
Câu lệnh nào trong YARA kiểm tra các chuỗi có trong một tệp tin theo định dạng PE?
a)
pe.version
b)
pe.sections
c)
pe.exports
d)
pe.string
117.
Câu lệnh nào trong YARA giúp bạn tìm các API được gọi trong tệp?
a)
import.api
b)
function.calls
c)
pe.imports
d)
api.calls
118.
Quy tắc YARA sau đây sẽ tìm kiếm một chuỗi trong phần .text của tệp PE. Câu lệnh nào cần sử dụng?
a)
pe.text
b)
.text
c)
pe.section(".text")
d)
section.text
119.
Câu lệnh nào trong YARA dùng để kiểm tra loại tệp PE là EXE hay DLL?
a)
pe.is_exe
b)
pe.is_dll
c)
pe.file_type
d)
pe.type
120.
Tên mô tả trong YARA không vượt quá bao nhiêu ký tự
a)
64
b)
128
c)
32
d)
96
121.
Cú pháp nào sau đây là cú pháp cơ bản đúng trong YARA?
a)
rule example { strings: $a = "malware" condition: $a }
b)
rule example { strings: $a = "malware" } condition: $a
c)
rule { strings: $a = "malware" condition: $a } example
d)
rule example strings: $a = "malware" condition: $a
122.
Câu lệnh nào trong mã độc thường được sử dụng để ẩn việc ghi hoặc đọc tệp tin từ ổ đĩa?
a)
CreateFile
b)
WriteFile
c)
ReadFile
d)
DeleteFile
123.
API nào trong Windows thường được mã độc sử dụng để lấy quyền truy cập sâu vào hệ thống và thực hiện các lệnh trong bộ điều khiển?
a)
VirtualAlloc
b)
LoadLibrary
c)
CreateRemoteThread
d)
SetWindowsHookEx
124.
API nào trong mã độc có thể được gọi để thay đổi các thuộc tính bảo mật của tệp tin hoặc thư mục?
a)
SetFileAttributes
b)
SetPrivilege
c)
WriteProcessMemory
d)
CreateFileMapping
125.
API nào dưới đây thường được mã độc sử dụng để tải và thực thi mã từ một URL?
a)
WinINet
b)
HttpSendRequest
c)
InternetOpenUrl
d)
LoadLibrary
126.
API nào có thể được mã độc sử dụng để tự động sao chép chính nó vào thư mục khởi động của hệ thống?
a)
CopyFile
b)
MoveFile
c)
CreateDirectory
d)
ShellExecute
127.
API nào trong Windows giúp mã độc tự động thực hiện các hành động ngay khi hệ thống khởi động lại?
a)
RegSetValueEx
b)
ShellExecute
c)
SetRegistryValue
d)
CreateProcess
128.
API nào trong Windows có thể được mã độc sử dụng để tạo một tiến trình mới trong không gian bộ nhớ của tiến trình khác?
a)
CreateRemoteThread
b)
CreateProcess
c)
CreateFile
d)
SetThreadContext
129.
API nào trong Windows mã độc thường gọi để lây nhiễm vào các tiến trình đang chạy?
a)
WriteProcessMemory
b)
LoadLibrary
c)
GetProcAddress
d)
CreateProcess
130.
API nào sau đây có thể được mã độc sử dụng để tắt hoặc hủy các cảnh báo bảo mật của hệ thống?
a)
SetSecurityInfo
b)
SetWindowLong
c)
DisableProcessWindowsGhosting
d)
RegSetValueEx
131.
API nào dưới đây là phổ biến trong các cuộc tấn công để gọi các chức năng của hệ thống từ mã độc trong tệp DLL?
a)
LoadLibrary
b)
CreateProcess
c)
VirtualAllocEx
d)
GetProcAddress
132.
API nào thường được mã độc gọi để kiểm tra quyền của người dùng trong hệ thống?
a)
GetTokenInformation
b)
CheckTokenMembership
c)
GetFileAttributes
d)
OpenProcessToken
133.
API nào có thể được mã độc gọi để ẩn các tiến trình hoặc tệp khỏi các công cụ quét?
a)
CreateProcess
b)
SetWindowsHookEx
c)
NtQuerySystemInformation
d)
ZwQuerySystemInformation
134.
API nào dưới đây có thể được mã độc sử dụng để thực hiện hành vi phishing hoặc đánh cắp thông tin đăng nhập của người dùng?
a)
GetUserName
b)
SetWindowsHookEx
c)
InternetOpen
d)
GetAsyncKeyState
135.
Mã độc có thể gọi API nào trong Windows để thực hiện lệnh CMD từ xa trong không gian bộ nhớ của tiến trình khác?
a)
CreateRemoteThread
b)
ShellExecuteEx
c)
CreateProcess
d)
NtCreateThreadEx
136.
API nào dưới đây giúp mã độc ghi đè hoặc thay đổi thông tin trong các khóa registry của Windows, qua đó tạo ra sự thay đổi lâu dài trong hệ thống?
a)
RegOpenKeyEx
b)
RegSetValueEx
c)
RegQueryValueEx
d)
RegDeleteKey
137.
Mã độc có thể gọi API nào trong Windows để thay đổi các quyền truy cập đối với các tệp hoặc thư mục trong hệ thống?
a)
SetFileSecurity
b)
SetFileAttributes
c)
CreateFile
d)
GetFileAttributes
138.
API nào sau đây có thể được sử dụng trong mã độc để ghi chép lại hoạt động của người dùng hoặc thu thập thông tin mà không bị phát hiện?
a)
GetClipboardData
b)
OpenProcess
c)
SetWindowsHookEx
d)
FindWindow
139.
API nào dưới đây có thể được mã độc gọi để tránh bị phát hiện trong quá trình quét hệ thống?
a)
NtQuerySystemInformation
b)
CreateProcess
c)
GetProcAddress
d)
WriteProcessMemory
140.
Mã độc có thể sử dụng API nào dưới đây để thay đổi cấu hình hoặc chế độ hoạt động của tường lửa Windows?
a)
FirewallSet
b)
InternetSetOption
c)
SetFirewallRule
d)
Netsh
141.
Mã độc có thể sử dụng API nào dưới đây để gửi các cuộc tấn công DoS (Denial of Service) vào một dịch vụ mạng trong hệ thống?
a)
HttpSendRequest
b)
Send
c)
InternetOpen
d)
Socket
100 %
