计算机病毒题目合集

D1【单选题】以下哪种恶意代码属于典型的勒索型病毒？

A、Stuxnet

B、CIH

C、Mirai

D、WannaCry 

C2【单选题】以下哪种恶意软件属于典型的物联网僵尸网络病毒？

A、DroidDreamLight

B、WannaCry

C、Mirai

D、熊猫烧香

B3【单选题】（        ）蠕虫病毒是世界上首个专门针对工业控制系统编写的破坏性病毒，能够利用对windows系统和西门子SIMATIC WinCC系统的7个漏洞进行攻击。

A、SQL蠕虫王

B、Stuxnet

C、Botnet

D、APT

C4【单选题】以下哪种移动智能终端恶意代码能够扣费，发送SP业务定制短信并删除发送记录？

A、吞钱贪婪鬼

B、Lasco系列恶意代码

C、白卡吸费魔

D、Skulls

D5【单选题】

（            ）系列的手机木马被称为“隐私大盗”木马，是一批专偷短信、IMEI（手机串号）、Google 账号等隐私信息系列手机木马，其变种数量超过60 个。

A、Cabir

B、索马里海盗

C、X 卧底

D、DroidDreamLight

A6【单选题】第一个攻击手机的病毒是（                 ）。

A、VBS.Timofonica

B、Cabir

C、Skulls

D、Lasco

A7【单选题】以下哪个人研制了第一个计算机病毒（Unix）？

A、Fred Cohen

B、冯·诺伊曼

C、道格拉斯.麦耀莱、维特.维索斯基和罗伯.莫里斯

D、Robert T. Morris

A8【单选题】以下哪种病毒能够烧毁硬件？

A、CIH病毒

B、宏病毒

C、美丽莎病毒

D、红色代码

A9【单选题】到目前为止，以下哪种病毒造成的经济损失最大？

A、爱虫

B、SQL蠕虫王

C、冲击波

D、熊猫烧香 

A10【单选题】反病毒软件商们为MS Word宏病毒命令的前缀是（              ）。

A、WM

B、VBS

C、Win32

D、W97M

A11【单选题】

永恒之蓝，即EternalBlue这个工具就是利用windows系统的（         ）远程执行代码漏洞向Microsoft 服务器消息块服务器发送经特殊设计的消息，就能允许远程代码执行。

A、MS017-010漏洞

B、快捷方式文件解析漏洞

C、RPC漏洞

D、IRC漏洞

C12【单选题】熊猫烧香病毒是一种（            ）病毒。

A、木马

B、流氓软件

C、蠕虫

D、逻辑炸弹

A13【单选题】以下哪种移动智能终端恶意代码能每隔几秒就会偷偷的向你通讯录中的号码发送彩信？

A、吞钱贪婪鬼

B、RottenSys

C、“白卡吸费魔”木马

D、DroidDreamLight 系列手机木马

A14【单选题】以下哪种手机恶意代码伪装成安卓手机的“系统 Wi-Fi服务”，“每日黄历”、“畅米桌面”等应用，并通过不定期给用户推送广告或指定APP来盈利？

A、RottenSys

B、吞钱贪婪鬼

C、“X 卧底”系列木马

D、“索马里海盗”木马

A15【单选题】以下哪种恶意代码能发动DDOS攻击？

A、Cutwail

B、WannaCry

C、Stuxnet

D、Locky

A16【单选题】（           ）工具是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息。

A、Rootkit

B、Phishing

C、APT28

D、ARP 

B17【单选题】按照CARO命名规则，瀑布（Cascade）病毒的变种Cascade.1701.A中的1701是（         ）。

A、大变种

B、组名

C、小变种

D、修改者

A18【单选题】（         ）恶意代码利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。

A、APT

B、FireBall

C、Mirai

D、震网蠕虫

C19【单选题】以下哪种手机病毒专偷短信、IMEI（手机串号）、Google 账号等隐私信息。

A、Cabir

B、Skulls

C、DroidDreamLight

D、“X 卧底”系列

A20【单选题】不进行自我复制的两种病毒是（           ）。

A、逻辑炸弹和木马

B、逻辑炸弹和蠕虫

C、逻辑炸弹和Botnet

D、钓鱼和Mirai

A21【单选题】以下哪种恶意邮件病毒携带有利用CVE-2015-1641 漏洞的rtf 文件、包含恶意可执行文件的不同格式的存档以及带有宏和 OLE对象的文档，发起网络钓鱼攻击，造成30亿美元的损失。

A、尼日利亚钓鱼

B、APT28

C、Cabir

D、FireBall

A22【单选题】

（            ）恶意代码感染了2.5亿台计算机，控制互联网浏览器, 监视受害者的 web 使用, 并可能窃取个人文件。

A、FireBall

B、尼日利亚钓鱼

C、Happy99 蠕虫

D、SQL蠕虫王

二. 填空题（共6题）

23

【填空题】传统计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组（计算机指令）或者（程序代码）。

24

【填空题】

恶意代码是在未被授权的情况下，以破坏软硬件设备、窃取用户信息、扰乱用户心理、干扰用户正常使用为目的而编制的（软件）或（代码片段）。

25

【填空题】计算机病毒或恶意代码的CARO命名规则，每一种病毒的命名包括了（家族名）、（组名）、（大变种）、（小变种）和（修改者）等五个部分。

26

【填空题】

反病毒软件商们通常在CARO命名的前面加一个前缀来标明（病毒类型 ）。

27

【填空题】（ 宏病毒 ）的特点只感染微软数据（文档）文件。

28

【填空题】（ 僵尸网络 ）（Botnet）是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序），从而在控制者和被感染主机之间所形成的一个可一对多可控制的、分布式的、逻辑网络 。

一. 单选题（共15题）

C1【单选题】引导型病毒是指寄生在（              ）的计算机病毒。

A、主引导扇区

B、磁盘引导扇区

C、主引导扇区或磁盘引导扇区

D、磁盘的0面0道第1扇区

A2【单选题】以下属于感染硬盘的主引导区的病毒是（         ）。

A、大麻病毒

B、小球病毒

C、Girl病毒

D、熊猫烧香

C3【单选题】以下属于感染硬盘的的活动分区引导记录的病毒是（         ）。

A、大麻病毒

B、火炬病毒

C、小球病毒

D、宏病毒

B4【单选题】引导型病毒加载病毒自身代码到内存的（         ）地址处。

A、0000H

B、7C00H

C、0413H

D、CS:100H

D5【单选题】引导型病毒修改（           ）中断的入口地址，使之指向病毒中断服务程序，当系统或用户进行磁盘读写时，就会激活病毒。

A、INT 21H

B、INT 01H

C、INT 11H

D、INT 13H

B6【单选题】主引导记录签名是（              ）和（                 ）。

A、MZ和PE

B、0x55和0xAA

C、MZ和NE

D、0E9H和3CH

B7【单选题】引导型病毒修改内存容量标志单元（             ），在原有值的基础上减去病毒长度，使得病毒代码能够常驻内存高端。

A、7C00H

B、0413H

C、CS:100H

D、0E9H

A8【单选题】DOS系统通过把控制传递（           ）处的指令而启动COM文件程序。

A、CS:100H

B、7C00H

C、0413H

D、3CH

D9【单选题】COM格式文件最大是（           ）。

A、4GB

B、16KB

C、4KB

D、64KB

A10【单选题】DOS系统装入COM文件时，先在内存建立一个长度为（             ）的PSP，然后将整个文件装载于 PSP 上端，不进行重定位操作

A、256字节

B、101H

C、0413H

D、0E9H

A11【单选题】以下对PE文件格式，说法不正确的是（             ）。

A、一个16位PE文件的寻址空间是4G。

B、PE文件格式来源于Unix的COFF格式。

C、Win32环境下的PE格式文件：exe可执行文件、dll动态链接库文件和scr屏幕保护程序。

D、PE文件是使用Win32环境和NT(New Technology)内核系统的可执行文件格式。

C12【单选题】以下选项，属于PE文件默认代码节的是（             ）。

A、Section .rdata

B、Section .rsrc

C、Section .text

D、Section .data

B13【单选题】以下选项，属于PE文件的引入函数节的是（             ）。

A、Section .text

B、Section .rdata

C、Section .data

D、Section .rsrc

B14【单选题】对于PE文件中有很多“00”字节，说法不正确的是（                  ）。

A、这是由于PE文件的文件节对齐粒度和内存节对齐粒度造成的。

B、 这是由感染PE文件的恶意代码造成的。

C、恶意软件可以利用这些空白区填充恶意代码。

D、CIH病毒就是利用这些“00”字节，填充恶意代码。

B15【单选题】可以根据PE文件的MZ头定位PE文件标记，以下说法正确的是（             ）。

A、3CH处显示“PE”

B、在3CH处显示PE头的地址

C、PE文件开始的两个字节

D、在0030H行末尾显示“PE”

二. 填空题（共5题）

16【填空题】

已知PE文件的ImageBase为400000H，RVA为1000H，那么，该PE文件的VA地址是（401000H）。

提示：采用16进制填写，大写H表示。

17【填空题】

PE文件的文件节对齐粒度是（200H）。

提示：采用16进制填写，大写H表示。

18【填空题】

PE文件的内存节对齐粒度是（1000H）。

提示：采用16进制填写，大写H表示。

19【填空题】PE文件病毒感染时会在宿主上附加代码，但每次感染内存地址不同，修改代码内的地址是不现实的，所以，需要使用（重定位）技术。

20【填空题】

已知宿主程序某变量的实际地址是00801009H、偏移地址是00401009H，病毒程序的var变量的偏移地址是00401000H，那么，病毒程序的var变量的实际地址是（00801000H）。

提示：采用16进制，大写H表示。

一. 单选题（共19题）

B1【单选题】先向栈区添加了一个变量a，接着向栈区添加了另外一个变量b，则变量a所在的内存地址比变量b所在的内存地址（       ）。

A、低

B、高

C、不确定

D、相等

B2【单选题】函数栈帧不包括的是（           ）。

A、局部变量

B、全局变量

C、函数参数

D、返回地址

A3【单选题】一个函数f(int a, int b)，在发生对f的函数调用后将开辟函数f的栈帧，其中变量a的地址比变量b的地址（     ）。

A、低

B、高

C、相等

D、不确定

C4【单选题】函数调用完毕后，返回原来函数的指令处运行的一个关键操作是，将栈帧中保存的返回地址装入（      ）。

A、ESP寄存器

B、EBP寄存器

C、EIP寄存器

D、EBI寄存器

B5【单选题】CPU自带一级缓存和二级缓存，从一级缓存或二级缓存里读数据与从寄存器、内存里面读数据相比，哪个速度最快？

A、一级缓存

B、寄存器

C、二级缓存

D、内存

A6【单选题】存储下次将要执行的指令在代码段的偏移量的是（       ）。

A、EIP

B、ESP

C、EBP

D、EIR

A7【单选题】汇编指令中 MOV CL, 05H 采用的寻址方式是（          ）。

A、立即寻址

B、直接寻址

C、间接寻址

D、相对寻址

B8【单选题】汇编指令中 MOV AL,[3100H] 采用的寻址方式是（          ）。

A、立即寻址

B、直接寻址

C、间接寻址

D、相对寻址

C9【单选题】汇编指令中 MOV [BX], 12H 采用的寻址方式是（          ）。

A、立即寻址

B、直接寻址

C、间接寻址

D、相对寻址

C10【单选题】汇编指令中MOV AX，[BX+1200H]采用的寻址方式是（          ）。

A、直接寻址

B、间接寻址

C、相对寻址

D、基址变址寻址

C11【单选题】汇编指令中MOV EAX, [EBX+ESI] 采用的寻址方式是（          ）。

A、间接寻址

B、相对寻址

C、基址变址寻址

D、相对基址变址寻址

D12【单选题】汇编指令中 MOV EAX, [EBX+ESI+1000H] 采用的寻址方式是（          ）。

A、间接寻址

B、相对寻址

C、基址变址寻址

D、相对基址变址寻址

B13【单选题】CMP EAX, EAX; 语句执行后，ZF寄存器的值为（    ）

A、0

B、1

C、不受影响

D、-1

A14【单选题】汇编指令MOV AX, 01H; AND AX, 02H运行之后，AX寄存器里的值为（         ）。

A、0

B、1

C、2

D、3

C15【单选题】汇编指令 test  AX, AX 的功能是（            ）。

A、零标志位ZF置 1

B、零标志位ZF置 0

C、检测AX是否为0

D、检测AX是否为1

A16【单选题】汇编指令 push ebp; mov ebp,esp; 执行之后，ESP-EBP的值为（          ）。

A、0

B、4

C、-4

D、8

A17【单选题】以下条件转移指令，表示检测到标志寄存器ZF为1时转移的指令是（       ）。

A、JE

B、JNZ

C、JG

D、JL

B18【单选题】以下条件转移指令，表示检测到标志寄存器ZF为0时转移的指令是（       ）。

A、JE

B、JNE

C、JL

D、JG

B19【单选题】以下程序返回前，bx中的值是（            ）。

assume cs:code

code segment

start: mov ax,1

       mov cx,3

      call s

       mov bx,ax ;(bx) = ?

      mov ax,4c00h

      int 21h

     s:  add ax,ax

        loop s

   ret

code ends

end start

A、3

B、8

C、0

D、4c00h

BE20【多选题】对于如下代码：int * p1=new int[200]; char * p2=new char[30];  下列说法正确的是（           ）。

A、所申请的内存将分配到栈区

B、所申请的内存将分配到堆区

C、p1的值大于p2的值

D、p1的值小于p2的值

E、p1的值和p2的值大小无法确定

D1【单选题】存放着所使用的动态链接库等外来函数与文件的信息的PE文件的节是（    ）。

A、text

B、edata

C、data

D、rdata

C2【单选题】用户模式下，用调试器看到的内存地址都是（       ）。

A、真实地址

B、物理地址

C、虚拟内存

D、以上都不对

A3【单选题】XOR EAX, EAX 汇编语句执行后，EAX寄存器的值为（       ）。

A、0

B、1

C、2

D、FFFFFFFF

B4【单选题】CMP EAX, EAX；SETE AL 执行后AL寄存器的值为（     ）。

A、0

B、1

C、2

D、3

D5【单选题】使用数据变换混淆，以下汇编指令：

PUSH  0F9CBE47AH

ADD   DWORD PTR  [ESP], 6341B86H

等价于（           ）。

A、PUSH 100000000H

B、PUSH  0F9CBE47AH

C、PUSH  6341B86H

D、PUSH 0H

D6【单选题】

对于以下汇编指令：

00401000      main proc near

00401000      FF 15 00 20 40 00     call ds:__imp__IsDebuggerPresent@0

00401006       85 C0                         test eax, eax

00401008       74 17                          jz short loc_401021

使用数据变换混淆，以下说法不正确的是（       ）。

A、机器代码EB FF 的汇编指令为：jmp short near ptr main+1

B、机器代码EB FF 相当于向前跳转 1 个字节

C、在机器代码FF 15 00 20 40 00 前面插入EB，执行结果是一样的

D、以上说法都错

A7【单选题】以下哪个节区存放PE文件的二进制的机器代码？

A、text

B、data

C、reloc

D、rsrc

A8【单选题】以下属于静态逆向分析工具的是（            ）。

A、IDA

B、OllyDBG

C、X32DBG

D、01Editor

D9【单选题】以下属于动态逆向分析工具的是（            ）。

A、IDA

B、01Editor

C、PEView

D、OllyDBG

B10【单选题】已知当前标志寄存器位CF=0，OF=0，ZF=1，那么，执行汇编指令sete al后，

寄存器AL的值为（          ）。

A、0

B、1

C、没变化

D、需要根据前面执行的指令，才能确定

C11【单选题】以下哪个工具，可以直接编辑二进制机器码？

A、IDA

B、OllyDBG

C、01Editor

D、PEView

A12【单选题】ASPack工具，属于（            ）。

A、压缩壳

B、加密壳

C、压缩壳和加密壳

D、混淆工具

B13【单选题】ASProtect工具，属于（            ）。

A、压缩壳

B、加密壳

C、压缩壳和加密壳

D、混淆工具

D14【单选题】使用代码混淆，PUSH ECX指令，可以替换为（            ）。

A、

SUB ECX, 4

MOV DWORD PTR [ESP], ECX

B、MOV DWORD PTR [ESP], ECX

C、MOV DWORD PTR [ECX], ESP

D、

SUB ESP, 4

MOV DWORD PTR [ESP], ECX

A15【单选题】

对于以下汇编程序：

PUSH   EAX

XOR     EAX, EAX

JZ      <目标地址>

<垃圾代码>

目标地址: POP  EAX

以下说法不正确的是（           ）。

A、该程序通过执行垃圾代码，降低程序的运行速度

B、该程序通过引入寄存器操作将无条件跳转伪装为条件跳转

C、

该程序等价于：

PUSH   EAX

JMP     <目标地址>

目标地址: POP  EAX

D、该程序将不执行垃圾代码

1【单选题】

C触发漏洞、将控制权转移到目标程序的是（         ）。

A、shellcode

B、exploit

C、payload

D、vulnerability

D2【单选题】下列不属于对Shellcode进行编码的原因的是（          ）。

A、字符集差异

B、绕过安全检测

C、绕过坏字符

D、绕过返回地址

D3【单选题】能有效阻止非代码区的植入的恶意代码执行的技术是（          ）。

A、ASLR

B、GS Stack Protection

C、SEHOP

D、DEP

C4【单选题】下列不可以作为跳板的指令是（           ）。

A、Jmp esp

B、Mov eax, esp; jmp eax

C、Mov eax, ebp; jmp ebp

D、Jmp ebp

D5【单选题】

执行以下指令后，EDX寄存器值为（                ）。

ESP -> ???????? => POP EAX # RETN

            0x00000001    

            ???????? => ADD EAX, 2 # RETN

            ???????? => XCHG EAX,EDX # RETN

A、0

B、1

C、2

D、3

B6【单选题】（             ）技术是一项缓冲区溢出的检测防护技术。

A、ASLR

B、GS Stack Protection

C、DEP

D、SafeSEH

D7【单选题】通过精心构造，攻击者通过缓冲区溢出覆盖（            ）中异常处理函数句柄，将其替换为指向恶意代码shellcode的地址，并触发相应异常，从而使程序流程转向执行恶意代码。

A、GS

B、ASLR

C、DEP

D、SEH

C8【单选题】SEH攻击是指通过栈溢出或者其他漏洞，使用精心构造的数据覆盖SEH上面的某个函数或者多个函数，从而控制（        ）。

A、EBP

B、ESP

C、EIP

D、DEP

A9【单选题】（            ）是一项通过将系统关键地址随机化,从而使攻击者无法获得需要跳转的精确地址的技术。

A、ASLR

B、DEP

C、SEH

D、SafeSEH

D10【单选题】VC++编译器中提供了一个/GS编译选项，如选择该选项，编译器针对函数调用和返回时添加保护和检查功能的代码，在函数被调用时，在缓冲区和函数返回地址增加一个32位的随机数（           ），在函数返回时，调用检查函数检查该值是否有变化。

A、DEP

B、SEH

C、GS Stack Protection

D、security_cookie

B1【单选题】Linux系统的可执行文件格式是（       ）。

A、PE

B、ELF

C、SH

D、EXE

A2【单选题】Linux的可执行文件格式中的节区，包含二进制代码部分的是（            ）。

A、.text

B、.rodata

C、.data

D、.bss

B3【单选题】Linux的可执行文件格式中的节区，属于只读数据部分的是（            ）。

A、.rdata

B、.rodata

C、.data

D、.bss

B4【单选题】Linux的可执行文件格式中的节区，属于已初始化全局变量部分的是（            ）。

A、.rodata

B、.data

C、.bss

D、.rdata

C5【单选题】Linux的可执行文件格式中的节区，属于未初始化全局标量部分的是（            ）。

A、.rodata

B、.rdata

C、.bss

D、.data

D6【单选题】以下不属于Silvio（西尔维奥）填充感染法的病毒是（      ）。

A、Brundle Fly

B、POC 病毒

C、LPV 病毒

D、Shell脚本病毒

D7【单选题】以下对于Silvio（西尔维奥）填充感染法，说法不正确的是（         ）。

A、它利用内存中的text段和 data 段之间的填充空间

B、它将病毒体限制在了一个内存分页的大小

C、在 64 位的系统上，可执行文件使用较大的分页，能容纳将近 2MB 的感染代码

D、它利用在磁盘上的text 段和 data 段之间的空白区

D8【单选题】以下对于逆向 text 感染法，说法不正确的是（        ）。

A、在逆向扩展过程中，需要将 text 段的虚拟地址缩减 PAGE_ALIGN(parasite_size)

B、32位系统上所允许的最小虚拟映射地址为0x1000，因此， text 的虚拟地址最多能扩展到 0x1000

C、64位的系统上，默认的 text 虚拟地址通常为 0x400000，寄生代码可以占用的空间就可以达到 0x3ff000 字节

D、它是一种PE文件类型病毒感染法

C9【单选题】以下对于ClamAV病毒软件，说法不正确的是（           ）。

A、ClamAV软件是⼀款 UNIX 下开源的 (GPL) 反病毒⼯具包。

B、ClamAV软件手动更新病毒库的命令是sudo freshclam    

C、可以使用sudo  service  clamav stop 命令停止守护进程

D、ClamAV软件扫描病毒的命令是clamscan  

D10【单选题】以下对于gdb调试工具，说法不正确的是（        ）。

A、GNU symbolic debugger，简称「GDB 调试器」，是 Linux 平台下最常用的一款程序调试器。

B、gdb调试器对 C、C++、Go、Objective-C、OpenCL、Ada 等多种编程语言提供了支持。

C、使用gdb时，需要gcc编译使用带调式信息-g参数。

D、gdb支持多种CPU架构以及文件格式

D11【单选题】以下对于radare2工具，说法不正确的是（     ）。

A、它是个基于命令行的逆向工具，包括反汇编、分析数据、打补丁、比较数据、搜索、替换、虚拟化等等，它可以运行在几乎所有主流的平台（Linux, Windows, iOS）并且支持很多的CPU架构以及文件格式。

B、radare2不只是一个工具，而是一个框架，是众多逆向分析工具的组合。

C、radare2是主程序，可以用于通过一系列的命令对文件进行分析与调试，还支持多种语言如Python、Ruby的脚本调用。

D、对于radare2中的命令，都可以在命令前加一个?来获取使用说明。

D12【单选题】以下关于木马病毒的分类，说法不正确的是（            ）。

A、远程访问型木马是现在最广泛的特洛伊木马。

B、密码发送型木马不会在每次Windows重启时都自动加载，它们大多数使用25号端口发送电子邮件。

C、键盘记录型木马随着Windows的启动而启动，知道受害者在线并且记录每一个用户事件，然后通过邮件或其他方式发送给控制者。

D、毁坏型木马窃取信息，并控制对方计算机。

C13【单选题】

以下对于木马植入技术，说法不正确的是（      ）。

A、缓冲区溢出攻击是植入木马最常用的手段。据统计，通过缓冲区溢出进行的攻击占所有系统攻击总数的80%以上。

B、缓冲区溢出((Buffer Overflow)指的是一种系统攻击的手段，通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。

C、往缓冲区中填东西造成它溢出，出现出现Segmentation fault错误，达到植入木马攻击的目的。

D、如果在溢出的缓冲区中写入我们想执行的代码，再覆盖函数返回地址的内容，使它指向缓冲区的开头，就可以达到运行其它指令的目的。

A14【单选题】以下对于HOOK技术，说法不正确的是（           ）。

A、在Windows 操作系统里面，应用程序只能处理来自进程内部的消息或是从其他进程发过来的消息，如果需要对在进程外传递的消息进行拦截处理就必须采取一种被称为API HOOK（钩子）的技术。

B、钩子的本质是一段用以处理系统消息的程序，通过系统调用，将其挂入到系统，在对特定的系统事件(比如键盘事件)进行Hook。

C、在Windows 操作系统里面，API是指由操作系统提供功能的、由应用程序调用的函数。

D、API HOOK技术是一种用于改变API执行结果的技术，Microsoft 自身也在Windows操作系统里面使用了这个技术，如Windows兼容模式等。

C15【单选题】以下对于Rootkit技术，说法不正确的是（           ）。

A、Rootkits最早是一组用于UNIX操作系统的工具集，黑客使用它们隐藏入侵活动的痕迹。

B、Rootkit工作在内核态，可以修改内核的数据结构，达到隐藏文件和进程的目的。

C、用户态Rootkit使得杀毒软件失效。

D、用户态Rootkit通常通过释放动态链接库（DLL）文件，并将它们注入到其它软件及系统进程中运行，通过HOOK方式对消息进行拦截，使得检测程序返回错误的信息，达到隐藏文件和进程的目的。

C4.[单选题]

漏洞也称为（       ）。

A.Hole

B.Fault

C.Vulnerability

D.Weakness

D5.[单选题]

发生缓冲区溢出的主要原因是（        ）。

A.缺少堆栈安全检查机制

B.栈地址是从低地址向高地址增长

C.栈帧结构设计不合理

D.未对边界进行检查

B6.[单选题]

DWORD SHOOT攻击是指（          ）。

A.能够读取任意位置内存数据的攻击

B.能够向任意位置内存写入任意数据的攻击

C.能够向任意位置内存写入任意数据、并能读取任意位置内存数据的攻击

D.以上都不对

B7.[单选题]

SEH结构存在于（           ）。

A.堆区

B.栈区

C.寄存器

D.代码区