Linux系统、恶意软件分析技术和APT攻击

以下是提取的题目、完整选项内容及正确答案列表（按原题号顺序排列）：

1. Linux系统的可执行文件格式是（ ）。

• ​A.​​ PE
• ​B.​​ ELF ✅
• ​C.​​ SH
• ​D.​​ EXE

2. Linux的可执行文件格式中的节区，包含二进制代码部分的是（ ）。

• ​A.​​ .text ✅
• ​B.​​ .rodata
• ​C.​​ .data
• ​D.​​ .bss

3. Linux的可执行文件格式中的节区，属于只读数据部分的是（ ）。

• ​A.​​ .rdata
• ​B.​​ .rodata ✅
• ​C.​​ .data
• ​D.​​ .bss

4. Linux的可执行文件格式中的节区，属于已初始化全局变量部分的是（ ）。

• ​A.​​ .rodata
• ​B.​​ .data ✅
• ​C.​​ .bss
• ​D.​​ .rdata

5. Linux的可执行文件格式中的节区，属于未初始化全局标量部分的是（ ）。

• ​A.​​ .rodata
• ​B.​​ .rdata
• ​C.​​ .bss ✅
• ​D.​​ .data

6. 以下不属于Silvio（西尔维奥）填充感染法的病毒是（ ）。

• ​A.​​ Brundle Fly
• ​B.​​ POC 病毒
• ​C.​​ LPV 病毒
• ​D.​​ Shell脚本病毒 ✅

7. 以下对于Silvio（西尔维奥）填充感染法，说法不正确的是（ ）。

• ​A.​​ 它利用内存中的text段和 data 段之间的填充空间
• ​B.​​ 它将病毒体限制在了一个内存分页的大小
• ​C.​​ 在 64 位的系统上，可执行文件使用较大的分页，能容纳将近 2MB 的感染代码
• ​D.​​ 它利用在磁盘上的text 段和 data 段之间的空白区 ✅

8. 以下对于gdb调试工具，说法不正确的是（ ）。

• ​A.​​ GNU symbolic debugger，简称「GDB 调试器」，是 Linux 平台下最常用的一款程序调试器
• ​B.​​ gdb调试器对 C、C++、Go、Objective-C、OpenCL、Ada 等多种编程语言提供了支持
• ​C.​​ 使用gdb时，需要gcc编译使用带调式信息-g参数
• ​D.​​ gdb支持多种CPU架构以及文件格式 ✅

9. 以下对于radare2工具，说法不正确的是（ ）。

• ​A.​​ 它是个基于命令行的逆向工具，包括反汇编、分析数据、打补丁、比较数据、搜索、替换、虚拟化等等，它可以运行在几乎所有主流的平台（Linux, Windows, iOS）并且支持很多的CPU架构以及文件格式
• ​B.​​ radare2不只是一个工具，而是一个框架，是众多逆向分析工具的组合
• ​C.​​ radare2是主程序，可以用于通过一系列的命令对文件进行分析与调试，还支持多种语言如Python、Ruby的脚本调用
• ​D.​​ 对于radare2中的命令，都可以在命令前加一个?来获取使用说明 ✅

10. 以下对于逆向 text 感染法，说法不正确的是（ ）。

• ​A.​​ 在逆向扩展过程中，需要将 text 段的虚拟地址缩减 PAGE_ALIGN(parasite_size)
• ​B.​​ 32位系统上所允许的最小虚拟映射地址为0x1000，因此， text 的虚拟地址最多能扩展到 0x1000
• ​C.​​ 64位的系统上，默认的 text 虚拟地址通常为 0x400000，寄生代码可以占用的空间就可以达到 0x3ff000 字节
• ​D.​​ 它是一种PE文件类型病毒感染法 ✅

11. 论文“基于CFG和TTP的恶意软件分析技术_李镇山.caj”中所采用的“基于CFG_API 图的恶意软件分类方法”，是一种（ ）的分类方法。

• ​A.​​ 基于控制流图的静态特征
• ​B.​​ 基于控制流图的动态特征
• ​C.​​ 将CFG图信息融入API函数调用
• ​D.​​ 融合静态特征和动态特征 ✅

12. 论文“基于CFG和TTP的恶意软件分析技术_李镇山.caj”中通过（ ）模型,将恶意软件分类问题转化为（ ）问题。

• ​A.​​ CNN，ResNet-50
• ​B.​​ 图神经网络，图分类 ✅
• ​C.​​ CNN，卷积网络分类
• ​D.​​ ACFG，图分类

13. 论文“基于CFG和TTP的恶意软件分析技术_李镇山.caj”中通过（ ）沙箱，提取恶意软件样本的TTP标签。

• ​A.​​ HYBRID Analysis ✅
• ​B.​​ VirusTotal
• ​C.​​ 布谷鸟(Cuckoo)
• ​D.​​ CAPE

14. 论文“基于CFG和TTP的恶意软件分析技术_李镇山.caj”中通过对CFG_API图中带有相同TTP标签的节点进行分类，让多个节点形成一条或多条执行流，从而将恶意软件攻击行为定位在其（ ）的具体执行流中。

• ​A.​​ CFG_API
• ​B.​​ API
• ​C.​​ CFG ✅
• ​D.​​ TTP

15. 论文“基于CFG和TTP的恶意软件分析技术_李镇山.caj”中"基于TTP的恶意软件攻击预测方法"，将TTP分成（ ）类标签。

• ​A.​​ 14
• ​B.​​ 3
• ​C.​​ 10
• ​D.​​ 9 ✅

16. 论文“基于深度学习的APT攻击检测和溯源研究_王年芳.caj”文中将良性软件、普通恶意软件和 APT恶意软件三类样本放入（ ）中运行,并提取它们的动态行为特征。

• ​A.​​ VirusTotal
• ​B.​​ Noriben沙箱 ✅
• ​C.​​ CAPE
• ​D.​​ CAPA

17. 论文“基于深度学习的APT攻击检测和溯源研究_王年芳.caj”提出的“改进的APT恶意软件溯源方法”，将APT恶意软件的（ ）进行编码,以适应神经网络的处理要求。

• ​A.​​ DLL:API ✅
• ​B.​​ API调用序列
• ​C.​​ PE头静态特征
• ​D.​​ DLL

18. 论文“基于深度学习的APT攻击检测和溯源研究_王年芳.caj”提出的“改进的APT恶意软件检测方法”，提取APT恶意软件样本的（ ）动态行为特征。

• ​A.​​ 进程名->操作类型
• ​B.​​ API调用
• ​C.​​ 进程行为、文件行为、注册表行为和网络行为特征 ✅
• ​D.​​ API调用序列、进程行为、文件行为、注册表行为和网络行为特征

19. 论文“基于深度学习的APT攻击检测和溯源研究_王年芳.caj”通过APT恶意软件样本分类方法溯源APT恶意软件家族的实验，共分成（ ）类家族。

• ​A.​​ 10
• ​B.​​ 3
• ​C.​​ 2172
• ​D.​​ 12 ✅

20. 论文“基于深度学习的APT攻击检测和溯源研究_王年芳.caj”中，提及APT中的高级含义是指APT攻击采用高级的技术手段和攻击工具，通常利用（ ） 漏洞和（ ）的恶意软件渗透目标系统以规避传统的安全防护措施。

• ​A.​​ 通用，具有勒索功能
• ​B.​​ 零日，定制 ✅
• ​C.​​ 通用，高级
• ​D.​​ 零日，隐藏

---

​说明​：

1. 所有选项内容已完整呈现，正确答案后标记 ​**✅**。
2. 第10题后涉及论文分析的题目（11-20题），需按论文内容作答。
3. 论文题目中的缩写含义：
   • ​CFG​：控制流图（Control Flow Graph）
   • ​TTP​：战术、技术和过程（Tactics, Techniques, and Procedures）
   • ​APT​：高级持续性威胁（Advanced Persistent Threat）