【摘要】：隨著移動互聯(lián)網的飛速發(fā)展,Android智能終端在人們生活中扮演的角色越來越重要,由于Android系統(tǒng)的開源性和Google Play薄弱的軟件檢測力度,Android智能終端惡意應用越來越多。信息泄露、資料被刪、電話竊聽、資金被盜等已對廣大Android智能終端用戶構成嚴重的威脅。針對Android智能終端日益猖獗的攻擊,常用檢測方式有靜態(tài)檢測技術和動態(tài)檢測技術。由于靜態(tài)檢測技術的代碼全面覆蓋、挖掘自動化、高效等優(yōu)點,靜態(tài)檢測技術得到廣泛關注和應用。但目前靜態(tài)檢測技術主要利用應用程序的特征碼及文件簽名校驗等方式對應用程序進行惡意檢測,或者將PC端應用程序安全檢測技術直接應用于Android應用軟件安全檢測,故存在誤報漏報率高、新型惡意代碼處理滯后等缺陷。為解決上述問題,本文深入研究Android應用程序及其系統(tǒng)架構,在常用靜態(tài)檢測技術基礎上,設計實現(xiàn)了一種基于完善信息流的Android源代碼安全檢測系統(tǒng)。本文系統(tǒng)相對于應用程序特征碼匹配檢測、文件簽名校驗檢測或者將PC端應用程序安全檢測技術直接應用于Android應用軟件安全檢測等方法,具有每小時百萬行代碼的高自動化掃描速率,檢測結果誤報率低于30%、漏報率低于35%的高準確度及快速解決新型惡意代碼檢測滯后問題等優(yōu)勢。本文主要內容如下:第一,總結OWASP MOBILE TOP 10中Android應用程序常見漏洞,對Android應用程序的常見漏洞、漏洞產生原因及主流靜態(tài)檢測技術工具等進行研究分析。第二,從Android應用程序源代碼靜態(tài)檢測的功能性和非功能性需求出發(fā),對系統(tǒng)進行設計,明確系統(tǒng)需要完成的功能,將系統(tǒng)分為代碼解析、控制流分析、數(shù)據(jù)流分析、規(guī)則庫設計與解析、應用程序惡意行為分析五大核心功能模塊。應用程序惡意行為分析模塊根據(jù)規(guī)則庫文件對代碼解析結果AST樹進行掃描,利用控制流分析和數(shù)據(jù)流分析得到的程序信息流對關鍵數(shù)據(jù)進行流分析,最后得到Android應用程序中存在的編碼漏洞缺陷。通過利用流程圖、圖表等對這五個核心功能模塊進行分析與設計,最終完成本文系統(tǒng)的設計工作。第三,根據(jù)系統(tǒng)的分析設計,利用Java語言、XML語言、開源工具ANTLR對本系統(tǒng)的代碼分析引擎模塊、規(guī)則管理模塊、報告管理模塊和Swing界面等進行編程實現(xiàn),其中代碼分析引擎是本系統(tǒng)最核心的功能模塊,由代碼解析、控制流分析、數(shù)據(jù)流分析、結構分析、安全分析調度和安全分析接口六大模塊組成,根據(jù)規(guī)則管理模塊提供的規(guī)則文件對應用程序源代碼進行自動解析檢測,將檢測結果交由報告管理模塊進行管理,進而本文完成系統(tǒng)全部的開發(fā)工作。利用本系統(tǒng)對多個開源Android應用程序源代碼進行掃描,分析本系統(tǒng)檢測結果的誤報率和漏報率,并將檢測結果與商業(yè)軟件HP Fortify SCA掃描結果進行對比分析,驗證本系統(tǒng)的可行性。第四,對本文研究成果進行總結,指出本文的缺陷和局限性,即本文設計的系統(tǒng)不像Fortify這樣的商業(yè)軟件擁有龐大的規(guī)則庫,另外如果本系統(tǒng)要擴展規(guī)則庫,需要進一步學習Android系統(tǒng)安全,應用程序安全、代碼缺陷、編碼規(guī)范等知識,進而明確下一步工作研究內容。
【圖文】：

邐２０１４邋年逡逑ａｓａl挘韌步鷸行膩義賢跡保插澹玻埃保玻玻埃保茨輳粒睿洌潁錚椋淦教ㄐ略齠褚獬絳蜓臼義希粒睿洌潁錚椋湎低扯褚餿砑饕褚廡形繽跡保乘荊溲現(xiàn)賾跋煊沒У惱ｅ義仙�。瓤r只韭砜刂樸沒е斬�，蒂Z亂行畔⒈壞�、督{磐ɑ氨患嗵勻〉紉義纖叫孤抖褚廡形�，走hΥ虻緇翱鄯選⒆遠傭褚饌究鄯選⒗⒍┕旱儒義隙褚飪鄯研形取ｅ義隙褚廡形壤義蠇摱褚飪鄯彥義稀鰹敵形義賢跡保沖澹粒睿洌潁錚椋湎低扯褚餿砑饕褚廡形義暇蒞⒗鏌貧踩玻埃保的甑詼徑缺ǜ媯郟常菹允荊�，Ａｎｄ}錚椋溴澹保陡鮒氐閾幸檔膩義希簦錚穡歟嫌τ茫保埃埃ゴ嬖諑┒捶縵�，範N新┒矗福擔保蹈觶驕坑τ煤┒矗擔掣觶義先讓龐τ寐┒匆躍芫衤┒次鰨急卻錚玻玻ィ繽跡保此荊唬福擔保蹈齜縵斟義下┒粗�，３２％属釉嵾危漏兜Aⅲ矗矗ナ粲謚形Ｂ┒矗臀Ｂ┒唇穌跡玻矗�，壤_跡保靛義纖

本文編號：2542299