基于Android组件的应用程序脆弱性分析

作     者：黄振鹏 

作者单位：北京邮电大学 

学位级别：硕士

导师姓名：牛少彰

授予年度：2016年

学科分类：0839[工学-网络空间安全] 08[工学] 0835[工学-软件工程] 081201[工学-计算机系统结构] 081202[工学-计算机软件与理论] 0812[工学-计算机科学与技术（可授工学、理学学位）] 

主      题：Android 组件调用 钓鱼劫持 组件劫持 

摘      要：随着智能手机市场的蓬勃发展,Android操作系统作为目前全球最流行的智能手机操作系统越来越深入的参与到人们的生活之中,在社交、通讯、理财、工作等各个方面扮演着越来越重要的角色。然而,在给人们带来便利的同时Android系统和应用中存在的漏洞给人们带来的安全威胁也日益加剧。本文首先对Android系统和组件机制进行深入研究,分析出Android应用中存在的组件相关的脆弱性,并提取出脆弱性相关的漏洞特征。最后基于漏洞特征设计并实现了对Android 应用组件相关漏洞的检测系统,并利用该系统对Android实际应用进行了脆弱性分析。本文具体研究成果如下所述:1.对Android组件机制进行了系统的研究,总结出由于组件机制存在的缺陷而导致的各种漏洞及其危害,然后重点分析Activity钓鱼劫持、组件劫持、ContentProvider SQL注入漏洞及Intent隐式调用导致的钓鱼劫持漏洞,并对漏洞进行了特征提取。2.基于提取的漏洞特征,设计并实现了针对组件相关漏洞的检测系统,通过合理的利用污点追踪技术和动静结合的检测技术,提高对Android组件相关漏洞检测的准确性。利用实际应用对该系统进行测试,验证了其具有良好的稳定性,和已有检测系统相比拥有更高的准确性。3.为了分析组件相关漏洞在实际应用中的存在情况,本文从Android市场抓取了大量流行应用进行检测分析。检测结果表明,当前应用普遍存在组件相关漏洞,在500个应用中442个应用存在组件相关漏洞,占被测应用总数的88.4%。最后根据检测结果,本文为开发者提供了漏洞的修复建议。