检索结果-南通市图书馆

在线全文

学校读者我要写书评

暂无评论

大规模移动应用第三方库自动检测和分类方法

软件学报 2017年第6期28卷 1373-1388页

作者：王浩宇郭耀马子昂陈向群智能通信软件与多媒体北京市重点实验室(北京邮电大学计算机学院) 北京100876 高可信软件技术教育部重点实验室(北京大学) 北京100871 北京大学信息科学技术学院软件研究所北京100871

移动应用中,广泛使用第三方库来帮助开发和增强应用功能.很多关于移动应用分析以及访问控制的研究工作,需要在分析之前对第三方库进行检测、过滤或者对其进行功能分类.当前,大部分研究工作都以使用白名单的方式来检测第三方库或者对其... 详细信息

移动应用中,广泛使用第三方库来帮助开发和增强应用功能.很多关于移动应用分析以及访问控制的研究工作,需要在分析之前对第三方库进行检测、过滤或者对其进行功能分类.当前,大部分研究工作都以使用白名单的方式来检测第三方库或者对其功能进行分类.然而,通过白名单检测第三方库不完善且不准确,其原因包括:(1)第三方库的种类和数量很大;(2)常见的代码混淆或者第三方库伪装等技术使得白名单方法不能准确地识别第三方库.提出一种第三方库自动检测和分类方法,包括基于多级聚类技术准确识别第三方库以及基于机器学习对第三方库的功能进行准确分类.实验对超过130 000个Android应用进行分析,验证所提出方法的有效性.实验总共检测到4 916个不同的第三方库.在人工标记的数据集上,通过十折交叉验证,对第三方库分类的准确率达到84.28%.将训练好的分类器应用于全部4 916个检测到的第三方库,人工进行抽样验证的准确率达到75%.

关键词： Android 第三方库广告库移动应用机器学习

LibPass:基于包结构和签名的第三方库检测方法

在线全文

学校读者我要写书评

暂无评论

软件学报 2024年第6期35卷 2880-2902页

作者：徐建袁倩婷南京理工大学计算机科学与工程学院江苏南京210094

第三方库检测是Android应用安全分析领域的上游任务,其检测精度对于恶意应用检测、重打包检测、隐私泄露等下游任务有显著影响.为了提升检测精度和效率,采用相似性比较的思想,提出一种基于包结构和签名的第三方库检测方法,命名为***以... 详细信息

第三方库检测是Android应用安全分析领域的上游任务,其检测精度对于恶意应用检测、重打包检测、隐私泄露等下游任务有显著影响.为了提升检测精度和效率,采用相似性比较的思想,提出一种基于包结构和签名的第三方库检测方法,命名为***以流水线式模式组合主模块识别、第三方库候选识别和细粒度检测等3个组件.主模块识别方法区分主程序二进制代码与引入的第三方库二进制代码,旨在提升方法检测效率.在此基础上,提出由第三方库候选识别和细粒度检测构成的两阶段检测方法.前者利用包结构特征的稳定性来应对应用程序的混淆行为以提升混淆情形下的检测精度,并利用包结构签名完成快速比对以识别候选第三方库,达到显著降低成对比较次数、提升检测效率的目的;后者在前者涮选出的候选中,通过更细粒度但代价更高的相似性分析精确地识别第三方库及其对应的版本.为了验证方法的性能和效率,构建3个评估不同检测能力的基准数据集,在这些基准数据集上开展实验验证,从检测性能、检测效率和抗混淆性等方面对实验结果进行深入分析,结果表明LibPass具备较高的检测精度,检测效率,以及应对多种常用混淆操作的能力.

关键词：第三方库代码混淆安全分析签名

在线全文

学校读者我要写书评

暂无评论

基于联邦学习的第三方库流量识别

信息安全学报 2023年第3期8卷 128-145页

作者：崔华俊孟国柱李玥琦张棪代玥玥杨慧然朱大立王伟平中国科学院信息工程研究所北京100093 中国科学院大学网络空间安全学院北京100049 华中科技大学网络空间安全学院湖北430074

第三方库(Third-party Library, TPL)已经成为移动应用开发的重要组成部分,开发者通常在应用中集成TPL以实现诸如广告、消息推送、移动支付等特定功能,从而提高开发效率并降低研发成本。然而,由于TPL与其所在的移动应用(宿主应用)共享... 详细信息

第三方库(Third-party Library, TPL)已经成为移动应用开发的重要组成部分,开发者通常在应用中集成TPL以实现诸如广告、消息推送、移动支付等特定功能,从而提高开发效率并降低研发成本。然而,由于TPL与其所在的移动应用(宿主应用)共享相同的系统权限,且开发者对TPL自身的安全隐患缺乏了解,导致近年来由TPL引起的安全问题频发,给公众造成了严重的信息与隐私安全困扰。TPL的流量识别对于精细化流量管理与安全威胁检测具有重要意义,是支撑对宿主应用与TPL之间进行安全责任判定的重要能力,同时也是促进TPL安全合规发展的重要检测方法。然而目前关于TPL的研究主要集中于TPL检测、TPL引起的隐私泄漏问题等,关于TPL流量识别的研究十分少见。为此,本文提出并实现了一种用于TPL流量识别的框架——LibCapture,该框架首先基于动态插桩技术与TPL检测技术设计了自动生成TPL加密流量数据集的方法。其次,针对隐私保护以及数据共享的问题,构建了基于卷积神经网络的联邦学习模型,用于识别TPL流量。最后,通过对2327个真实应用的流量测试证明了本文所提框架具有较高的流量识别准确率。此外,本文分析了联邦学习参与方本地样本数据差异性给全局模型聚合带来的具体影响,指出了不同场景下的进一步研究方向。

关键词：加密流量识别第三方库联邦学习动态插桩

一种面向移动应用开发的第三方库混合推荐方法

在线全文

学校读者我要写书评

暂无评论

小型微型计算机系统 2019年第9期40卷 1809-1814页

作者：任其李兵王健赵玉琦熊燚铭武汉大学计算机学院武汉430072 武汉大学复杂网络研究中心武汉430072

随着智能手机的普及,移动应用的数量和使用人群都在飞速的增长.日益增长的用户群为移动应用的开发提出了更高的要求,如何帮助开发者更好更快的完成移动应用的开发成为一个关键问题.在移动应用开发过程中,重用已有的第三方库可以有效的... 详细信息

随着智能手机的普及,移动应用的数量和使用人群都在飞速的增长.日益增长的用户群为移动应用的开发提出了更高的要求,如何帮助开发者更好更快的完成移动应用的开发成为一个关键问题.在移动应用开发过程中,重用已有的第三方库可以有效的帮助开发者减低开发时间与开发成本.然而,可用的第三方库数量繁多且功能各异,这为开发者选择合适的第三方库提出了挑战.本文从第三方库重用这个角度出发,提出了一种第三方库的混合推荐技术,旨在帮助开发者在移动应用开发过程中快速推荐合适的第三方库,从而改进其开发效率.在推荐过程中,使用贝叶斯定理将基于用户的协同过滤方法与基于内容的TF-IDF方法融合来实现推荐任务.在实验环节,我们爬取了5000多个移动应用的描述信息及其第三方库的调用信息.基于这些数据开展的实验结果证明了所提方法的有效性.

关键词：第三方库移动应用混合推荐贝叶斯定理

在线全文

学校读者我要写书评

暂无评论

异质环境下第三方库漏洞触发代码重构研究

计算机科学 2023年第4期50卷 277-287页

作者：宋文凯游伟梁彬黄建军石文昌中国人民大学信息学院北京100872

第三方库中的漏洞被大量传播到宿主应用(即引用了第三方库的软件)中去,而宿主应用的开发者通常不能及时地修复这些漏洞,容易引发安全问题。为了深度探究第三方库漏洞对宿主应用的影响,如何有效地验证传播到宿主应用中的漏洞是否仍可触... 详细信息

第三方库中的漏洞被大量传播到宿主应用(即引用了第三方库的软件)中去,而宿主应用的开发者通常不能及时地修复这些漏洞,容易引发安全问题。为了深度探究第三方库漏洞对宿主应用的影响,如何有效地验证传播到宿主应用中的漏洞是否仍可触发显得尤为重要。最新的研究工作应用污点分析技术和符号执行技术重构第三方库的漏洞触发代码,使其适用于宿主应用并验证漏洞的可触发性。然而第三方库测试环境与宿主应用的真实环境通常存在差异(即互为异质环境),使得通过上述方法重构的漏洞触发代码仍难以适用于宿主应用。为解决上述问题,提出了一种在异质环境下进行漏洞触发代码重构的方法,具体可以分为4个步骤:首先分别提取以原始漏洞触发代码为输入时第三方库测试环境和宿主应用环境中的代码执行轨迹;随后对执行轨迹进行分析对比,识别出路径差异点;然后,对路径差异点处的代码进行分析测试,识别出导致差异的关键变量;最后,定位漏洞触发代码中能够影响到关键变量状态的关键输入域,通过对关键输入域进行变异,尝试修改关键变量的状态并对齐差异路径,最终引导宿主应用的执行流到达漏洞代码处,验证漏洞的可触发性。在11个真实世界的漏洞触发代码上进行实验,结果表明,所提方法能够在异质环境下成功验证传播后的漏洞在宿主应用中的可触发性。

关键词：漏洞触发代码第三方库异质环境重构

在线全文

学校读者我要写书评

暂无评论

Java第三方库依赖冲突自动化修复框架

小型微型计算机系统 2024年

作者：毛祥煜施游堃张源复旦大学计算机科学技术学院

现代Java项目通常依赖于数量庞大的开源第三方库，导致依赖冲突问题频繁出现，影响项目稳定性.由于依赖冲突问题成因复杂，人工修复成本极高，但现有工作仅能为开发者提供有限的依赖冲突修复建议，且存在策略单一的缺陷，在面对复杂的... 详细信息

现代Java项目通常依赖于数量庞大的开源第三方库，导致依赖冲突问题频繁出现，影响项目稳定性.由于依赖冲突问题成因复杂，人工修复成本极高，但现有工作仅能为开发者提供有限的依赖冲突修复建议，且存在策略单一的缺陷，在面对复杂的项目依赖关系时难以降低修复成本.对此，本文实现了一个基于多样化修复策略的Java第三方库依赖冲突自动化修复框架DCSolver，利用新增与移除依赖关系边等多种操作灵活调整项目依赖结构，构建依赖冲突问题的修复方案，并完成自动化部署.实验结果表明，DCSolver能够高效地帮助开发者修复依赖冲突问题，同时保证项目兼容性与修复方案的轻量性.

关键词： Java 第三方库依赖管理依赖冲突兼容性分析

一种面向Android应用第三方库的安全性分析框架

在线全文

同方期刊数据库

学校读者我要写书评

暂无评论

计算机应用研究 2018年第8期35卷 2417-2420页

作者：周敏周安民贾鹏四川大学电子信息学院成都610065

针对目前Android应用第三方库增大了应用程序攻击面的现状,随机选取国内5大知名官方市场上的305个应用进行了安全性分析研究,设计了Android第三方库安全性分析系统。该系统先进行第三方库的检测,细粒度识别出Android应用中的第三方库,... 详细信息

针对目前Android应用第三方库增大了应用程序攻击面的现状,随机选取国内5大知名官方市场上的305个应用进行了安全性分析研究,设计了Android第三方库安全性分析系统。该系统先进行第三方库的检测,细粒度识别出Android应用中的第三方库,再通过逆向工程技术静态分析apk文件,同时在Android模拟器中安装运行apk并监控其相关行为,从而检测出第三方库带来的安全威胁。分析结果显示,相对于当下的移动漏洞扫描平台不能很好对地第三方库进行安全检测的不足,该系统能够有效地检测应用中第三方库的漏洞,具有一定的实用性。

关键词：安卓第三方库安全威胁漏洞检测逆向工程

在线全文

学校读者我要写书评

暂无评论

基于用户态沙箱的移动应用第三方库隔离

基于用户态沙箱的移动应用第三方库隔离

作者：朱孝南西安电子科技大学

学位级别：硕士

随着Android设备的流行,Android平台上出现了大量的免费应用。为了降低开发成本,从广告系统获取收益,免费应用的开发者经常使用已有的第三方库来实现应用的功能。然而,最近几年的研究表明,移动应用中的第三方库在方便了开发者的同时,也... 详细信息

随着Android设备的流行,Android平台上出现了大量的免费应用。为了降低开发成本,从广告系统获取收益,免费应用的开发者经常使用已有的第三方库来实现应用的功能。然而,最近几年的研究表明,移动应用中的第三方库在方便了开发者的同时,也带来了巨大的安全隐患。一方面,由于第三方库代码不开源,且在运行过程中可以动态加载代码,它们的行为很难衡量;另一方面,目前的Android权限模型不能对第三方库和宿主应用的权限分开进行细粒度的管理管理。所以,恶意的第三方库可以滥用宿主应用的权限,在用户和开发者不知情的情况下,窃取用户的隐私数据。为此,本文设计并实现了一种基于用户态沙箱的移动应用第三方库隔离方案。这种方案能够隔离第三方库及其动态加载的代码,让它们运行在一个用户态的沙箱中,所有与用户隐私数据相关的操作都需要在开发者的控制下进行,第三方库将不能再随意访问用户和宿主应用的隐私数据。这种方案既不需要修改已有的Android框架层源代码,也不需要ROOT权限,因此,它比以往的系统级解决方案更加容易部署和使用。基于用户态沙箱的移动应用第三方库隔离方案主要包含两个组成部分,分别是第三方库改写模块和动态加载代码改写模块,被用来隔离第三方库自身代码和第三方库在运行过程中可能动态加载的代码。第三方库改写模块主要通过Java字节码改写的技术实现,它能够对第三方库中的Java字节码进行分析,根据开发者的要求改写其中隐私敏感的代码。动态加载代码改写模块主要通过Smali代码改写的技术实现,它被部署在一个远程服务器上,可以实时接收第三方库动态加载的代码,分析并改写其中与用户隐私数据访问相关的代码。改写后的第三方库及其动态加载的代码只能运行在用户态的沙箱中,它们的权限受到了很好的控制。本文基于Android 6.0版本实现了原型系统,并对其进行了详细的功能和性能测试。首先,论文选取国内外40个流行第三方库进行了实体第三方库的测试;然后,论文模拟恶意第三方库对系统进行了完整覆盖性的攻击测试。测试结果表明,该系统能够有效隔离第三方库自身及其动态加载的代码,保护用户和宿主应用的隐私数据。同时,系统引入的性能损耗基本可以忽略不计。

关键词：移动安全第三方库用户态沙箱权限隔离

Android应用程序中第三方库访问权限控制方法的研究

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

Android应用程序中第三方库访问权限控制方法的研究

作者：胡静南京大学

学位级别：硕士

移动设备可满足人们各种日常应用需求,已被广泛使用。Android以其开放性优势,受到了应用开发者和消费者的青睐。同时,Android设备安全问题频频发生。应用软件的安全问题受到普遍关注,第三方库的引入加剧了应用软件的安全问题。这是由于... 详细信息

移动设备可满足人们各种日常应用需求,已被广泛使用。Android以其开放性优势,受到了应用开发者和消费者的青睐。同时,Android设备安全问题频频发生。应用软件的安全问题受到普遍关注,第三方库的引入加剧了应用软件的安全问题。这是由于第三方库与应用程序宿主模块具有相同的访问权限,使得Android原生系统的安全机制无法对应用软件内第三方库的非法访问行为进行控制。对于第三方库访问权限控制,目前主要有两种方案:扩展Android原生系统安全机制或重构应用程序。但是,现有工作存在第三方库访问权限控制策略不便部署、第三方库访问权限控制策略不够完善等问题。因此,本文提出面向开发者的第三方库访问权限控制方法。在应用软件开发过程中部署第三方库访问权限控制策略,以避免修改Android系统和APK文件。通过对设备敏感资源访问方式的分析,进一步完善了第三方库访问权限控制策略。本文研究工作如下:(1)分析、总结了关于第三方库访问权限控制相关工作的思路和问题。通过扩展Android原生系统安全机制会加剧Android碎片化问题,重构APK文件会破坏原APK文件签名信息,导致这两种解决方法都存在访问控制策略不便部署的问题。并且,相关研究工作的第三方库访问控制策略不够完善。(2)提出一种面向开发者的第三方库访问权限控制策略部署方案。应用程序开发阶段,由开发者根据第三方库说明文档和程序功能分配其合理的访问权限;根据开发者对第三方库访问权限的设定,对第三方库中系统API调用的安全性进行分析,并记录第三方库中存在安全威胁的敏感资源访问行为;根据第三方库中系统API调用分析结果,完成第三方库代码重构:对存在安全问题的系统API调用进行替换或插桩。经过代码重构,完成第三方库访问权限控制策略的部署,使得第三方库对敏感资源访问行为符合访问控制策略。此外,通过对设备敏感资源访问方式的分析、归纳,进一步完善了第三方库访问权限控制策略。(3)基于所提方案,实现了一个第三方库访问权限控制策略部署工具原型TLCTOOL。理论分析和实验结果表明,所提方案可方便部署访问权限控制策略,对第三方库实施有效的访问权限控制,而且,访问权限控制模块的运行时开销很小,对于用户体验来说可忽略不计。

关键词： Android应用软件第三方库隐私泄露访问权限控制