CN102737190A - 基于静态分析的Android应用日志中信息泄漏隐患的检测方法 - Google Patents

Abstract

本发明属于程序信息安全检测技术领域，具体为一种基于静态分析的Android应用日志中信息泄漏隐患的检测方法。方法分为预处理阶段、私密信息识别、信息流传播阶段及日志记录点检测阶段。本发明设计了一种将传统静态信息流分析技术与新兴移动平台操作系统编程模型相结合的安全检测策略，该策略主要针对现有移动应用商城，用以离线检测现有移动应用中的信息安全隐患，以防范程序中的安全性风险，从而确保商城中的应用质量。

Description

基于静态分析的Android应用日志中信息泄漏隐患的检测方法

技术领域

本发明属于程序信息安全检测技术领域，具体涉及一种利用静态信息流分析技术检测Android应用程序中存在的日志记录隐患的方法。

背景技术

信息泄漏，又名隐私泄漏，指的是非法者在未经当事方授权的情况下，私自将当事方的私密信息进行泄露的一种行为。随着互联网技术的日益高速发展和移动设备运算能力的逐渐增强，下一代计算平台已逐步从传统桌面平台转向移动平台。手机等移动平台中常含有大量涉及用户隐私的重要信息，因此在用户使用第三方应用程序时，存在私密信息被应用程序窃取的风险，造成隐私泄漏。

在众多移动平台中，由Google设计的Android（安卓）智能手机操作系统以其出众的开放性受到广大用户和手机厂商的青睐。Android应用程序采用应用商城模式进行发布，开发者将开发好的应用程序提交给应用商城，用户通过应用商城获取经商城验证后的第三方应用。通过与应用商城模式相结合，Android目前拥有海量的应用程序。种类繁多的应用商城模式在丰富了广大用户的选择的同时，也给程序的安全性带了巨大的挑战。现有的众多Android应用商城在发布应用前缺少一个有效的应用程序检测流程，这在一定程度上增大了用户使用第三方应用程序的安全性风险。

Android现有日志系统存在泄漏用户隐私的安全性风险。日志系统是Google为Android专门设计的一个重要模块，主要用于应用开发过程中的代码调试和运行时的异常报告收集。出于安全性考虑，Android操作系统对现有日志系统赋予了一定的使用权限加以保护，但研究发现用户的私密信息可被应用程序写入日志系统，因此可能被拥有读写日志系统权限的第三方应用窃取，造成隐私泄漏。因此如何在种类繁多的拥有海量应用的应用商城中去验证其应用程序的安全性，从而确保用户的隐私信息的安全，这一挑战已然成为亟待解决的问题。

发明内容

本发明的目的在于提供一种安全检测方法，用以检测分析Android应用中的日志隐患，从而防范程序中可能存在的信息泄漏问题。

本发明提供的检测方法，主要解决如下几个问题：

1. 解析待检测的Android应用，获取当前应用中可能涉及的用户隐私信息源；

2. 对1中解析出的用户隐私信息进行信息流传播分析，以检测其在整个系统中的流向；

3. 在所有的日志写入点进行安全检测，以防范隐私信息写入日志系统。

本发明提供一种基于静态分析的Android应用日志中信息泄漏隐患的检测方法，具体步骤如下：

1.预处理阶段

为适应移动平台资源相对紧缺这一特性，Android专门设计了一套基于寄存器的字节码规范DEX。由于目前主流Java静态分析工具尚不支持DEX字节码，因而本发明在信息流分析之前，先要将应用程序的DEX字节码转化成传统Java字节码，随后对应用程序中的AndroidManifest文件进行解析，获取元信息，诸如申请权限等，以便应用于后续私密信息的识别。

2.私密信息识别阶段

不同于传统计算平台，移动平台上拥有用户众多隐私数据。若对每个应用都将系统中所有的隐私信息数据进行传播监测，其分析开销巨大。因此本发明需根据应用选取其相关隐私数据进行传播监测。结合Android权限模型，本发明制订了权限-操作映射表，以记录权限和隐私信息源的映射关系，通过获取应用申请的权限，再结合权限-操作映射表检测出应用能够访问的隐私信息源。权限-资源-操作映射表如下表1所示：

。 

3.信息流传播阶段

在信息流传播分析模块中，主要包含三个阶段：

1) 解析当前应用，分析应用代码，获取当前应用的函数调用图

在进行信息流分析之前，需要构建函数调用图来记录函数间的调用关系，用以辅助之后的传播过程。

由于Android应用程序基于组件进行开发，使得程序入口不再是传统Java程序中的Main函数而是各组件的入口。因此在构建函数调用图时，需要识别应用组件，将组件相应的入口作为函数调用图的入口进行构建操作。随后利用函数调用图进行信息流传播。

因此本发明通过识别当前分析应用中所使用的组件，根据图2选取相应的组件入口作为函数调用图的入口节点，之后从函数调用图入口开始解析所有函数调用语句，进行函数调用图构建，从而确保分析能够覆盖当前应用能够遍历到所有函数节点。

由于手机等移动终端设备与用户间拥有众多的用户交互事件，诸如触摸屏点击事件，键盘按键事件等；同时又因为Android自身独有的消息机制，使得本发明在设计时，还需要针对这一类事件添加对其相应的事件响应函数的代码分析，从而使代码覆盖率可以覆盖到所有用户交互事件以及系统消息机制。根据Android 编程模型以及消息机制，本发明所需识别应用组件入口如附图3所示。

2)  对已获取的用户隐私信息源按照一定的传播规则进行信息流传播

当构建完函数调用图后，本发明将从函数调用图入口开始，为函数调用图中的可到达函数逐一生成函数信息流图，根据生成语句的类型不同分别进行信息流传播分析。 

函数的信息流图是用来记录函数中变量节点间相互依赖关系的有向图。图中节点表示函数中的变量，边的指向方向记录着变量节点间的依赖关系，即信息流向关系，如a→b，表明变量b数据依赖于变量a，变量a中信息流向变量b。本发明从函数调用图的所有入口开始进行遍历，通过逐条分析各个函数的函数语句，对函数调用图中的可到达函数逐个生成函数信息流图。

本发明根据生成语句的类型不同分别进行信息流传播，传播规则如附图4所示，其中Ψ(x)表示变量x的依赖集(Depend Set)，即变量x在系统中数据依赖的变量集合。

由于静态分析无法获取程序运行时的相关信息，因此传统静态信息流分析无法对条件判断分支进行精确判断，所以本发明采取保守的信息流分析技术，不对条件判断语句进行特殊信息流处理。对于包含函数调用的语句，需要获得被调用者函数的函数信息流图，将其中的变量依赖关系合并到调用者的函数信息流图中。

在合并过程中，因为局部变量的生命周期只作用于当前函数体内，所以合并操作只针对被调用者函数中的逃逸变量。逃逸变量指的是能够在当前函数体外被引用或修改的变量，主要包括类的静态域变量、函数的参数变量和返回值。因此合并操作需要将被调用函数中的逃逸节点替换成当前函数上下文中相应的变量节点。逃逸节点替换算法如下：

i) 若节点为被调用者函数的参数节点，则需在调用者函数当前上下文中找到当前调用语句对应的实参节点进行替换。

ii) 若节点为被调用者函数的返回值节点，则需在调用者函数当前上下文中找到当前调用语句的等式左值进行替换。若不存在相应的等式左值，则无需替换。

iii) 若节点为类的静态域变量节点或为私密信息变量节点，则无需替换，保留当前节点即可。

合并操作根据替换后的节点添加生成新的依赖边，并将其加入到调用者函数的信息流图中。

3) 信息流图优化

当函数分析完成时，本发明对当前函数信息流图做两步优化以生成最终结果。

i) 指向(Points-to)优化

为了减少每次从函数信息流图查找节点后继时进行图的遍历操作，需对已生成的函数信息流图进行指向优化。对图中各个节点进行深度遍历，对其在图中可达的点添加边，表示当前节点指向目标节点。如附图5中(b)所示，虚线箭头为(a)中的信息流图经过指向优化后添加的依赖边。

ii) 精炼(Refine)优化

函数信息流图合并操作只针对逃逸变量节点和私密信息节点，因而可对函数信息流图进行精炼操作，将所有局部变量节点和相关的边从图中删除，只保留与逃逸变量节点和私密信息节点相关的边，如附图5中(c)所示，将(b)中经过指向优化后的信息流图中代表局部变量的斜线阴影节点从图中删去。

4.日志记录点检测阶段

本发明为每个函数生成信息流图时，还为每个函数生成相应泄漏点记录，以辅助日志记录点检测工作。泄漏点记录(Sink Record)是用来记录当前函数上下文中的所有流向日志记录点逃逸变量的集合。

当本发明在分析中间表达式语句时，若当前语句包含函数调用语句，则需按照如下算法进行日志记录点检测操作：

1) 当前函数调用语句为日志记录点函数调用

检查当前日志记录点函数所接受实参的依赖集中是否包含私密信息。若包含，则为一次信息泄露。同时若其依赖集中包含逃逸变量，则将逃逸变量同该日志记录点函数之间的映射关系加入当前函数的泄漏点记录中。

2) 当前函数调用语句为普通函数调用

获取被调用者函数的泄漏点记录，在当前函数上下文中对该泄漏点记录中的逃逸变量进行替换操作找到其在当前函数上下文中的对应节点，替换算法如信息流传播阶段中函数信息流图合并中所示。随后检测该对应节点在当前函数上下文中的依赖集中是否包含私密信息。若包含，则为一次信息泄露。同时若其依赖集中包含逃逸变量，则将该逃逸变量同此日志记录点函数之间的映射关系加入当前函数的泄漏点记录当中。

在分析过程中，若本发明检测到信息泄露的发生，会据此生成安全报告提示检测者本次风险。

本发明的有益效果是：本发明针对现有的主流的移动平台操作系统Android中的信息泄露安全性问题，设计并实现了一个将传统静态信息流分析结合了Android编程模型以及权限模型的静态检测方法，实现了对Android应用中可能存在的日志隐患进行检测防范的检测方法。

附图说明

图1：本发明检测方法整体示意图。

图2：Android应用组件入口表。

图3：Android用户交互事件入口列表。

图4：信息流传播规则。

图5：函数信息流图优化示意图。

图6：Jimple示例代码片段。

具体实施方式

下面将结合实施例和附图对发明作进一步详细说明。

本发明检测方法整体示意图如图1所示。

本发明设计并实现了上述的基于传统静态信息流分析的信息泄露安全检测技术，本节对该框架的具体实施作一个详细的介绍。

1、预处理阶段

本发明最终选取DED工具进行反编译DEX字节码转化的转化工作。DED是Enck等人设计的一套将DEX字节码转换成为传统Java字节码的转换工具。DED在将DEX字节码转换成为传统Java字节码时，存在一定的错误率，在DEX转化阶段，无法生成正确的Java字节码。然而目前所有的DEX转化工具都存在能被接受的错误率，且DED在目前所有DEX转化工具中成功率最高。因此本发明中DEX字节码转化模块最终采用DED转换工具实现。

2、私密信息识别阶段

本发明首先利用开源项目AXMLPrinter2将AndroidManifest.xml转换成为可读文本，随后根据Android编程模型对该可读文本进行解析，提取相应的权限信息。随后根据权限-操作映射表对highValueList进行初始化。highValueList即当前组件中可能访问的敏感信息源API列表，主要是在进行静态信息流分析，遇到函数调用时，用以判断当前函数API接口是否为敏感信息源。

3、信息流传播阶段

本发明最终选取Soot平台进行信息流传播。Soot是一款Java字节码的静态优化框架，是学术界常用来对Java字节码进行静态分析的重要工具。Soot一共提供了四类中间代码用以分析和优化Java程序。本发明最终采用了Jimple中间代码表达式来进行分析工作。Jimple是一种典型的基于表达式设计的三元式。

图6为一个示例函数的Jimple中间表达式示例。Jimpe中间表达式主要包含如下几种语句形式：

     （a）特殊赋值语句(IdentityStmt)：这类语句主要是用来初始化this指针以及参数变量的赋值语句，是整个函数的起始语句。如附录(b)中第3,4,5行语句就是分别对this指针以及Sum函数的两个形参进行了初始化赋值。

（b）赋值语句(AssignStmt)：这类语句是Jimple常见语句之一，主要是用来进行变量赋值，将等式右值赋给等式左值，右值可以为一个Jimple成员变量，如如附录(b)中第11行语句第6,10行语句，或者为基本算术运算，如附录(b)中第19行语句，也可以为一次函数调用，如表附录(b)中第8行语句，即将调用add函数后的返回值赋予了等值左值的变量i2。

（c）函数调用语句(InvokeStmt)：这类语句也是Jimple常见语句之一，主要是用来进行函数调用语句。如附录 (b)中第11行语句就是在sum函数中发起一个对add函数的函数调用。

（d）返回语句(ReturnStmt)：这类语句主要是用来将当前函数的返回值返回给调用者函数的调用语句，如附录 (b)中第12，20行语句。

（e）跳转语句(GotoStmt)：这类语句主要是用来实现出现条件跳转情况下的分支代码的实现。如附录(b)中第7,9行语句，该语句是用以实现sum函数中的if-else条件分支语句。

因此本发明根据前文所规定的信息流传播规则结合Jimple不同的语句形式，进行相应的信息流传播。

4、日志记录点检测阶段 

当信息流传播到达日志记录点时，需对该日志记录点进行安全性检查，以确保私密信息不会被写入到日志系统中。

因此当本发明在分析中间表达式语句时，若当前语句包含函数调用语句，则需要按照前文所描述算法进行信息泄漏点检测操作。

伪代码如下所示： 

。

Claims (3)

1.一种基于静态分析的Android应用日志中信息泄漏隐患的检测方法，其特征在于，具体步骤如下：

   （1）预处理阶段

将应用程序的DEX字节码转化成传统Java字节码，随后对应用程序中的AndroidManifest文件进行解析，获取元信息，以便应用于后续私密信息的识别；

   （2）私密信息识别阶段

结合Android权限模型，制定权限-操作映射表，以记录权限和隐私信息源的映射关系，通过获取应用申请的权限，再结合权限-操作映射表检测出应用能够访问的隐私信息源；

   （3）信息流传播阶段

识别应用组件，分别根据Android应用组件入口表和Android用户交互事件入口列表选取相应组件和相应事件相应的入口作为函数调用图的入口节点，之后从函数调用图入口开始解析所有函数调用语句，进行函数调用图构建；

构建完函数调用图后，从函数调用图入口开始，为函数调用图中的可到达函数逐一生成函数信息流图，根据生成语句的类型不同分别进行信息流传播分析；

函数分析完成时，对函数信息流图进行指向优化和合并优化；

   （4）日志记录点检测阶段

在分析中间表达式语句时，若当前语句包含函数调用语句，则按照以下算法进行日志记录点检测操作：

① 当前函数调用语句为日志记录点函数调用

检查当前日志记录点函数所接受实参的依赖集中是否包含私密信息, 若包含，则为一次信息泄露，同时若其依赖集中包含逃逸变量，则将逃逸变量同该日志记录点函数之间的映射关系加入当前函数的泄漏点记录中；

② 当前函数调用语句为普通函数调用

获取被调用者函数的泄漏点记录，在当前函数上下文中对该泄漏点记录中的逃逸变量进行替换操作找到其在当前函数上下文中的对应节点，替换算法如信息流传播阶段中函数信息流图合并中所示，随后检测该对应节点在当前函数上下文中的依赖集中是否包含私密信息；若包含，则为一次信息泄露。同时若其依赖集中包含逃逸变量，则将该逃逸变量同此日志记录点函数之间的映射关系加入当前函数的泄漏点记录当中。

2.根据权利要求1所述的信息泄漏隐患的检测方法，其特征在于：步骤（2）中所述权限-操作映射表如下表所示：

。

3.根据权利要求1所述的信息泄漏隐患的检测方法，其特征在于： 步骤（3）中所述信息流传播阶段，对于包含函数调用的语句，需要获得被调用者函数的函数信息流图，将其中的变量依赖关系合并到调用者的函数信息流图中；合并过程中，合并操作针对被调用者函数中的逃逸变量，将被调用函数中的逃逸节点替换成当前函数上下文中相应的变量节点；逃逸节点替换算法如下：

① 若节点为被调用者函数的参数节点，则需在调用者函数当前上下文中找到当前调用语句对应的实参节点进行替换；

② 若节点为被调用者函数的返回值节点，则需在调用者函数当前上下文中找到当前调用语句的等式左值进行替换。若不存在相应的等式左值，则无需替换；

③ 若节点为类的静态域变量节点或为私密信息变量节点，则无需替换，保留当前节点即可。

Images