CN103793650A - Android应用程序的静态分析方法及装置 - Google Patents

Abstract

本发明提供一种Android应用程序静态分析方法及装置，涉及安全检测技术领域。该方法包含：S1、解压待测应用程序，得到Smali文件；S2、遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；S3、根据所述恶意行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；S4、求取所述待测应用程序的恶意度量值；S5、将所述恶意程序度量值与预设的恶意程度指标进行匹配，得到所述待测应用程序的风险等级。本发明通过对行为进行分析及组合规则综合判断，能够减少对Android应用程序的进行病毒检测的误判率。

Description

Android应用程序的静态分析方法及装置

技术领域

本发明涉及安全检测技术领域，具体涉及一种Android应用程序的静态分析方法及装置。

背景技术

目前Android应用程序检测方法的研究很多，常见的检测工具包括：DroidRange，TaintDroid，AppInspector等，所采用的技术通常为基于特征码静态检测技术和动态检测技术。基于病毒特征码静态检测技术是在病毒运行之前执行的，对病毒程序文件进行检测，若发现病毒特征则判定其为病毒；此外，还有将病毒扫描的特征码技术与启发式技术相结合，根据病毒防范经验定义预扫描操作，把病毒特征库划分为一些特定分类，然后将病毒先进行分类再进行特征码扫描，从而提升病毒扫描效率，或在特征码扫描法基础上引入了BP神经网络技术，先将病毒切割成字节碎片再进行模式学习。动态检测技术是通过动态实时监控应用程序的执行及其与外部环境的交互进行检测。是在病毒运行过程中执行的，对病毒在运行过程中的各种行为进行监测，若发现与病毒特征相符则判定其为病毒。

然而，基于病毒特征码静态检测技术需要依赖于持续更新的病毒特征库，根据已知的特征码对病毒进行检测，基于病毒特征码静态检测技术的这个特点决定了该技术的滞后性，无法对未知病毒进行检测，对于当前手机病毒的快速增长无法进行有效遏制。另一方面，病毒为了应对特征码扫描，已经出现了加壳技术和多态变形技术等手段。这使得对于特征码的扫描难度越来越高。当前主流的手机病毒是一个包含客户端和服务端的病毒，只有在服务端下发命令时它才呈现出病毒特征，与传统病毒固定、静态的特征不同，手机病毒是动态可变的，因此基于动态检测技术的检测方法也无法有效发现与确认手机病毒的攻击行为。

因此，寻找一种更及时、有效的针对Android应用程序的病毒检测方法是当前急需要解决的问题。

发明内容

（一）解决的技术问题

针对现有技术的不足，本发明提供一种Android应用程序的静态分析方法，能够减少对Android应用程序的进行病毒检测的误判率。

（二）技术方案

为实现以上目的，本发明通过以下技术方案予以实现：

本发明提供了一种Android应用程序的静态分析方法，包含以下步骤:

S1、解压待测应用程序，提取Classes.dex文件，并对Classes.dex文件进行反编译，得到Smali文件；

S2、遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；

S3、解析所述源码信息，构建恶意行为判断引擎；根据所述恶意行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；

S4、依据所述预定义恶意行为库分别得到所述恶意行为API所占权重；依据所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值；

S5、将所述恶意程序度量值与预设的恶意程度指标进行匹配，得到所述待测应用程序的风险等级。

优选的，步骤S2中构建所述源码信息的控制流图和数据流图的方法为：

S21、对所述Smali文件进行词法和语法解析，输出树结构组织的抽象语法树；

S22、以所述抽象语法树为基础，构造自定义的“中间结构”，将生成的所述抽象语法树中字符串表示的信息映射成“中间结构”中的程序元素；

S23、以“中间结构”中的程序元素为分析对象，分别进行程序关键数据和程序关系识别分析，建立控制流图和数据流图。

优选的，步骤S3中进一步包括步骤：构建用户行为判断引擎，根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，找出与用户行为触发相关联的恶意行为API，并将该恶意行为API附带用户行为标记。

优选的，步骤S4中计算所述待测应用程序的恶意度量值的表达式为：

n表示检测出的恶意行为API的数量；

式中，B表示所述待测应用程序的恶意度量值；a_i表示检测出的第i个恶意行为API在所述预定义恶意行为库中所占的权重；当检测出的第i个恶意行为API所述恶意行为API附带用户行为标记时，r_i取值0.25，否则取值为1。

本发明还提供了一种Android应用程序的静态分析装置，包含以下部分：

反编译模块，用于解压待测应用程序，提取Classes.dex文件，并对Classes.dex文件进行反编译，得到Smali文件；

源代码语法解析模块，用于遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；

恶意行为API分析模块，用于解析所述源码信息，构建恶意行为判断引擎；根据所述恶意行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；

综合判断模块，依据所述预定义恶意行为库分别得到所述恶意行为API所占权重；依据所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值；

风险等级评估模块，用于将所述恶意程序度量值与预设的恶意程度指标进行匹配，得到所述待测应用程序的风险等级。

优选的，所述恶意行为API分析模块进一步包括用户行为API分析模块，用于构建用户行为判断引擎，根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，找出与用户行为触发相关联的恶意行为API，并将该恶意行为API附带用户行为标记。

优选的，所述综合判断模块中计算所述待测应用程序的恶意度量值的表达式为：n表示检测出的恶意行为API的数量；

式中，B表示所述待测应用程序的恶意度量值；a_i表示检测出的第i个恶意行为API在所述预定义恶意行为库中所占的权重；当检测出的第i个恶意行为API所述恶意行为API附带用户行为标记时，r_i取值0.25，否则取值为1。

（三）有益效果

本发明提供一种Android应用程序的静态分析方法及装置，通过对应用程序的反编译，依源码信息和预定义恶意行为库检测待测应用程序的中的恶意行为API，通过所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值，进而得到所述待测应用程序的风险等级。本发明通过对恶意行为进行判别分析，并进一步对用户行为进行判别分析，可以降低将由用户触发的恶意API所导致误判的风险，大大减小误判的概率。本发明通过组合规则综合判断的方法，进一步减小了误判的可能。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例的一种Android应用程序静态分析方法的流程示意图；

图2为本发明实施例的一种Android应用程序静态分析装置的结构示意图；

图3为本发明实施例的源代码语法解析流程。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

根据同类型手机病毒都具有相同的恶意行为，这些行为会通过调用相同的系统函数来实现，通过对病毒调用系统函数的行为进行分析与检测，可以有效检测出病毒。基于这个特点，本发明实施例提出了一种基于行为分析的Android应用程序静态分析方法及装置,通过静态分析Android应用程序,跟踪应用程序对恶意行为API、用户行为API的使用,检测应用程序中存在的耗钱行为、隐私窃取行为、破坏行为、广告行为、后门行为。

如表1所示，为目前恶意行为及相应特征：

表1

实施例1：

如图1所示，本发明实施例提供了一种Android应用程序的静态分析方法，包含以下步骤:

S1、解压待测应用程序，提取Classes.dex文件，并对Classes.dex文件进行反编译，得到Smali文件；

S2、遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；

S3、解析所述源码信息，构建恶意行为判断引擎；根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库（如表二所示）中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；

S4、依据所述预定义恶意行为库分别得到所述恶意行为API所占权重；依据所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值；

S5、将所述恶意程序度量值与预设的恶意程度指标（如表三所示）进行匹配，得到所述待测应用程序的风险等级。

本发明通过对应用程序的反编译，依源码信息和预定义恶意行为库检测待测应用程序的中的恶意行为API，通过所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值，进而得到所述待测应用程序的风险等级。本发明能够及时、有效的对Android应用程序的进行病毒检测，提高了误判率。

建立预定义恶意行为库的方式为：基于层次分析法对恶意软件进行综合判断，次结构一般由目标层、若干准则层及方案层等组成，其中目标是对软件的恶意程度做出度量，准则层分成两级B层和C层，方案层是待检测Android软件，具体如表二所示。

表二

如，基于层次分析法的原理计算C层个因素,及各规则的权重:

A＝{0.0046，0.0139，0.0324，0.0139，0.0139，0.0046，0.0174，0.0035，0.0174，0.0035，0.0972，0.0139，0.0139，0.1250，0.0417，0.0278，0.1389，0.1705，0.1705，0.0341，0.0022，0.0022，0.0022，0.0022，0.0022，0.0022，0.0066，0.0154，0.0066}

下面对本发明进行详细的说明：

进一步的，如图3所示，步骤S2中构建所述源码信息的控制流图和数据流图的方法为：

S21、对所述Smali文件进行词法和语法解析，输出树结构组织的抽象语法树；

S22、以所述抽象语法树为基础，构造自定义的“中间结构”，将生成的所述抽象语法树中字符串表示的信息映射成“中间结构”中的程序元素；

S23、以“中间结构”中的程序元素为分析对象，分别进行程序关键数据和程序关系识别分析，建立控制流图和数据流图。

步骤S3中进一步包括步骤：构建用户行为判断引擎，根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，控制流图表示的是源代码所有的可能执行路径,利用用户行为判断引擎遍历所述控制流图中恶意API所在的可能执行路径，如果在上述可能路径中检测到预定义恶意行为库中的规则，则将恶意行为API附带用户行为标记。

进一步的，步骤S4中计算所述待测应用程序的恶意度量值的表达式为：

n表示检测出的恶意行为API的数量；

式中，B表示所述待测应用程序的恶意度量值；a_i表示检测出的第i个恶意行为API在所述预定义恶意行为库中所占的权重；当检测出的第i个恶意行为API所述恶意行为API附带用户行为标记时，r_i取值0.25，否则取值为1。r_i表达式为：

预设的恶意程度指标如表三所示：

表三

B

[0,0.1]

(0.1,0.25]

(0.25,1.0]

恶意程度分级

低级风险

中级风险

高级风险

经大规模的实验表明,该方法可以及时、有效检测出应用程序当中存在的恶意行为,具有较高的实用价值。

实施例2：

如图2所示，本发明还提供了一种Android应用程序静态分析装置，包含以下部分：

反编译模块，用于解压待测应用程序，提取Classes.dex文件，并对Classes.dex文件进行反编译，得到Smali文件；

源代码语法解析模块，用于遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；

恶意行为API分析模块，用于解析所述源码信息，构建恶意行为判断引擎；根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；

综合判断模块，依据所述预定义恶意行为库分别得到所述恶意行为API所占权重；依据所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值；

风险等级评估模块，用于将所述恶意程序度量值与预设的恶意程度指标进行匹配，得到所述待测应用程序的风险等级。

进一步的，所述恶意行为API分析模块进一步包括用户行为API分析模块，用于构建用户行为判断引擎，根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，找出与用户行为触发相关联的恶意行为API，并将该恶意行为API附带用户行为标记。

进一步的，所述综合判断模块中计算所述待测应用程序的恶意度量值的表达式为：

n表示检测出的恶意行为API的数量；

式中，B表示所述待测应用程序的恶意度量值；a_i表示检测出的第i个恶意行为API在所述预定义恶意行为库中所占的权重；当检测出的第i个恶意行为API所述恶意行为API附带用户行为标记时，r_i取值0.25，否则取值为1。

需要说明的是，在本文中术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (7)

1.一种Android应用程序的静态分析方法，其特征在于，包含以下步骤:

S1、解压待测应用程序，提取Classes.dex文件，并对Classes.dex文件进行反编译，得到Smali文件；

S2、遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；

S3、解析所述源码信息，构建恶意行为判断引擎；根据所述恶意行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；

S4、依据所述预定义恶意行为库分别得到所述恶意行为API所占权重；依据所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值；

S5、将所述恶意程序度量值与预设的恶意程度指标进行匹配，得到所述待测应用程序的风险等级。

2.如权利要求1所述的静态分析方法，其特征在于，步骤S2中构建所述源码信息的控制流图和数据流图的方法为：

S21、对所述Smali文件进行词法和语法解析，输出树结构组织的抽象语法树；

S22、以所述抽象语法树为基础，构造自定义的“中间结构”，将生成的所述抽象语法树中字符串表示的信息映射成“中间结构”中的程序元素；

S23、以“中间结构”中的程序元素为分析对象，分别进行程序关键数据和程序关系识别分析，建立控制流图和数据流图。

3.如权利要求1所述的静态分析方法，其特征在于，步骤S3中进一步包括步骤：构建用户行为判断引擎，根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，找出与用户行为触发相关联的恶意行为API，并将该恶意行为API附带用户行为标记。

4.如权利要求3所述的静态分析方法，其特征在于，步骤S4中计算所述待测应用程序的恶意度量值的表达式为：

n表示检测出的恶意行为API的数量；

式中，B表示所述待测应用程序的恶意度量值；a_i表示检测出的第i个恶意行为API在所述预定义恶意行为库中所占的权重；当检测出的第i个恶意行为API所述恶意行为API附带用户行为标记时，r_i取值0.25，否则取值为1。

5.一种Android应用程序的静态分析装置，其特征在于，包含以下部分：

反编译模块，用于解压待测应用程序，提取Classes.dex文件，并对Classes.dex文件进行反编译，得到Smali文件；

源代码语法解析模块，用于遍历所述Smali文件，获取源码信息，并构建所述源码信息的控制流图和数据流图；

恶意行为API分析模块，用于解析所述源码信息，构建恶意行为判断引擎；根据所述恶意行为判断引擎遍历所述控制流图及所述数据流图，将应用程序的API与预定义恶意行为库中的API分别进行匹配，将匹配成功的应用程序的API标记为恶意行为API；

综合判断模块，依据所述预定义恶意行为库分别得到所述恶意行为API所占权重；依据所述恶意行为API所占权重，求取所述待测应用程序的恶意度量值；

风险等级评估模块，用于将所述恶意程序度量值与预设的恶意程度指标进行匹配，得到所述待测应用程序的风险等级。

6.如权利要求5所述的静态分析装置，其特征在于，所述恶意行为API分析模块进一步包括用户行为API分析模块，用于构建用户行为判断引擎，根据所述用户行为判断引擎遍历所述控制流图及所述数据流图，找出与用户行为触发相关联的恶意行为API，并将该恶意行为API附带用户行为标记。

7.如权利要求5所述的静态分析装置，其特征在于，所述综合判断模块中计算所述待测应用程序的恶意度量值的表达式为：n表示检测出的恶意行为API的数量；

式中，B表示所述待测应用程序的恶意度量值；a_i表示检测出的第i个恶意行为API在所述预定义恶意行为库中所占的权重；当检测出的第i个恶意行为API所述恶意行为API附带用户行为标记时，r_i取值0.25，否则取值为1。

Images