CN104331364A - 一种移动平台应用软件的检测方法 - Google Patents

Abstract

本发明揭示了一种基于语义分析、符号执行、定理证明和静态数据流分析的移动软件检测方法，并基于软件检测的结果为不同的移动应用软件设置标签，最终构建安全应用仓库。针对移动应用的语法特点，为移动应用构建普通语法树、抽象语法树，并使用符号执行的方式实现程序执行全路径覆盖，以静态的逻辑符号模拟程序动态执行，解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题。以定理证明和静态数据流分析的技术手段对符号执行的结果进行分析，并以得到的分析结果检测移动应用的安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为；将移动应用分为安全应用、脆弱应用和恶意应用三大类。

Description

一种移动平台应用软件的检测方法

技术领域

本发明设计一种移动平台应用软件的检测方法，综合利用软件编程技术、程序分析技术、网络服务技术加密解密技术及移动通讯技术实现，可用于检测移动应用安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为；并最终构建安全应用仓库，为移动互联时代提供一个可信应用市场，保护移动平台用户的信息和资产安全。

背景技术

目前搭载在智能操作系统上的移动设备已经得到了广泛的应用。随着移动智能终端的发展，移动平台上的安全问题也日益突出，脆弱型应用和恶意软件的数量出现爆发式的增长。而目前主流的安全软件都无法有效遏制恶意软件的大范围传播，这使得移动设备用户面临着越来越大的安全威胁。

目前移动应用程序的检测方法主要有两种：一种是按照病毒查杀的方式进行检测，将恶意软件当成病毒，按照特征签名的方式进行检测。该方法可以快速检测出已知恶意软件，但却无法检测应用软件存在哪些安全弱点或语法错误，且对于新出现的应用程序多采用人工分析的方式，因此检测结果也存在一定的滞后期。另一种方式是采用动态监控的方法，通过动态实时监控应用程序的执行及其与外部环境的交互进行检测。采用动态分析方法，可以自动生成输入并在程序执行过程中记录日志，通过分析记录的日志信息来检测应用程序当中是否存在安全问题。该方法依赖于特定的触发条件，但对于触发逻辑较为复杂的应用程序，存在明显的不足。本发明提出了一种基于语义分析的符号执行和静态数据流分析方法，通过分析程序语义结合定理证明和数据流分析方法跟踪应用程序的执行流程，检测应用程序中是否存在安全隐患或是否存在恶意订购、资费消耗、执行系统命令、加载本地代码等多种恶意行为。大规模的实验表明，该方法可以有效检测出应用程序当中存在的安全隐患并能及时发现恶意行为，具有较高的实用价值。

发明内容

本发明针对现有技术的窘境，提出了一种移动平台应用软件的检测方法，彻底解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题，提高软件应用实施的安全性。

本发明的上述目的得以实现的技术解决方案是，一种移动平台应用软件的检测方法，面向包括智能手机、平板电脑的移动平台应用软件做安全检测，其特征在于所述检测方法包括语义分析、符号执行、定理证明和静态数据流分析，其中所述移动应用软件检测方法采用反汇编级别的代码语义分析，构建普通语法树、抽象语法树，并使用符号执行的方式实现程序执行全路径覆盖，以静态的逻辑符号模拟程序动态执行，解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题；以定理证明和静态数据流分析的技术手段对符号执行的结果进行分析，并以得到的分析结果检测移动应用的安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为；将移动平台应用软件的检测结果分为安全应用、脆弱应用和恶意应用三大类。

进一步地，所述检测基于应用程序的程序语义进行分析，构建普通语法树、抽象语法树。

进一步地，所述检测基于语义分析之后得到的抽象语法树进行符号执行，全路径覆盖应用程序的执行分支，以逻辑符号的形式模拟程序动态执行；解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题。

进一步地，所述检测将符号执行获得结果通过定理证明和静态数据流分析的技术手段进行分析，通过定理证明器和数据流分析引擎得到的检测结果检测移动应用的安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为。

进一步地，移动平台应用软件的检测结果分类后，构建安全应用仓库。

应用本发明软件检测的技术方案：通过语义分析、符号执行、定理证明和静态数据流分析对应用软件进行脆弱性分析和恶意行为分析，能在应用发放市场之前发现应用的安全弱点或发现恶意应用，提高软件质量，防止恶意软件流通到应用市场。大幅提高移动平台设备使用的安全性能。

附图说明

图1为本发明移动应用软件检测实施的系统框图。

图2为本发明移动应用软件检测方法的流程示意图（以Android平台为例）。

具体实施方式

本发明针对现有移动平台应用软件缺乏安全检测，软件安全性脆弱、恶意软件泛滥的特点，提出了一种移动平台应用软件的检测方法，在应用进入到市场之前发现应用的安全弱点或发现恶意应用，提高软件质量、防止恶意软件流通到应用市场。大幅提高移动平台设备使用的安全性能。

本发明检测方法的实现有赖于移动平台之外的云端服务器和安全体系，它面向包括智能手机、平板电脑等在内的移动平台所用应用软件做检测处理，以达到及时发现应用的安全弱点或发现恶意应用。提高软件质量、防止恶意软件流通到应用市场。如图1所示的系统框图可见：该方法根据移动应用的语法特点，扫描并构建普通语法树、抽象语法树，以语法树为对象进行安全检测。

该检测方法包括语义分析模块、符号执行模块、定理证明器、静态数据流分析引擎和应用库五部分。如图2所示，其中语义分析模块扫描应用汇编指令并构建语法树；符号执行模块将程序的执行抽象为逻辑符号，覆盖程序功能的全路径；定理证明器根据符号执行的结果分析程序是否存在安全隐患或语法错误可能导致程序崩溃或被恶意利用；静态数据流分析引擎监视程序调用的敏感API和敏感常量的操作流程，检测程序是否存在安全隐患会导致用户隐私泄露或财产损失；根据程序的检测结果，将不同的应用进行分类，主要分为安全应用、脆弱应用和恶意应用三大类，最终构建安全应用仓库。

以Android平台为例，由于其Dalvik指令集固定且公开的特点，容易对不同应用进行语义分析，并以符号执行的方式模拟程序执行，监控诸如联系人列表、密码存储等敏感数据操作。

综上所述可见，应用本发明移动应用软件检测的技术方案：通过语义分析、符号执行、定理证明和静态数据流分析的技术手段，并基于软件检测的结果为不同的移动应用软件设置标签，最终构建安全应用仓库。针对移动应用的语法特点，为移动应用构建普通语法树、抽象语法树，并使用符号执行的方式实现程序执行全路径覆盖，以静态的逻辑符号模拟程序动态执行，解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题。以定理证明和静态数据流分析的技术手段对符号执行的结果进行分析，并以得到的分析结果检测移动应用的安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为；将移动应用分为安全应用、脆弱应用和恶意应用三大类。

Claims (5)

1.一种移动平台应用软件的检测方法，面向包括智能手机、平板电脑的移动平台应用软件做安全检测，其特征在于所述检测方法包括语义分析、符号执行、定理证明和静态数据流分析，其中所述移动应用软件检测方法采用反汇编级别的代码语义分析，构建普通语法树、抽象语法树，并使用符号执行的方式实现程序执行全路径覆盖，以静态的逻辑符号模拟程序动态执行，解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题；以定理证明和静态数据流分析的技术手段对符号执行的结果进行分析，并以得到的分析结果检测移动应用的安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为；将移动平台应用软件的检测结果分为安全应用、脆弱应用和恶意应用三大类。

2.根据权利要求1所述移动平台应用软件的检测方法，其特征在于：所述检测基于应用程序的程序语义进行分析，构建普通语法树、抽象语法树。

3.根据权利要求1所述移动平台应用软件的检测方法，其特征在于：所述检测基于语义分析之后得到的抽象语法树进行符号执行，全路径覆盖应用程序的执行分支，以逻辑符号的形式模拟程序动态执行；解决移动平台恶意软件分地区、分时段爆发导致正常运行无法重现恶意攻击行为的问题。

4.根据权利要求1所述移动平台应用软件的检测方法，其特征在于：所述检测将符号执行获得结果通过定理证明和静态数据流分析的技术手段进行分析，通过定理证明器和数据流分析引擎得到的检测结果检测移动应用的安全弱点、可能导致程序崩溃的语法错误以及是否存在恶意行为。

5.根据权利要求1所述移动平台应用软件的检测方法，其特征在于：移动平台应用软件的检测结果分类后，构建安全应用仓库。