CN104683327A - 一种Android软件用户登录界面安全性检测方法 - Google Patents

Abstract

本发明涉及一种Android软件用户登录界面安全性检测方法。该方法首先分析Android软件的apk安装文件，用特征匹配方法定位到登录页面的相关代码；然后把用户登录行为抽象为登录前处理、数据包传输和登录后处理三个阶段，建立检测模型，在容易出现安全问题的关键节点进行安全性测试；然后根据代码的执行情况和服务器的反馈情况判断出现问题的节点，进行安全性评估，分析存在的安全问题。本发明针对Android软件登录页面的安全性进行检测，覆盖的检测点多，检测效率和准确性高。

Description

一种Android软件用户登录界面安全性检测方法

技术领域

本发明涉及移动终端应用安全领域，更具体地涉及一种用于Android软件上检测登录界面安全性的方法。

背景技术

目前，随着移动终端和移动操作系统的日益普及，移动终端应用数量呈爆发式增长，然而移动应用的安全问题也随之愈发严重，发生在移动终端应用上的密码账户等敏感数据泄露事件时有发生，给广大用户的财产和隐私安全带来了极大的威胁。Android平台是目前最流行的智能移动终端平台，针对Android系统的开发的应用更是占了大多数，所以Android软件的安全性对移动互联网的安全发展以及移动终端用户的隐私安全至关重要。

当前很多Android应用程序都需要服务器端的支持，通过客户端与服务器的通信来达到更新和保存数据的目的。为了实现安全通信和区分用户，很多开发者在自己的应用中加入了登录界面，用户在身份验证通过后方可使用软件。然而，即使一个简单的登录机制，也会涉及到很多安全问题，开发者一旦没有考虑全面，就有可能会给用户带来严重的损失。

传统的Android应用检测方法都是对apk文件(安卓软件安装包)进行整体性的检测，其速度和效率都会因为覆盖范围广和检测任务量大等问题受到影响。登录机制作为一个大多数Android应用普遍采用的方法，从保护用户隐私和账户安全的角度，都非常有必要设计出一种更加专一和高效的针对Android应用登录页面的安全性检测方法。

发明内容

针对上述问题，本发明的目的在于检测Android软件中登录页面设计及相关登录机制存在的安全问题，它可以检测出多种登录机制相关的的漏洞，包括登录绕过漏洞，密码明文传输，账户密码暴力破解等。本发明将整个登录过程分为登录前处理、数据包传输和登录后处理三个阶段，结合这三个过程可能出现的安全漏洞，提出了一套检测模型，并将整个检测流程模块化，通过对代码分析以及登录的反馈结果进行记录，进而对可能出现的安全问题进行定位，最后得出检测结果。

根据以上目的，实现本发明的技术方案是：

一种Android软件用户登录界面安全性检测方法，其步骤为：

1)用静态分析方法反编译apk安装包，得到软件的布局文件(xml格式)和smali代码(其中布局文件是安卓软件安装包中用来描述用户界面的文件，smali代码是Android代码反编译后的中间代码)，通过分析布局文件和smali代码，可以得到登录页面相关的布局文件和代码，其具体方法在后文中会有详细描述。

2)分析和跟踪登录相关代码段，将整个登录检测过程分为登录前检测，数据包传输检测以及登录后检测三个阶段，根据每个阶段的特点进行对应的漏洞检测，记录代码执行的结果，最后根据每个阶段的执行结果来判断是否存在相关漏洞。

具体来说，上述三个检测阶段的主要内容为：

a)登录前检测：这一阶段主要检测当前的登录环境是否安全，其内容包括用户输入的密码是否明文显示，是否采用https协议，是否存在登录绕过漏洞等。其中，密码是否明文显示可通过检测EditText的属性来判断，是否采用https协议可通过跟踪代码中是否包含HttpsURLConnection以及X509TrustManager等实现https协议的必要对象来判断，是否存在登录绕过漏洞可通过跟踪登录代码块中代码的执行路径来判断(详细步骤参见后文)。

b)数据包传输检测：这一阶段通过跟踪HttpURLConnection或HttpClient对象的调用来获取登录时要发送的http数据包，根据数据包发送前后密码字段的变化以及服务器端返回的字段来检测是否存在相应漏洞。通过对比用户输入的密码和数据包中的密码字段来判断是否实现加密传输，然后多次重放不同密码的数据包，根据服务器端返回的字段来判断是否存在密码暴力破解问题，通过构造特殊密码发包来判断是否存在注入漏洞等。

c)登录后检测：这一阶段主要用来检测登录完成后密码的处理是否安全。如果登录完成后密码未做任何处理可跳过这一阶段，如果密码保存在本地文件，可通过检测密码是否明文保存以及保存密码的文件权限来判断其安全性。

与现有技术相比，本发明的有益效果为：

本发明通过对Android软件登录机制的剖析，将检测过程对应的分为登录前检测，数据包传输检测以及登录后检测三个阶段，其覆盖的检测点多，检测较为全面。另外，本发明是专门针对Android软件登录页面的安全性进行检测，其检测效率和准确性较高。

附图说明

图1为Android软件登录界面整体检测流程图；

图2为登录前安全性检测流程图。

图3为数据包传输过程中的安全性检测流程图。

图4为登录完成后的安全性检测流程图。

具体实施方式

下面通过具体实施例和附图，对本发明做进一步详细说明。

图1是本发明方法的总体流程图。首先分析apk安装包，得到登录页面相关的布局文件和代码，然后分析和跟踪登录相关代码段，将将整个登录检测过程分为登录前检测，数据包传输检测以及登录后检测三个阶段，根据每个阶段的特点进行对应的漏洞检测，记录代码执行的结果，最后根据每个阶段的执行结果来判断是否存在相关漏洞。下面具体说明各个步骤。

1)首先反编译apk文件，得到所有的布局文件和smali代码，遍历所有的布局文件，根据登录界面的一些共性特征，例如a)通常的登录界面有用户名和密码两个EditText元素(输入框)，b)界面通常有“login”或“登录”Button(按钮)，c)其他特征等，进行匹配，从而找到登录页面对应的布局文件。根据EditText和Button的ID，搜索所有的smali代码，可进一步定位到登录相关代码片段。

例如，常见的登录页面一般都包含三个元素：账号输入框，密码输入框以及登录按钮，可根据这一特征对APK中的布局文件进行遍历，直至找到设计登录界面的布局文件(例如login.xml)为止。假设login.xml中密码框的ID值为0x7f040001，那么在smali代码中搜索此ID，其中包含这个ID且由findViewById这个函数开始的代码段，即为对用户输入的密码进行处理的代码段，同样方法，通过跟踪登录Button的ID以及OnClick事件可以定位处理登录过程的相关代码。若这些代码段中调用了其他方法(非API函数)，那么这些方法也包含在登录相关代码中，可采用递归的方法来获取到。

2)进一步进入登录前检测阶段，其具体过程如图2所示。

首先检测密码是否明文显示。利用上述方法找到登录界面的布局文件，对布局文件中密码框的属性进行检测，如果其android:password属性值为"false"或者未声明该属性值(默认为明文显示)，则用户在输入密码时存在被偷窥或者被其他恶意程序截获的风险。有些开发者在密码框周围加入了“显示密码”按钮，但这不影响检测的结果，点击“显示密码”是用户的主动行为，而密码框属性默认为“不显示明文”是默认的安全规则。

接着检测登录是否采用https协议。分析登录相关代码，搜索代码段中的string对象，如出现“https”字段(假设代码为“string url＝‘https://www.xx.com..’”)，则判断可能采用https协议。进一步判断搜索代码中是否存在HttpsURLConnection以及X509TrustManager对象，如果openConnection()方法关联了HttpsURLConnection对象和包含“https”的string对象，进而可判断登录数据包采用了https协议。如果采用https协议，则无需进入第二阶段的检测，因为数据包传输检测阶段的相关漏洞在https协议中不会出现，如果未采用https协议则安全性较低，进入下一阶段的检测。

接着分析登录代码的执行路径，遍历以点击登录按钮事件为起点到以登录验证完成为终点之间所有的执行路径，如果存在一条由起点直接到终点的执行路径，那么可判断该页面存在登录绕过漏洞。

3)更进一步进行数据包传输检测，详细流程如图3所示。

进行这一阶段检测的前提是发送的登录数据包采用http协议，在获取http数据包时主要通过跟踪HttpURLConnection或HttpClient这两个对象的调用来得到，考虑到一般的发送登录数据包为POST方式，这里以HttpURLConnection对象为例。使用HttpURLConnection对象发送http数据时常用以下方式：

URL url＝new URL(“http://www.xxx.com”)；

Params＝”username＝XXX&password＝xxx”；

HttpURLConnection Conn＝(HttpURLConnection)url.openConnection()；

conn.setRequestMethod("POST")；

conn.getOutputStream().write(Params.getBytes("utf8"))；

上述代码反编译后smali片段如下：

对于这种方式，只需要对smali代码进行分析，跟踪HttpURLConnection对象和”http://”这两个关键字段，便可得到http链接。对于多个字符串拼接成的链接，可通过跟踪smali代码中的const-string对象以及其关联函数进行拼接，得到完整的链接。

利用HttpClient对象进行POST数据包与上述过程类似，这里不详细叙述。通过上述方法获取发送到服务器端的http数据包之后，再进行包括密码明文传输，暴力破解，注入漏洞等一系列的安全检测，详细流程如图3所示。例如，抓到的登录数据包链接为

“http://www.xxx.com？username＝test&password＝admin...”，

I.针对密码明文传输，可通过比较发包前后password字段的字节顺序来判断是否作加密处理。假设用户输入的password值为“admin”，抓到的http数据包中password值也为“admin”，那么登录数据包未做任何加密处理，登录过程一旦遭受中间人攻击，明文的用户名和密码就会遭到泄露。

II.针对暴力破解的检测，正常的服务器端会对暴力破解做出不同响应，例如对于登录失败的数据包返回Fail，对于同一个IP多次暴力破解的行为返回Error，因此可通过重复发送密码字段不相同的数据包，根据服务器的响应值来判断。以上述url为例，构造不同password字段的数据包并发送至服务器(这里定义发送N次，N为发送次数的阈值)，如果服务器返回的响应码N次都为Fail，那么很有可能存在密码被暴力破解的危险。

III.针对注入漏洞的检测，可通过构造常见的注入测试用例作为密码来发送，这类漏洞通常是由于服务器把用户提交的数据作为了SQL代码执行，通过构造特殊的SQL语句作为用户数据提交，可使服务器查询结果永远为True.故这类漏洞可根据服务器返回码进行判断。例如构造password为“1'or'1'＝'1”，提交到服务器端后发生引号截断，输入的password作为SQL代码执行，服务器端返回Success。这种情况下说明存在注入漏洞，可以登录任意用户的账号，属于高危漏洞。

4)最后阶段是登录后的检测。

很多应用为减少用户输入密码的次数，会把密码保存在本地，下次登录的时候直接从文件中读取密码就可以继续完成之后的登录过程。这种设计需要考虑到密码是否明文保存以及保存密码的文件是否可以被其他应用程序读取到，其详细检测流程如图4所示。

Android的本地数据存储方式有三种，使用SharedPreferences对象，写入本地文件以及使用SQLite数据库存储。可通过跟踪登陆后处理代码片段，判断代码中是否包含SharedPreferences或FileOutputStream或SQLiteOpenHelper三个对象来决定使用哪种检测方法。

I.对于使用SharedPreferences对象存储以及写入文件这两种方式，其本质实现原理本质相同，主要检查其存储模式是否为“MODE_PRIVATE”，以写入文件为例，常用的写入方法如下：

FileOutputStream fos＝openFileOutput("file_out.txt",Context.MODE_PRIVATE)；

String inputFileContext＝"password"；

fos.write(inputFileContext.getBytes())；

fos.close()；

这里需要检测openFileOutput()函数的第二个参数是否为“MODE_PRIVATE”，如果是，则存储安全，其他应用无权限读取；如果不是，则进一步检测密码是否是明文保存，如果未加密保存，则密码可轻易被任意应用读取。

II.对于使用写入本地数据库这种方式，主要检测创建数据库时是否设置了口令。由于SQLite数据库文件是一个普通文本文件，对它的访问首先依赖于文件的访问控制，对于未获取最高系统权限(ROOT权限)的设备来说，这种方式是安全的，而对于其他获取ROOT权限后的设备，其数据库文件可以被第三方应用任意读取，故需要作进一步判断。

Android开放的API中没有为数据库连接口令设置提供实现，但在SQLite开放的源码中预留了加密相关的接口。SQLite数据库源码中通过使用SQLITE_HAS_CODEC宏来控制是否使用数据库加密。并且预留了接口让用户自己实现以达到对数据库进行加密的效果。

因此，可以通过跟踪上述几个接口的调用来判断是否加密数据库。例如跟踪sqlite3_key()函数来判断是否为数据库制定了密钥，跟踪sqlite3CodecAttach()函数判断密钥是否和数据库关联。如果设置了安全秘钥，则数据库内容不可被第三方读取，保存方式认为是安全的。如存入数据库时未设置密钥，则还需进一步判断保存密码的方式是不是明文保存，这里主要通过对比数据库写入前后密码字段的字节顺序来判断。若数据库未加密钥且用户的密码以明文形式保存在数据库里，则这种登录完成后对密码处理方式是很不安全的。

以上对本发明所提供的Android软件登录界面安全性检测方法进行了详细介绍，应用具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种Android软件用户登录界面安全性检测方法，其步骤包括：

1)用静态分析方法分析apk安装包，对登录页面的特征进行抽取，根据其特征对布局文件进行特征匹配，定位到登录页面相关的布局文件和代码；

2)分析登录页面的布局文件，并跟踪登录相关代码，进行登录前的安全性检测；

3)获取登录时要发送的http数据包，根据数据包发送前后密码字段的变化以及服务器端返回的字段进行数据包传输过程中的安全性检测；

4)登录完成后对密码的处理进行安全性分析和检测，得出最后的检测结果。

2.如权利要求1所述的方法，其特征在于，步骤1)对Android软件登录界面的共性特征进行抽取，对静态分析后的布局文件进行特征匹配，再根据登录页面布局文件中元素的ID进行搜索，实现登录的相关代码的定位。

3.如权利要求2所述的方法，其特征在于，所述Android软件登录界面的共性特征包括：用账号输入框、密码输入框、登录按钮。

4.如权利要求1所述的方法，其特征在于，步骤2)所述登录前的安全性检测包括：

a)对布局文件中密码框的属性进行检测，根据其属性是否为FALSE或默认属性来判断密码是否明文显示；

b)跟踪代码中的https协议的必要对象，判断登录数据包是否采用了https协议；所述https协议的必要对象包括HttpsURLConnection以及X509TrustManager；

c)分析登录代码的执行路径，判断是否存在一条由登录界面直接到用户界面的执行路径，进而确定该登录页面是否存在登录绕过漏洞。

5.如权利要求4所述的方法，其特征在于，步骤2)的子步骤b)中判断登录数据包是否采用https协议的方法是：分析登录相关代码，搜索代码段中的string对象，如出现“https”字段，则判断可能采用https协议；进一步判断搜索代码中是否存在HttpsURLConnection以及X509TrustManager对象，如果openConnection()方法关联了HttpsURLConnection对象和包含“https”的string对象，则可判断登录数据包采用了https协议。

6.如权利要求1所述的方法，其特征在于，步骤3)所述数据包传输过程中的安全性检测包括：

a)根据输入前后密码字段的字节顺序变化来判断是否存在明文传输漏洞；

b)多次更改密码字段并重复发包，根据服务器的响应码来判断是否存在密码暴力破解漏洞；

c)将常用注入测试用例作为密码提交，根据服务器响应码判断是否存在注入漏洞。

7.如权利要求6所述的方法，其特征在于，步骤3)通过跟踪HttpURLConnection或HttpClient这两个对象的调用来获取http数据包。

8.如权利要求1所述的方法，其特征在于，步骤4)对登录完成后密码的保存方式和密码文件的权限进行交叉检测分析，其步骤包括：

a)根据保存前后密码字段的字节顺序来判断密码是否作加密处理；

b)密码保存包括使用SharedPreferences对象、写入文件和保存到数据库三种方式，对于前两种方式，检测OpenFileOutput()函数的第二个参数是否为“MODE_PRIVATE”,对于保存到数据库的方式，检测是否调用了SQLite的加密接口；

c)对于上述方法的交叉检测，只需其中一种方式实现安全，则登录完成后密码的处理方式可认为是安全的。