CN106845236A - 一种针对iOS平台的应用程序多维度隐私泄露检测方法及系统 - Google Patents

Abstract

本发明公开了一种针对iOS平台的应用程序多维度隐私泄露检测方法及系统，从静态分析、动态分析和数据分析三个维度对iOS应用程序进行隐私泄露检测，其中：静态分析包括应用程序解密，app存储路径定位，反汇编和反汇编源码的敏感API分析的步骤；动态分析包括Hook敏感API函数，通过运行应用程序获得日志记录，通过日志分析获得敏感API调用序列的步骤；数据分析包括应用程序网络数据包的抓取和数据包协议、地址、内容的分析的步骤。本发明能够全面的对iOS应用数据隐私泄露进行检测，获取较为完备的隐私泄露事件数据。

Description

一种针对iOS平台的应用程序多维度隐私泄露检测方法及 系统

技术领域

本发明涉及信息系统安全检测领域，特别是涉及移动终端隐私泄露检测。

背景技术

随着国民经济水平的提高和互联网技术的高速发展，我国传统的PC互联网已经日趋饱和，移动互联网却发展迅速，移动智能终端正逐渐成为人们访问互联网最主要的工具。2016年1月22日，中国互联网络信息中心(CNNIC)发布了第37次《中国互联网络发展状况统计报告》：截至2015年12月，我国手机网民规模达6.20亿，与2014年底相比较，增加了6303万人，网民使用手机上网的人群占比提升至90.1％，手机依然是拉动网民规模增长的首要设备。

移动互联网技术和服务的蓬勃发展也推动了移动智能终端的迅速普及，美国市场研究公司IDC(International Data Corporation)于2016年1月发布报告称，2015年全球智能手机出货量为14.329亿部，同比增长了10.1％。国内智能手机市场也非常火热，据中国信息通信研究院发布的《2016年1月国内手机市场运行分析报告》：2015年，全国手机市场累积出货量为5.18亿部，其中智能手机出货量为4.57亿部，同比增长17.7％，占同期国内手机出货量的88.3％。

当然，智能手机的发展和普及与移动应用程序数量的飞速增长也是相辅相成的。根据应用分析和应用市场数据的行业标准App Annie于2016年1月20号发布的分析报告，2015年Google Play商店的应用程序下载量约为2亿次，Apple公司的应用商店上的应用程序下载次数也达到了1亿次。海量应用程序的开发让智能手机的功能越来越丰富多彩，办公、社交、娱乐、购物等活动都可以在智能手机上完成，因此，智能手机已经渗透到了人们生活、工作和娱乐的方方面面。但是方便快捷的同时，智能手机也带来了巨大的隐私安全问题。应用程序隐私泄露带来的恶意扣费，信息窃取，诱骗欺诈等种种恶意行为会给用户造成巨大的困扰和损失。

iOS操作系统虽然一直以安全著称，但是仍然存在各种安全问题，其中2015年影响比较广泛的就有6月份发生的苹果公司历史上最严重的用户数据泄露事件之一，造成了22万iCloud账号密码被泄露，以及同年9月爆出的黑客利用经过篡改的开发工具Xcode向300多款热门APP注入木马病毒，导致上亿用户的手机配置信息被泄露的攻击事件。

面对频发的应用程序安全问题，Apple公司部署了审查应用程序安全性的相关策略，但是Apple公司的审核机制没有对外公布，尽管只有App Store一个应用程序商城，但是也有很多上线的应用程序存在泄露用户隐私的行为。由此说明，应用程序安全审查机制并不能百分百保证用户的隐私安全。基于这个事实，市场也出现了很多手机应用安全管理软件和应用程序检测工具，但是现有的工具大部分都是针对Android平台的，iOS平台的相关工具非常少，现有的研究成果基本都是采用单一的静态检测或者动态检测方法，无法避免单一检测方法存在的固有缺陷，例如静态分析常见的问题有：1、混淆加密过的应用程序无法直接进行静态分析，在反编译应用程序可执行文件之前需要进行解密处理，但是解密成功率无法达到百分之百。2、iOS应用程序的反编译比较困难，无法得到Objective-C语言级的反编译源码，反编译文件的最终形态为ARM汇编语言和部分伪代码的结合。动态分析常见的问题有：1、动态分析需要在真机或者模拟器上运行应用程序，并且遍历所有功能按钮，检测速度相对较慢，并且容易出现测试不全面的现象。2、动态分析的基础是修改操作系统函数，实现对应用程序的动态监控，因此需要对操作系统有深入的了解，而且监控函数的实现难度较大。

发明内容

为了解决上述问题，本发明的目的是提出一种iOS平台的应用程序隐私泄露检测方法及系统，用于iOS平台的应用程序隐私泄露行为检测和分析，保护用户隐私安全。

为实现上述目的，本发明采用的技术方案为：

一种针对iOS平台的应用程序多维度隐私泄露检测方法，从静态分析、动态分析和数据分析三个维度对iOS应用程序进行隐私泄露检测，其中：

静态分析包括应用程序解密，app存储路径定位，反汇编和反汇编源码的敏感API分析的步骤；

动态分析包括Hook敏感API函数，通过运行应用程序获得日志记录，通过日志分析获得敏感API调用序列的步骤；

数据分析包括应用程序网络数据包的抓取和数据包协议、地址、内容的分析的步骤。

所述静态分析的具体步骤为：通过导入IOS手机的app解密工具对应用程序解密，并定位app存储路径，然后将解密的app导入计算机，再通过基于反汇编文件的敏感API调用序列分析，得到应用程序隐私泄露静态分析结果。

所述基于反汇编文件的敏感API调用序列分析的步骤为：首先根据iOS API函数的功能定义敏感API，然后通过反汇编获得与应用程序源码对应的汇编代码和部分伪代码，最后扫描反汇编代码中出现的敏感API，得到应用程序隐私泄露静态分析结果。

所述动态分析的步骤中，通过Hook隐私相关系统API函数，监控应用程序对其的调用行为，通过分析行为记录日志获得动态分析结果。

所述数据分析的步骤中，在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容进行分析，根据分析结果判断应用程序是否存在泄露用户隐私数据的行为。

一种针对iOS平台的应用程序多维度隐私泄露检测系统，包括：

静态分析模块，用于对应用程序解密，并基于反汇编文件的敏感API调用序列分析，得到应用程序隐私泄露静态分析结果；

动态分析模块，用于通过Hook隐私相关系统API函数，监控应用程序对其的调用行为，通过分析行为记录日志获得动态分析结果；

数据分析模块，用于在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容进行分析，根据分析结果判断应用程序是否存在泄露用户隐私数据的行为。

所述静态分析模块包括：

app解密工具，安装于iOS手机，用于应用程序解密，定位app存储路径；

app导入工具，安装于计算机，用于将解密的app导入计算机；

反汇编模块，用于获得与应用程序源码对应的汇编代码和部分伪代码；

敏感API扫描模块，用于扫描反汇编代码中出现的敏感API，得到应用程序隐私泄露静态分析结果。

所述动态分析模块包括：

Tweak程序模块，用于在越狱iOS系统中注入自定义代码，对相关系统隐私API函数进行Hook和覆盖；

日志分析模块，用于分析iOS系统日志中应用程序访问隐私API的行为记录，获得动态分析特征向量，得到动态分析结果。

所述数据分析模块包括：

网络抓包模块，用于在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容的数据包抓取；

数据包分析模块，用于对抓取的应用程序的数据进行分析。

有益效果：本发明提供的方法综合了三种检测维度，静态分析速度快、效率高，可以有效地提高检测率，但是误报率较高；动态分析速度相对较慢，但是可以监控应用程序对隐私数据的实际访问行为，有效地解决了程序加壳、隐藏API调用等静态分析无法解决的问题；而数据分析则解决了静态分析和动态分析只能检测应用程序对隐私数据的访问，而不能确定应用程序是否通过网络等途径泄露隐私数据的问题。三种分析方法相辅相成，有效地弥补了单一分析方法自身的局限性，提高了iOS应用程序隐私泄露检测的科学性和严谨性。

附图说明

图1为iOS应用程序隐私泄露分析流程框图；

图2为iOS动态分析流程框图；

图3为数据分析流程框图。

具体实施方式

下面结合附图对本发明作更进一步的说明。

如图1所示，一种针对iOS平台的应用程序多维度隐私泄露检测方法，从静态分析、动态分析和数据分析三个维度对iOS应用程序进行隐私泄露检测，其中：

静态分析包括应用程序解密，app存储路径定位，反汇编和反汇编源码的敏感API分析的步骤；

动态分析包括Hook敏感API函数，通过运行应用程序获得日志记录，通过日志分析获得敏感API调用序列的步骤；

数据分析包括应用程序网络数据包的抓取和数据包协议、地址、内容的分析的步骤。

iOS应用程序静态分析主要是基于反汇编文件的敏感API调用序列分析。静态分析的具体步骤为：通过导入IOS手机的app解密工具对应用程序解密，并定位app存储路径，然后将解密的app导入计算机，再通过基于反汇编文件的敏感API调用序列分析，得到应用程序隐私泄露静态分析结果；基于反汇编文件的敏感API调用序列分析的步骤为：首先根据iOS API函数的功能定义敏感API，然后通过反汇编获得与应用程序源码对应的汇编代码和部分伪代码，最后扫描反汇编代码中出现的敏感API，得到应用程序隐私泄露静态分析结果。

iOS应用程序动态分析主要通过Hook隐私相关系统API函数，监控应用程序对其的调用行为，通过分析行为记录日志获得动态分析结果。主要实现原理是编写tweak程序，Hook隐私API函数，通过监控应用程序的动态行为，分析应用程序可能出现的隐私泄露行为。关键在于如何利用Hook技术抽取动态分析特征向量。动态分析特征向量的抽取主要是通过Hook技术对敏感API函数进行动态监控。首先通过编写Tweak程序在越狱iOS系统中注入自定义代码，对相关系统隐私API函数进行Hook和覆盖。API函数Hook完成后，当iOS系统中运行的应用程序试图通过调用被Hook的API函数访问相关用户隐私数据时，系统将先执行自定义代码，弹框提示用户应用程序的调用行为并将应用程序名称、调用的API函数名、函数功能和调用时间写入到系统日志中，然后再执行原API函数。最后通过分析iOS系统日志中应用程序访问隐私API的行为记录，获得动态分析特征向量。动态分析系统流程见图2，包括以下几个步骤：

(1)APP向OS发起读取Private data的请求，安装的tweak程序拦截请求信息；

(2)tweak程序分析请求内容，将App请求访问的函数，函数功能，请求时间，以固定格式写入系统日志；

(3)tweak程序在手机操作界面弹出消息盒，提示用户当前应用程序正在请求访问某一函数；

(4)用户确认提示框内容后，Tweak将程序执行点转到真实API函数的入口；执行真实API函数，完成APP的功能；

(5)真实API函数想APP返回请求的数据；

(6)在OS系统界面处理程序中，调用系统日志获取和分析模块，跟据tweak记录信息的固定格式筛选有用信息，并进行统计处理；

(7)根据日志分析结果生成动态分析报告。

iOS应用程序数据分析主要是基于应用程序的数据包抓取和分析。在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容进行分析，根据分析结果判断应用程序是否存在泄露用户隐私数据的行为。数据分析的系统框图如图3，主要流程包括tshark抓包分析，和SSL数据捕获两部分。经过数据分析后，在通过日志返回结果可以看到数据包加密前的明文数据，但是也很可能出现SSL加密前的数据已经经过应用程序私有加密了。再结合上文的网络协议和地址分析可以检测到四种可能的隐私泄露行为：

(1)应用程序发送数据到非法地址，可以解析出发送数据为敏感信息。

(2)应用程序发送数据到非法地址，但无法解析出数据是否为敏感信息。

(3)未经用户同意，应用程序发送数据到应用程序官方服务器，可以解析出发送数据为敏感信息。

(4)未经用户同意，应用程序发送数据到应用程序官方服务器，无法解析出数据是否为敏感信息。

另外，基于上述方法，本发明还提供了一种针对iOS平台的应用程序多维度隐私泄露检测系统，包括：

静态分析模块，用于对应用程序解密，并基于反汇编文件的敏感API调用序列分析，得到应用程序隐私泄露静态分析结果；

动态分析模块，用于通过Hook隐私相关系统API函数，监控应用程序对其的调用行为，通过分析行为记录日志获得动态分析结果；

数据分析模块，用于在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容进行分析，根据分析结果判断应用程序是否存在泄露用户隐私数据的行为。

静态分析模块包括：

app解密工具，安装于iOS手机，用于应用程序解密，定位app存储路径；

app导入工具，安装于计算机，用于将解密的app导入计算机；

反汇编模块，用于获得与应用程序源码对应的汇编代码和部分伪代码；

敏感API扫描模块，用于扫描反汇编代码中出现的敏感API，得到应用程序隐私泄露静态分析结果。

动态分析模块包括：

Tweak程序模块，用于在越狱iOS系统中注入自定义代码，对相关系统隐私API函数进行Hook和覆盖；

日志分析模块，用于分析iOS系统日志中应用程序访问隐私API的行为记录，获得动态分析特征向量，得到动态分析结果。

数据分析模块包括：

网络抓包模块，用于在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容的数据包抓取；

数据包分析模块，用于对抓取的应用程序的数据进行分析。

以上所述仅是本发明的优选实施方式，应当指出：对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种针对iOS平台的应用程序多维度隐私泄露检测方法，其特征在于：从静态分析、动态分析和数据分析三个维度对iOS应用程序进行隐私泄露检测，其中：

静态分析包括应用程序解密，app存储路径定位，反汇编和反汇编源码的敏感API分析的步骤；

动态分析包括Hook敏感API函数，通过运行应用程序获得日志记录，通过日志分析获得敏感API调用序列的步骤；

数据分析包括应用程序网络数据包的抓取和数据包协议、地址、内容的分析的步骤。

2.根据权利要求1所述的针对iOS平台的应用程序多维度隐私泄露检测方法，其特征在于：所述静态分析的具体步骤为：通过导入IOS手机的app解密工具对应用程序解密，并定位app存储路径，然后将解密的app导入计算机，再通过基于反汇编文件的敏感API调用序列分析，得到应用程序隐私泄露静态分析结果。

3.根据权利要求2所述的针对iOS平台的应用程序多维度隐私泄露检测方法，其特征在于：所述基于反汇编文件的敏感API调用序列分析的步骤为：首先根据iOS API函数的功能定义敏感API，然后通过反汇编获得与应用程序源码对应的汇编代码和部分伪代码，最后扫描反汇编代码中出现的敏感API，得到应用程序隐私泄露静态分析结果。

4.根据权利要求1所述的针对iOS平台的应用程序多维度隐私泄露检测方法，其特征在于：所述动态分析的步骤中，通过Hook隐私相关系统API函数，监控应用程序对其的调用行为，通过分析行为记录日志获得动态分析结果。

5.根据权利要求4所述的针对iOS平台的应用程序多维度隐私泄露检测方法，其特征在于：所述动态分析的具体步骤为：

(1)APP向OS发起读取Private data的请求，安装的tweak程序拦截请求信息；

(2)tweak程序分析请求内容，将App请求访问的函数，函数功能，请求时间，以固定格式写入系统日志；

(3)tweak程序在手机操作界面弹出消息盒，提示用户当前应用程序正在请求访问某一函数；

(4)用户确认提示框内容后，Tweak将程序执行点转到真实API函数的入口；执行真实API函数，完成APP的功能；

(5)真实API函数想APP返回请求的数据；

(6)在OS系统界面处理程序中，调用系统日志获取和分析模块，跟据tweak记录信息的固定格式筛选有用信息，并进行统计处理；

(7)根据日志分析结果生成动态分析报告。

6.根据权利要求1所述的针对iOS平台的应用程序多维度隐私泄露检测方法，其特征在于：所述数据分析的步骤中，在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容进行分析，根据分析结果判断应用程序是否存在泄露用户隐私数据的行为。

7.一种针对iOS平台的应用程序多维度隐私泄露检测系统，其特征在于：包括：

静态分析模块，用于对应用程序解密，并基于反汇编文件的敏感API调用序列分析，得到应用程序隐私泄露静态分析结果；

动态分析模块，用于通过Hook隐私相关系统API函数，监控应用程序对其的调用行为，通过分析行为记录日志获得动态分析结果；

数据分析模块，用于在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容进行分析，根据分析结果判断应用程序是否存在泄露用户隐私数据的行为。

8.根据权利要求7所述的针对iOS平台的应用程序多维度隐私泄露检测系统，其特征在于：所述静态分析模块包括：

app解密工具，安装于iOS手机，用于应用程序解密，定位app存储路径；

app导入工具，安装于计算机，用于将解密的app导入计算机；

反汇编模块，用于获得与应用程序源码对应的汇编代码和部分伪代码；

敏感API扫描模块，用于扫描反汇编代码中出现的敏感API，得到应用程序隐私泄露静态分析结果。

9.根据权利要求7所述的针对iOS平台的应用程序多维度隐私泄露检测系统，其特征在于：所述动态分析模块包括：

Tweak程序模块，用于在越狱iOS系统中注入自定义代码，对相关系统隐私API函数进行Hook和覆盖；

日志分析模块，用于分析iOS系统日志中应用程序访问隐私API的行为记录，获得动态分析特征向量，得到动态分析结果。

10.根据权利要求7所述的针对iOS平台的应用程序多维度隐私泄露检测系统，其特征在于：所述数据分析模块包括：

网络抓包模块，用于在应用程序运行期间，对手机发送所有的数据包进行协议、目的IP、发送内容的数据包抓取；

数据包分析模块，用于对抓取的应用程序的数据进行分析。