CN108268773A - Android应用升级包本地存储安全性检测方法 - Google Patents

Abstract

本发明公开了一种Android应用升级包本地存储安全性检测方法，本方法通过对待检测程序进行程序切片，精准地提取与漏洞检测相关的所有程序切片，并对切片后的程序进行数据流分析，从而实现对升级包本地存储安全性的检测。与传统的数据流分析相比，该方法克服了分析过程中的盲目性，使得所有分析更加有针对性，提高了数据流分析的效率。

Description

Android应用升级包本地存储安全性检测方法

技术领域

本发明涉及一种Android应用升级包本地存储安全性检测方法，尤其是涉及一种基于程序切片和数据流分析的方法来检测Android应用升级包存储安全漏洞。

背景技术

市面上大多数Android程序都有自动升级功能，该功能会从服务器获取应用升级包来更新应用，将获取到的应用升级包保存到本地存储中，调用android系统的安装服务来进行应用更新操作。但是当从服务器上下载的应用升级包被存储到其他应用程序可以访问的存储位置时，就可能被其他应用程序获取并对应用升级安装包进行修改或者替换，从而诱导用户安装恶意软件。因此，为了尽早发现这种存在的升级包存储安全的漏洞，应该进行对应的漏洞分析。

目前，已有的检测升级包安全性的方法通过对手机中存储的升级包进行分析，获取升级包安全关键信息，通过比较获取的安全关键信息和与原生安全关键信息，从而判断当前升级包是否被修改过。

尽管上述方法对升级包安全性检测能够很大程度上对应用进行安全保障，通常只关注了升级包的内容本身的安全性，并没有考虑升级包存储位置的安全性。与此同时，上述检测方法仅当恶意程序对升级包进行修改和替换之后才能够检测出来，并不能够提前对升级包存储的安全性进行评估和判断。

发明内容

为了克服上述现有检测技术存在的弊端，有效防范升级包被替换和修改，本发明提出一种Android应用升级包本地存储安全性检测方法，直接检测升级包存储位置的安全，从而保证升级包不会被其他应用修改或者替换。

实现本发明目的的技术解决方案为：一种Android应用升级包本地存储安全性检测方法，包含如下步骤：

1）使用现有的Android应用程序逆向分析技术将待检测的应用程序进行逆向处理，将Android应用程序代码逻辑还原为字节码文件，这些字节码文件中存放了该应用程序所有的功能代码。

2）对步骤1）中获取的字节码文件进行解析，对该Android应用程序进行建模分析。分析所有的字节码文件，从中获取到该应用中所有方法调用关系、方法内控制流信息和系统函数调用信息，将这些信息保存起来。其中方法调用关系包含直接调用关系和间接调用关系。直接调用关系可以直接从字节码中查找到，间接调用则包含Android应用事件处理函数调用、Handler消息传递函数调用和异步任务函数调用。

3）遍历逆向处理获取到的所有字节码文件，使用升级包存储特征规则标记字节码中存在的所有文件输出流的关键API和该API操作的参数，将所有文件输出流的对象创建的关键API作为疑似漏洞点，从该疑似漏洞点中获取到所操作文件句柄作为特征变量。

4）将步骤3）中获取到的疑似漏洞点作为漏洞检测的入口点，结合步骤2）中存储的方法调用关系、方法内控制流信息和系统函数调用信息，构建出能够执行到该检测点的所有程序路径信息，获取到相关的字节码语句序列。

5）遍历步骤4）中每一条构建的程序路径信息，对步骤3）中的特征变量进行程序切片，将该路径信息中所有和特征变量相关的指令全部取出来，提取出一段独立的字节码语句序列。

6）对步骤5）中切片后的字节码语句序列进行逆向数据流分析，数据流分析的过程中对字节码语句指令语义进行分析，获取被操作文件句柄的文件类型、文件内容来源和文件存储路径信息。使用不安全存储漏洞检测方法来对上述信息进行判断，将检测结果保存下来。其中数据流分析方法包含但不限于：污点分析方法、符号执行方法。

7）当步骤4）中所有的疑似漏洞点已经全部完成分析，使用检测中保存的信息来生成相应的漏洞检测报告。

本发明提出的不安全存储漏洞检测方法包含如下步骤，如图2所示：

1）判断文件句柄操作的文件类型是否为Android应用安装包类型，仅当是应用安装包

类型才继续检测。

2）判断文件内容来源是否是从网络下载，仅当文件数据是通过网络下载才继续检测。

其中网络下载操作包括并不仅限于TCP网络访问操作、URL网络访问操作和HTTP网络访问操作。

3）仅当步骤1）和步骤2）都满足时，判断文件存储路径是否可以被其他应用程序访问，从而判断出是否存在升级包不安全存储漏洞。

本发明与现有技术相比，其显著优点为：本发明能够切实的检测出Android应用程序中升级包不安全存储的漏洞，具体为：

1）能够提前对升级包存储的安全进行分析，保证升级包不会被恶意应用修改和替换。

2）针对Android系统中存在的间接调用关系，通过对方法调用关系、方法内控制流信

息和系统函数调用关系进行建模分析，提高了漏洞检测的覆盖率和路径深度。

3）使用程序切片技术，有效地改进了目前静态分析效率不高的问题，大大提高了处理

能力和执行效率。

4）从大规模应用中分析出升级包存储的特征，使用这些先验证知识来标记出所有需要

检测的漏洞点，更有针对性的进行漏洞检测，大大增加了漏洞发现的概率，提高了检测效率。

附图说明

图1为本发明Android应用升级包本地存储安全性检测方法整体流程图。

图2为本发明Android应用升级包本地存储安全性检测方法不安全存储检测方法流程图。

图3为本发明Android应用升级包本地存储安全性检测装置整体框架图。

具体实施方法

当Android应用程序含有自动升级功能时，该应用会将升级包存储到手机终端上。如果存储位置不恰当，升级包就有可能被其他应用修改、替换，从而欺骗用户授权安装恶意软件。

因此，本发明提出了一种Android应用升级包本地存储安全性检测方法，该方法通过对待检测应用进行建模分析，获取到比较全面调用路径信息。将程序切片的思想应用到在执行路径中，用来对特征变量相关语句进行切分，大大提高了检测的效率，使得分析更有针对性。对切片后的路径进行数据流分析，分析出该应用升级包存储的具体位置信息，从而对该信息进行分析和判断，最终实现对Android应用升级包本地存储安全的漏洞检测。

下面将结合本发明实例中的附图，对本发明实例汇总的技术方案进行完整、清楚的描述。

图1为Android应用升级包本地存储安全性检测方法流程图，具体而言，有如下步骤组成：

1）使用现有的Android应用程序逆向分析技术将待检测的应用程序进行逆向处理，将Android应用程序代码逻辑还原为字节码文件。具体步骤如下：使用apktool工具对待检测应用程序进行反编译操作，将所有的代码还原成smali代码。smali代码中包含了该应用程序所有的类的代码。

2）对步骤1）中获取的字节码文件进行解析，对该Android应用程序进行建模分析。分析所有的字节码文件，从中获取到该应用中所有方法调用关系、方法内控制流信息和系统函数调用信息，将这些信息保存起来。其中方法调用关系包含直接调用关系和间接调用关系。直接调用关系可以直接从字节码中查找到，间接调用则包含Android应用事件处理函数调用、Handler消息传递函数调用和异步任务函数调用，如Handler消息传递函数中调用sendMessage函数之后，会在handleMessage函数中进行响应，则需要将这个两个方法间接关系添加到到方法调用关系中。

3）遍历逆向处理获取到的所有字节码文件，使用升级包存储特征规则标记字节码中存在的所有文件输出流的关键API和该API操作的参数，如将FileOutputStream类中write方法作为关键API。将所有文件输出流的对象创建的关键API作为疑似漏洞点，从该疑似漏洞点中获取到所操作文件句柄作为特征变量，如File f = new File(“1.apk”)，f则是我们需要关注的文件句柄。

4）将步骤3）中获取到的疑似漏洞点作为漏洞检测的入口点，结合步骤2）中存储的方法调用关系、方法内控制流信息和系统函数调用信息，构建出能够执行到该检测点的所有程序路径信息，获取到相关的字节码语句序列。

5）遍历步骤4）中每一条构建的程序路径信息，对步骤3）中的特征变量进行程序切片，将该路径信息中所有和特征变量相关的指令全部取出来，提取出一段独立的字节码语句序列。

6）对步骤5）中切片后的字节码语句序列进行逆向数据流分析，数据流分析的过程中对字节码语句指令语义进行分析，获取被操作文件句柄的文件类型、文件内容来源和文件存储路径信息。根据不安全存储漏洞检测方法来对上述信息进行判断，将检测结果保存下来。其中数据流分析方法包含但不限于：污点分析方法、符号执行方法。

7）当步骤4）中所有的疑似漏洞点已经全部完成分析，使用检测中保存的信息来生成相应的漏洞检测报告。

本发明提出的不安全存储漏洞检测方法包含如下步骤，图2为Android应用升级包本地存储安全性检：

1）判断文件句柄操作的文件类型是否为Android应用安装包类型，仅当是应用安装包

类型才继续检测。

2）判断文件内容来源是否是从网络下载，仅当文件数据是通过网络下载才继续检测。

其中网络下载操作包括并不仅限于TCP网络访问操作和HTTP网络访问操作。

3）仅当步骤1）和步骤2）都满足时，判断文件存储路径是否可以被其他应用程序访问，从而判断出是否存在升级包不安全存储漏洞。

与发明实施例中提供的一种Android应用升级包本地存储安全性检测方法相对应，本发明实施例中还根据一种Android升级包本地存储安全性检测方法提供了相应的系统框架，如图3所示。整体框架包括代码建模模块、疑似漏洞标记模块、路径构建模块、程序切片模块、数据流分析模块、漏洞检测模块和漏洞报告模块。

代码建模模块：负责对待检测应用进行反编译操作获取字节码文件，对获取到的字节码文件进行分析，进行建模分析，获取待检测应用中所有的方法调用信息、控制流信息和函数调用信息。

疑似漏洞标记模块：负责使用升级包存储特征规则来对代码建模模块中获取的字节码信息进行分析，将存在的所有疑似漏洞点标记出来。

路径构建模块：负责使用代码建模模块获取到的方法调用信息、控制流信息和函数调用信息来构建出所有与疑似漏洞点相关的程序调用路径。

程序切片模块：负责对路径构建模块中获取的路径进行程序切片，切分出所有与特征变量相关的语句。

数据流分析模块：负责对程序切片模块获取的切片后的路径进行数据流分析，追踪特征变量的取值，获取被操作文件句柄的文件类型、文件内容来源和文件存储路径信息。

漏洞检测模块：负责使用不安全存储漏洞检测方法来对数据流分析中获取的信息进行检测判断，生成相应的漏洞检测信息。

漏洞报告模块：负责把漏洞检测模块检测出的漏洞信息生成形式化的升级包存储安全漏洞报告。

Claims (8)

1.一种Android应用升级包本地存储安全性检测方法，包括如下步骤：

1）对待检测Android应用进行反编译操作，获取该应用的字节码文件，这些字节码文件存放该应用程序所有的功能代码；

2）对步骤1）中获取的字节码文件进行解析，对该Android应用程序进行建模分析；分析所有的字节码文件，从中获取到该应用中所有方法调用关系、方法内控制流信息和系统函数调用，保存这些信息；

3）使用升级包存储特征规则标记出待检测应用中所有需要检测的特征变量和疑似漏洞点；

4）将步骤3）中获取到的疑似漏洞点作为漏洞检测的入口点，结合步骤2）中存储的方法调用信息，构建出与该检测点相关的所有的执行路径信息；

5）遍历步骤4）中每一条构建的路径，对其进行程序切片，切分出所有与特征变量相关的语句；

6）对步骤5）中切片的语句进行逆向数据流分析，使用不安全存储漏洞检测方法来对升级包存储的安全性进行判断，将检测结果保存下来；

7）当步骤4）中所有的疑似漏洞点已经全部完成分析，使用检测中保存的信息来生成相应的漏洞检测报告。

2.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：在步骤1）中，使用现有的Android应用程序逆向分析技术将待检测的应用程序进行逆向处理，将Android应用程序代码逻辑还原为字节码文件。

3.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：所述的方法调用关系包含直接调用关系和间接调用关系；直接调用关系直接从字节码中查找到，间接调用关系包含Android应用事件处理函数调用、Handler消息传递函数调用和异步任务函数调用。

4.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：所述的升级包存储特征规则是标记出字节码中存在的所有文件输出流的关键API和该API操作的参数，其中关键API为文件写操作；具体标记步骤如下：遍历逆向处理得到的字节码文件，将所有文件输出流的对象创建的关键API作为疑似漏洞点，从该疑似漏洞点中获取到所操作文件句柄作为特征变量。

5.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：所述的执行路径信息是能够执行到该检测点的所有程序路径信息，可表现为字节码中的语句序列。

6.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：所述的程序切片的过程是选取步骤3）中获取到的特征变量作为切片的源头，将该路径信息中所有和源头变量相关的指令全部取出，其中指令包含变量赋值、变量初始化、计算。

7.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：所述的逆向数据流分析的过程是遍历字节码代码和漏洞检测同时进行的过程；遍历代码的过程对字节码语句指令语义进行分析，获取文件类型和文件内容来源；其中数据流分析方法包含污点分析方法、符号执行方法。

8.根据权利要求1所述的Android应用升级包本地存储安全性检测方法，其特征在于：所述的不安全存储漏洞检测方法包括如下步骤：

判断文件句柄操作的文件类型是否为Android应用安装包类型，仅当是应用安装包

类型才继续检测；

判断文件内容来源是否是从网络下载，仅当文件数据是通过网络下载才继续检测；

其中网络下载操作包括TCP网络访问操作和HTTP网络访问操作；

3）仅当步骤1）和步骤2）都满足时，判断文件存储路径是否可以被其他应用程序访问，从而得出是否存在升级包不安全存储漏洞。