CN109145603A - 一种基于信息流的Android隐私泄露行为检测方法和技术 - Google Patents

Abstract

本发明公开了一种基于信息流的Android隐私泄露行为检测方法及系统，方法为：1）从资源文件和Dex文件提取组件，权限，意图过滤器信息，生成过程内，过程间控制流图；2）分析应用程序的回调序列，构建CCFG（回调函数控制流图），并利用静态污点跟踪分析ICFG和CCFG检查潜在隐私泄露路径；3）通过在定制的沙箱中HOOK关键API，提取跨组件通信的上下文和属性值，优化静态分析构建的隐私信息流；4）运行程序进行动态污点跟踪分析，获取隐私信息流向的路径，同时提取所述路径上下文；5）根据监控日志和污点跟踪分析产生的隐私泄露路径，结合上下文信息去除冗余或添加新的隐私泄露路径；6）使用一般信息熵方法和可视化聚类方法对隐私信息泄露进行量化分析。

Description

一种基于信息流的Android隐私泄露行为检测方法和技术

技术领域

本发明涉及一种基于信息流分析的Android隐私信息泄露行为检测方法和技术，属于移动安全隐私泄露行为检测技术及系统。

背景技术

由于无线网络和移动应用程序的兴起，移动设备的更新换代速度加快, 拥有特定功能的应用程序数量急剧增加。在移动生态系统中，几乎用户需要的所有东西都有对应的应用程序，由于市场门槛较低，吸引大量的开发人员甚至是别有动机的黑客。Android系统通过Binder完成进程间的数据共享，同时使用权限弹出框将应用程序申请的权限显示给用户，由于Android系统的开源特性和越来越多的第三方应用市场出现，Android系统上的恶意软件数量呈现爆炸式增长。

随着Android操作系统的发布，数百万的应用程序在应用市场发布，智能手机成为个人敏感信息无处不在的来源，应用程序在用户隐私方面的操作成为研究的热点。存储在移动设备中的个人信息可能被无意或有意泄露给第三方。如今的移动设备比功能强大的计算机相比拥有更多地计算能力，它允许用户进行网页浏览、发送和接收电子邮件、浏览社交网络、玩大型游戏、制作视频和音频通话、拍摄高质量的图片或视频等许多活动，为满足这种日益普及的需求，Google官方市场、豌豆荚、91助手等Android应用厂商已经在应用商店中投入数百万的应用程序。

截至目前，Android系统已经占据移动设备终端第一的市场份额。根据Android软件年度专题报告中国互联网安全报告2017年，360截获截获Android平台新增恶意软件样本757.3万个，相比于2016下降46.0%，显示了移动恶意软件总体进入平稳高发期。

大量的应用程序产生和存储用户的隐私信息，但是攻击者同样对这些隐私信息感兴趣，从而会危害用户的隐私。近年来，Android恶意软件利用Android系统的漏洞或运行在手机上的应用程序实施恶意攻击，由于Android中基于权限的敏感数据访问控制还不足以保护隐私信息的滥用。因此，正确识别哪个应用程序构成威胁是一个主要问题。

现有解决方案包括静态分析和动态执行监控，静态分析扫描字节码或源代码来检查敏感的隐私泄露路径。但是，静态分析不执行应用程序监控动态运行特征。而且，恶意软件往往被严重混淆以阻止静态分析。在这方面，动态分析在检测恶意行为时效果更好，因为动态分析监控程序的运行时行为。但是现有的动态分析技术需要构建良好的模拟事件，容易出现程序中断，最新的恶意软件已经能够很好的检测出运行时环境为虚拟机，这些都给动态分析带来限制。

所以，更全面的检测出Android系统下的隐私信息泄露，对于用户的隐私信息保护和财产安全以及加强移动互联网的健康生态环境具有重要的意义。

发明内容

本发明的目的在于改善现有检测方法的误报率高等弱点，提供一种基于信息流分析的Android隐私信息泄露行为检测方法和检测系统，采用了一种动静结合的分析检测方法，充分结合静态分析和动态分析的优势，可以实现较高的代码覆盖率，同时可以处理代码中的动态特征，并且该检测方案针对性很强，所以其检测的准确率也较基于传统隐私信息泄露行为检测技术的安全软件高，为了评估应用程序隐私信息泄露的严重程度和未来趋势，采用基于主观价值和组合信息的信息熵模型以及可视化聚类分析。

本发明从资源文件和Dex文件提取组件，权限，意图过滤器信息，生成过程内，过程间控制流图；根据组件的生命周期回调和事件处理程序回调序列，在应用程序的控制流图上添加可达的回调边缘；通过污点跟踪分析ICFG，CCFG，生成隐私信息泄露相关的窃取行为；通过API HOOK提组件通信和文件通信的属性值，完善静态分析的基本行为模型；在定制的沙箱中用事件驱动分析隐私信息传输行为，识别动态特性造成的隐私泄露行为；研究Android应用隐私泄露行为的描述方法，对Android应用隐私泄露行为进行量化分析。

具体来说，本发明的技术方案如下。

a) 从资源文件和Dex文件提取组件，权限，意图过滤器信息，生成过程内，过程间控制流图。

b) 分析应用程序的回调序列，构建CCFG（回调函数控制流图），并利用静态污点跟踪分析ICFG（组件控制流图）和CCFG，检查潜在隐私泄露路径。

c) 通过在定制的沙箱中HOOK关键API，提取跨组件通信的上下文和属性值，优化静态分析构建的隐私信息流。

d) 运行程序进行动态污点跟踪分析，获取程序内和程序间隐私信息流向的路径，同时提取所述路径上的上下文。

e) 根据监控日志和污点跟踪分析产生的隐私泄露路径，结合上下文信息去除冗余或添加新的隐私泄露路径。

f) 使用一般信息熵方法和可视化聚类方法对隐私信息泄露进行量化分析，评定隐私泄露程度和趋势。

进一步的，步骤a通过Apktool将应用程序反汇编并利用dex2jar生成java文件，静态分析资源文件，获取组件通信的过滤规则和对应的权限，阅读源代码提取对应组件的意图信息，包括data，action，category和Extras，静态分析使用字符串常量传播解析属性值。

进一步的，步骤b论文使用Soot工具将Dalvik指令先转换为Jimple中间表示，静态分析生成的Jimple中间表示，提取应用程序的组件内控制流图，然后，将组件通信序列和回调序列的可达边缘添加到应用程序的控制流图中，最后，利用优化的FlowDroid分析应用程序的控制流图，检测组件通信和事件驱动的回调函数造成的隐私泄露。

进一步的，步骤c根据静态构造的组件通信链路信息，对Android组件调用的关键API插桩，解析通过字符串混淆和动态加载技术的组件通信属性值，完善静态分析中基本行为模型的上下文信息。

进一步的，步骤d利用优化的动态污点跟踪工具TaintDroid的分析结果，获取隐私泄露行为相关的敏感执行路径和上下文信息。

进一步的，步骤e通过静态和动态污点跟踪分析，获取隐私信息传输相关的敏感执行路径，利用CmpsLogs，IntentsLogs，IfltrsLogs，PermsLogs日志，完善隐私信息泄露行为的可执行路径。

进一步的，步骤f构建Android系统的隐私信息熵模型，基于用户主观价值和组合信息熵评估应用程序的隐私泄露程度，根据可视化聚类FreeViz研究应用隐私窃取信息的类型，评估应用的隐私泄露趋势。

本发明的优点是：1. 提出一种动静结合的方法提取应用程序的行为模型，可以实现较高的代码覆盖率，同时可以处理代码中的动态特征，充分结合静态分析和动态分析方法的优势；2. 运用组件间控制流图ICFG扩大隐私信息泄露的范围，同时对用户事件驱动的组件中的回调进行控制流CCFG分析，进而生成优化的上下文敏感的控制流路径，提高隐私信息泄露的检测率；3. 研究恶意软件的反分析技术并实现了一个Fuzzing的运行时环境，同时运用测试输入事件探索被测应用程序所有可能的运行时行为，保证恶意行为在运行时充分暴露；4. 研究Android应用隐私行为的描述方法，在信息熵模型的基础上，提出基于Android隐私泄露信息熵模型以及可视化聚类分析评估隐私信息泄露程度和趋势，对Android应用隐私泄露行为进行量化分析。

附图说明

图1是本发明的基于信息流分析的Android隐私信息泄露行为检测系统的架构图。

图2、3是本发明的基于信息流分析的Android隐私信息泄露行为检测系统的工作流程图。

具体实施方式

下面结合附图和实例对本发明做进一步的说明。

如图1所示，一种基于信息流分析的Android隐私信息泄露行为识别方法，其步骤如下。

控制流图构建模块基于源代码分析和Jimple中间表示，源代码中包含组件通信的方法调用参数，对应权限和意图属性，意图信息用于匹配被调用组件和隐私信息传播，为了匹配调用组件和被调用组件，利用意图信息匹配组件的过滤规则，调用组件需要对应的权限访问被调用组件，为了检测组件通信是否存在隐私信息泄露行为，本发明定义调用组件的API为Sink点，接收组件信息的API为Source，为了提高隐私信息泄露检测率，提取sharedpreferences的方法参数和调用API，构造组件通信和文件通信链路。为了检测事件驱动的回调函数造成的隐私信息泄露行为，本发明分析组件生命周期回调和事件处理程序回调，添加可达回调边缘到控制流图中。

静态污点跟踪分析模块为了扩大隐私信息泄露范围，优化FlowDroid工具，分析跨组件和事件驱动的回调函数造成的隐私信息泄露行为，判断一条CFG路径上是否同时存在Source和Sink点，则可以判定，通过该CFG路径造成从Source点到Sink点的流量携带隐私信息并在用户控制下将其发送到网络, 则将该路径报告为隐私泄露路径。

API HOOK模块监控组件通信的关键API，提取应用程序的运行时特征，为了完全暴露应用程序的恶意行为，定制Fuzzing运行时环境，并利用AndroTest工具模拟用户事件和系统事件，动态注册的广播的方法参数通过动态分析可以对抗字符串混淆和动态调用，APIHOOK解析的组件上下文信息可以完善静态分析的基本行为模型。

动态污点跟踪模块基于优化的TaintDroid工具，为了减少系统运行时开销，修改Dalvik虚拟机的栈结构，将方法调用中请求的寄存器数量加倍来扩展堆栈帧，声明的额外寄存器相邻，为了检测文件操作造成的隐私信息泄露，监控文件I/O关键API在文件写入时设置污点检查方法，TaintDroid对于数据流敏感，但是对于上下文却并不敏感，对于组件间通信是通过将序列化/反序列化包打上污点标签,而对于隐私信息的来源却无从可知，因此，如果某个特定组件的生命周期阶段正在被应用程序处理，则这个组件可以表示应用程序的当前上下文。意图是组件间通信的载体，包含data、action和两个组件之间通信的发送者和接收者。intent()构造方法、putExtra()等意图的API将会被插入hook代码，此外，还会跟踪组件间通信中使用的其它控制方法，例如用于Activity切换的startActivity()方法，用于启动服务的startActivity()/bindService()方法，用于广播发送的sendBroadcast()/sendOrderBroadcast()方法以及BroadcastReceiver类中的成员API，用于从系统事件和应用程序自定义的事件中接受广播，最后，跟踪程序执行时被污染数据的传播，并在网络出口处检测是否存在污染数据。

优化分析模块结合静态分析和动态分析产生的隐私信息泄露路径和API HOOK解析的四类日志信息，根据上下文敏感性，去除冗余或添加新的隐私信息泄露可执行路径，以Intents字段为例，应用程序的意图可以通过静态分析方法（在基本模型中）和动态分析方法（在日志文件中）来捕获。因此，当日志中的意图属性与基本模型中的意图不同时，应该决定日志中的意图是一个新的意图，还是由静态分析方法无法正确提取的现有意图。这个决策过程就是优化策略。根据这些意图的上下文作出决定，上下文被定义为发送意图的组件和方法。

隐私信息量化分析模块基于二元问题降低用户隐私信息的不确定性，模型中的隐私泄露方是用户手机中的应用程序，接收方是攻击者的服务器，隐私泄露的方式是互联网通信信道和短信信道，应用程序获取用户隐私信息的位置被称为隐私信源，在实际生活中，不同的隐私信息对用户而言，体现的价值也是有很大的不同，因此，提出主观价值的加权隐私信息熵模型。FreeViz是一种多维数据可视化的方法，该算法通过梯度优化算法在类标记数据中分离不同类的实例，并将投影数据显示在散点图中。这为论文将多类隐私信息投影在二维空间提供可行性，通过研究某一类应用程序的隐私泄露情况，可以看出某一类应用程序更偏向于泄露哪几类隐私信息。

本发明还可以进行进一步的扩展，可以通过分析其他类型的隐私信息泄露方式，将其纳入到检测范围中来。

Claims (9)

1.一种基于信息流分析的Android隐私信息泄露行为检测技术，其步骤为：

A、从资源文件和Dex文件提取组件、权限、意图过滤器信息，生成过程内、过程间控制流图；

B、分析应用程序的回调序列，构建CCFG（回调函数控制流图），并利用静态污点跟踪分析ICFG（组件控制流图）和CCFG，检查潜在隐私泄露路径；

C、通过在定制的沙箱中HOOK关键API，提取跨组件通信的上下文和属性值，优化静态分析构建的隐私信息流；

D、运行程序进行动态污点跟踪分析，获取程序内和程序间隐私信息流向的路径，同时提取所述路径上的上下文；

E、根据监控日志和污点跟踪分析产生的隐私泄露路径，结合上下文信息去除冗余或添加新的隐私泄露路径；

F、使用一般信息熵方法和可视化聚类方法对隐私信息泄露进行量化分析，评定隐私泄露程度和趋势。

2.根据权利要求1所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，所述步骤A中，通过反汇编APK文件，提取组件通信属性值、所需权限、过滤器规则、触发条件；分析其中的信息流流向，在组件内控制流图上匹配被调用组件，添加组件调用边缘，然后将控制流图所需的权限和生成的组件通信链路写入到基本行为模型日志中。

3.根据权利要求2所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，生成所述基本行为模型日志的方法为：利用Apktool和dex2jar的分析结果，获取组件匹配规则和组件调用的参数；利用优化的FlowDroid的分析结果，获取应用的可执行路径；利用API调用和相应权限的关系，获取可执行路径的所需权限；利用组件通信API对应的方法参数和过滤规则，获取跨组件，跨应用的通信链路；利用预定义的隐私调用API和网络出口，通过污点跟踪分析，获取潜在的隐私泄露路径和相关的上下文信息。

4.根据权利要求2或3所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，所述步骤B中，Android系统中上千个回调函数频繁出现在应用程序代码中，每一次Callback函数调用决定了应用程序的状态转移和交互组件，Callback函数调用对应一个控制流的回调边缘，或对应一个可执行的trigger-avoid路径；隐私泄露相关的回调函数很多，其中生命周期相关的回调函数对应四大组件的生命周期管理，GUI事件相关的回调对应于用户操作，其中每一个回调函数对应一个事件驱动，每一个事件驱动对应一次隐私信息泄露攻击；所述步骤B中，各应用程序回调序列及其上下文信息生成过程如下：

B1、首先确定待分析窗口的生命周期，事件处理程序回调节点，分支/汇聚节点；

B2、若在一系列回调函数中，含有从回调函数的入口节点到出口节点的trigger-avoid路径，如果该呼叫节点是能够被触发的，相应的返回节点可达；

B3、若在窗口中分析路径查找时，存在一条以上的trigger-avoid路径，则将生成该窗口的一条入口节点到出口节点的信息流边缘，反之，应用程序发生状态转移创建窗口销毁的信息流边缘，将产生的可执行回调函数信息流边缘加入对应应用程序的信息流路径中；

B4、针对窗口中出现的视图可能对应的事件处理程序，若窗口是一个弹出菜单，用户响应将会销毁当前窗口，反之，用户响应不会发生上下文的改变；

B5、若当前窗口能够触发事件处理程序且拥有一条以上trigger-avoid路径，事件处理程序的执行不会销毁当前窗口，创建的回调函数边缘上下文信息不变，反之，对话启动调用触发新的窗口并产生销毁当前窗口的回调边缘；

B6、添加回调函数信息流路径边缘到对应应用程序的信息流图中，尝试用污点跟踪分析应用程序的控制流序列并产生上下文敏感的隐私信息泄露路径，针对恶意代码采取的动态加载，字符串混淆等动态特性造成的隐私信息泄露，利用动态分析应用程序的运行时特征。

5.根据权利要求3或4所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，所述的步骤C通过插桩技术监控组件通信的关键API，提取组件通信，文件通信的方法调用参数和上下文，用于完善静态分析中隐私信息泄露检测中生成的应用程序基本行为模型。

6.根据权利要求1所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，所述的步骤D进一步包括如下步骤：

D1、通过修改Dalvik虚拟机的栈结构，优化当前污点跟踪的污点标签存储方式，降低系统的运行开销，预定义一系列可以获取设备资源，用户数据，系统信息，应用程序数据的API函数和网络出口API函数；

D2、将待分析样本在定制的沙箱环境中用一系列用户事件和系统事件触发应用程序的全面执行路径；

D3、在获取隐私信息的入口监控函数调用，记录调用函数的当前上下文信息并将调用的隐私信息打上污点标签，若在网络出口监控到含有污点标签的隐私信息，则生成一条该隐私信息的执行路径。

7.根据权利要求5或6所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，步骤E中所述的应用程序高级行为模型，产生的隐私信息泄露敏感路径需要以下日志信息：

E1、动态注册的广播接收器, 包括申请的权限和过滤器的值；

E2、运用混淆技术被隐藏的属性；

E3、动态注册的广播接收器的过滤器的值；

E4、动态注册的广播接收器的权限；

如果意图在同一个组件初始化并拥有相同的上下文则将用该意图完善静态分析生成的隐私信息泄露敏感路径, 如果意图与现有的隐私信息泄露敏感路径中没有相同的上下文, 则将其添加到应用程序的高级行为模型中。

8.根据权利要求7所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，跨组件隐私信息泄露行为识别的方法是：如果当前组件的意图信息Intents包含污点标记的隐私信息，通过过滤规则Ifltrs和权限Perms匹配到可被调用的组件Cmps，并最终在网络出口检测到污点标记的隐私信息；利用回调函数造成的隐私信息泄露行为识别的方法是：分析应用周期生命周期回调和事件处理程序回调，通过遍历上下文敏感的应用程序信息流可执行路径，找出能够触发回调的语句以及避免触发该语句的路径，生成事件驱动的回调函数序列，最终，利用污点跟踪方法分析回调序列产生隐私信息泄露路径。

9.根据权利要求7或8所述的一种基于信息流分析的Android隐私信息泄露行为检测技术，其特征在于，所述的隐私信息泄露行为检测系统能够通过数学方法对应用程序的隐私信息泄露行为进行量化分析；通过基于用户主观价值和组合信息的信息熵模型，可以评估应用程序的隐私泄露程度，利用可视化聚类分析，某一类应用程序更偏向于泄露哪几类隐私信息，可以评估应用程序的隐私泄露趋势。