CN110287722B - iOS应用中用于隐私条例检查的敏感权限提取方法 - Google Patents

Abstract

本发明属于信息安全技术领域，涉及一种iOS应用中用于隐私条例检查的敏感权限提取方法，包括以下步骤：下载应用到手机端，对加壳应用砸壳，将处理后的ipa包传输到pc端；对ipa包解压缩，读取应用申请的权限信息，定位可执行文件；用ida静态分析可执行文件；用文本相似度检测建立敏感API和敏感权限映射表；自动点击框架结合手工输入，收集流量信息；识别A、B、C类敏感信息；输出应用对敏感信息的使用情况；得到敏感信息与敏感权限的映射表。本发明结合静态检测与流量检测，弥补静态分析无法辨别是否由第三方调取权限的不足，又能得到应用调用的敏感API从而得到敏感权限；并构建流量敏感信息与敏感权限映射表。

Description

iOS应用中用于隐私条例检查的敏感权限提取方法

技术领域

本发明属于信息安全中的软件安全技术领域，涉及一种iOS应用中用于隐私条例检查的敏感权限提取方法，尤其涉及一种在应用调用时，且在对敏感权限和隐私条例进行一致性检查的过程中，提取iOS应用敏感权限的方法。

背景技术

目前对应用的敏感权限和隐私条例的一致性检查有一些工具。其中在对隐私条例的文本处理以及最后隐私条例与敏感权限的一致性检查上采用的方法是基本一致的。

在隐私条例分析方面，采用文本分析的方法，不止考虑了应用提供的隐私条例，同时爬取了应用的描述，综合分析应用声称其将获取的敏感权限以及将产生的敏感行为。在文本分析上，筛选处理五种语句模式，并且考虑了否定含义的词语，对隐私条例中的关键动词及其否定含义进行分析，例如：Collect、Use、Retain和Disclose这些动词。

在一致性检查上，是从通过建立敏感权限与隐私条例中的行为描述建立对照表进行比对，对于对照表中没有的内容通过ESA(Explicit Semantic Analysis显示语义分析)进行文本相似度计算来判断一致性。

但是在对应用的敏感权限或者是敏感API的提取上，工具之间还是存在不同。

以下对常见的这些软件(即工具)的不同进行简介：

PPChecker是安卓平台上检测隐私条例和应用行为一致性的工具，在分析应用行为，提取应用的敏感权限上采取的是：对应用动静态结合的方法。

PPChecker对应用进行静态分析，通过分析AndroidManifest文件，提取应用使用的敏感权限；对dex文件，分析提取代码中使用的敏感API。由于恶意软件可以使用JAVA反射机制获取安卓隐藏的 API，并获取系统内部才能够调用的API和权限，因此通过Xposed 框架和Droidbot对应用进行动态测试获得应用隐藏的API，同时判断调用API的是应用本身还是第三方库。将静态和动态的结果相结合，由敏感API和敏感权限的对应表提取出应用获取的敏感权限。

Recon是跨平台的基于流量分析的、对敏感信息泄露进行检测的工具，它主要是检测系统隐私，也就是A,B类隐私对第三方泄露的情况。Recon人工测试获取了iOS、安卓以及windows phone的流量包，通过对流量包内数据进行人工标记，整理出关键词，加上安卓动态获取的大量流量包，运用决策树模型进行机器学习，建立识别敏感数据的模型，并且结合用户的反馈对模型不断地完善，已达到检测敏感数据泄露的效果。

国内外在对应用的敏感权限的提取上提出了一些可行的分析方法，这些方法可以被我们借鉴，以对应用的敏感行为做进一步的研究。

在现有的一致性分析中，对敏感行为的分析主要是：静态分析和动态分析以及流量分析。

一、静态分析和动态分析

静态分析一般是指程序静态分析，动态分析一般是指程序动态调试技术，简单描述如下。

程序静态分析是指：在不运行代码的方式下，通过词法分析、语法分析、控制流分析和数据流分析等技术对程序代码进行扫描的代码分析技术。

对安卓应用来说，静态分析是通过对apk包进行反编译，获得应用的smali代码、AndroidManifest.xml文件和一些其他文件；然后分析代码，得到代码中调用的敏感API的信息。

针对iOS应用程序的静态检测通过对应用的ipa包进行反编译，得到应用的二进制文件以及info.plist等资源文件，其中的二进制文件是指Mach-O文件和Fat文件，由于Fat文件本质上是Mach-O文件的集合，所以静态检测主要是从Mach-O文件中提取相关信息，检测敏感方法名得到敏感API的信息。

程序动态调试技术，一般是通过观察程序在运行过程中的状态，如寄存器内容、函数执行结果和内存使用情况等等，分析函数功能，明确代码逻辑，对程序进行分析。

Android应用中常常使用Xposed框架和Droidbot对应用进行动态测试，Droidbot是基于应用UI界面的自动化测试工具，触发应用运行时的行为，找到应用调用的隐藏敏感API以及判断出API是应用自身还是第三方调用的。

iOS应用的动态检测常常通过脚本遍历UI界面中的可点击元素或者采用随机点击的方式触发应用行为，然后检测触发的API，筛选得到敏感API。

最终由动静态结合得到的敏感API结果，通过敏感API和敏感权限的对照表，对应找到应用使用的敏感权限。

二、流量分析

流量分析是通过分析应用使用过程中产生的流量，检测出应用传输的敏感信息，以便从侧面分析应用的敏感行为。

流量分析工具首先对手工抓到的数据包中的敏感数据进行标记，通过对文本处理得到特征关键词，然后在安卓平台中通过自动化测试工具跑出大规模流量数据，用之前标记的特征词标记流量，然后用机器学习中的决策树模型对流量进行训练，得到敏感信息识别的分类器，分类器可以识别出系统产生的敏感信息的流量，同时可以根据包头信息判断敏感信息是由第三方库获取还是应用自身获取。从流量中得到敏感数据的方法可以从侧面得到应用可能使用的敏感权限。

静态和动态分析结合的方法可以较为全面的分析应用调用的敏感API，尤其是对于安卓这样的开源系统；但是在iOS平台上，单纯对代码的动静态分析无法得到敏感API是由应用本身调用，还是第三方库调用的，这样就无法进一步确定应用的敏感权限是服务于应用自身，还是分享给第三方，无法详尽地与敏感条例做一致性检查。

对流量的分析弥补了静态和动态分析结合方法无法分析敏感 API是否由第三方调用的不足，但是只对流量分析存在以下缺陷：

第一，得不到应用调用的敏感API，则无法进一步了解应用使用的敏感权限；

第二，在识别流量的敏感信息时，现有采用机器学习的方法只能识别系统产生的敏感信息，对于用户输入的敏感信息无法识别；

第三，由于人工短时间的测试无法详细地测试应用的每一个节点，单纯对流量分析无法完整获取应用可能使用的敏感权限。

当前移动平台的很多应用存在着权限滥用的问题，很多应用常常申请了不必要的敏感权限，或者没有申请相应权限，但是同样在运行时，调用了敏感权限的接口。

对于应用开发者来说，很多开发人员使用了自己并不了解的第三方库，但是并不清楚第三方库调用了哪些敏感权限，也就无法写出详尽的敏感条例供用户参考。

仅对代码静态的分析并不能全面地分析出应用调用的敏感权限，同时无法判断权限是否由第三方获取，结合对流量的分析，获取应用传输的敏感数据，然后建立敏感数据传输和敏感权限的对应关系；通过黑盒检测和白盒检测相结合，全面地得到应用获取的敏感权限，为最后的一致性检测打下基础。

发明内容

针对现有技术中存在的缺陷，本发明的主要目标是为了开发一种 iOS应用中用于隐私条例检查的敏感权限提取方法，可以根据输入应用的流量数据包以及应用的ipa包来分析应用使用的敏感权限，为应用的敏感权限与隐私条例的一致性检测提供前提条件。

为达到以上目的，本发明采取的技术方案是：

一种iOS应用中用于隐私条例检查的敏感权限提取方法，主要步骤如下：

1)下载需要检测的应用到已越狱的手机端，使用frida对加壳的应用进行砸壳处理，并将处理之后的ipa包传输到pc端，配置好ipa 包的路径；

2)对ipa包解压缩之后，读取info.plist文件中应用申请的权限信息，定位可执行文件；

3)将步骤2)中得到的可执行文件用ida进行静态分析，遍历规则文件中的每个方法，对于静态函数，直接用交叉引用功能查看函数在哪里被引用；对于OC方法，搜索方法名字符串和selector，然后查找哪些地址引用了此字符串或者selector，以查找方法调用，将找到的关键函数(敏感API)记录出来；

4)通过文本的相似度检测建立敏感API和敏感权限的映射表，对于映射表上无法找到对应关系的敏感API，采取ESA文本相似度检测的方法，当相似度超过给定阈值，则认为找到了该敏感API对应的敏感权限；

5)开始流量测试，配置网络代理，开始使用要检测的应用，通过半自动化操作，自动点击框架(网上有很多开源的点击框架，可以根据需求选择)结合手工输入个人信息，收集应用的流量信息，作为输入；

6)构建A、B类隐私分类器，使用A、B类隐私分类器对流量中泄露的A、B类敏感信息进行辨别，并且识别出所述A、B类敏感信息是第三方库获取的还是应用本身获取的，对于C类隐私，通过文本匹配的方法检测C类敏感信息是否分享给了第三方库；

7)输出应用对每类敏感信息的使用情况；

8)得到流量数据中敏感信息与敏感权限之间的映射表。

在上述技术方案的基础上，在所述步骤5)中，使用fiddler捕获所有的ip流量包，然后过滤出需要的http的包，http的包再通过手机中安装的SSL Kill Switch 2插件得到解密数据；SSL Kill Switch 2是通过在Secure Transport API中修补特定的低级别SSL功能，以覆盖并禁用系统的默认证书验证以及任何类型的自定义证书验证。

并通过对ip流量包中包内字段“domain”、“HOST”以及“USER-AGENT”的对比判断，筛选出发送给第三方库的流量包，作为输出。

在上述技术方案的基础上，所述敏感信息包括通讯录、地理位置、邮箱和家庭地址等。

在上述技术方案的基础上，步骤6)中所述C类敏感信息是指：用户输入的特殊数据；

由于针对的是用户输入的特殊数据，所以采用最简单的文本匹配的方法办法，满足应用所需要的所有权限；

通过控制用户输入的特殊数据，然后去流量数据中匹配特定的字符串，则得到应用对C类敏感信息的使用情况；

所述C类敏感信息包括：个人基本信息和银行卡交易信息等。

在上述技术方案的基础上，步骤6)中构建A、B类隐私分类器的具体步骤如下：

首先通过对文本的处理找到每类敏感信息对应的特征词，文本处理采用NLTK或Standford NLP进行预处理和分词，由于流量包的特殊性，需要过滤掉一类词(即去除此类词)，由于敏感信息的泄露往往不止一次，所以通过设定阈值，筛选掉出现频率过低的词(即去除出现频率过低的词)，结合人工选择，确定一批A，B类敏感信息的特征词；

所述一类词包括：“content-length”和“en-us”；

随后对流量包的数据进行标记，然后借助开源的数据分析平台 KNIME训练分类器，训练时使用10倍交叉验证的方法，选取数据中的9/10训练分类器，用剩下的1/10数据检验分类器的准确性；由上一步得到的特征词对每一段流量流进行0，1标记，然后输入训练器进行训练，得到A、B类隐私分类器。

在上述技术方案的基础上，通过对比使用NLTK自带的regexp 模块和word_tokenize函数与Standford NLP带有的 standford-posttagger模块进行分词，其中standford-posttagger的分词效果最为理想。

在上述技术方案的基础上，所述KNIME支持决策树、贝叶斯聚类、规则推导、神经网络等方法，因为敏感信息往往是结构化的数据 (例如：device_id：xxxx)。

在上述技术方案的基础上，所述KNIME支持的决策树使用C4.5 决策树中的J48算法训练分类器。

在上述技术方案的基础上，步骤8)中所述的敏感信息与敏感权限之间的映射表是通过大量的实验数据结合苹果官方开发文档获得，通过XML表进行配置，并且可扩充。

在上述技术方案的基础上，步骤8)中所述敏感信息与敏感权限之间的映射表包括：流量中检测到的设备号、系统版本、设备型号等信息对应的READ_PHONE_STATE_DEVICE。

本发明的有益技术效果如下：

(1)结合静态分析与流量分析提取应用敏感权限

以往的研究方法利用纯白盒测试，针对代码提取敏感API，找到应用使用的敏感权限，这样往往不知道权限是由谁使用的；或者通过对流量的分析，利用纯黑盒操作，只从应用输出的数据分析应用行为，由于短期测试的不完全，无法遍历操作应用的每个功能，无法全面地得到应用获取的敏感权限。

本发明将静态检测与流量检测相结合，弥补了静态分析无法辨别是否由第三方调取权限的不足，又能够尽可能完全地得到应用调用的敏感API从而得到敏感权限。

(2)构建流量敏感信息与敏感权限的映射表

之前的研究只判断了流量中是否存在敏感信息泄露的问题，但是没有总结出流量中敏感信息和应用敏感权限的对应关系，基于流量中的敏感信息总结出敏感信息和敏感权限的对应表。

附图说明

本发明有如下附图：

图1本发明所述方法的流程示意图。

具体实施方式

以下结合附图对本发明做进一步详细说明。

如图1所示，本发明所述的iOS应用中用于隐私条例检查的敏感权限提取方法，主要步骤如下：

1)下载需要检测的应用到已越狱的手机端，使用frida对加壳的应用进行砸壳处理，并将处理之后的ipa包传输到pc端，配置好ipa 包的路径；

2)对ipa包解压缩之后，读取info.plist文件中应用申请的权限信息，定位可执行文件；

3)将步骤2)中得到的可执行文件用ida进行静态分析，遍历规则文件中的每个方法，对于静态函数，直接用交叉引用功能查看函数在哪里被引用；对于OC方法，搜索方法名字符串和selector，然后查找哪些地址引用了此字符串或者selector，以查找方法调用，将找到的关键函数(敏感API)记录出来；

4)通过文本的相似度检测建立敏感API和敏感权限的映射表，对于映射表上无法找到对应关系的敏感API，采取ESA文本相似度检测的方法，当相似度超过给定阈值，则认为找到了该敏感API对应的敏感权限；

5)开始流量测试，配置网络代理，开始使用要检测的应用，通过半自动化操作，自动点击框架(网上有很多开源的点击框架，可以根据需求选择)结合手工输入个人信息，收集应用的流量信息，作为输入；

6)构建A、B类隐私分类器，使用A、B类隐私分类器对流量中泄露的A、B类敏感信息进行辨别，并且识别出所述A、B类敏感信息是第三方库获取的还是应用本身获取的，对于C类隐私，通过文本匹配的方法检测C类敏感信息是否分享给了第三方库；

7)输出应用对每类敏感信息的使用情况；

8)得到流量数据中敏感信息与敏感权限之间的映射表。

在上述技术方案的基础上，在所述步骤5)中，使用fiddler捕获所有的ip流量包，然后过滤出需要的http的包，http的包再通过手机中安装的SSL Kill Switch 2插件得到解密数据；SSL Kill Switch 2是通过在Secure Transport API中修补特定的低级别SSL功能，以覆盖并禁用系统的默认证书验证以及任何类型的自定义证书验证。

并通过对ip流量包中包内字段“domain”、“HOST”以及“USER-AGENT”的对比判断，筛选出发送给第三方库的流量包，作为输出。

在上述技术方案的基础上，所述敏感信息包括通讯录、地理位置、邮箱和家庭地址等。

在上述技术方案的基础上，步骤6)中所述C类敏感信息是指：用户输入的特殊数据；

由于针对的是用户输入的特殊数据，所以采用最简单的文本匹配的方法办法，满足应用所需要的所有权限；

通过控制用户输入的特殊数据，然后去流量数据中匹配特定的字符串，则得到应用对C类敏感信息的使用情况；

所述C类敏感信息包括：个人基本信息和银行卡交易信息等。

在上述技术方案的基础上，步骤6)中构建A、B类隐私分类器的具体步骤如下：

首先通过对文本的处理找到每类敏感信息对应的特征词，文本处理采用NLTK或Standford NLP进行预处理和分词，由于流量包的特殊性，需要过滤掉一类词(即去除此类词)，由于敏感信息的泄露往往不止一次，所以通过设定阈值，筛选掉出现频率过低的词(即去除出现频率过低的词)，结合人工选择，确定一批A，B类敏感信息的特征词；

所述一类词包括：“content-length”和“en-us”；

随后对流量包的数据进行标记，然后借助开源的数据分析平台 KNIME训练分类器，训练时使用10倍交叉验证的方法，选取数据中的9/10训练分类器，用剩下的1/10数据检验分类器的准确性；由上一步得到的特征词对每一段流量流进行0，1标记，然后输入训练器进行训练，得到A、B类隐私分类器。

在上述技术方案的基础上，通过对比使用NLTK自带的regexp 模块和word_tokenize函数与Standford NLP带有的 standford-posttagger模块进行分词，其中standford-posttagger的分词效果最为理想。

在上述技术方案的基础上，所述KNIME支持决策树、贝叶斯聚类、规则推导、神经网络等方法，因为敏感信息往往是结构化的数据 (例如：device_id：xxxx)。

在上述技术方案的基础上，所述KNIME支持的决策树使用C4.5 决策树中的J48算法训练分类器。

在上述技术方案的基础上，步骤8)中所述的敏感信息与敏感权限之间的映射表是通过大量的实验数据结合苹果官方开发文档获得，通过XML表进行配置，并且可扩充。

在上述技术方案的基础上，步骤8)中所述敏感信息与敏感权限之间的映射表包括：流量中检测到的设备号、系统版本、设备型号等信息对应的READ_PHONE_STATE_DEVICE。

本发明要保护的技术关键点如下：

可扩充的流量敏感信息和应用敏感权限的映射表。

流量中的敏感信息与应用的敏感权限的对应表是通过不断的实验总结出来的，可以通过XML表进行配置的，所以本发明支持的检测的流量敏感信息和应用敏感权限映射表是可扩充的。

对流量中A,B,C类敏感信息的分类分析。

大部分对应用隐私泄露的分析，都是单一地对泄露的A,B类敏感信息进行检测，或者单一地对C类敏感信息的泄露检测，本发明结合现有技术针对三类隐私信息的不同特点，对A，B类敏感信息采用分类器分类，对于C类敏感信息采用关键词匹配进行检测，全面地对三类敏感信息的泄露进行检测。

以上所述仅为本发明的优选实施例，而不是全部实施例。凡是利用本发明说明书及附图内容所做的等效结构或流程变换，或直接或间接运用在其它相关的技术领域，均同理包括在本发明的专利保护范围内。

本说明书中未做详细描述的内容属于本领域专业技术人员公知的现有技术。

Claims (8)

1.一种iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于，包括以下步骤：

1)下载需要检测的应用到已越狱的手机端，使用frida对加壳的应用进行砸壳处理，并将处理之后的ipa包传输到pc端，配置好ipa包的路径；

2)对ipa包解压缩之后，读取info.plist文件中应用申请的权限信息，定位可执行文件；

3)将步骤2)中得到的可执行文件用ida进行静态分析，遍历规则文件中的每个方法，对于静态函数，直接用交叉引用功能查看函数在哪里被引用；对于OC方法，搜索方法名字符串和selector，然后查找哪些地址引用了此字符串或者selector，以查找方法调用，将找到的关键函数记录出来；

4)通过文本的相似度检测建立敏感API和敏感权限的映射表，对于映射表上无法找到对应关系的敏感API，采取ESA文本相似度检测的方法，当相似度超过给定阈值，则找到了该敏感API对应的敏感权限；

5)开始流量测试，配置网络代理，开始使用要检测的应用，通过半自动化操作，自动点击框架结合手工输入个人信息，收集应用的流量信息，作为输入；

6)构建A、B类隐私分类器，使用A、B类隐私分类器对流量中泄露的A、B类敏感信息进行辨别，并且识别出所述A、B类敏感信息是第三方库获取的还是应用本身获取的，对于C类隐私，通过文本匹配的方法检测C类敏感信息是否分享给了第三方库；

7)输出应用对每类敏感信息的使用情况；

8)得到流量数据中敏感信息与敏感权限之间的映射表；

步骤6)中构建A、B类隐私分类器的具体步骤如下：

首先通过对文本的处理找到每类敏感信息对应的特征词，文本处理采用NLTK或Standford NLP进行预处理和分词，由于流量包的特殊性，需要过滤掉一类词，由于敏感信息的泄露往往不止一次，所以通过设定阈值，筛选掉出现频率过低的词，结合人工选择，确定一批A，B类敏感信息的特征词；

所述一类词包括：“content-length”和“en-us”；

随后对流量包的数据进行标记，然后借助开源的数据分析平台KNIME训练分类器，训练时使用10倍交叉验证的方法，选取数据中的9/10训练分类器，用剩下的1/10数据检验分类器的准确性；由上一步得到的特征词对每一段流量流进行0，1标记，然后输入训练器进行训练，得到A、B类隐私分类器。

2.如权利要求1所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：在步骤5)中，使用fiddler捕获所有的ip流量包，然后过滤出需要的http的包，http的包再通过手机中安装的SSL Kill Switch 2插件得到解密数据；

并通过对ip流量包中包内字段“domain”、“HOST”以及“USER-AGENT”的对比判断，筛选出发送给第三方库的流量包，作为输出。

3.如权利要求1所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：所述敏感信息包括通讯录、地理位置、邮箱和家庭地址。

4.如权利要求1所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：步骤6)中所述C类敏感信息是指：用户输入的特殊数据；

通过控制用户输入的特殊数据，然后去流量数据中匹配特定的字符串，则得到应用对C类敏感信息的使用情况；

所述C类敏感信息包括：个人基本信息和银行卡交易信息。

5.如权利要求1所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：所述KNIME支持决策树、贝叶斯聚类、规则推导、神经网络方法。

6.如权利要求5所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：所述KNIME支持的决策树使用C4.5决策树中的J48算法训练分类器。

7.如权利要求1所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：步骤8)中所述的敏感信息与敏感权限之间的映射表是通过实验数据结合苹果官方开发文档获得，通过XML表进行配置。

8.如权利要求1或7所述iOS应用中用于隐私条例检查的敏感权限提取方法，其特征在于：步骤8)中所述敏感信息与敏感权限之间的映射表包括：流量中检测到的设备号、系统版本、设备型号信息对应的READ_PHONE_STATE_DEVICE。

Images