CN112541179A - 一种Android应用数字证书校验漏洞检测系统及方法 - Google Patents

Abstract

本发明属于Android终端的应用软件检测领域，具体涉及一种Android应用的数字证书校验漏洞检测系统及方法，该系统包括静态检测模块、动态检测模块以及中间人代理模块；静态检测模块用于根据漏洞应用的静态代码特征发现潜在有数字证书校验漏洞的应用；动态检测模块用于动态执行应用触发漏洞代码；中间人代理模块用于发起中间人攻击，尝试解密HTTPS流量，以确认应用是否真正有数字证书校验漏洞，该方法通过使用动态检测与静态检测相结合的方式，弥补了单一使用静态检测造成误报的不足、单一使用动态检测造成的效率低下的不足，实现了对应用有效的检测，解决了人工审核面临的效率低下、对大规模市场级应用检测的成本高等问题。

Description

一种Android应用数字证书校验漏洞检测系统及方法

技术领域

本发明属于Android终端的应用软件检测领域，具体涉及一种Android应用的数字证书校验漏洞检测系统及方法。

背景技术

SSL协议是为了保护用户的通信安全，确保用户的隐私与信息安全传输，它是在HTTP协议的基础上添加的一层安全协议，该协议在通信进行前会通过数字证书等方式协商加密秘钥，同时保证协商的过程不会被中间人窃听。在该协议运行完成之后，双方通信过程会以加密的方式进行。在SSL协议的通信过程中，对数字证书的校验是保证协议安全的重要环节，如果客户端没有校验证书就可能被中间人攻击。

静态检测主要是通过对代码的扫描来发现程序的安全性问题。在扫描过程中，根据其函数的实现、调用关系以及一些代码特征来判定软件是否有漏洞。静态检测主要有两类方法确定软件应用的质量问题，一类是通过机器学习与深度学习的方法来提取应用的静态特征来检测，另一类是直接根据代码的特征进行字符串匹配。静态检测对目标问题的检测效率高，但是一些软件应用的行为难以在静态检测中体现出来，而且静态检测的结果在有些情况下未必完全正确。

动态检测依赖于对软件应用的用户界面自动化运行，通过自动化执行应用观察执行过程中的应用表现以及辅以其它检测手段，来对目标软件进行检测。动态检测主要有两类方法确定软件的质量问题，一类是通过随机的触发点击、长按等事件，收集足够多的运行日志来综合研判应用的质量问题，这类方法的实现简单，但是不能保证对应用的全部方面都执行到。另一类是全面遍历一个软件应用，对执行过程中的每一个控件进行标记，最终实现全部都能执行到的目的，这类方法实现较为复杂，耗费的时间成本也比较大，但是可以确保应用的全部功能都能被执行到。

当前已有一些软件在Android应用的数字证书校验问题上做了开发，但是这些方法在静态检测上主要针对特定某一种或者某几种类型的代码，这些工作定义的漏洞代码不够全面，不能一次检测到全部类型的漏洞代码；在动态检测上，有一些工作致力于动态运行应用，但是这些检测大部分直接启动了Activity，容易造成应用程序崩溃。同时，单一使用静态检测容易造成漏报，单一的动态检测效率很低，且较为复杂，耗费的时间成本也比较大。

公告号为：CN103984900B的发明专利，公开了一种Android应用漏洞检测方法，包括：步骤一、通过分析待检测Android应用的Content Provider接口特征，判断其是否可能存在隐私泄露漏洞；步骤二、如果可能存在，针对可能存在隐私泄露漏洞的待检测Android应用，通过对Android系统中相关API函数的监控，对待检测Android应用的公开可访问URI进行SQL注入漏洞测试和路径遍历漏洞测试，检测被动数据泄露安全风险。该专利还提供一种Android应用漏洞检测系统。上述方法和系统能够基于动态测试执行效果来快速发现Android应用中确定存在的隐私泄露和数据污染漏洞，单一的动态检测效率很低，

公布号为CN107368741A的发明专利公开了一种基于静态分析的Android应用中的JavaScript安全漏洞检测方法，使用Soot工具对Android应用中的APK文件进行反编译，获得Jimple字节码；对Jimple字节码进行分析，判断所述Android应用的JavaScript使用模式；根据所述JavaScript使用模式判断所述Android应用是否存在JavaScript安全漏洞；该方法仅仅使用静态分析，其工作定义的漏洞代码不够全面，不能一次检测到全部类型的漏洞代码，且单一使用静态检测容易造成漏报。

因此开发一种基于静态检测与动态检测相结合的Android应用数字证书校验漏洞检测方法有重要现实意义。

发明内容

本发明的目的在于针对现有技术中存在的问题提供Android应用数字证书校验漏洞检测系统及方法，该方法通过使用动态检测与静态检测相结合的方式，弥补了单一使用静态检测造成的误报的不足，也弥补了单一使用动态检测造成的效率低下的不足，实现了对应用有效的检测，改善了人工审核面临的效率低下、对大规模市场级应用检测的成本高等问题。

本发明的技术方案是：

一种Android应用数字证书校验漏洞检测系统，包括静态检测模块、动态检测模块以及中间人代理模块；

所述静态检测模块用于根据漏洞应用的静态代码特征发现潜在有数字证书校验漏洞的应用；

所述动态检测模块用于动态执行应用触发漏洞代码；

所述中间人代理模块用于发起中间人攻击，尝试解密HTTPS流量，以确认应用是否真正有数字证书校验漏洞。

具体的，所述的静态检测模块包括：

Android应用反编译单元：用于对应用进行解压获取应用的Smali代码；

漏洞代码分析单元：用于扫描应用是否包含有漏洞代码；

代码调用分析单元：用于分析漏洞代码在应用中的调用关系；

控件调用分析单元：用于分析漏洞代码在应用中的触发路径以及条件。

具体的，所述的动态检测模块包括：

运行设备管理单元：用于在运行过程中监测并管理设备的状态；

自动化运行单元：根据静态检测提供的引导条件动态执行Android应用。

具体的，所述的中间人代理模块包括：

代理单元：用于代理Android应用的流量，尝试解密HTTPS通信的流量；

流量分析单元：用于关联可解密流量与动态执行阶段的Android应用。

具体的，所述的代码调用分析单元通过构建函数调用图的方式进行递归分析，对解压以后的代码分析，代码中的每一个方法都是函数调用图中的一个节点，当两个函数有调用关系时，它们之间联通；进行方法调用分析时，当于从漏洞代码处开始进行遍历寻找到仅被系统调用到的方法。

具体的，所述的控件调用分析单元通过构建Activity调用图的方式进行递归分析，对解压以后的Activity进行分析，其中的每一个Activity都是Activity调用图的一个节点，当两个Activity有调用关系时，它们之间联通，联通的条件即为跳转条件，进行Activity调用分析时，相当于从有漏洞的Activity处开始遍历寻找到Android应用的入口Activity。

具体的，所述的运行设备管理单元对多个客户端同时运行多台设备的管理调度，通过线程池的方式将客户端的设备分别放入运行时线程池以及准备线程池，当准备线程池有设备时，将应用安装到设备并将其放入运行线程池，当运行线程池中的设备正常结束或者崩溃时，将其放入准备线程池，实现对设备的并发管理。

使用如上所述的一种Android应用数字证书校验漏洞检测系统的方法，包括

如下步骤：

S1.解压获得应用的Smali代码，并进行代码的函数调用分析，得到漏洞代码的调用点；

S2.对应用的Smali代码进行Activity的调用分析，得到触发漏洞的控件位置与触发条件形成Activity执行链；

S3.在执行链的引导下进行动态运行Android应用，同时将流量代理到中间人攻击工具上；

S4.对中间人攻击工具上的流量进行分析，能够成功解密的流量判定为漏洞应用发起的通信请求，否则无漏洞；

S5.通过关联分析，将可解密流量与应用相关联分析，判定有漏洞的Android应用。

本发明的有益效果是：Android应用数字证书校验漏洞检测系统包括有静态检测模块、动态检测模块以及中间人代理模块；主要实现方法是定义漏洞代码的特征并根据特征定位漏洞代码的位置，追踪漏洞代码的执行过程为动态分析提供引导，进行动态分析并且捕获流量进行分析，通过此方法最终确定有证书校验漏洞的应用。本发明使用了静态检测与动态检测相结合的方式，可以避免传统的仅仅通过扫描代码确定漏洞应用造成的误报，弥补了单一使用静态检测的不足，达到了比传统方法更准确的识别率与更低的误报率，通过自动化的识别方法改善了人工审核效率低、成本高的问题。本发明可以用于软件市场的自动化审核与开发过程中对应用的检测，通过检测报告的形式给出其中的风险预警。

附图说明

图1是实施例1使用本发明对一种移动终端应用的分类和检测方法的处理流程图示意图。

具体实施方式

下面结合附图及具体实施方式对本发明的技术方案进行详细的描述。

一种Android应用数字证书校验漏洞检测系统，包括静态检测模块、动态检测模块以及中间人代理模块；

所述静态检测模块用于根据漏洞应用的静态代码特征发现潜在有数字证书校验漏洞的应用；所述的静态检测模块包括：Android应用反编译单元：用于对应用进行解压获取应用的Smali代码；漏洞代码分析单元：用于扫描应用是否包含有漏洞代码；代码调用分析单元：用于分析漏洞代码在应用中的调用关系；控件调用分析单元：用于分析漏洞代码在应用中的触发路径以及条件。

所述动态检测模块用于动态执行应用触发漏洞代码；所述的动态检测模块包括：运行设备管理单元：用于在运行过程中监测并管理设备的状态；自动化运行单元：根据静态检测提供的引导条件动态执行Android应用。

所述中间人代理模块用于发起中间人攻击，尝试解密HTTPS流量，以确认应用是否真正有数字证书校验漏洞，所述的中间人代理模块包括：代理单元：用于代理Android应用的流量，尝试解密HTTPS通信的流量；流量分析单元：用于关联可解密流量与动态执行阶段的Android应用。

其中，所述的代码调用分析单元通过构建函数调用图的方式进行递归分析，对解压以后的代码分析，代码中的每一个方法都是函数调用图中的一个节点，当两个函数有调用关系时，它们之间联通；进行方法调用分析时，当于从漏洞代码处开始进行遍历寻找到仅被系统调用到的方法。

所述的控件调用分析单元通过构建Activity调用图的方式进行递归分析，对解压以后的Activity进行分析，其中的每一个Activity都是Activity调用图的一个节点，当两个Activity有调用关系时，它们之间联通，联通的条件即为跳转条件，进行Activity调用分析时，相当于从有漏洞的Activity处开始遍历寻找到Android应用的入口Activity。所述的运行设备管理单元对多个客户端同时运行多台设备的管理调度，通过线程池的方式将客户端的设备分别放入运行时线程池以及准备线程池，当准备线程池有设备时，将应用安装到设备并将其放入运行线程池，当运行线程池中的设备正常结束或者崩溃时，将其放入准备线程池，实现对设备的并发管理。

使用如上所述的一种Android应用数字证书校验漏洞检测系统的方法，包括如下步骤：S1. 解压获得应用的Smali代码，并进行代码的函数调用分析，得到漏洞代码的调用点；本步骤选择直接分析应用的Smali代码，Smali代码的反汇编难度小、成功率高而且速度快。定义了漏洞代码的特征，这些特征在下表1中说明。在定义了漏洞代码的特征以后，遍历Smali代码将其中的所有方法提取出来，作为函数调用图的节点，同时提取函数的调用关系作为函数调用图的边。在构建好函数调用图以后，将包含漏洞代码的节点标记出来，并从这些节点开始依次遍历这些函数的调用者，直到某个方法没有被应用的其它代码调用。此即为漏洞代码最终被执行的位置。

表1. 漏洞代码特征

漏洞类型	漏洞代码特征
		X509TrustManager	checkClientTrusted->return-void
HostNameVerifier	Verify->const/4 ;return v0
		WebViewClient sslError	onReceivedSslError->return-void
X509Hostname Verifier	onReceivedSslError->return-void

S2. 对应用的Smali代码进行Activity的调用分析，得到触发漏洞的控件位置与触发条件形成Activity执行链；该步骤在确定了漏洞代码的调用位置以后，本发明通过对Activity分析找到漏洞代码被触发的执行路径以及触发条件。本发明首先通过对Activity进行分析，找到系统的回调函数，通过对这些函数进行分析找到最终漏洞方法被执行的位置，由此确定了漏洞Activity。本发明提取应用声明的所有Activity作为Activity调用图的节点，能够引起Activity跳转的控件的ID及其绑定的事件作为调用图的边。在构建Activity调用图完成的基础上，通过搜索图中各节点的调用关系，标记漏洞Activity的节点，形成从入口Activity到漏洞Activity的执行链路用于动态分析使用。

S3. 在执行链的引导下进行动态运行Android应用，同时将流量代理到中间人攻击工具上；该步骤在动态运行Android应用时，使用了多台设备并行运行提高执行的效率。本发明通过线程池的方式实现对设备的管理，使用两个线程池，一个用来管理运行中的设备，一个用来管理空闲的设备，设备启动时将被注册到空闲的线程池中，应用运行结束时或者系统崩溃时将被放入空闲线程池。批量检测过程中，当初始化完成以后并且空闲线程池有设备时将会安装应用到设备、执行S2阶段生成的执行链路、监控应用的执行情况。同时，每台设备的流量将被代理到中间人攻击工具上。

S4. 对中间人攻击工具上的流量进行分析，能够成功解密的流量判定为漏洞应用发起的通信请求，否则无漏洞；该步骤通过设置代理的方式在中间人服务器解析流量，在解析过程中中间人服务器为了提高处理速度，将所有的HTTP流量放行，对于每一条HTTPS流量，中间人服务器将会制造一张虚假的证书发送到客户端，客户端如果接受了证书并且使用证书协商加密秘钥通信，中间人服务器将会拦截请求进行解密，提取其中的编号、类型以及内容，同时中间人服务器将记录这些流量内容用于与客户端的抓包内容进行比对。

S5. 通过关联分析，将可解密流量与应用相关联分析，判定有漏洞的Android应用；本步骤在获取所有可解密的流量以后，由于多台设备同时运行，无法将流量与Android应用对应起来。本发明采用同时在Android设备上进行抓包的方式匹配可解密流量与应用。本发明在Android客户端，建立虚拟网卡将每一个数据包保存在本地，提取其中的链接作为客户端的抓包结果，同时保存抓取链接时正在运行的应用，将客户端获得的流量数据与中间人服务器上的流量对比，最终确认有漏洞的应用。

综上所述，本发明实施例的Android应用中数字证书校验漏洞的检测方法通过使用动态检测与静态检测相结合的方式，弥补了单一使用静态检测造成的误报的不足，也弥补了单一使用动态检测造成的效率低下的不足，实现了对应用有效的检测，改善了人工审核面临的效率低下、对大规模市场级应用检测的成本高等问题。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例或者实施例的某些部分所述的方法。

最后应当说明的是:以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (8)

1.一种Android应用数字证书校验漏洞检测系统，其特征在于，包括静态检测模块、动态检测模块以及中间人代理模块；

所述静态检测模块用于根据漏洞应用的静态代码特征发现潜在有数字证书校验漏洞的应用；

所述动态检测模块用于动态执行应用触发漏洞代码；

所述中间人代理模块用于发起中间人攻击，尝试解密HTTPS流量，以确认应用是否真正有数字证书校验漏洞。

2.根据权利要求1所述Android应用数字证书校验漏洞检测系统，其特征在于，所述的静态检测模块包括：

Android应用反编译单元：用于对应用进行解压获取应用的Smali代码；

漏洞代码分析单元：用于扫描应用是否包含有漏洞代码；

代码调用分析单元：用于分析漏洞代码在应用中的调用关系；

控件调用分析单元：用于分析漏洞代码在应用中的触发路径以及条件。

3.根据权利要求1所述Android应用数字证书校验漏洞检测系统，其特征在于，所述的动态检测模块包括：

运行设备管理单元：用于在运行过程中监测并管理设备的状态；

自动化运行单元：根据静态检测提供的引导条件动态执行Android应用。

4.根据权利要求1所述Android应用数字证书校验漏洞检测系统，其特征在于，所述的中间人代理模块包括：

代理单元：用于代理Android应用的流量，尝试解密HTTPS通信的流量；

流量分析单元：用于关联可解密流量与动态执行阶段的Android应用。

5.根据权利要求2所述Android应用数字证书校验漏洞检测系统，其特征在于，所述的代码调用分析单元通过构建函数调用图的方式进行递归分析，对解压以后的代码分析，代码中的每一个方法都是函数调用图中的一个节点，当两个函数有调用关系时，它们之间联通；进行方法调用分析时，当于从漏洞代码处开始进行遍历寻找到仅被系统调用到的方法。

6.根据权利要求2所述Android应用数字证书校验漏洞检测系统，其特征在于，所述的所述的控件调用分析单元通过构建Activity调用图的方式进行递归分析，对解压以后的Activity进行分析，其中的每一个Activity都是Activity调用图的一个节点，当两个Activity有调用关系时，它们之间联通，联通的条件即为跳转条件，进行Activity调用分析时，相当于从有漏洞的Activity处开始遍历寻找到Android应用的入口Activity。

7.根据权利要求2所述Android应用数字证书校验漏洞检测系统，其特征在于，所述的运行设备管理单元对多个客户端同时运行多台设备的管理调度，通过线程池的方式将客户端的设备分别放入运行时线程池以及准备线程池，当准备线程池有设备时，将应用安装到设备并将其放入运行线程池，当运行线程池中的设备正常结束或者崩溃时，将其放入准备线程池，实现对设备的并发管理。

8.使用如上任意权利要求所述的一种Android应用数字证书校验漏洞检测系统的方法，其特征在于，包括如下步骤：

S1. 解压获得应用的Smali代码，并进行代码的函数调用分析，得到漏洞代码的调用点；

S2. 对应用的Smali代码进行Activity的调用分析，得到触发漏洞的控件位置与触发条件形成Activity执行链；

S3. 在执行链的引导下进行动态运行Android应用，同时将流量代理到中间人攻击工具上；

S4. 对中间人攻击工具上的流量进行分析，能够成功解密的流量判定为漏洞应用发起的通信请求，否则无漏洞；

S5. 通过关联分析，将可解密流量与应用相关联分析，判定有漏洞的Android应用。

Images