JP6434646B2 - 解析装置、解析方法、および解析プログラム - Google Patents

解析装置、解析方法、および解析プログラム Download PDF

Info

Publication number
JP6434646B2
JP6434646B2 JP2017546452A JP2017546452A JP6434646B2 JP 6434646 B2 JP6434646 B2 JP 6434646B2 JP 2017546452 A JP2017546452 A JP 2017546452A JP 2017546452 A JP2017546452 A JP 2017546452A JP 6434646 B2 JP6434646 B2 JP 6434646B2
Authority
JP
Japan
Prior art keywords
code
analysis
return value
application implemented
argument
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017546452A
Other languages
English (en)
Other versions
JPWO2017068889A1 (ja
Inventor
文宏 金井
文宏 金井
健 矢田
健 矢田
満昭 秋山
満昭 秋山
雄太 高田
雄太 高田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Publication of JPWO2017068889A1 publication Critical patent/JPWO2017068889A1/ja
Application granted granted Critical
Publication of JP6434646B2 publication Critical patent/JP6434646B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/563—Static detection by source code analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3604—Software analysis for verifying properties of programs
    • G06F11/3612—Software analysis for verifying properties of programs by runtime analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • G06F9/44589—Program code verification, e.g. Java bytecode verification, proof-carrying code
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Quality & Reliability (AREA)
  • Virology (AREA)
  • Databases & Information Systems (AREA)
  • Bioethics (AREA)
  • Stored Programmes (AREA)

Description

本発明は、解析装置、解析方法、および解析プログラムに関する。
一般に、Ａｎｄｒｏｉｄ（登録商標）等が搭載された携帯情報端末を標的とした脅威の一つとして、情報漏洩が挙げられる。攻撃者は、様々な方法で悪意のあるＡｎｄｒｏｉｄアプリケーション（以下、Ａｎｄｒｏｉｄマルウェアと呼ぶ。）をユーザの端末にインストールさせる。インストールされたＡｎｄｒｏｉｄマルウェアは、端末内に保存されたユーザの個人情報、デバイス固有ＩＤ等の重要情報を攻撃者の元へ送信する。
このようなＡｎｄｒｏｉｄマルウェアを解析する技術は、大別すると、隔離環境でＡｎｄｒｏｉｄマルウェアを動作させて実行時の挙動を観測する動的解析技術と、リバースエンジニアリング技術を用いて実行コードを読み解く静的解析技術との２種類に分類される。
情報漏洩を行うＡｎｄｒｏｉｄマルウェアを検知する静的解析技術の一つに、静的テイント解析技術が存在する。静的テイント解析技術では、漏洩対象の情報を取得する関数（以下、Ｓｏｕｒｃｅと呼ぶ。）によって取得されたデータが、情報を端末外へ漏洩する関数（以下、Ｓｉｎｋと呼ぶ。）に入力されるか否か、つまり、ＳｏｕｒｃｅからＳｉｎｋへのデータフローが存在するか否かが検出される。ＳｏｕｒｃｅからＳｉｎｋへのデータフローが発見された場合には、解析対象アプリケーションの実行コード内に情報漏洩を行う実行パスが存在することを意味する（非特許文献１参照）。
静的テイント解析技術は、実行コード中の様々な位置で、データが取りうる値の集合を収集するデータフロー解析の技術を基にしている。データフロー解析の技術を利用すれば、例えばプログラム中のある地点における変数Ａの値が、別の地点における変数Ｂに到達するか否か、すなわち変数Ａ、Ｂが同じ値を取り得るか否かを解析することが可能である（非特許文献２参照）。
このように、従来、Ａｎｄｒｏｉｄアプリケーションを対象とした静的テイント解析技術は、Ｊａｖａ（登録商標）によって開発されたＡｎｄｒｏｉｄアプリケーションの実行コード（以下、アプリコードとも呼ぶ）を解析対象とする。
Steven Arzt, Siegfried Rasthofer, Christian Fritz, Eric Bodden, Alexandre Bartel, Jacques Klein, Yves Le Traon, Damien Octeau, and Patrick McDaniel, "FlowDroid: Precise Context, Flow, Field, Object-sensitive and Lifecycle-aware Taint Analysis for Android Apps"、[online]、2014年6月、In Proceedings of the 35th ACM SIGPLAN Conference on Programming Language Design and Implementation (PLDI)、［平成27年8月27日検索］、インターネット＜URL: http://www.bodden.de/pubs/far+14flowdroid.pdf＞ T. Reps, S. Horwitz, and M. Sagiv, "Precise Interprocedural Dataflow Analysis via Graph Reachability"、[online]、1995年、In Proceedings of the 22nd ACM SIGPLAN-SIGACT Symposium on Principles of Programming Languages (POPL)、［平成27年8月27日検索］、インターネット＜URL: http://www.cs.cornell.edu/courses/cs711/2005fa/papers/rhs-popl95.pdf＞
しかしながら、従来の静的テイント解析技術は、解析対象が単一のコードであるため、ＳｏｕｒｃｅやＳｉｎｋがＪａｖａアプリケーションコード内で完結していない場合に、情報漏洩を適切に検知できない場合があった。例えば、攻撃者は、ＡｎｄｒｏｉｄにおけるＪａｖａコードとＪａｖａＳｃｒｉｐｔ（登録商標）コードとの連携機構を悪用すれば、上述した静的テイント解析技術による情報漏洩の検知を回避することができる場合がある。
具体的に、Ａｎｄｒｏｉｄアプリケーションの開発では、ＷｅｂＶｉｅｗと呼ばれる埋め込みブラウザのような機能が利用される。ＷｅｂＶｉｅｗは、画面の表示に関わるコンポーネントの一つであり、ブラウザにおけるアドレスバー、戻る・進むボタンなどの標準的なＵＩ（User Interface）が存在せず、ウェブページを表示するためのフレームのみで構成されている。ＷｅｂＶｉｅｗを用いれば、Ａｎｄｒｏｉｄアプリケーション内でＨＴＭＬ、ＣＳＳ、ＪａｖａＳｃｒｉｐｔ等のコードで構成されたＷｅｂコンテンツを表示させることが可能である。また、アプリコードと、ＷｅｂＶｉｅｗ内に読み込まれたＷｅｂコンテンツとの間で、データを送受信するためのＡＰＩが提供されている。
上記ＡＰＩの１つであるＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅを用いれば、アプリコード内のＪａｖａオブジェクトをＷｅｂＶｉｅｗ内に読み込まれたＪａｖａＳｃｒｉｐｔコード内に挿入することが可能である。挿入されたＪａｖａオブジェクト内に含まれるメソッドはＪａｖａＳｃｒｉｐｔコードから呼び出し可能になり、メソッドの引数、戻り値としてＪａｖａとＪａｖａＳｃｒｉｐｔとの間でデータをやりとりすることが可能となる。
攻撃者は、アプリコード内のＳｏｕｒｃｅから取得した情報を、ＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅを利用してＪａｖａＳｃｒｉｐｔコードへ送信した後に、ＪａｖａＳｃｒｉｐｔコード内のＳｉｎｋを通じて端末外へ情報を漏洩させることができる。この場合に、静的テイント解析技術ではアプリコードのみを解析対象としているため、ＪａｖａＳｃｒｉｐｔコード内に含まれるＳｉｎｋを発見することができない。これにより、攻撃者が、静的テイント解析技術による情報漏洩の検知を回避することが可能になる。
このように、従来の静的テイント解析技術は、解析対象が単一のコードであるため、ＳｏｕｒｃｅやＳｉｎｋがＪａｖａアプリケーションコード内で完結していない場合に、情報漏洩を検知することができなかった。すなわち、ＪａｖａコードとＪａｖａＳｃｒｉｐｔコードとの連携機構が利用され、情報がＪａｖａとＪａｖａＳｃｒｉｐｔとの間で送受信された後に漏洩する場合に、静的テイント解析技術では情報漏洩を検知することができなかった。
本発明は、上記に鑑みてなされたものであって、攻撃者に回避されずに情報漏洩を検知することを目的とする。
上述した課題を解決し、目的を達成するために、本発明に係る解析装置は、第１のコードにより実装されたアプリケーションと該第１のコードとは異なる第２のコードで実装されたアプリケーションとの間でデータの送受信を行う連携機構の該第１のコードによる実装箇所と、該連携機構において前記第２のコードにより呼び出し可能な戻り値が設定されるメソッドとを特定する特定部と、特定された前記メソッドの戻り値が引数に挿入される模擬関数の呼び出しコードを前記第１のコード内に挿入する挿入部と、前記模擬関数および特定された前記メソッドの引数および戻り値を用いて、前記第１のコードにより実装されたアプリケーションと前記第２のコードにより実装されたアプリケーションとの間で送受信されるデータを観測してデータフローを解析する解析部と、を備えることを特徴とする。
本発明によれば、攻撃者に回避されずに情報漏洩を検知することができる。
図１は、本発明の一実施形態に係る解析装置の概略構成を示す模式図である。 図２は、本実施形態の静的コード解析部の処理を説明するための説明図である。 図３は、本実施形態の静的コード解析部の処理を説明するための説明図である。 図４は、本実施形態の静的コード解析部の処理を説明するための説明図である。 図５は、本実施形態のコード変換部の処理を説明するための説明図である。 図６は、本実施形態のコード変換部の処理を説明するための説明図である。 図７は、本実施形態のデータフロー解析部の処理を説明するための説明図である。 図８は、本実施形態のデータフロー解析部の処理を説明するための説明図である。 図９は、本実施形態の解析処理手順を示すフローチャートである。 図１０は、本実施形態の静的コード解析処理手順を示すフローチャートである。 図１１は、本実施形態のコード変換処理手順を示すフローチャートである。 図１２は、本実施形態のデータフロー解析処理手順を示すフローチャートである。 図１３は、解析プログラムを実行するコンピュータを例示する図である。
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［解析装置の構成］
まず、図１を参照して、本実施形態に係る解析装置の概略構成を説明する。解析装置１は、ワークステーションやパソコン等の汎用コンピュータで実現され、入力部１１と、出力部１２と、通信制御部１３と、記憶部１４と、制御部１５とを備える。
入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置等によって実現され、後述する解析処理の結果等を操作者に対して出力する。通信制御部１３は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した外部の装置と制御部１５との通信を制御する。
記憶部１４は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１４には、解析装置１を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが予め記憶され、あるいは処理の都度一時的に記憶される。なお、記憶部１４は、ＬＡＮやインターネットなどの電気通信回線を介して制御部１５と通信する構成でもよい。
制御部１５は、ＣＰＵ（Central Processing Unit）等の演算処理装置がメモリに記憶された処理プログラムを実行することにより、図１に例示するように、静的コード解析部１５１、コード変換部１５２、およびデータフロー解析部１５３として機能する。
静的コード解析部１５１は、特定部として機能する。すなわち、静的コード解析部１５１は、Ｊａｖａコードにより実装されたＡｎｄｒｏｉｄアプリケーションとＪａｖａＳｃｒｉｐｔコードで実装されたＷｅｂコンテンツとの間でデータの送受信を行う連携機構のＪａｖａコードによる実装箇所と、該連携機構においてＪａｖａＳｃｒｉｐｔコードにより呼び出し可能な戻り値が設定されるメソッドとを特定する。
具体的に、まず、静的コード解析部１５１は、解析対象のＡｎｄｒｏｉｄアプリケーションの実行コード内の、ＡｎｄｒｏｉｄアプリケーションとＪａｖａＳｃｒｉｐｔとの間の連携機構であるＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装箇所を特定する。
図２は、ＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの一例であるａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードを含むＪａｖａコードの一部を例示する図である。ここで、ａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅは、ＪａｖａオブジェクトをＪａｖａＳｃｒｉｐｔコード内に挿入するためのＡＰＩである。図２の例では、ａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装箇所は、１２行目と特定される。
次に、静的コード解析部１５１は、特定されたＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装内容から、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能で戻り値が設定されるメソッドを特定する。
図２の例においては、まず、ＪａｖａＳｃｒｉｐｔに挿入されるＪａｖａオブジェクトのクラス（以下、ＪＳＩクラスと呼ぶ。）が、８行目および１２行目の実装内容からＪＳＩＣｌａｓｓと特定される。すなわち、１２行目の実装内容から、ＪａｖａＳｃｒｉｐｔに挿入されるＪａｖａオブジェクトは変数ｊｓｉであることがわかる。この変数ｊｓｉは、８行目の実装内容により、ＪＳＩＣｌａｓｓのオブジェクトとして宣言されていることから、このＪａｖａオブジェクトのクラスはＪＳＩＣｌａｓｓであり、図２の例におけるＪＳＩクラスはＪＳＩＣｌａｓｓと特定される。
そして、静的コード解析部１５１は、特定されたＪＳＩＣｌａｓｓで宣言されているメソッドのうち、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能で戻り値が設定されるメソッドを特定する。図３は、ＪＳＩＣｌａｓｓで宣言されているメソッドの一覧を例示する図である。図３の例では、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能で戻り値が設定されるメソッドとして、例えば、ｇｅｔＩｎｆｏ１（）が特定される。
なお、同一のＪＳＩクラスで宣言されているメソッドには、図４に例示するように、複数種類のメソッドが存在する。このうち、ｐｕｂｌｉｃメソッドのみがＪａｖａＳｃｒｉｐｔコードから呼び出し可能である。また、ＡｎｄｒｏｉｄのＡＰＩ ｌｅｖｅｌ １７以上の環境で動作している場合には、「ＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅ」というアノテーションが付加されている必要がある。以下、ＪＳＩクラス内で宣言され、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能なメソッドをＪＳＩメソッドと呼ぶ。
そして、図４のＡ１に例示するように、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能ではないメソッドは、静的コード解析部１５１の特定の対象外である。さらに、Ａ２に例示するように、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能であっても、ｖｏｉｄ型で戻り値が設定されておらずＪａｖａＳｃｒｉｐｔへデータを送信できないメソッドも、静的コード解析部１５１による特定の対象外とする。したがって、静的コード解析部１５１は、Ａ３に例示するように、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能かつ戻り値が設定されていてＪａｖａＳｃｒｉｐｔへデータを送信可能であるメソッドを特定の対象（以下、観測対象ＪＳＩメソッドと呼ぶ。）とする。
コード変換部１５２は、挿入部として機能する。すなわち、コード変換部１５２は、特定されたメソッドの戻り値が引数に挿入される模擬関数の呼び出しコードをＪａｖａコード内に挿入する。ここで、図５を参照して、コード変換部１５２の処理の概要について説明する。この処理前には、図５（ａ）に例示するように、Ｊａｖａコードで実装されたＳｏｕｒｃｅから、ＪａｖａＳｃｒｉｐｔコードで実装されたＷｅｂコンテンツ内のＳｉｎｋへのＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅを介したデータフローＢ１が存在する場合が想定される。この場合に、コード変換部１５２は、図５（ｂ）に例示するように、ＪａｖａＳｃｒｉｐｔコードで実装されるＳｉｎｋへのデータフローＢ１を、Ｊａｖａコードで実装される模擬関数であるＤｕｍｍｙＳｉｎｋへのデータフローＢ２に変換する。このように、ＪａｖａからＪａｖａＳｃｒｉｐｔへのデータフローＢ１はデータフローＢ２に変換されることにより、単一コード内のオブジェクト間のデータフローを対象とする静的テイント解析により観測が可能となる。
具体的に、コード変換部１５２は、図６に例示するように、Ｊａｖａコードの変換を行う。すなわち、コード変換部１５２は、図６のＣ４に例示するように、ＤｕｍｍｙＳｉｎｋを宣言する。さらに、コード変換部１５２は、Ｃ１に例示するｊａｖａコードに、Ｃ２の４行および５行に例示するように、観測対象ＪＳＩメソッドの戻り値を引数に入力するＤｕｍｍｙＳｉｎｋの呼び出しコードを挿入する。
図６において、ＪＳＩＣｌａｓｓで宣言される観測対象ＪＳＩメソッドとして、Ｃ３に例示するように、ｇｅｔＩｎｆｏ１（）、ｇｅｔＩｎｆｏ２（）の２種類が例示されている。この場合に、コード変換部１５２は、Ｃ２の４行および５行に例示するように、２種類の観測対象ＪＳＩメソッドのそれぞれの戻り値をＤｕｍｍｙＳｉｎｋすなわちＤｕｍｍｙＣｌａｓｓ．ｄｕｍｍｙＳｉｎｋＭｅｔｈｏｄ（）の引数に入力するように実装する。
なお、コード変換部１５２は、ＤｕｍｍｙＳｉｎｋを宣言する際、ＤｕｍｍｙＳｉｎｋの引数の型を、観測対象ＪＳＩメソッドの戻り値の型と一致させる。図６の例では、Ｃ３の３行目および９行目に例示するように、ｇｅｔＩｎｆｏ１（）およびｇｅｔＩｎｆｏ２（）の戻り値の型はＳｔｒｉｎｇである。これに対応して、Ｃ４の３行目に例示するように、ＤｕｍｍｙＣｌａｓｓ．ｄｕｍｍｙＳｉｎｋＭｅｔｈｏｄ（）の引数の型はＳｔｒｉｎｇである。このように、コード変換部１５２は、ＤｕｍｍｙＳｉｎｋの引数の型を観測対象ＪＳＩメソッドの戻り値の型と一致させる。また、この変数の型が複数種類ある場合には、型ごとにＤｕｍｍｙＳｉｎｋを宣言する。
また、静的コード解析部１５１やコード変換部１５２の処理において、元のバイトコードに再変換可能な範囲で、アプリコードを任意のアセンブリ言語、中間表現などへ変換してもよい。
データフロー解析部１５３は、解析部として機能する。すなわち、データフロー解析部１５３は、ＤｕｍｍｙＳｉｎｋおよび特定されたメソッドの引数および戻り値を用いて、該メソッドとＤｕｍｍｙＳｉｎｋとの間で送受信されるデータを観測してデータフローを解析する。具体的に、データフロー解析部１５３は、図７に例示する前述のコード変換部１５２により変換されたＪａｖａコードを対象に、図８に例示するように、ＤｕｍｍｙＳｉｎｋおよび特定されたメソッドの引数および戻り値を観測して、Ｊａｖａコード内の任意のＳｏｕｒｃｅからＤｕｍｍｙＳｉｎｋへのデータフローを解析する。
つまり、データフロー解析部１５３は、Ｓｏｕｒｃｅすなわち観測対象ＪＳＩメソッドとして、例えばｇｅｔＩｎｆｏ１（）により取得されたデータ（図７のＤ１の３行目参照）を、例えば静的テイント解析技術を適用して追跡する。この情報は、図８に示すように、ｇｅｔＤａｔａ（）の戻り値、Ｓｔｒｉｎｇ ｄａｔａ、ｒｅｔｕｒｎ ｄａｔａ（図７Ｄ１の４行目〜５行目参照）、ｊｓｉ．ｇｅｔＩｎｆｏ１（）の戻り値（図７Ｄ２の４行目参照）、ＤｕｍｍｙＳｉｎｋとしてのＤｕｍｍｙ．ｄｕｍｍｙＳｉｎｋＭｅｔｈｏｄ（）の引数（図７Ｄ３の３行目参照）の順に伝播する。
このように、Ｊａｖａコードの任意のＳｏｕｒｃｅからＤｕｍｍｙＳｉｎｋへのデータフローが検知された場合には、Ｓｏｕｒｃｅにより取得されたデータがＪａｖａＳｃｒｉｐｔコードすなわちＷｅｂコンテンツへ送信されることを意味する。したがって、ＤｕｍｍｙＳｉｎｋへのデータフローを解析することにより、Ｗｅｂコンテンツへのデータフローを解析することができる。なお、データフローを解析する静的テイント解析の手法は特に限定されない。
［解析処理］
次に、図９〜図１２のフローチャートを参照して、解析装置１による解析処理手順について説明する。まず、図９のフローチャートは、例えば、入力部１１を介して解析処理の開始を指示する入力があったタイミングで開始となる。
静的コード解析部１５１は、解析対象のＡｎｄｒｏｉｄアプリケーションの実行コードに、ＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの一例として、例えばａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装箇所があるかを確認する（ステップＳ１）。ａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの実装箇所がない場合には（ステップＳ１，Ｎｏ）、解析処理は終了する。一方、ａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの実装箇所がある場合には（ステップＳ１，Ｙｅｓ）、静的コード解析部１５１は、実装箇所を抽出し（ステップＳ２）、静的コード解析処理を行う（ステップＳ３）。静的コード解析処理については、図１０を参照して後述する。
次に、コード変換部１５２が、コード変換処理を行う（ステップＳ４）。コード変換処理については、図１１を参照して後述する。
その後、静的コード解析部１５１は、未抽出のａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装箇所があるかを確認する（ステップＳ５）。未抽出のａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装箇所がある場合には（ステップＳ５，Ｙｅｓ）、静的コード解析部１５１は、ステップＳ２の処理に戻す。
一方、未抽出のａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装箇所がない場合には（ステップＳ５，Ｎｏ）、データフロー解析部１５３が、データフロー解析処理を行う（ステップＳ６）。データフロー解析処理については、図１２を参照して後述する。これにより、一連の解析処理が終了する。
図１０は、上記ステップＳ３の静的コード解析処理手順を示すフローチャートである。静的コード解析部１５１は、ａｄｄＪａｖａｓｃｒｉｐｔＩｎｔｅｒｆａｃｅの呼び出しコードの実装内容から、まず、ＪＳＩクラスを特定する（ステップＳ３１）。
次に、静的コード解析部１５１は、特定したＪＳＩクラスで宣言されているメソッドの一覧を取得する（ステップＳ３２）。
そして、静的コード解析部１５１は、特定したＪＳＩクラスで宣言されているメソッドの内、ＪａｖａＳｃｒｉｐｔコードにより呼び出し可能で戻り値が設定されるメソッドすなわち観測対象ＪＳＩメソッドを特定する（ステップＳ３３）。これにより、一連の静的コード解析処理は終了する。
図１１は、上記ステップＳ４のコード変換処理手順を示すフローチャートである。コード変換部１５２は、観測対象ＪＳＩメソッドが存在する場合に（ステップＳ４１，Ｙｅｓ）、この観測対象ＪＳＩメソッドの戻り値の型を取得する（ステップＳ４２）。
次に、コード変換部１５２は、引数の型を観測対象ＪＳＩメソッドの戻り値の型と一致させたＤｕｍｍｙＳｉｎｋをＪａｖａコードに挿入する（ステップＳ４３）。
次に、コード変換部１５２は、観測対象ＪＳＩメソッドの戻り値を引数としたＤｕｍｍｙＳｉｎｋの呼び出しコードをＪａｖａコードに挿入する（ステップＳ４４）。
その後、コード変換部１５２は、ステップＳ４１に処理を戻し、観測対象ＪＳＩメソッドが存在する限り、以上の処理を繰り返す。観測対象ＪＳＩメソッドが存在しない場合には（ステップＳ４１，Ｎｏ）、一連のコード変換処理は終了する。
図１２は、上記ステップＳ６のデータフロー解析処理手順を示すフローチャートである。データフロー解析部１５３は、重要情報を取得する任意の関数をＳｏｕｒｃｅとし、ＤｕｍｍｙＳｉｎｋをＳｉｎｋとして設定する（ステップＳ６１）。そして、データフロー解析部１５３は、ＳｏｕｒｃｅからＳｉｎｋへのデータフローを静的テイント解析技術により解析する（ステップＳ６２）。これにより、一連のデータフロー解析処理は終了する。
以上、説明したように、本実施形態の解析装置１では、静的コード解析部１５１が、Ｊａｖａコードにより実装されたＡｎｄｒｏｉｄアプリケーションとＪａｖａＳｃｒｉｐｔコードで実装されたＷｅｂコンテンツとの間でデータの送受信を行う連携機構であるＪａｖａＩｎｔｅｒｆａｃｅのＪａｖａコードによる実装箇所と、該連携機構においてＪａｖａＳｃｒｉｐｔコードにより呼び出し可能な戻り値が設定されるメソッドとを特定する。また、コード変換部１５２が、特定されたメソッドの戻り値が引数に挿入されるＤｕｍｍｙＳｉｎｋの呼び出しコードをＪａｖａコード内に挿入する。また、データフロー解析部１５３が、ＤｕｍｍｙＳｉｎｋおよび特定されたメソッドの引数および戻り値を用いて、Ｊａｖａコードにより実装されたＡｎｄｒｏｉｄアプリケーションとＪａｖａＳｃｒｉｐｔコードで実装されたＷｅｂコンテンツとの間で送受信されるデータを観測してデータフローを解析する。
これにより、解析装置１は、Ｊａｖａコードの任意のＳｏｕｒｃｅからＤｕｍｍｙＳｉｎｋへのデータフローを検知することができる。また、解析装置１は、単一コード内のオブジェクト間のデータフローを対象とする静的テイント解析技術を用いて、ＪａｖａからＪａｖａＳｃｒｉｐｔへのデータフローを解析することができる。したがって、攻撃者に回避されずに情報漏洩を検知することができる。
なお、本発明は、Ｊａｖａで取得された情報がＪａｖａＳｃｒｉｐｔにより外部に送信される場合のデータフロー解析に限定されない。例えば、ＪａｖａＳｃｒｉｐｔコード内のＳｏｕｒｃｅが取得した情報がＪａｖａコード内のＳｉｎｋにより外部に送信される場合について、戻り値をＳｉｎｋの引数とする模擬関数ＤｕｍｍｙＳｏｕｒｃｅの呼び出しコードをＪａｖａコード内に挿入する。このＤｕｍｍｙＳｏｕｒｃｅからＳｉｎｋへのデータフロー解析を行えば、ＪａｖａＳｃｒｉｐｔで取得された情報がＪａｖａにより外部に送信される場合のデータフローを観測することができる。
［プログラム］
上記実施形態に係る解析装置１が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、解析装置１は、パッケージソフトウェアやオンラインソフトウェアとして上記の解析処理を実行する解析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の解析プログラムを情報処理装置に実行させることにより、情報処理装置を解析装置１として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）などの移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）などのスレート端末などがその範疇に含まれる。また、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の解析処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、解析装置１は、解析対象のＡｎｄｒｏｉｄアプリケーションを入力とし、当該Ａｎｄｒｏｉｄアプリケーションに対する上記の解析処理の実行結果を出力する解析処理サービスを提供するサーバ装置として実装される。この場合、解析装置１は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の解析処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、解析装置１と同様の機能を実現する解析プログラムを実行するコンピュータの一例を説明する。
図１３に示すように、解析プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
ここで、図１３に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各データは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
また、解析プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した解析装置１が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
また、解析プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
なお、解析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、解析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
１ 解析装置
１１ 入力部
１２ 出力部
１３ 通信制御部
１４ 記憶部
１５ 制御部
１５１ 静的コード解析部
１５２ コード変換部
１５３ データフロー解析部

Claims (5)

  1. 第１のコードにより実装されたアプリケーションと該第１のコードとは異なる第２のコードで実装されたアプリケーションとの間でデータの送受信を行う連携機構の該第１のコードによる実装箇所と、該連携機構において前記第２のコードにより呼び出し可能な戻り値が設定されるメソッドとを特定する特定部と、
    特定された前記メソッドの戻り値が引数に挿入される模擬関数の呼び出しコードを前記第１のコード内に挿入する挿入部と、
    前記模擬関数および特定された前記メソッドの引数および戻り値を用いて、前記第１のコードにより実装されたアプリケーションと前記第２のコードにより実装されたアプリケーションとの間で送受信されるデータを観測してデータフローを解析する解析部と、
    を備えることを特徴とする解析装置。
  2. 前記解析部は、静的テイント解析により前記第１のコードにより実装されたアプリケーションと前記第２のコードにより実装されたアプリケーションとの間で送受信されるデータを観測することを特徴とする請求項１に記載の解析装置。
  3. 前記挿入部は、さらに、戻り値が前記メソッドの引数に挿入される第２の模擬関数の呼び出しコードを前記第１のコード内に挿入することを特徴とする請求項１または２に記載の解析装置。
  4. 解析装置で実行される解析方法であって、
    第１のコードにより実装されたアプリケーションと該第１のコードとは異なる第２のコードで実装されたアプリケーションとの間でデータの送受信を行う連携機構の該第１のコードによる実装箇所と、該連携機構において前記第２のコードにより呼び出し可能な戻り値が設定されるメソッドとを特定する特定工程と、
    特定された前記メソッドの戻り値が引数に挿入される模擬関数の呼び出しコードを前記第１のコード内に挿入する挿入工程と、
    前記模擬関数および特定された前記メソッドの引数および戻り値を用いて、前記第１のコードにより実装されたアプリケーションと前記第２のコードにより実装されたアプリケーションとの間で送受信されるデータを観測してデータフローを解析する解析工程と、
    を含んだことを特徴とする解析方法。
  5. コンピュータに、
    第１のコードにより実装されたアプリケーションと該第１のコードとは異なる第２のコードで実装されたアプリケーションとの間でデータの送受信を行う連携機構の該第１のコードによる実装箇所と、該連携機構において前記第２のコードにより呼び出し可能な戻り値が設定されるメソッドとを特定する特定ステップと、
    特定された前記メソッドの戻り値が引数に挿入される模擬関数の呼び出しコードを前記第１のコード内に挿入する挿入ステップと、
    前記模擬関数および特定された前記メソッドの引数および戻り値を用いて、前記第１のコードにより実装されたアプリケーションと前記第２のコードにより実装されたアプリケーションとの間で送受信されるデータを観測してデータフローを解析する解析ステップと、
    を実行させることを特徴とする解析プログラム。
JP2017546452A 2015-10-19 2016-09-09 解析装置、解析方法、および解析プログラム Active JP6434646B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2015205674 2015-10-19
JP2015205674 2015-10-19
PCT/JP2016/076693 WO2017068889A1 (ja) 2015-10-19 2016-09-09 解析装置、解析方法、および解析プログラム

Publications (2)

Publication Number Publication Date
JPWO2017068889A1 JPWO2017068889A1 (ja) 2018-02-08
JP6434646B2 true JP6434646B2 (ja) 2018-12-05

Family

ID=58557268

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017546452A Active JP6434646B2 (ja) 2015-10-19 2016-09-09 解析装置、解析方法、および解析プログラム

Country Status (5)

Country Link
US (1) US10691798B2 (ja)
EP (1) EP3355229B1 (ja)
JP (1) JP6434646B2 (ja)
CN (1) CN108140089B (ja)
WO (1) WO2017068889A1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107301347A (zh) * 2017-07-26 2017-10-27 南京邮电大学 一种基于静态分析获取Hbuilder App调用图的方法
CN108037914B (zh) * 2017-12-26 2021-09-24 福建中金在线信息科技有限公司 一种安卓原生系统结合js开发的方法及装置
JP7278423B2 (ja) * 2019-05-20 2023-05-19 センチネル ラブス イスラエル リミテッド 実行可能コード検出、自動特徴抽出及び位置独立コード検出のためのシステム及び方法
CN111857782B (zh) * 2020-07-27 2021-11-16 企查查科技有限公司 界面更新方法、装置、计算机设备和存储介质
CN114020359B (zh) * 2021-11-08 2024-04-16 中国电子科技集团公司第二十八研究所 一种基于插件的分布式平台集成方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100509650B1 (ko) 2003-03-14 2005-08-23 주식회사 안철수연구소 코드 삽입 기법을 이용한 악성 스크립트 감지 방법
US20080184208A1 (en) * 2007-01-30 2008-07-31 Sreedhar Vugranam C Method and apparatus for detecting vulnerabilities and bugs in software applications
CN101482847B (zh) * 2009-01-19 2011-06-29 北京邮电大学 一种基于安全漏洞缺陷模式的检测方法
CN101477611B (zh) * 2009-01-20 2010-07-28 北京大学 一种程序分解方法
US8875298B2 (en) * 2012-02-16 2014-10-28 Nec Laboratories America, Inc. Method for scalable analysis of android applications for security vulnerability
US9015831B2 (en) 2012-08-08 2015-04-21 Synopsys, Inc Method and apparatus for static taint analysis of computer program code
US20140130153A1 (en) 2012-11-08 2014-05-08 International Business Machines Corporation Sound and effective data-flow analysis in the presence of aliasing
US9170908B2 (en) 2012-12-14 2015-10-27 Salesforce.Com, Inc. System and method for dynamic analysis bytecode injection for application dataflow
US9250876B2 (en) 2013-08-27 2016-02-02 International Business Machines Corporation Building reusable function summaries for frequently visited methods to optimize data-flow analysis
US9363284B2 (en) * 2013-12-11 2016-06-07 International Business Machines Corporation Testing web applications for security vulnerabilities with metarequests

Also Published As

Publication number Publication date
US20180218154A1 (en) 2018-08-02
EP3355229A4 (en) 2019-05-01
CN108140089B (zh) 2021-05-07
JPWO2017068889A1 (ja) 2018-02-08
WO2017068889A1 (ja) 2017-04-27
EP3355229B1 (en) 2019-08-28
EP3355229A1 (en) 2018-08-01
US10691798B2 (en) 2020-06-23
CN108140089A (zh) 2018-06-08

Similar Documents

Publication Publication Date Title
JP6434646B2 (ja) 解析装置、解析方法、および解析プログラム
CN111859375B (zh) 漏洞检测方法、装置、电子设备及存储介质
WO2017049800A1 (zh) 检测应用漏洞代码的方法和装置
EP3295647B1 (en) Malware warning
JP5654944B2 (ja) アプリケーション解析装置およびプログラム
US11237844B2 (en) Method and apparatus for loading kernel module
Hiremath et al. MyWebGuard: toward a user-oriented tool for security and privacy protection on the web
US20170316202A1 (en) Rasp for scripting languages
US9507933B2 (en) Program execution apparatus and program analysis apparatus
EP3077950B1 (en) Directed execution of dynamic programs in isolated environments
CN112106048B (zh) 检测客户端模板系统的注入漏洞
US10467408B1 (en) Automatic security scanning of advertisements during runtime of software applications
WO2021070393A1 (ja) 解析機能付与装置、解析機能付与方法及び解析機能付与プログラム
US10705858B2 (en) Automatic import of third party analytics
Solomos et al. The dangers of human touch: fingerprinting browser extensions through user actions
US9569335B1 (en) Exploiting software compiler outputs for release-independent remote code vulnerability analysis
CN108304158B (zh) 一种动态库的代理方法及设备
Phung et al. A user-oriented approach and tool for security and privacy protection on the web
EP3506136B1 (en) Detecting stack cookie utilization in a binary software component using binary static analysis
CN105872708A (zh) 一种显示桌面生成方法、显示桌面生成系统和智能电视
Varghese et al. Dissecting Andro Malware
Bhatt et al. Comparison of static and dynamic analyzer tools for iOS applications
CN116167048B (zh) 用于EL表达式的Webshell检测方法及装置
Rasthofer et al. Reverse engineering android apps with codeinspect
Takeuchi et al. Mocha: Automatically Applying Content Security Policy to HTML Hybrid Application on Android Device

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20171011

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20181106

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20181108

R150 Certificate of patent or registration of utility model

Ref document number: 6434646

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150