基于流量相似度的Android二次打包應(yīng)用檢測(cè)技術(shù)研究.pdf

1、近年來(lái)，由于Android平臺(tái)的開(kāi)放性，Android應(yīng)用的數(shù)量正在快速地增長(zhǎng)著。與此同時(shí)，越來(lái)越多的惡意應(yīng)用制造者也瞄準(zhǔn)了Android這個(gè)平臺(tái)。惡意應(yīng)用制造者通過(guò)在 Andro id應(yīng)用中嵌入惡意代碼來(lái)執(zhí)行某些特定地惡意行為，如惡意扣費(fèi)、竊取私密信息或?qū)?Android手機(jī)變成僵尸網(wǎng)絡(luò)中的僵尸結(jié)點(diǎn)等。本文將這種對(duì)應(yīng)用進(jìn)行修改或植入代碼后再打包的應(yīng)用稱(chēng)之為二次打包應(yīng)用。由于這種二次打包應(yīng)用給用戶帶來(lái)了巨大的安全隱患，如何檢測(cè)它們便成為

2、了用戶和應(yīng)用市場(chǎng)提供者急需解決的問(wèn)題?，F(xiàn)有的一些檢測(cè)方法主要是從應(yīng)用的靜態(tài)代碼中提取靜態(tài)的應(yīng)用特征，并作應(yīng)用相似度的計(jì)算。這些方法簡(jiǎn)單、成熟，但卻無(wú)法應(yīng)對(duì)日益成熟的代碼模糊技術(shù)，且無(wú)法分析應(yīng)用的動(dòng)態(tài)行為特征。于是本文提出了一種快速、可擴(kuò)展的基于應(yīng)用運(yùn)行時(shí)所產(chǎn)生的流量的相似度來(lái)檢測(cè)二次打包應(yīng)用的檢測(cè)技術(shù)，這是一種全新的檢測(cè)技術(shù)。
　　此檢測(cè)技術(shù)首先需要建立一個(gè) Andro id應(yīng)用的流量相似度模型。此模型可以準(zhǔn)確地捕獲 Androi

3、d應(yīng)用運(yùn)行時(shí)所產(chǎn)生的流量，并將其解析為流，以形成流圖，之后再將其分入不同的流圖集合中，最后所得到的流圖集合就此應(yīng)用的流量特征。為了能準(zhǔn)確地計(jì)算出應(yīng)用的流量特征相似度，本文還提出了一整套流、流圖以及流圖集合的相似度計(jì)算算法。其次，此檢測(cè)技術(shù)還需要一個(gè)比較查詢(xún)方法以便快速地查詢(xún)出相似的應(yīng)用對(duì)。本文從不同的檢測(cè)目標(biāo)出發(fā)，分別提出了基于流量相似度的成對(duì)比較檢測(cè)系統(tǒng)和基于流量相似度的平衡 VP-Tree檢測(cè)系統(tǒng)。這兩個(gè)檢測(cè)系統(tǒng)各有千秋，都能在其各

4、自的檢測(cè)領(lǐng)域里快速地查詢(xún)出二次打包應(yīng)用。
　　本文最后實(shí)現(xiàn)了流量相似度模型以及兩個(gè)檢測(cè)系統(tǒng)的原型，并用其對(duì)6個(gè)市場(chǎng)（包括官方市場(chǎng)）共7619個(gè)應(yīng)用分別進(jìn)行了檢測(cè)。最后共檢測(cè)出658個(gè)二次打包應(yīng)用，打包率在5.05％到12.13%之間，平均打包率為8.64%。在此結(jié)果上，本文再對(duì)二次打包應(yīng)用進(jìn)行了仔細(xì)地檢測(cè)分析。發(fā)現(xiàn)二次打包應(yīng)用總是比其原始應(yīng)用產(chǎn)生更多的流量，那是因?yàn)槠浔活~外地添加了一些廣告以賺取廣告收入并竊取用戶私密信息，有的還被