面向Android平臺(tái)動(dòng)靜態(tài)結(jié)合的洞挖掘引擎的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著軟硬件技術(shù)的不斷發(fā)展和移動(dòng)互聯(lián)網(wǎng)的不斷普及，移動(dòng)通信與智能終端已經(jīng)走進(jìn)千家萬(wàn)戶(hù)，并且不斷改變著人們的生活、工作和娛樂(lè)方式。在眾多移動(dòng)操作系統(tǒng)中，Android系統(tǒng)以其獨(dú)有的優(yōu)勢(shì)，占據(jù)市場(chǎng)份額排名第一。然而隨著Android系統(tǒng)用戶(hù)的不斷增加，基于Android平臺(tái)開(kāi)發(fā)的應(yīng)用程序數(shù)量也猶如井噴。雖然Android系統(tǒng)本身提供了較為健全的安全機(jī)制如沙箱機(jī)制、權(quán)限機(jī)制等等，但在惡意攻擊者的不斷攻擊和安全研究人員對(duì)Android系統(tǒng)安全性的

2、不斷研究下，Android系統(tǒng)仍暴露出了大量安全漏洞，比如Android系統(tǒng)漏洞導(dǎo)致提權(quán)、隱私泄漏、協(xié)議漏洞等等各種問(wèn)題。
　　根據(jù)各大公司和機(jī)構(gòu)的近期統(tǒng)計(jì)數(shù)據(jù)，Android應(yīng)用程序漏洞數(shù)量仍呈現(xiàn)出大幅增長(zhǎng)的態(tài)勢(shì)，已經(jīng)嚴(yán)重威脅到Android系統(tǒng)的安全。因此，本文對(duì)面向Android平臺(tái)動(dòng)靜態(tài)集合的漏洞掃描引擎做了需求分析，介紹了Android系統(tǒng)現(xiàn)有的安全機(jī)制，進(jìn)而又分別介紹了動(dòng)靜態(tài)掃描各自的優(yōu)劣勢(shì)，以及動(dòng)靜態(tài)結(jié)合的分析方法，

3、設(shè)計(jì)并實(shí)現(xiàn)了面向Android平臺(tái)應(yīng)用程序的動(dòng)靜態(tài)結(jié)合漏洞挖掘引擎。首先通過(guò)對(duì)反編譯后生成的Smali代碼進(jìn)行解析并構(gòu)造出Smali語(yǔ)法樹(shù)與應(yīng)用程序控制流圖CFG，進(jìn)而對(duì)Android平臺(tái)應(yīng)用程序常見(jiàn)漏洞進(jìn)行分析并提取規(guī)則，完成本系統(tǒng)的靜態(tài)漏洞掃描部分。針對(duì)Android應(yīng)用程序本地拒絕服務(wù)漏洞，本文設(shè)計(jì)并實(shí)現(xiàn)了基于Fuzzing的動(dòng)態(tài)模糊測(cè)試方法，通過(guò)向外對(duì)暴露組件發(fā)送經(jīng)過(guò)畸形數(shù)據(jù)構(gòu)造的Intent，使應(yīng)用程序發(fā)生崩潰，進(jìn)而挖掘出漏洞