在如今的移动智能操作系统中,Android系统得益于它的开源性占据着最高的市场份额。但由于开发者的安全知识不足,Android应用中存在大量的漏洞,攻击者的涌入使其安全问题日趋严重。然而,目前市场上的Android应用漏洞检测平台检测项过少,功能单一,很难对应用做出全面的安全评估。本文将静态分析、动态分析与渗透测试技术相结合,设计并实现了Android应用漏洞分析测试系统。本文的主要工作如下:(1)根据权威漏洞库与各检测平台发布的漏洞信息,整理了Android应用中常见的38种漏洞,将其分为五大类:AndroidManifest配置文件漏洞、服务器通信漏洞、WebView组件漏洞、数据安全漏洞与组件校验漏洞,在此基础上建立了漏洞规则库。(2)静态分析中将词法分析与污点分析相结合,提出了基于漏洞规则库的正则匹配分析方法。动态分析在传统的沙箱监控中加入了中间人攻击程序,实现了对系统敏感函数的监控与对不安全网络数据包的修改。(3)静态与动态分析方法仅仅检测到了漏洞的存在与位置,并不能重现攻击者利用漏洞发起攻击的过程。因此本文采用了基于Drozer工具的渗透测试方法,对检测到的漏洞进行模拟攻击,使漏洞的分析结果更加可靠。本文使用Python语言设计并实现了Android应用漏洞分析测试系统,快速检测Android应用中存在的漏洞与风险,完成对Android应用安全全面、可靠的评估。总之,本文的工作有益于提高Android应用的安全性。