论文部分内容阅读
Android现已成为市场上最流行的移动设备操作系统,在极大地丰富用户体验的同时,也吸引攻击者开展恶意攻击从中谋取私利。权限是Android系统中一项重要的安全特性,控制第三方应用程序对用户隐私数据和关键资源的合理访问。当前,研究Android软件对权限的使用已成为Android安全领域的研究热点之一。本论文简要分析了Android平台的安全机制,从使用方法、安全职责划分以及有效性分析等方面详细阐述了Android权限管理模型的机理和不足。在静态分析的基础上,本论文提出一种有效的Android应用软件隐式权限的检测方法。该方法可以获取应用程序使用隐式API时访问的具体资源,这些资源在已有的工作中未能被很好的检测。本论文的主要工作和特色如下：(1)提出了一种基于静态分析的隐式权限检测方法,将Android中引发权限审核的API区分为显式和隐式。该方法进一步对Android应用中隐式调用提取完整的资源访问信息,克服已有方法在隐式权限上检测率低的不足。(2)实现一个轻量级的权限分析工具UpsetEx。工具包含完整的显／隐式权限-API映射关系。基于上述检测方法,工具采用过程内分析技术提取隐式调用中的资源参数。工具使用Python语言开发,生成的详细的权限使用报告可进一步应用于恶意应用检测、隐私保护等安全研究。(3)分析实际的Android应用软件,评估Android平台权限使用情况。本论文使用UpsetEx对226个(19个分类)Android热门应用软件进行评估,有115个软件在代码使用隐式权限,203个软件出现过度申请权限的现象。有效检测Android应用程序实际使用的权限可以帮助应用开发者更好地申请和使用权限,从而规避可能受到的攻击。本论文开发的权限分析工具UpsetEx,能为研究人员进一步开展Android安全研究提供准确、详细的权限信息来源。