近年来,由于Android平台的开放性,Android应用的数量正在快速地增长着。与此同时,越来越多的恶意应用制造者也瞄准了Android这个平台。恶意应用制造者通过在Android应用中嵌入恶意代码来执行某些特定地恶意行为,如恶意扣费、窃取私密信息或将Android手机变成僵尸网络中的僵尸结点等。本文将这种对应用进行修改或植入代码后再打包的应用称之为二次打包应用。由于这种二次打包应用给用户带来了巨大的安全隐患,如何检测它们便成为了用户和应用市场提供者急需解决的问题。现有的一些检测方法主要是从应用的静态代码中提取静态的应用特征,并作应用相似度的计算。这些方法简单、成熟,但却无法应对日益成熟的代码模糊技术,且无法分析应用的动态行为特征。于是本文提出了一种快速、可扩展的基于应用运行时所产生的流量的相似度来检测二次打包应用的检测技术,这是一种全新的检测技术。此检测技术首先需要建立一个Android应用的流量相似度模型。此模型可以准确地捕获Android应用运行时所产生的流量,并将其解析为流,以形成流图,之后再将其分入不同的流图集合中,最后所得到的流图集合就此应用的流量特征。为了能准确地计算出应用的流量特征相似度,本文还提出了一整套流、流图以及流图集合的相似度计算算法。其次,此检测技术还需要一个比较查询方法以便快速地查询出相似的应用对。本文从不同的检测目标出发,分别提出了基于流量相似度的成对比较检测系统和基于流量相似度的平衡VP-Tree检测系统。这两个检测系统各有千秋,都能在其各自的检测领域里快速地查询出二次打包应用。本文最后实现了流量相似度模型以及两个检测系统的原型,并用其对6个市场(包括官方市场)共7619个应用分别进行了检测。最后共检测出658个二次打包应用,打包率在5.05%到12.13%之间,平均打包率为8.64%。在此结果上,本文再对二次打包应用进行了仔细地检测分析。发现二次打包应用总是比其原始应用产生更多的流量,那是因为其被额外地添加了一些广告以赚取广告收入并窃取用户私密信息,有的还被植入恶意代码以达到某些特定的目的。这些结果显示Android应用市场,无论官方还是第三方市场,都急需一个严格的审查过程以便更好地规范手机应用市场的秩序。