Intelligent Analysis and Disposal of Malicious Behavior in Android System A Thesis Submitted to Southeast University For the Academic Degree of Master

Transcription

1 分 类 号 : TP393 密 级 : 公 开 UDC: 学 号 : 东 南 大 学 工 程 硕 士 学 位 论 文 Android 软 件 恶 意 行 为 的 智 能 分 析 与 处 理 研 究 生 姓 名 : 导 师 姓 名 : 张 扬 罗 军 舟 教 授 李 国 峰 高 工 申 请 学 位 级 别 工 程 硕 士 学 位 授 予 单 位 东 南 大 学 一 级 学 科 名 称 计 算 机 科 学 与 工 程 论 文 答 辩 日 期 2013 年 8 月 30 日 二 级 学 科 名 称 计 算 机 应 用 技 术 学 位 授 予 日 期 年 月 日 答 辩 委 员 会 主 席 曹 玖 新 评 阅 人 2013 年 8 月 29 日

2 Intelligent Analysis and Disposal of Malicious Behavior in Android System A Thesis Submitted to Southeast University For the Academic Degree of Master of Engineering By Yang Zhang Supervised by Professor Luo Junzhou and Senior Engineer Li Guofeng School of Computer Science and Engineering Southeast University, Nanjing, P. R. China August 2013

3 东 南 大 学 学 位 论 文 独 创 性 声 明 本 人 声 明 所 呈 交 的 学 位 论 文 是 我 个 人 在 导 师 指 导 下 进 行 的 研 究 工 作 及 取 得 的 研 究 成 果 尽 我 所 知, 除 了 文 中 特 别 加 以 标 注 和 致 谢 的 地 方 外, 论 文 中 不 包 含 其 他 人 已 经 发 表 或 撰 写 过 的 研 究 成 果, 也 不 包 含 为 获 得 东 南 大 学 或 其 它 教 育 机 构 的 学 位 或 证 书 而 使 用 过 的 材 料 与 我 一 同 工 作 的 同 志 对 本 研 究 所 做 的 任 何 贡 献 均 已 在 论 文 中 作 了 明 确 的 说 明 并 表 示 了 谢 意 研 究 生 签 名 : 日 期 : 东 南 大 学 学 位 论 文 使 用 授 权 声 明 东 南 大 学 中 国 科 学 技 术 信 息 研 究 所 国 家 图 书 馆 有 权 保 留 本 人 所 送 交 学 位 论 文 的 复 印 件 和 电 子 文 档, 可 以 采 用 影 印 缩 印 或 其 他 复 制 手 段 保 存 论 文 本 人 电 子 文 档 的 内 容 和 纸 质 论 文 的 内 容 相 一 致 除 在 保 密 期 内 的 保 密 论 文 外, 允 许 论 文 被 查 阅 和 借 阅, 可 以 公 布 ( 包 括 刊 登 ) 论 文 的 全 部 或 部 分 内 容 论 文 的 公 布 ( 包 括 刊 登 ) 授 权 东 南 大 学 研 究 生 院 办 理 研 究 生 签 名 : 导 师 签 名 : 日 期 :

4

5 摘 要 摘 要 近 年 来, 随 着 智 能 终 端 的 普 及,Android 系 统 发 展 迅 速 在 Android 操 作 系 统 被 业 界 广 泛 接 受 的 同 时, 各 种 恶 意 软 件 层 出 不 穷 这 不 仅 影 响 了 用 户 的 体 验, 更 存 在 用 户 隐 私 数 据 被 盗 资 产 受 到 侵 害 的 危 险 Android 系 统 的 安 全 问 题 不 但 给 随 身 携 带 智 能 终 端 的 用 户 带 来 了 困 扰 和 忧 虑, 而 且 遏 制 了 Android 市 场 的 进 一 步 发 展 因 此, 对 Android 系 统 恶 意 软 件 检 测 技 术 的 研 究 已 成 为 学 术 界 与 工 业 界 关 注 的 热 点 领 域 现 有 Android 系 统 恶 意 软 件 检 测 技 术 主 要 分 为 静 态 特 征 码 检 测 和 动 态 行 为 分 析 两 种 方 法 虽 然 静 态 特 征 码 检 测 有 较 高 的 识 别 率, 但 该 方 法 存 在 不 可 避 免 的 滞 后 性, 而 且 需 要 频 繁 联 网 更 新 病 毒 库, 耗 费 用 户 的 流 量 费 用 而 智 能 终 端 上 的 软 件 动 态 行 为 分 析 借 鉴 了 传 统 PC 机 上 的 恶 意 软 件 识 别 技 术, 但 是 现 有 的 研 究 很 少 考 虑 智 能 终 端 用 户 的 行 为 习 惯 或 者 诸 如 权 限 特 性 之 类 的 Android 系 统 独 有 特 性 针 对 上 述 问 题, 本 论 文 在 综 合 考 虑 用 户 行 为 习 惯 和 Android 系 统 特 性 的 基 础 上, 研 究 Android 软 件 恶 意 行 为 的 智 能 分 析 与 处 理 方 案, 实 现 一 套 Android 安 全 防 护 软 件 具 体 来 说, 主 要 工 作 包 括 以 下 几 个 方 面 : 1. 研 究 Android 系 统 的 安 全 机 制, 离 线 静 态 分 析 2110 个 Android 软 件 的 权 限, 实 现 Apriori 算 法 挖 掘 出 恶 意 软 件 和 敏 感 权 限 组 合 的 关 联, 并 归 纳 出 需 要 在 软 件 运 行 时 实 时 监 控 的 敏 感 权 限 2. 研 究 Android 系 统 源 代 码, 设 计 并 实 现 Android 系 统 敏 感 权 限 的 动 态 实 时 监 控 技 术, 从 而 能 够 动 态 地 修 改 Android 软 件 的 权 限, 并 实 时 地 检 测 Android 系 统 中 软 件 运 行 时 使 用 敏 感 权 限 的 情 况, 拦 截 权 限 的 恶 意 使 用 3. 动 态 分 析 83 个 软 件 在 Android 系 统 中 的 行 为, 结 合 静 态 分 析 与 动 态 分 析 的 结 果, 抽 取 用 于 识 别 Android 系 统 中 软 件 恶 意 行 为 的 抽 象 属 性 特 征, 在 改 进 朴 素 贝 叶 斯 决 策 方 法 的 基 础 上, 研 究 并 设 计 了 Android 软 件 恶 意 行 为 的 智 能 识 别 算 法 4. 整 合 Android 软 件 恶 意 行 为 的 智 能 分 析 与 处 理 方 案, 在 扩 展 Android 系 统 权 限 管 理 机 制 的 基 础 上, 设 计 并 实 现 一 款 Android 安 全 防 护 软 件 本 论 文 在 静 态 分 析 Android 权 限 申 请 和 动 态 分 析 Android 权 限 使 用 的 基 础 上, 提 出 恶 意 行 为 的 智 能 识 别 算 法, 并 结 合 Android 系 统 敏 感 权 限 的 动 态 实 时 监 控 机 制, 最 终 实 现 一 款 完 整 可 靠 的 Android 安 全 防 护 软 件, 可 以 有 效 地 保 障 Android 系 统 的 安 全 关 键 词 :Android 安 全, 权 限 管 理 机 制, 关 联 规 则 挖 掘, 动 态 实 时 拦 截, 朴 素 贝 叶 斯 分 类 器 I

6 Abstract Abstract In recent years, with the popularization of intelligent terminal, the development of Android system is quite rapid. As the Android operating system is widely accepted by the industry, all kinds of malicious software emerge in an endless stream. This not only affects the user experience, but also threats user privacy and property. Security issue of Android system not only brings troubles and worries to smart phone users, but also limits further development of Android market. Therefore, research on Android security has become a hot area in both academic and industrial field. At present, existing Android malware detection technology is mainly divided into two methods, static scanning and dynamical analysis. Even though software based on static scanning can achieve high detection rate, it will frequectly updates antivirus software, which will bring extra cost. Research on dynamical analysis rarely takes user behavior and unique Android characteristics such as permission into consideration. In view of the problems above, this thesis studies intelligent analysis and disposal of malicious behavior in Android system and implements Android defending system. Specifically, the main work includes the following: 1. Study the security mechanism of Android system, conduct static analysis of 2110 Android software authorities, use Apriori algorithm for mining associations between malware software and sensitive permissions, sum up sensitive permissions which need to be monitored dynamically. 2. Study Android system source code, design and realize real-time interception mechanism of Android API so as to monitor sensitive permissions in real time and intercept malicious use of sensitive permission. 3. Analyze the behavior of 83 software in the Android system, combine data from static analysis and dynamic analysis, extract abstract attributes for software malicious behavior recognition, and then based on improved naive Bias decision method, design Android software malicious behavior intelligent recognition algorithm. 4. Design and realize functional modules of the intelligent analysis and disposal scheme of malicious behavior, and then through extending the original permission management mechanism, realize Android defending software. The research on malicious behavior of Android software includes static analysis of Android permission, dynamic interception of Android software's usage of permission and intelligent algorithm of Android software's malicious behavior recognition. Compared with II

7 东 南 大 学 硕 士 学 位 论 文 the existing research, intelligent analysis and disposal of Android software's malicious behavior proposed in this thesis is more reasonable, more efficient, and it is of great significance for improving permission system in Android system. Keywords: Android Security,Permission Management Mechanism,Association Rules Mining,Dynamic and Real-time Interception,Navie Bayesian Classifier III

8 目 录 目 录 摘 要... I Abstract... II 图 形 目 录... IV 表 格 目 录... IV 第 一 章 引 言 研 究 背 景 与 意 义 研 究 现 状 Android 系 统 及 其 体 系 结 构 Android 系 统 面 临 的 安 全 威 胁 Android 系 统 恶 意 软 件 检 测 技 术 研 究 现 状 总 结 研 究 目 标 和 内 容 研 究 目 标 研 究 内 容 论 文 组 织 结 构 第 二 章 Android 安 全 防 护 软 件 的 总 体 设 计 需 求 分 析 系 统 方 案 框 架 系 统 体 系 结 构 基 础 数 据 层 的 设 计 系 统 功 能 层 的 设 计 人 机 交 互 层 的 设 计 本 章 小 结 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 Android 系 统 的 安 全 机 制 Linux 内 核 层 的 安 全 机 制 Android 特 有 的 安 全 机 制 其 它 安 全 机 制 安 全 机 制 小 结 软 件 权 限 的 统 计 分 析 数 据 来 源 权 限 统 计 方 法 权 限 统 计 结 果 基 于 Apriori 算 法 的 敏 感 权 限 组 合 挖 掘 Android 权 限 机 制 在 安 装 时 存 在 的 问 题 敏 感 权 限 组 合 挖 掘 问 题 的 形 式 化 描 述 Apriori 算 法 原 理 IV

9 东 南 大 学 硕 士 学 位 论 文 恶 意 权 限 组 合 智 能 安 装 方 案 需 要 实 时 监 控 的 敏 感 权 限 本 章 小 结 第 四 章 Android 系 统 敏 感 权 限 的 动 态 实 时 监 控 相 关 技 术 Android 组 件 AIDL 服 务 Intent 机 制 Android 系 统 源 码 分 析 短 信 发 送 流 程 分 析 权 限 审 查 流 程 分 析 动 态 实 时 监 控 机 制 的 设 计 本 章 小 结 第 五 章 基 于 朴 素 贝 叶 斯 分 类 器 的 恶 意 行 为 智 能 识 别 问 题 描 述 智 能 识 别 方 案 方 案 框 架 特 征 选 取 与 抽 象 基 于 朴 素 贝 叶 斯 分 类 器 的 恶 意 行 为 智 能 识 别 算 法 朴 素 贝 叶 斯 分 类 器 算 法 描 述 实 验 分 析 本 章 小 结 第 六 章 Android 安 全 防 护 软 件 的 实 现 与 测 试 系 统 实 现 基 础 数 据 层 的 实 现 系 统 功 能 层 的 实 现 人 机 交 互 层 的 实 现 系 统 测 试 测 试 环 境 功 能 测 试 性 能 测 试 本 章 小 结 第 七 章 总 结 与 展 望 研 究 成 果 总 结 未 来 工 作 展 望 参 考 文 献 V

10 图 形 目 录 图 形 目 录 图 1-1 Android 系 统 安 全 框 架... 4 图 1-2 软 件 动 态 分 析 的 步 骤... 8 图 2-1 Android 防 护 方 案 设 计 图 2-2 系 统 整 体 设 计 图 3-1 Android Manifest 示 例 图 3-2 Android 权 限 抽 取 的 shell 脚 本 图 3-3 由 shell 脚 本 读 出 的 Android 权 限 示 例 图 3-4 前 20 位 被 频 繁 申 请 的 权 限 图 3-5 Android 软 件 安 装 时 显 示 的 权 限 列 表 图 3-6 智 能 安 装 的 实 现 框 架 图 4-1 Android 系 统 短 信 的 发 送 准 备 阶 段 图 4-2 Android 系 统 短 信 的 实 际 发 送 阶 段 图 4-3 权 限 审 核 流 程 源 码 分 析 图 4-4 Android 系 统 敏 感 权 限 的 动 态 实 时 监 控 图 5-1 恶 意 行 为 智 能 识 别 方 案 框 架 图 5-2 恶 意 行 为 智 能 识 别 的 算 法 流 程 图 5-3 贝 叶 斯 方 法 决 策 两 分 类 问 题 的 模 型 图 5-4 基 于 标 准 朴 素 贝 叶 斯 模 型 的 恶 意 行 为 智 能 识 别 的 正 确 率 图 5-5 基 于 改 进 的 朴 素 贝 叶 斯 模 型 的 恶 意 行 为 智 能 识 别 的 正 确 率 图 6-1 Android 输 入 事 件 处 理 机 制 图 6-2 监 听 用 户 输 入 操 作 的 程 序 流 程 图 6-3 监 听 用 户 输 入 操 作 的 C 语 言 核 心 源 代 码 图 6-4 监 听 用 户 输 入 操 作 的 makefile 文 件 图 6-5 实 际 监 控 流 程 图 6-6 实 际 监 控 流 程 的 C 语 言 代 码 图 6-7 实 际 监 控 流 程 的 makefile 文 件 图 6-8 加 载 C 语 言 链 接 库 的 过 程 VI

11 东 南 大 学 硕 士 学 位 论 文 图 6-9 lastapply 的 数 据 结 构 图 6-10 软 件 界 面 跳 转 流 程 图 6-11 Android 安 全 防 护 软 件 的 主 界 面 图 6-12 通 信 权 限 管 理 界 面 图 6-13 拥 有 短 信 发 送 权 限 的 软 件 图 6-14 模 式 选 择 对 话 框 图 6-15 允 许 短 信 发 送 的 测 试 图 6-16 拦 截 短 信 发 送 的 测 试 图 6-17 用 户 询 问 模 式 的 测 试 图 6-18 智 能 识 别 模 式 的 测 试 图 6-19 隐 私 权 限 管 理 界 面 图 6-20 软 件 安 装 时 的 安 全 提 示 图 6-21 智 能 安 装 后 的 自 动 拦 截 设 置 VII

12 表 格 目 录 表 格 目 录 表 1-1 网 秦 公 司 最 新 发 布 的 恶 意 软 件... 6 表 3-1 Android 安 全 机 制 表 3-2 数 据 集 概 况 表 3-3 各 分 类 软 件 所 申 请 的 权 限 数 表 3-4 数 据 集 中 权 限 重 复 申 请 的 情 况 表 3-5 恶 意 权 限 组 合 表 3-6 恶 意 软 件 常 用 的 敏 感 权 限 表 6-1 PermissionUsageHistory 表 结 构 定 义 表 6-2 性 能 测 试 结 果 VIII

13 第 一 章 引 言 第 一 章 引 言 本 章 首 先 分 别 介 绍 了 Android 系 统 和 Android 系 统 安 全 问 题 的 相 关 背 景, 对 现 有 Android 系 统 及 其 安 全 框 架 Android 系 统 安 全 威 胁 以 及 Android 恶 意 软 件 检 测 技 术 进 行 调 研, 指 出 存 在 的 问 题 和 安 全 隐 患, 最 后 提 出 本 文 的 研 究 目 标 和 内 容 1.1 研 究 背 景 与 意 义 Android 系 统 的 智 能 手 机 在 当 今 世 界 呈 现 普 及 化 趋 势 根 据 Gartner 的 报 告 [1], 2013 年 第 一 季 度 Android 系 统 市 场 份 额 已 达 到 1.5 亿 台, 占 全 球 智 能 手 机 市 场 份 额 的 74.4%, 远 高 于 排 名 第 二 的 ios 系 统 所 占 的 18.2%, 并 预 测 到 2015 年,Android 系 统 的 智 能 手 机 将 达 到 5 亿 台 Android 系 统 的 快 速 发 展, 给 移 动 服 务 带 来 了 巨 大 的 变 革 Android 系 统 智 能 手 机 的 功 能 早 已 超 越 了 传 统 手 机 的 通 信 功 能, 各 种 新 型 应 用 层 出 不 穷,Android 应 用 商 城 也 呈 现 了 空 前 的 火 热 场 面 Android 系 统 的 智 能 手 机 已 经 蜕 变 成 为 融 合 通 信 个 人 业 务 处 理 以 及 娱 乐 的 强 大 个 人 终 端 然 而,Android 系 统 的 普 及 也 带 来 了 巨 大 的 安 全 挑 战 [2] 根 据 2011 年 中 国 手 机 安 全 状 况 报 告 中 的 统 计, 在 2011 年,Android 木 马 呈 现 爆 发 式 增 长 与 2010 年 全 年 共 发 现 的 12 个 木 马 样 本 相 比,2011 年 全 年,360 手 机 云 安 全 中 心 捕 获 新 增 Android 木 马 样 本 数 为 4722 个, 被 感 染 人 数 超 过 498 万 人 次 例 如 Soundcomber [3] 就 是 Android 平 台 中 典 型 的 攻 击 案 例, 该 木 马 可 以 从 手 机 摄 像 头 画 面 中 抽 取 出 隐 私 数 据, 并 通 过 上 下 文 感 知 技 术, 从 语 音 信 息 中 智 能 地 提 取 出 诸 如 银 行 卡 卡 号 和 密 码 等 敏 感 信 息 Android 上 的 恶 意 软 件 通 常 偷 偷 收 集 智 能 终 端 上 的 隐 私 数 据, 然 后 通 过 短 信 电 话 或 者 网 络 的 方 式 将 用 户 隐 私 数 据 传 输 到 远 端 服 务 器, 从 而 达 到 恶 意 统 计 隐 私 出 售 远 端 控 制 恶 意 收 费 等 目 的 造 成 Android 系 统 中 病 毒 爆 发 主 要 可 以 归 结 为 以 下 三 个 原 因 : 一 是 操 作 系 统 的 开 源 特 性 众 所 周 知,Android 操 作 系 统 是 一 个 开 源 的 操 作 系 统 正 因 为 如 此, Android 操 作 系 统 能 够 被 广 泛 应 用 于 各 种 嵌 入 式 平 台 然 而, 这 也 为 黑 客 们 开 发 病 毒 提 供 了 便 利 每 一 个 电 脑 爱 好 者 都 可 以 去 研 究 Android 操 作 系 统, 发 现 其 中 的 漏 洞, 并 有 针 对 性 地 开 发 出 病 毒 软 件 二 是 Android 开 发 的 低 门 槛 性 Android 系 统 提 供 的 基 于 JAVA 语 言 的 程 序 开 发 套 件 为 软 件 的 开 发 提 供 了 很 大 的 便 利 而 另 一 方 面, 由 于 任 何 人 只 要 交 纳 25 美 金 后 就 可 以 上 传 自 己 的 应 用 到 Android 1

14 东 南 大 学 硕 士 学 位 论 文 Market 供 别 人 下 载, 这 为 病 毒 的 扩 散 提 供 了 很 大 的 便 利 三 是 Android 系 统 有 缺 陷 的 安 全 模 型 Android 软 件 在 安 装 的 时 候 需 要 申 请 相 应 的 权 限, 这 些 权 限 的 申 请 会 在 软 件 安 装 时 以 列 表 的 形 式 提 供 给 用 户 程 序 所 需 权 限 列 表 在 安 装 时 必 须 被 用 户 全 部 赋 予, 软 件 安 装 完 成 后 不 可 更 改, 这 种 粗 粒 度 的 特 性 导 致 Android 系 统 成 百 个 权 限 的 授 权 责 任 被 转 嫁 给 没 有 安 全 意 识 的 用 户, 一 旦 程 序 被 授 予 了 权 限, 则 该 权 限 不 会 再 被 改 变, 并 且 在 该 权 限 使 用 的 时 候,Android 系 统 也 不 会 通 知 用 户 这 样 的 框 架 设 计 给 系 统 留 下 了 极 大 的 安 全 隐 患 由 于 病 毒 必 须 通 过 系 统 敏 感 权 限 调 用 来 实 现 对 敏 感 资 源 的 访 问, 因 此, 对 系 统 敏 感 权 限 调 用 进 行 有 效 控 制 是 遏 制 病 毒 爆 发 的 有 效 途 径 市 面 上 现 有 的 Android 安 全 防 护 软 件, 例 如 LBE 360 手 机 卫 士 等, 都 对 软 件 的 恶 意 行 为 进 行 一 定 程 度 的 监 控, 当 发 现 系 统 API 调 用 对 敏 感 资 源 进 行 访 问 的 时 候, 会 提 示 用 户, 让 用 户 来 判 断 是 否 允 许 这 些 软 件 进 行 这 一 系 列 的 操 作 这 种 方 式 的 确 细 化 了 Android 系 统 的 安 全 体 系, 但 是 授 权 软 件 进 行 敏 感 操 作 的 责 任 仍 旧 被 转 嫁 到 没 有 安 全 意 识 的 用 户 头 上 而 且, 当 用 户 正 常 操 作 的 时 候, 安 全 防 护 软 件 经 常 会 弹 出 对 话 框 来 提 示 用 户 当 前 有 软 件 在 调 用 某 些 敏 感 资 源, 这 时 常 会 打 断 用 户 的 正 常 操 作 因 此, 如 何 智 能 化 地 对 系 统 敏 感 资 源 的 访 问 进 行 分 析 和 处 理, 在 兼 顾 系 统 安 全 需 求 的 同 时, 保 障 用 户 体 验, 是 开 发 Android 安 全 防 护 软 件 所 需 要 解 决 的 关 键 问 题 本 文 在 Android 软 件 基 础 框 架 层 代 码 上 对 Android 系 统 敏 感 权 限 调 用 进 行 有 效 地 控 制, 并 对 软 件 的 行 为 进 行 智 能 分 析, 从 而 识 别 出 软 件 的 恶 意 行 为, 并 最 终 实 现 一 款 Android 安 全 防 护 软 件 该 软 件 能 够 在 用 户 安 装 时, 提 供 智 能 安 装 功 能, 不 但 给 予 用 户 更 为 直 观 的 安 全 提 示, 而 且 能 够 限 制 软 件 实 施 恶 意 行 为 的 能 力 ; 在 软 件 运 行 时, 可 以 自 动 地 判 断 软 件 在 调 用 系 统 敏 感 权 限 时 是 否 属 于 正 常 的 行 为, 从 而 避 免 了 由 没 有 专 业 背 景 的 用 户 来 判 断 当 前 软 件 的 行 为 是 否 合 理, 智 能 化 地 保 障 了 Andriod 系 统 的 安 全 1.2 研 究 现 状 根 据 Android 系 统 日 益 增 长 的 安 全 需 求, 本 文 对 相 关 研 究 领 域 进 行 了 深 入 的 调 研 和 总 结, 包 括 :(1)Android 系 统 及 其 安 全 架 构 ;(2)Android 系 统 面 临 的 安 全 威 胁 ;(3)Android 系 统 恶 意 软 件 检 测 技 术 2

15 第 一 章 引 言 Android 系 统 及 其 体 系 结 构 众 所 周 知,Android 系 统 是 由 Google 的 Open Handset Alliance(OHA) 团 队 开 发 的 移 动 开 源 平 台 正 是 由 于 其 开 源 特 性, 现 有 市 场 上 对 Android 操 作 系 统 的 修 改 版 本 层 出 不 穷, 各 式 各 样 的 修 改 版 本 充 斥 着 Android 智 能 终 端 市 场 为 了 更 好 的 了 解 Android 操 作 系 统, 首 先 得 对 各 个 版 本 的 Android 操 作 系 统 有 所 了 解 目 前, 市 场 上 常 见 的 Android 操 作 系 统 项 目 包 括 Google 原 生 的 AOSP Cyanogen 团 队 开 发 的 CyanogenMod Roman Birg 所 领 导 开 发 的 AOKP, 以 及 国 内 市 场 上 常 见 的 MIUI OPDA 腾 讯 tita 百 度 云 系 统 等 (1)AOSP AOSP 是 Android Open-Source Project 的 缩 写 Google 公 司 每 发 布 一 个 新 版 本 的 Android 系 统, 都 会 将 其 源 代 码 版 本 发 送 至 开 源 社 区, 所 发 放 出 来 的 操 作 系 统 源 代 码 即 是 AOSP, 这 也 是 最 为 纯 净 的 Android 系 统 其 优 点 是 由 Google 公 司 官 方 进 行 维 护 与 更 新, 代 码 的 可 靠 性 安 全 性 与 可 读 性 都 有 着 较 高 水 平 的 保 障 (2)Cyanogen Cyanogen 是 全 球 最 大 的 第 三 方 操 作 系 统 编 译 团 队, 该 团 队 所 开 发 覆 盖 的 机 型 是 最 广 的, 几 乎 所 有 的 热 门 机 型 都 有 相 对 应 的 CyanogenMod(CM) 系 统 可 以 供 用 户 刷 机 基 于 AOSP,Cyanogen 对 Android 系 统 的 性 能 和 可 靠 性 方 面 进 行 了 深 度 的 优 化 不 但 如 此,Cyanogen 还 提 供 了 一 系 列 原 生 Android 操 作 系 统 所 没 有 的 特 性 功 能, 例 如,CM 系 统 支 持 FLAC 音 频 格 式 程 序 可 从 SD 外 置 存 储 器 运 行 高 速 缓 存 压 缩 [4] 大 量 的 接 入 点 名 单 Wi-Fi 无 线 网 络 支 持 蓝 牙 及 USB 网 络 分 享 等 (3)MIUI MIUI 是 小 米 科 技 运 营 的 Android 操 作 系 统 项 目, 它 是 基 于 CM 系 统 进 行 二 次 修 改 的 衍 生 项 目 小 米 团 队 每 周 在 其 论 坛 上 发 布 新 的 版 本, 并 通 过 空 中 下 载 [5] 的 方 式 对 每 一 部 小 米 手 机 进 行 系 统 升 级 相 对 于 CM 系 统 来 说,MIUI 的 开 发 重 心 放 在 了 用 户 体 验 与 细 节 功 能 的 改 进, 自 主 原 创 了 全 套 的 用 户 体 验 设 计 体 系, 其 首 创 的 各 种 炫 彩 功 能 为 Android 智 能 终 端 用 户 带 来 了 华 丽 的 界 面 体 验 MIUI 也 特 别 侧 重 于 系 统 空 间 的 纯 净, 从 不 集 成 第 三 方 软 件, 而 且 其 独 特 的 双 系 统 共 存 模 式 更 方 便 用 户 刷 新 系 统 (4)OPDA OPDA 团 队 成 立 于 2007 年, 是 国 内 最 早 的 Android 开 发 团 队 旗 下 更 汇 集 了 众 多 优 秀 的 编 程 汉 化 开 发 破 解 资 源 制 作 打 包 技 术 团 队 和 资 深 专 家 3

16 东 南 大 学 硕 士 学 位 论 文 OPDA 系 统 在 保 证 Android 系 统 的 完 善 性 和 安 全 性 的 前 提 下, 对 其 进 行 了 更 深 层 次 的 优 化 精 简, 在 国 内 外 都 享 有 一 定 的 声 誉 OPDA 系 统 相 较 于 CM, 更 贴 近 于 国 人 的 操 作 习 惯 ; 相 较 于 MIUI, 则 加 入 了 定 制 化 的 贴 心 服 务 ; 相 较 于 其 它 众 多 Android 系 统, 又 精 简 了 许 多 不 必 要 的 软 件 程 序 通 过 以 上 的 调 研 发 现, 很 多 Android 开 源 平 台 在 设 计 理 念 系 统 架 构 规 模 兼 容 性 安 全 性 以 及 性 能 等 方 面 都 有 着 相 应 的 考 虑 同 时,Android 系 统 的 开 源 特 性 为 嵌 入 式 智 能 终 端 系 统 的 研 究 带 来 了 更 加 开 放 灵 活 与 自 由 的 构 建 方 法 当 前 Android 操 作 系 统 的 典 型 的 体 系 结 构 如 图 1-1 所 示 应 用 程 序 层 安 全 软 件 生 活 & 购 物 网 络 & 社 区 办 公 & 财 经 旅 行 & 地 图 美 化 & 壁 纸 应 用 部 分 游 戏 输 入 & 系 统 影 音 & 图 像 通 讯 & 聊 天 阅 读 & 图 书... 应 用 程 序 框 架 层 窗 口 管 理 器 活 动 管 理 器 程 序 包 管 理 器 位 置 管 理 器 位 置 管 理 器 视 图 管 理 器 通 知 管 理 器 资 源 管 理 器 通 讯 管 理 器... 函 数 库 层 Sqlite WebKit Libc SSL Android 运 行 环 境 核 心 类 库 Dalvik 虚 拟 机 核 心 部 分 SGL... 硬 件 抽 象 层 通 信 接 口 GPS 接 口 音 视 频 接 口 输 入 设 备 接 口... Linux 内 核 电 源 管 理 进 程 / 线 程 内 存 管 理 驱 动 外 设 管 理... Android 底 层 图 1-1 Android 系 统 安 全 框 架 Android 操 作 系 统 的 体 系 结 构 共 分 为 三 个 层 次 : 1) 第 一 层 是 Android 底 层, 由 Linux 内 核 与 硬 件 抽 象 层 组 成 Android 的 核 心 系 统 服 务 基 于 Linux2.6 内 核, 但 对 驱 动 层 和 硬 件 抽 象 层 进 行 了 一 些 修 改, 以 适 应 智 能 手 机 的 嵌 入 式 操 作 环 境 这 层 的 主 要 功 能 是 对 硬 件 进 行 管 理 和 抽 象 2) 第 二 层 是 Android 核 心 部 分, 由 Android 核 心 库 运 行 环 境 和 应 用 程 序 框 架 层 组 成 核 心 库 中 包 含 C/C++ 库, 其 中 大 部 分 都 是 开 源 的 函 数 库 运 行 环 [6] 境 由 Java 的 核 心 库 和 Dalvik 虚 拟 机 构 成 该 层 为 每 一 个 软 件 提 供 单 独 的 执 行 4

17 第 一 章 引 言 环 境, 每 一 个 Android 软 件 都 在 Dalvik 虚 拟 机 的 一 个 实 例 中 执 行, 所 以 不 同 的 软 件 之 间 不 能 互 相 干 扰 应 用 程 序 框 架 层 提 供 了 丰 富 的 程 序 开 发 接 口 供 开 发 者 使 用, 负 责 应 用 程 序 层 和 底 层 之 间 的 交 互 3) 第 三 层 是 应 用 程 序 层 这 层 提 供 直 接 与 用 户 交 互 的 软 件, 包 括 系 统 软 件 和 第 三 方 软 件 Android 系 统 面 临 的 安 全 威 胁 随 着 Android 操 作 系 统 被 业 界 广 泛 接 受 并 普 及 的 同 时, 各 种 恶 意 软 件 不 断 出 现 这 不 仅 影 响 了 用 户 的 体 验, 更 存 在 用 户 隐 私 数 据 被 盗 资 产 受 到 侵 害 的 危 险 由 于 移 动 设 备 的 特 点, 对 于 移 动 设 备 的 攻 击 与 传 统 针 对 个 人 电 脑 的 攻 击 存 在 相 当 大 的 差 异 大 部 分 攻 击 者 的 目 的 都 是 为 了 在 攻 击 中 受 益, 所 以 在 传 统 的 攻 击 中, 攻 击 者 一 般 是 通 过 攻 击 操 作 系 统 的 漏 洞 达 到 控 制 受 害 主 机 的 目 的, 除 了 特 定 的 情 况 外, 攻 击 者 很 少 对 电 脑 中 的 数 据 感 兴 趣 而 且 控 制 受 害 机 本 身 并 不 能 够 直 接 获 益, 需 要 通 过 DDoS 攻 击 等 间 接 的 方 式 才 能 从 攻 击 中 受 益 但 是, 对 于 移 动 设 备, 特 别 是 智 能 手 机 的 攻 击 则 完 全 不 同 智 能 手 机 中 保 存 着 大 量 的 个 人 信 息, 这 些 信 息 本 身 就 蕴 含 着 丰 富 的 商 业 价 值 所 以, 对 于 智 能 手 机 的 攻 击, 目 的 性 更 明 确, 大 部 分 的 攻 击 者 都 是 为 了 窃 取 手 机 中 的 个 人 信 息 此 外, 随 着 移 动 支 付 技 术 的 成 熟, 恶 意 软 件 还 会 威 胁 到 了 用 户 支 付 账 户 的 安 全 Android 移 动 终 端 的 安 全 问 题 不 但 给 随 身 携 带 智 能 终 端 的 用 户 带 来 了 困 扰 和 忧 虑, 而 且 阻 碍 了 Android 市 场 的 进 一 步 发 展 由 于 第 三 方 移 动 应 用 越 来 越 多 地 和 用 户 的 隐 私 商 业 信 息 无 缝 结 合, 针 对 移 动 平 台 的 隐 私 泄 露 和 隐 私 攻 击 成 为 Android 系 统 研 究 中 亟 待 解 决 的 问 题 在 目 前 有 关 Android 智 能 终 端 安 全 问 题 的 研 究 中, 用 户 隐 私 问 题 已 经 引 起 学 术 界 的 广 泛 关 注, 研 究 主 要 分 为 两 类 : 第 一 类 是 研 究 木 马 程 序 的 恶 意 行 为 [7], 通 过 木 马 程 序, 攻 击 者 可 以 直 接 执 行 包 括 窃 取 用 户 隐 私 信 息 在 内 的 恶 意 行 为 木 马 程 序 特 指 在 实 现 合 法 功 能 的 掩 护 下, 偷 偷 地 执 行 恶 意 行 为 的 程 序 智 能 终 端 上 的 木 马 程 序 通 常 伪 装 成 合 法 的 应 用 软 件, 骗 取 用 户 下 载 并 安 装, 然 后 作 为 智 能 终 端 后 台 常 驻 程 序, 执 行 窃 取 用 户 隐 私 信 息 或 者 破 坏 系 统 文 件 等 恶 意 行 为 有 些 恶 意 程 序 会 注 册 一 些 系 统 事 件 响 应, 例 如 在 收 到 特 定 来 源 的 信 息 时 偷 偷 拨 打 收 费 电 话 或 者 发 送 特 定 的 短 信 还 有 些 程 序 通 过 定 时 获 取 的 方 式, 在 用 户 不 知 情 的 情 况 下 侵 犯 用 户 隐 私, 例 如 收 集 手 机 的 GPS 信 息 手 机 中 存 储 的 WIFI 信 息 等 等, 表 1-1 中 列 出 网 秦 公 司 [8] 最 新 发 现 的 恶 意 程 序 这 些 恶 意 软 件 就 如 同 正 常 软 件 一 样, 在 安 装 的 时 候 需 要 申 请 相 应 的 权 限, 这 些 权 限 的 申 请 会 在 软 件 安 装 时 以 列 表 的 形 式 提 供 给 用 户, 5

18 东 南 大 学 硕 士 学 位 论 文 程 序 所 需 权 限 列 表 在 安 装 时 必 须 被 用 户 全 部 赋 予, 软 件 安 装 完 成 后 不 可 更 改 Android 系 统 这 种 粗 粒 度 的 权 限 框 架 不 但 给 系 统 带 来 了 极 大 的 安 全 隐 患, 而 且 [9] 这 种 权 限 框 架 缺 乏 应 对 权 限 提 升 攻 击 的 有 效 防 御 权 限 提 升 攻 击 是 通 过 程 序 间 的 漏 洞, 非 授 权 的 用 户 可 以 获 取 到 隐 私 数 据 和 设 备 权 限, 例 如 读 取 联 系 人 的 权 限 等 表 1-1 网 秦 公 司 最 新 发 布 的 恶 意 软 件 类 型 恶 意 软 件 别 名 恶 意 行 为 隐 私 窃 取 privacy.callspy 1. 上 传 短 信 通 话 录 音 等 隐 私 信 息, 造 成 用 户 隐 私 泄 露 2. 上 传 隐 私 过 程 消 耗 用 户 大 量 流 量, 造 成 用 户 资 费 消 耗 恶 意 扣 费 remote.updtbot 1. 后 台 安 装 软 件, 消 耗 用 户 流 量 并 对 用 户 手 机 造 成 破 坏 2. 后 台 发 送 短 信 和 拨 打 电 话, 对 用 户 的 资 费 造 成 消 耗 诱 骗 欺 诈 fraud.fakesms 1. 后 台 联 网, 根 据 服 务 器 指 令, 推 送 广 告, 消 耗 用 户 流 量 2. 后 台 联 网, 根 据 服 务 器 指 令, 伪 装 短 信 推 送 广 告 流 氓 行 为 payment.tsblocker 1. 根 据 远 程 指 令 后 台 发 送 短 信, 造 成 用 户 资 费 损 失 2. 屏 蔽 特 定 短 信, 造 成 系 统 破 坏 3. 试 图 卸 载 用 户 安 全 软 件, 使 用 户 安 全 受 到 威 胁 远 程 控 制 remote.bgengine 1. 后 台 联 网, 与 服 务 器 交 互, 根 据 服 务 器 指 令 向 外 发 送 短 信, 消 耗 用 户 资 费, 造 成 用 户 经 济 损 失 系 统 破 坏 system.killav 1. 屏 蔽 运 营 商 短 信, 使 用 户 收 不 到 运 营 商 发 来 的 短 信 2. 破 坏 安 全 软 件 运 行, 给 手 机 带 来 安 全 隐 患 3. 后 台 联 网 接 收 服 务 器 指 令, 对 手 机 进 行 远 程 控 制 第 二 类 是 研 究 用 户 隐 私 信 息 的 侧 信 道 攻 击 攻 击 者 可 以 通 过 收 集 一 些 非 敏 [10] 感 信 息 来 推 断 出 敏 感 信 息 例 如 Owusu 等 人 开 发 了 一 套 利 用 加 速 度 传 感 器 信 息 就 能 推 断 出 虚 拟 按 键 的 恶 意 软 件, 但 是 推 断 结 果 的 准 确 性 受 加 速 度 传 感 器 的 频 率 键 的 位 置, 以 及 键 的 大 小 的 影 响 Owusu 在 预 处 理 过 的 加 速 度 数 据 流 中 提 取 了 46 个 特 征 属 性, 结 合 模 式 识 别 的 知 识, 用 来 推 断 虚 拟 按 键 类 似 的 功 能 也 在 一 款 名 叫 ToughLogger [11] [12] 的 恶 意 软 件 中 被 实 现 Marquardt 等 人 也 利 用 加 速 度 传 感 器 来 检 测 手 机 的 震 动 数 据, 从 而 推 断 出 手 机 附 近 的 PC 键 盘 上 正 在 输 入 的 文 本 信 息 然 而 手 机 的 加 速 度 传 感 器 的 采 样 频 率 只 有 100Hz 左 右, 这 势 必 导 致 推 断 结 果 不 准 确 Marquardt 使 用 键 值 对, 结 合 神 经 网 络 的 方 法 在 原 始 的 加 速 度 数 据 中 还 原 出 文 本 信 息 击 键 的 推 断 一 直 在 被 研 究, 也 能 够 通 过 各 种 各 样 的 属 性 来 进 行 推 断, 例 如 通 过 击 键 的 声 音 频 率 [13], 两 个 按 键 间 的 时 间 间 隔 [14], [15] 以 及 按 键 的 声 音 来 推 断 用 户 的 键 盘 输 入 Michal Zalewski [16] 等 人 利 用 屏 幕 上 的 手 指 热 残 留 来 推 断 用 户 之 前 所 击 键 的 位 置 然 而 当 使 用 普 通 的 热 能 成 像 相 机 6

19 第 一 章 引 言 来 推 断 用 户 的 输 入 的 话, 攻 击 者 必 须 在 手 指 热 残 留 保 持 的 5 到 10 分 钟 之 内 拍 摄 热 能 图 像 Mowery Zalewski 从 包 括 触 摸 屏 材 质, 身 体 热 能 分 布 以 及 攻 击 可 拓 展 性 这 三 个 方 面 来 对 这 种 攻 击 的 有 效 性 与 合 理 性 进 行 考 量 密 码 顺 序 则 可 以 从 [17] [18] 按 键 的 热 残 留 程 度 来 推 断 Zhang 等 人 和 Aviv 等 人 利 用 对 触 摸 屏 上 的 指 纹 残 留 来 推 断 用 户 在 智 能 终 端 上 的 按 键 输 入 两 者 不 同 的 是,Zhang 推 断 的 是 用 户 的 文 本 密 码, 而 Aviv 推 断 的 是 Android 图 案 模 式 的 密 码 从 恶 意 软 件 的 传 播 特 性 来 说, 执 行 恶 意 行 为 的 木 马 程 序 相 比 较 于 侧 信 道 攻 击, 具 有 大 规 模 爆 发 的 能 力 与 更 稳 定 的 商 业 利 益 通 过 侧 信 道 手 段 获 取 用 户 隐 私 信 息 的 方 法, 仍 旧 处 于 研 究 阶 段, 其 可 靠 性 也 限 制 了 该 技 术 的 大 规 模 应 用 因 此, 如 何 有 效 地 遏 制 Android 软 件 的 恶 意 行 为, 是 完 善 Android 系 统 安 全 的 主 要 问 题 Android 系 统 恶 意 软 件 检 测 技 术 现 有 Android 系 统 恶 意 软 件 检 测 技 术 主 要 分 为 静 态 特 征 码 检 测 和 动 态 行 为 分 析 两 种 方 法 静 态 特 征 码 检 测 是 检 测 恶 意 软 件 最 常 用 最 直 接 的 方 法 静 态 特 征 码 检 测 根 [19] 据 分 析 对 象 的 不 同, 主 要 分 为 二 进 制 程 序 扫 描 和 源 代 码 扫 描 [20] 二 进 制 程 序 扫 描 是 通 过 查 找 软 件 编 译 生 成 的 二 进 制 文 件 中 是 否 包 含 恶 意 行 为 特 征 码, 从 而 判 断 程 序 是 否 为 恶 意 软 件 源 代 码 扫 描, 是 指 通 过 反 编 译 工 具, 人 工 地 提 取 出 病 毒 程 序 的 特 征 码 以 恶 意 扣 费 为 例, 引 起 扣 费 行 为 的 发 生 往 往 是 由 于 恶 意 应 用 以 发 送 短 消 息 的 方 式, 注 册 了 相 关 的 服 务 分 析 Android 应 用 反 编 译 后 的 源 代 码, 通 过 查 询 源 代 码 中 是 否 包 含 发 送 短 消 息 相 关 的 API 调 用, 并 判 断 相 应 的 API 调 用 参 数, 是 否 为 某 些 特 定 服 务 注 册 码, 从 而 检 测 Android 应 用 中 是 否 包 含 恶 意 扣 费 等 代 码 虽 然 静 态 特 征 码 检 测 在 识 别 已 知 的 恶 意 软 件 时 是 高 效 准 确 的, 但 在 检 测 未 知 的 恶 意 软 件 或 已 知 恶 意 软 件 的 变 种 时, 则 显 得 无 能 为 力 因 为 静 态 特 征 码 检 测 技 术 依 赖 病 毒 库, 对 于 病 毒 库 中 不 存 在 的 病 毒, 便 无 法 查 杀 因 此, 面 对 每 天 都 会 产 生 的 各 种 新 型 恶 意 软 件 及 其 变 种, 静 态 特 征 码 检 测 存 在 不 可 避 免 的 滞 后 性 为 了 查 杀 新 型 恶 意 软 件, 则 必 须 频 繁 更 新 病 毒 库, 在 智 能 终 端 平 台 上, 这 可 能 会 给 用 户 造 成 额 外 的 流 量 费 用 另 外, 随 着 近 些 年 Android 系 统 中 的 恶 意 软 件 数 量 指 数 型 增 长, 病 毒 库 也 变 得 越 发 庞 大, 静 态 特 征 码 检 测 的 效 率 将 变 得 难 以 保 证 受 制 于 智 能 终 端 上 的 物 理 资 源 和 电 池 续 航 能 力, 静 态 特 征 码 检 测 将 会 给 用 户 的 正 常 使 用 带 来 较 大 的 影 响 7

20 东 南 大 学 硕 士 学 位 论 文 [21] 为 了 简 化 静 态 特 征 码 检 测 的 复 杂 度,Enck 等 人 提 出 Kirin 系 统, 通 过 分 析 [22] Android 软 件 申 请 的 权 限 来 判 定 软 件 是 否 存 在 恶 意 行 为 Barrera 等 人 采 用 SOM 算 法 研 究 Android 权 限 机 制, 他 们 通 过 对 1100 个 Android 软 件 的 权 限 进 行 分 析, 证 实 了 不 同 类 别 软 件 在 申 请 权 限 时 候 存 在 很 大 的 差 异 由 此,Android 权 限 机 制 也 是 可 以 作 为 检 测 Android 恶 意 软 件 的 特 征 属 性 但 现 有 的 基 于 Android 权 限 的 恶 意 软 件 静 态 检 测 技 术, 仅 仅 凭 借 经 验 提 取 了 一 些 恶 意 权 限 的 组 合, 其 完 整 性 与 可 靠 性 仍 旧 是 值 得 质 疑 的 动 态 行 为 分 析 是 对 软 件 运 行 时 所 表 现 出 的 行 为 进 行 抽 取 与 建 模, 然 后 通 过 模 式 识 别 算 法 判 断 这 一 系 列 的 行 为 是 否 是 恶 意 行 为 的 技 术 该 方 法 不 依 赖 于 特 征 库, 能 够 识 别 出 未 知 的 恶 意 软 件 通 常, 软 件 动 态 分 析 分 为 模 型 创 建 和 恶 意 判 定 两 个 步 骤 完 成, 如 图 1-2 所 示 模 型 创 建 行 为 监 控 特 征 提 取 特 征 模 式 匹 配 恶 意 判 定 判 定 恶 意 行 为 非 恶 意 行 为 图 1-2 软 件 动 态 分 析 的 步 骤 模 型 创 建 目 的 是 对 软 件 的 行 为 加 以 抽 象 描 述, 从 而 为 恶 意 判 定 工 作 做 准 备 行 为 分 析 分 为 两 个 步 骤, 一 是 对 智 能 手 机 上 的 软 件 行 为 进 行 捕 获, 通 常 是 对 智 能 手 机 上 的 软 件 运 行 时 的 调 用 进 行 监 控, 包 括 监 控 软 件 的 系 统 调 用 软 件 的 系 统 资 源 消 耗 等 数 据 二 是 对 捕 获 到 的 数 据 进 行 建 模, 即 将 这 些 信 息 通 过 形 式 化 的 方 法 表 示 出 来 用 特 定 的 模 型 表 示 程 序 行 为, 是 为 了 在 后 续 的 恶 意 判 定 过 程 中, 可 以 依 据 模 型 间 的 比 较, 做 出 恶 意 软 件 的 判 定, 或 是 进 行 变 种 检 测 恶 意 判 定 是 通 过 相 关 的 算 法 对 行 为 分 析 抽 象 出 来 的 模 型 加 以 分 析, 判 定 这 一 系 列 行 为 是 否 是 恶 意 行 为 的 过 程 在 恶 意 判 定 过 程 中, 通 常 的 做 法 是 进 行 特 征 模 型 的 匹 配 比 如, 对 已 有 的 恶 意 软 件 集 合 建 立 特 征 库, 在 对 未 知 的 软 件 行 为 进 行 行 为 分 析 后, 将 分 析 到 的 特 征 模 型 和 特 征 库 中 的 特 征 模 型 一 一 匹 配, 如 果 匹 配 成 功, 则 判 定 是 恶 意 行 为 其 中 判 定 用 到 的 各 种 算 法, 从 最 初 的 二 进 制 序 列 特 征 或 [23] 者 正 则 表 达 式 匹 配 到 现 在 的 模 式 识 别 方 法 和 机 器 学 习 方 法 [24] 动 态 行 为 分 析 对 特 征 属 性 的 抽 取 与 建 模 有 很 强 的 依 赖 性, 所 以 该 方 法 虽 然 能 够 分 析 出 未 知 的 恶 意 软 件, 但 其 分 析 结 果 往 往 存 在 误 报 因 此, 动 态 行 为 分 析 的 研 究 主 要 集 中 在 行 为 监 控 特 征 提 取 与 特 征 模 式 匹 配 算 法, 从 而 提 高 正 确 率 降 低 误 判 率 提 高 算 法 执 行 效 率 等 [25] 对 行 为 监 控 的 研 究,Enck 等 人 设 计 实 现 了 TaintDroid 系 统 用 以 标 记 内 存 数 据 的 流 向,TaintDroid 通 过 修 改 Dalivk 虚 拟 机, 将 传 统 的 信 息 流 追 踪 技 术 应 用 于 8

21 第 一 章 引 言 Android 系 统 中, 在 软 件 运 行 时 对 系 统 中 敏 感 信 息 的 传 播 进 行 监 控, 从 而 达 到 安 全 防 范 的 目 的 然 而 TaintDroid 因 采 用 传 统 的 动 态 污 点 传 播 技 术, 使 得 运 行 时 的 程 序 性 能 开 销 明 显 提 升, 这 对 于 实 时 性 要 求 非 常 高 的 移 动 平 台 而 言, 过 高 的 性 能 [26] 开 销 将 大 大 降 低 其 实 用 性 刘 泽 衡 等 人 主 要 利 用 Android 系 统 的 广 播 机 制 来 对 短 信 接 收 电 话 接 听 与 发 送 以 及 网 络 连 接 等 敏 感 操 作 进 行 监 控 这 种 方 法 对 于 Android 系 统 内 的 不 同 资 源 需 要 设 计 不 同 的 方 法 进 行 监 控, 而 且 不 能 捕 获 到 用 户 隐 私 信 息 的 泄 漏 [27] 对 特 征 提 取 的 研 究,Miettine 等 人 提 出 了 智 能 手 机 异 常 检 测 中 需 要 监 控 的 一 些 系 统 信 息, 包 括 操 作 系 统 事 件 响 应 操 作 系 统 资 源 使 用 率 等 一 系 列 量 化 数 据, [28] 并 在 此 基 础 上 提 出 了 一 个 入 侵 检 测 理 论 模 型 Schmidt 等 人 从 Linux 内 核 角 度 分 析 了 Android 系 统 的 安 全 性, 并 利 用 网 络 流 量 系 统 调 用 以 及 文 件 系 统 日 志 来 检 [29] 测 系 统 异 常 乜 聚 虎 等 人 提 出 了 基 于 智 能 手 机 行 为 分 析 的 异 常 检 测 方 法, 并 在 Android 系 统 上 实 现 了 这 套 系 统 可 是 其 方 法 并 不 能 对 异 常 进 行 精 确 定 位, 即 无 法 找 出 引 起 异 常 的 恶 意 软 件, 并 且 在 发 现 系 统 异 常 以 后, 系 统 不 能 实 时 地 阻 止 软 件 的 恶 意 行 为 发 生 [30] 对 特 征 模 式 匹 配 算 法 的 研 究,Rieck 等 人 提 出 使 用 支 持 向 量 机 对 恶 意 软 件 行 为 进 行 有 监 督 的 学 习 首 先 对 大 量 恶 意 软 件 样 本 行 为 进 行 映 射, 然 后 用 支 持 向 量 机 对 行 为 进 行 划 分 该 算 法 需 要 有 大 量 的 恶 意 软 件 样 本 做 依 托, 而 且 对 智 能 终 [31] 端 性 能 要 求 较 高 Bose 等 人 在 智 能 终 端 上 提 出 一 个 基 于 聚 类 的 智 能 算 法, 通 过 分 析 短 信 或 彩 信 的 日 志 文 件, 学 习 软 件 使 用 短 信 或 彩 信 的 行 为, 从 而 检 测 恶 意 [32] 软 件 类 似 的,Xie 等 人 提 出 pbmds 系 统, 通 过 拦 截 智 能 终 端 上 用 户 的 输 入, 从 而 建 立 HMM 模 型 来 检 测 智 能 终 端 上 的 病 毒 这 两 种 方 法 对 智 能 终 端 病 毒 的 检 测 仅 局 限 于 短 信 和 彩 信 的 恶 意 发 送, 并 没 有 对 其 他 诸 如 打 电 话 网 络 或 者 敏 感 权 [33] 限 的 恶 意 调 用 进 行 检 测 与 拦 截 Shabtai 等 人 在 Android 系 统 中 使 用 了 标 准 的 机 器 学 习 算 法, 包 括 K 均 值 逻 辑 回 归 决 策 树 贝 叶 斯 网 络 和 朴 素 贝 叶 斯, 分 别 对 恶 意 软 件 进 行 识 别 从 实 验 结 果 看, 决 策 树 和 朴 素 贝 叶 斯 算 法 均 能 达 到 很 高 的 准 确 率 但 是,Shabtai 的 数 据 集 中 仅 有 24 个 Android 软 件, 其 中 4 个 恶 意 软 件 是 由 他 自 己 编 写 因 此,Shabtai 对 算 法 的 测 试 是 不 够 全 面 的 研 究 现 状 总 结 Android 系 统 在 近 些 年 得 到 了 迅 猛 发 展 伴 随 着 Android 系 统 的 普 及,Android 系 统 中 的 恶 意 软 件 呈 现 火 爆 地 增 长 因 此,Android 系 统 恶 意 软 件 检 测 技 术 的 研 究 已 经 成 为 了 学 术 界 与 工 业 界 关 注 的 热 点 领 域 9

22 东 南 大 学 硕 士 学 位 论 文 现 有 Android 系 统 恶 意 软 件 检 测 技 术 主 要 分 为 静 态 特 征 码 检 测 和 动 态 行 为 分 析 两 种 方 法 静 态 特 征 码 检 测 是 检 测 恶 意 软 件 最 常 用 最 直 接 的 方 法, 而 且 静 态 特 征 码 检 测 对 已 知 的 病 毒 软 件 能 达 到 较 高 的 识 别 率, 但 是 该 方 法 存 在 不 可 避 免 的 滞 后 性, 而 且 该 方 法 需 要 频 繁 联 网 更 新 病 毒 库, 耗 费 用 户 的 流 量 费 用 随 着 Android 中 恶 意 软 件 指 数 级 地 增 长, 该 方 法 的 检 测 效 率 也 难 以 保 障 智 能 终 端 上 的 软 件 动 态 行 为 分 析 借 鉴 了 许 多 传 统 PC 机 上 的 恶 意 软 件 识 别 技 术, 能 够 对 未 知 的 恶 意 软 件 进 行 识 别 然 而 现 有 Android 软 件 行 为 动 态 分 析 的 研 究 侧 重 于 系 统 运 行 时 的 状 态, 对 智 能 终 端 用 户 的 行 为 习 惯 或 者 诸 如 权 限 特 性 之 类 的 Android 系 统 独 有 特 性 很 少 考 虑, 而 且 对 行 为 监 控 的 方 法 很 少 提 及 现 有 研 究 大 多 只 是 在 模 拟 平 台 上 运 行, 很 少 能 够 实 现 一 套 完 整 的 Android 安 全 防 护 软 件 因 此, 在 Android 系 统 中, 如 何 结 合 考 虑 用 户 的 行 为 习 惯 与 系 统 独 有 特 性, 从 而 智 能 化 地 对 系 统 敏 感 资 源 的 访 问 进 行 分 析 和 处 理, 在 兼 顾 系 统 安 全 需 求 的 同 时, 保 障 用 户 体 验, 并 设 计 实 现 一 套 智 能 的 Android 系 统 安 全 软 件, 是 当 下 对 Android 安 全 研 究 需 要 解 决 的 关 键 问 题 1.3 研 究 目 标 和 内 容 研 究 目 标 本 文 针 对 Android 系 统 日 益 增 长 的 安 全 需 求, 研 究 Android 软 件 恶 意 行 为 智 能 分 析 与 处 理 方 案 在 结 合 Android 权 限 静 态 分 析 与 敏 感 权 限 实 时 监 控 的 基 础 上, 实 现 Android 软 件 恶 意 行 为 识 别 技 术, 并 最 终 实 现 一 款 智 能 的 Android 安 全 防 护 软 件, 为 Android 系 统 用 户 提 供 安 全 的 使 用 环 境 研 究 内 容 为 实 现 上 述 研 究 目 标, 具 体 研 究 内 容 包 括 以 下 四 点 : (1)Android 系 统 中 软 件 权 限 的 静 态 分 析 研 究 Android 系 统 的 安 全 机 制 及 其 核 心 的 权 限 管 理 机 制 在 此 基 础 上, 静 态 分 析 Android 软 件 在 安 装 时 所 申 请 的 权 限, 实 现 Apriori 算 法 挖 掘 出 恶 意 软 件 和 敏 感 权 限 组 合 的 关 联, 并 归 纳 出 需 要 在 软 件 运 行 时 实 时 监 控 的 敏 感 权 限 (2)Android 系 统 敏 感 权 限 的 动 态 实 时 监 控 通 过 Google 公 布 的 Android 系 统 源 码, 分 析 Android 应 用 程 序 框 架 层 的 实 现 流 程, 提 出 一 套 适 用 于 Android 系 统 的 对 敏 感 权 限 进 行 动 态 实 时 监 控 的 机 制 该 监 控 机 制 可 以 实 现 三 个 功 能, 一 是 动 态 修 改 Android 软 件 的 权 限 二 是 10

23 第 一 章 引 言 检 测 Android 软 件 使 用 敏 感 权 限 的 情 况 三 是 动 态 地 对 当 前 系 统 敏 感 权 限 的 使 用 进 行 阻 断 或 者 放 行 (3)Android 软 件 恶 意 行 为 识 别 技 术 的 研 究 通 过 捕 获 软 件 使 用 敏 感 权 限 时 的 相 关 状 态, 提 出 合 适 的 模 型 在 此 基 础 上, 选 用 合 适 的 模 型 匹 配 算 法, 对 软 件 的 行 为 进 行 分 析, 判 断 软 件 当 前 行 为 是 否 合 理, 并 利 用 软 件 权 限 静 态 分 析 与 实 时 监 控 的 研 究 成 果, 智 能 化 地 协 助 用 户 做 出 选 择, 即 在 当 前 时 刻 是 否 授 权 软 件 使 用 系 统 敏 感 权 限 (4)Android 安 全 防 护 软 件 的 设 计 与 实 现 基 于 上 述 技 术 与 理 论 成 果, 在 确 保 实 用 性 和 安 全 性 的 前 提 下, 设 计 实 现 Android 安 全 防 护 软 件 综 合 应 用 软 件 权 限 的 静 态 分 析 结 果 软 件 行 为 的 实 时 监 控 技 术 和 对 软 件 恶 意 行 为 识 别 的 研 究, 保 证 Android 系 统 的 安 全 1.4 论 文 组 织 结 构 论 文 章 节 内 容 安 排 如 下 : 第 一 章 概 述 现 有 Android 系 统 中 的 安 全 问 题 以 及 相 关 研 究, 对 现 有 Android 系 统 及 其 安 全 框 架 Android 系 统 安 全 威 胁 以 及 Android 恶 意 软 件 检 测 技 术 进 行 调 研, 指 出 存 在 的 问 题 和 安 全 隐 患 第 二 章 分 析 增 强 Android 系 统 安 全 的 具 体 需 求, 提 出 增 强 Android 系 统 安 全 的 方 案 框 架, 设 计 Android 安 全 防 护 软 件, 并 介 绍 软 件 的 体 系 结 构 和 功 能 模 块 第 三 章 分 析 Android 系 统 的 安 全 机 制, 并 对 其 中 最 为 核 心 的 权 限 管 理 机 制 进 行 研 究 通 过 对 收 集 到 的 1260 个 恶 意 软 件 和 Android 市 场 中 17 个 分 类 的 850 个 热 门 软 件 所 申 请 的 权 限 进 行 静 态 分 析, 实 现 Apriori 算 法 挖 掘 出 恶 意 软 件 和 敏 感 权 限 组 合 的 关 联, 然 后 归 纳 出 需 要 在 软 件 运 行 时 被 监 控 的 10 种 敏 感 权 限 第 四 章 分 析 了 Android 系 统 源 代 码 中 短 信 发 送 和 权 限 审 查 的 具 体 实 现, 归 纳 出 Android 系 统 操 作 的 流 程 设 计 并 实 现 了 Android 系 统 敏 感 权 限 的 动 态 实 时 监 控 机 制, 从 而 捕 获 静 态 分 析 中 归 纳 出 的 10 个 敏 感 权 限 在 Dalvik 虚 拟 机 中 的 使 用 情 况 第 五 章 通 过 对 静 态 分 析 和 实 时 监 控 到 的 数 据 进 行 分 析, 抽 取 出 5 个 用 于 识 别 Android 系 统 中 软 件 恶 意 行 为 的 抽 象 属 性 特 征 基 于 采 集 到 的 8849 条 属 性 特 征 数 据, 构 建 朴 素 贝 叶 斯 模 型, 并 根 据 实 际 场 景, 在 改 进 朴 素 贝 叶 斯 决 策 算 法 的 基 础 上, 设 计 了 基 于 朴 素 贝 叶 斯 分 类 器 的 Android 软 件 恶 意 行 为 智 能 识 别 的 算 法, 并 验 证 正 确 度 和 误 报 率 11

24 东 南 大 学 硕 士 学 位 论 文 第 六 章 阐 述 Android 安 全 防 护 软 件 各 功 能 模 块 的 具 体 实 现, 并 给 出 软 件 的 功 能 测 试 和 性 能 测 试 第 七 章 总 结 论 文 完 成 的 工 作, 对 本 文 的 理 论 和 实 践 成 果 进 行 总 结, 并 对 未 来 工 作 进 行 了 展 望 12

25 东 南 大 学 硕 士 学 位 论 文 第 二 章 Android 安 全 防 护 软 件 的 总 体 设 计 本 章 在 分 析 增 强 Android 系 统 安 全 的 具 体 需 求 基 础 上, 提 出 增 强 Android 系 统 安 全 的 方 案 框 架, 并 阐 述 Android 安 全 防 护 软 件 的 具 体 设 计 2.1 需 求 分 析 为 了 保 证 本 章 所 设 计 的 Android 安 全 防 护 软 件 的 合 理 性, 对 实 际 应 用 的 需 求 和 同 类 型 Android 安 全 防 护 软 件 的 功 能 进 行 调 研 和 分 析, 确 定 了 本 系 统 的 功 能 需 求 和 非 功 能 需 求 功 能 需 求 主 要 有 以 下 几 项 : (1) 获 取 准 备 安 装 的 Android 软 件 所 申 请 的 权 限 ; (2) 分 析 并 拦 截 Android 软 件 安 装 时 对 权 限 的 申 请 ; (3) 智 能 安 装 Android 软 件, 提 示 软 件 中 存 在 的 恶 意 权 限 组 合 ; (4) 安 装 时 一 键 设 置 软 件 中 的 恶 意 权 限 组 合 的 使 用 为 拦 截 状 态 ; (5) 直 观 显 示 各 个 软 件 所 拥 有 的 权 限 ; (6) 用 户 能 够 对 各 个 Android 软 件 拥 有 的 权 限 进 行 设 置 ; (7) 根 据 用 户 的 设 置, 拦 截 Android 软 件 运 行 时 对 敏 感 权 限 的 使 用 ; (8) 获 取 Android 软 件 运 行 时 候 的 相 关 状 态, 包 括 当 前 时 刻 是 否 有 用 户 在 操 作, 敏 感 权 限 的 使 用 是 否 存 在 突 发 性 ; (9) 实 时 智 能 分 析 Android 软 件 运 行 时 所 使 用 的 敏 感 权 限 是 否 合 理 ; 非 功 能 性 需 求 有 以 下 几 项 : (1) Android 安 全 防 护 软 件 界 面 友 好 软 件 操 作 流 程 清 晰 流 畅 ; (2) 能 快 速 处 理 用 户 的 请 求, 平 均 相 应 时 间 小 于 等 于 5 秒 ; (3) 作 为 安 全 防 护 软 件, 要 求 软 件 无 故 障 率 达 99.9% (4) 能 够 在 常 用 分 辨 率 的 显 示 屏 上 正 常 操 作 2.2 系 统 方 案 框 架 为 了 有 效 地 保 护 Android 系 统 安 全, 本 系 统 主 要 防 范 的 目 标 是 用 户 准 备 安 装 的 Android 软 件 和 正 在 Android 系 统 中 运 行 的 软 件 因 此, 本 系 统 的 方 案 框 架 如 图 2-1 所 示 13

26 第 二 章 Android 安 全 防 护 软 件 的 总 体 设 计 图 2-1 Android 防 护 方 案 设 计 从 图 2-1 中 可 以 看 出, 本 系 统 的 防 护 分 为 两 个 阶 段 : 第 一 个 阶 段 防 护 是 在 Android 软 件 安 装 的 阶 段, 当 Android 用 户 准 备 安 装 软 件 的 时 候,Android 防 护 软 件 将 会 抽 取 所 安 装 软 件 申 请 的 权 限, 然 后 根 据 静 态 分 析 得 出 的 恶 意 权 限 组 合, 匹 配 该 软 件 所 申 请 的 权 限, 给 予 用 户 安 全 提 示, 告 诉 用 户 该 软 件 中 是 否 存 在 恶 意 权 限 组 合, 让 用 户 选 择 是 否 继 续 安 装 此 时 用 户 可 以 选 择 智 能 安 装 方 式, 使 得 用 户 在 安 装 了 拥 有 恶 意 权 限 组 合 的 软 件 后, 软 件 会 自 动 设 置 这 些 恶 意 权 限 组 合 的 使 用 为 拦 截 状 态 第 二 部 分 防 护 是 在 Android 软 件 运 行 的 阶 段, 当 正 在 运 行 的 Android 软 件 使 用 Android 系 统 敏 感 权 限 的 时 候,Android 防 护 软 件 将 根 据 用 户 的 设 置 选 择 不 同 的 处 理 方 式, 包 括 放 行 拦 截 提 示 用 户 和 智 能 分 析 当 预 先 的 设 置 为 智 能 分 析 的 时 候,Android 防 护 软 件 则 会 结 合 软 件 本 身 的 基 础 属 性 以 及 系 统 运 行 环 境, 对 当 前 使 用 敏 感 权 限 的 行 为 作 出 识 别, 最 后 拦 截 该 软 件 恶 意 使 用 所 拥 有 的 敏 感 权 限 2.3 系 统 体 系 结 构 系 统 总 体 设 计 框 架 如 图 2-2 所 示, 主 要 由 三 个 层 次 组 成 :(1) 基 础 数 据 层 ; (2) 系 统 功 能 层 ;( 3) 人 机 交 互 层 14

27 东 南 大 学 硕 士 学 位 论 文 图 2-2 系 统 整 体 设 计 基 础 数 据 层 的 设 计 Android 安 全 防 护 软 件 基 础 数 据 层 的 主 要 功 能 是 记 录 Android 软 件 运 行 时 对 各 敏 感 权 限 的 使 用 情 况 和 Android 系 统 中 各 软 件 的 基 础 属 性, 然 后 将 这 些 数 据 组 成 软 件 行 为 特 征 序 列, 为 系 统 功 能 层 的 智 能 判 别 做 好 准 备 其 核 心 模 块 包 括 : 数 据 抽 取 模 块 和 特 征 抽 象 模 块 具 体 如 下 : (1) 数 据 抽 取 模 块 数 据 抽 取 模 块 负 责 记 录 Android 软 件 运 行 时 对 各 敏 感 权 限 的 使 用 情 况 和 各 软 件 的 基 础 属 性, 主 要 包 括 当 前 系 统 时 间 软 件 的 属 性 软 件 所 申 请 的 权 限 信 息 设 备 输 入 硬 件 当 前 的 使 用 情 况 等 (2) 特 征 抽 象 模 块 特 征 抽 象 模 块 负 责 将 数 据 抽 取 模 块 采 集 到 的 数 据 抽 象 为 行 为 特 征 序 列, 其 中 包 括 敏 感 权 限 的 使 用 者 是 否 是 系 统 应 用 敏 感 权 限 使 用 时 是 否 有 用 户 操 作 敏 感 权 限 的 使 用 者 是 否 在 安 装 时 申 请 了 大 量 权 限 敏 感 权 限 的 使 用 者 是 否 在 安 装 时 存 在 恶 意 权 限 组 合 敏 感 权 限 的 使 用 是 否 存 在 突 发 性 系 统 功 能 层 的 设 计 系 统 功 能 层 的 主 要 功 能 分 为 两 部 分 : 第 一 部 分 是 解 析 准 备 安 装 的 Android 软 件 权 限 信 息, 通 过 匹 配 敏 感 权 限 组 合 规 则 集, 给 予 用 户 安 全 提 示, 并 且 提 供 用 户 智 能 安 装 功 能 ; 第 二 部 分 是 能 够 实 时 监 控 Android 系 统 中 软 件 使 用 敏 感 权 限 的 情 况, 并 智 能 分 析 权 限 使 用 的 合 理 性, 拦 截 权 限 的 恶 意 使 用 15

28 第 二 章 Android 安 全 防 护 软 件 的 总 体 设 计 其 核 心 模 块 包 括 : 安 装 判 别 模 块 规 则 匹 配 模 块 API 拦 截 模 块 动 态 权 限 分 发 处 理 模 块 恶 意 行 为 智 能 识 别 模 块 动 态 权 限 决 策 反 馈 模 块 和 进 程 间 通 信 模 块 具 体 如 下 : (1) 安 装 判 别 模 块 安 装 判 别 模 块 负 责 解 析 准 备 安 装 的 Android 软 件 apk 文 件 中 的 权 限 信 息, 并 且 将 这 部 分 信 息 交 付 给 规 则 匹 配 模 块, 然 后 根 据 规 则 匹 配 模 块 的 匹 配 结 果, 在 用 户 安 装 软 件 的 时 候, 给 出 相 应 的 安 全 提 示, 告 诉 用 户 准 备 安 装 的 软 件 中 存 在 的 恶 意 权 限 组 合 (2) 规 则 匹 配 模 块 规 则 匹 配 模 块 负 责 匹 配 安 装 判 别 模 块 发 来 的 权 限 列 表 与 敏 感 权 限 组 合 规 则 集, 返 回 准 备 安 装 的 软 件 中 可 能 实 施 恶 意 行 为 的 敏 感 权 限 组 合 (3)API 拦 截 模 块 API 拦 截 模 块 负 责 实 时 监 控 Android 系 统 中 软 件 的 敏 感 操 作 并 发 送 给 动 态 权 限 分 发 模 块, 然 后 提 示 数 据 抽 取 模 块 采 集 当 前 时 刻 的 系 统 相 关 信 息 (4) 动 态 权 限 分 发 处 理 模 块 动 态 权 限 分 发 处 理 模 块 接 收 API 拦 截 模 块 所 发 来 的 敏 感 权 限 使 用 信 息, 然 后 分 发 接 收 到 的 敏 感 操 作 到 对 应 的 处 理 类 中 在 对 应 的 处 理 类 中, 该 模 块 将 根 据 用 户 预 先 对 各 软 件 权 限 使 用 的 设 置, 进 行 相 应 的 处 理 例 如, 如 果 用 户 设 置 当 前 敏 感 权 限 的 使 用 者 对 当 前 使 用 的 敏 感 权 限 为 拦 截 状 态, 则 动 态 权 限 分 发 处 理 模 块 将 会 拦 截 本 次 权 限 的 使 用 ; 如 果 用 户 设 置 为 智 能 处 理 状 态, 则 该 模 块 将 会 调 用 恶 意 行 为 智 能 识 别 模 块 进 行 分 析 处 理 (5) 恶 意 行 为 智 能 识 别 模 块 恶 意 行 为 智 能 识 别 模 块 根 据 基 础 数 据 层 的 特 征 抽 取 模 块 提 供 的 数 据 来 创 建 朴 素 贝 叶 斯 分 类 器, 从 而 判 断 当 前 软 件 行 为 是 否 合 理, 在 将 结 果 反 馈 给 动 态 权 限 分 发 处 理 模 块 后, 更 新 朴 素 贝 叶 斯 分 类 器, 并 将 数 据 保 存 到 Sqlite 数 据 库 中 (6) 动 态 权 限 决 策 反 馈 模 块 动 态 权 限 决 策 反 馈 模 块 根 据 动 态 权 限 分 发 处 理 模 块 的 最 终 处 理 结 果, 对 软 件 本 次 敏 感 权 限 使 用 选 择 放 行 拦 截 或 者 提 示 用 户 这 三 种 处 理 方 式 (7) 进 程 间 通 信 模 块 进 程 间 通 信 模 块 负 责 连 接 Android 防 护 软 件 中 位 于 系 统 进 程 与 应 用 程 序 进 程 的 相 应 模 块, 使 得 它 们 能 够 相 互 通 信, 保 障 Android 系 统 的 安 全 16

29 东 南 大 学 硕 士 学 位 论 文 人 机 交 互 层 的 设 计 人 机 交 互 层 的 主 要 功 能 分 为 两 部 分 : 第 一 部 分 是 在 用 户 安 装 Android 软 件 的 时 候, 根 据 安 装 判 别 模 块 的 反 馈 结 果, 给 予 用 户 安 全 提 示, 告 诉 用 户 该 软 件 中 是 否 存 在 敏 感 权 限 组 合, 让 用 户 选 择 是 否 继 续 安 装, 并 提 供 智 能 安 装 功 能, 限 制 敏 感 权 限 组 合 中 的 权 限 在 软 件 运 行 时 被 调 用 第 二 部 分 是 呈 现 拥 有 敏 感 权 限 的 软 件, 并 且 用 户 能 够 对 某 个 软 件 所 能 够 使 用 的 权 限 进 行 动 态 设 置 并 保 存 到 注 册 表 中, 供 动 态 权 限 分 发 处 理 模 块 的 查 询 与 使 用 2.4 本 章 小 结 本 章 首 先 在 对 实 际 应 用 的 需 求 和 同 类 型 Android 安 全 防 护 软 件 的 功 能 进 行 调 研 和 分 析, 在 此 基 础 上, 提 出 了 增 强 Android 系 统 安 全 的 具 体 需 求 接 着 针 对 具 体 需 求, 提 出 了 增 强 Android 系 统 安 全 的 方 案 框 架, 主 要 包 括 软 件 安 装 阶 段 防 护 和 软 件 运 行 阶 段 防 护 然 后 根 据 Android 系 统 安 全 增 强 方 案 框 架, 设 计 了 Android 安 全 防 护 软 件, 并 阐 述 其 三 层 次 的 体 系 结 构 和 各 个 层 次 中 对 应 的 功 能 模 块 在 接 下 来 的 第 三 章 将 通 过 静 态 分 析 Android 系 统 中 的 软 件 权 限 来 实 现 软 件 安 装 阶 段 的 防 护 方 案, 而 第 四 章 和 第 五 章 分 别 从 技 术 和 理 论 两 个 方 面 来 实 现 软 件 运 行 阶 段 的 防 护 方 案 17

30 东 南 大 学 硕 士 学 位 论 文 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 本 章 首 先 详 细 介 绍 Android 系 统 的 安 全 机 制, 然 后 对 实 验 采 集 的 2110 个 软 件 从 权 限 申 请 的 角 度 进 行 静 态 分 析, 统 计 权 限 申 请 的 情 况, 并 实 现 Apriori 算 法 挖 掘 出 恶 意 软 件 和 敏 感 权 限 组 合 的 关 联, 最 后 归 纳 出 需 要 在 软 件 运 行 时 被 监 控 的 敏 感 权 限 3.1 Android 系 统 的 安 全 机 制 Android 系 统 引 入 了 诸 多 安 全 保 护 机 制, 本 文 将 这 些 安 全 机 制 分 为 三 类, 如 表 3-1 所 示, 分 别 是 :Linux 机 制 Android 特 有 机 制 和 其 它 安 全 机 制 表 3-1 Android 安 全 机 制 机 制 描 述 防 范 目 标 Linux 机 制 POSIX UID 每 一 个 应 用 程 序 被 授 予 一 个 不 同 的 UID 防 止 应 用 程 序 执 行 过 程 被 其 它 应 用 程 序 所 篡 改 文 件 访 问 控 制 应 用 程 序 的 目 录 只 能 对 该 应 用 自 己 所 公 开 防 止 应 用 程 序 数 据 文 件 被 其 它 应 用 程 序 所 访 问 Android 特 有 的 机 制 应 用 程 序 权 限 每 一 个 应 用 程 序 必 须 在 安 装 的 时 候 申 请 所 需 要 防 范 应 用 程 序 行 使 恶 意 用 到 的 权 限 行 为 应 用 程 序 签 名 开 发 者 需 要 对.apk 文 件 进 行 签 名, 来 验 证 不 同 应 防 止 第 三 方 软 件 获 得 系 用 程 序 来 自 相 同 的 开 发 团 体, 从 而 能 够 使 用 特 定 统 签 名 所 独 有 的 权 限 的 权 限 Dalvik 虚 拟 机 每 一 个 应 用 程 序 必 须 运 行 在 自 己 的 虚 拟 机 中 防 止 缓 存 溢 出 攻 击 与 远 程 代 码 执 行 其 它 安 全 机 制 内 存 管 理 单 元 应 用 程 序 只 能 运 行 在 自 己 的 内 存 地 址 空 间 中 防 止 信 息 泄 露 权 限 提 升 与 服 务 拒 绝 强 变 量 类 型 安 全 在 编 译 和 运 行 的 时 候, 变 量 内 容 强 行 限 制 在 特 定 的 格 式 中 防 止 缓 存 溢 出 攻 击 [34] Linux 内 核 层 的 安 全 机 制 Android 系 统 是 基 于 Linux 内 核 的, 所 以 Android Linux 内 核 层 的 安 全 机 制 直 接 影 响 了 Android 底 层 安 全 在 Android 的 内 核 层, 有 两 种 主 要 的 安 全 机 制, 分 别 是 :POSIX UID [35] 和 文 件 访 问 控 制 内 核 层 安 全 机 制 的 基 本 元 素 是 用 户 18

31 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 每 一 个 内 核 中 的 对 象, 例 如 进 程 或 者 文 件 都 属 于 一 个 用 户, 用 户 又 被 进 一 步 被 划 分 到 某 个 用 户 组 中 (1)POSIX UID 进 程 有 独 立 的 地 址 空 间, 进 程 与 进 程 间 默 认 是 不 能 互 相 访 问 的, 是 一 种 很 可 靠 的 保 护 机 制 Android 通 过 为 每 个 安 装 在 设 备 上 的 Android 程 序 包 文 件 (apk 文 件 ) 分 配 唯 一 的 POSIX UID 不 同 的 程 序 包 代 码 不 能 够 运 行 在 同 一 个 进 程 中, 这 样 不 同 的 软 件 则 不 能 相 互 干 扰 如 果 想 让 不 同 软 件 运 行 在 同 一 个 进 程 中, 这 些 软 件 必 须 使 用 Android 的 shareduserid 特 性 来 共 享 相 同 的 UID 为 了 共 享 相 同 的 UID, 不 同 的 软 件 必 须 显 式 申 请 它 们 使 用 相 同 的 UID, 并 且 必 须 使 用 同 一 个 私 钥 来 对 这 些 软 件 进 行 数 字 签 名 (2) 文 件 访 问 控 制 Android 系 统 中 放 在 存 储 设 备 上 的 文 件, 其 访 问 权 限 是 受 制 于 Linux 权 限 机 制 与 Linux 权 限 机 制 一 样, 文 件 的 访 问 权 限 是 用 三 个 三 元 组 <Read, Write, Execute> 来 表 示 第 一 个 三 元 组 被 用 于 表 示 拥 有 者 对 该 文 件 的 权 限, 第 二 个 三 元 组 被 用 于 表 示 拥 有 者 组 别 的 用 户 对 该 文 件 的 访 问 权 限, 第 三 个 三 元 组 被 用 于 表 示 其 他 用 户 对 该 文 件 的 访 问 权 限 然 而 如 果 该 文 件 运 行 起 来 后 所 具 有 的 权 限 与 Linux 文 件 系 统 上 的 权 限 完 全 不 相 关, 文 件 运 行 起 来 以 后 所 在 的 进 程 则 受 限 于 Android 系 统 特 有 的 软 件 权 限 保 护 机 制 Android 特 有 的 安 全 机 制 Google 开 发 团 队 为 Android 设 计 了 以 下 四 项 专 用 的 安 全 机 制 : 软 件 权 限 组 件 封 装 软 件 签 名 和 Dalvik 虚 拟 机 (1) 软 件 权 限 软 件 权 限 设 置 的 目 的 是 限 制 软 件 对 系 统 或 者 其 它 软 件 的 操 控 能 力 在 软 件 中, 所 被 用 到 的 每 条 权 限 都 以 一 条 字 符 串 的 形 式 被 显 式 地 申 请 在 软 件 的 manifest.xml 文 件 中 在 manifest.xml 文 件 中, 权 限 被 分 为 两 类 : 系 统 内 置 权 限 (users-permission 标 签 ) 和 用 户 自 定 义 权 限 (permission 标 签 ), 如 图 3-1 所 示 <?xml version="1.0" encoding="utf-8"?> <manifest xmlns:android=" package="com.yang.graduation" android:versioncode="1" android:versionname="1.0" > <uses-sdk android:minsdkversion="8" android:targetsdkversion="17" /> 19

32 东 南 大 学 硕 士 学 位 论 文... <uses-permission xmlns:android=" android:name="android.permission.write_owner_data" /> <uses-permission xmlns:android=" android:name="android.permission.receive_boot_completed" /> <permission xmlns:android=" android:name="com.yang.graduation.read_app_data" android:protectionlevel="normal" /> <application android:allowbackup="true" > <activity android:name=".mainframe" 图 3-1 Android Manifest 示 例 Android 系 统 在 应 用 程 序 框 架 层 引 入 了 130 个 内 置 权 限 [36], 包 括 拨 打 电 话 的 权 限 设 置 屏 幕 方 向 的 权 限 使 用 网 络 的 权 限 等 特 定 版 本 的 Android 系 统 所 定 义 的 内 置 权 限 定 义 在 该 版 本 源 码 的 android.manifest.permissions 类 中 除 了 Android 系 统 内 置 的 权 限 外,Android 系 统 支 持 自 定 义 权 限 例 如, 如 果 希 望 让 软 件 使 用 其 它 软 件 提 供 的 服 务, 则 可 以 定 义 自 定 义 权 限 来 实 现 定 义 了 自 定 义 权 限 之 后, 它 们 将 作 为 组 件 定 义 的 一 部 分 被 引 用 所 有 的 权 限 还 被 赋 予 了 不 同 的 保 护 等 级 : normal: 低 风 险 的 权 限, 不 会 对 系 统 用 户 或 其 它 软 件 造 成 危 害 ; dangerous: 高 风 险 的 权 限, 可 能 涉 及 用 户 隐 私 数 据 或 者 造 成 危 害 的 功 能, 软 件 安 装 的 时 候 会 被 显 式 列 出, 并 请 求 用 户 确 认 ; signature: 当 软 件 所 用 数 字 签 名 与 声 明 此 权 限 的 软 件 所 有 数 字 签 名 相 同 时, 这 类 权 限 才 会 被 授 予 ; signature-or-system: 这 类 权 限 是 signature 权 限 的 特 例, 只 能 被 赋 予 与 系 统 签 名 相 同 的 软 件 在 软 件 安 装 的 时 候, 软 件 所 需 要 的 权 限 将 以 列 表 的 形 式 呈 现 给 用 户, package installer 会 检 测 该 应 用 请 求 的 权 限, 如 果 安 装 时 权 限 获 取 失 败, 则 该 软 件 不 允 许 被 安 装 通 常 情 况 下, 程 序 运 行 未 被 授 予 权 限 的 敏 感 操 作 时, 会 引 发 一 个 SecurityException, 在 系 统 log( 通 过 Log.d 函 数 访 问 ) 中 有 相 关 记 录 Android 权 限 是 限 制 在 进 程 层 面 的, 即 一 个 软 件 启 动 的 子 进 程 的 权 限 不 允 许 超 越 其 父 进 程 的 权 限, 即 使 单 独 运 行 某 个 应 用 有 相 应 权 限, 但 如 果 它 是 由 一 个 没 有 相 应 权 限 的 软 件 调 用 时, 那 该 权 限 就 会 被 限 制 例 如, 当 遇 到 软 件 权 限 不 20

33 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 足 时, 即 使 考 虑 在 内 核 层 实 现 一 个 Linux 可 执 行 程 序, 然 后 由 Android 软 件 调 用 它 去 完 成 某 个 它 没 有 权 限 完 成 的 事 情, 这 种 方 法 是 行 不 通 的 Android 是 通 过 Linux 内 核 层 的 POSIX UID 机 制 来 实 现 限 制 子 进 程 的 权 限, 因 为 子 进 程 在 构 建 的 时 候, 被 分 配 了 与 父 进 程 相 同 的 UID (2) 软 件 签 名 Android 中 的 软 件 签 名 是 权 限 保 护 机 制 的 前 提, 每 一 个 Android 软 件 都 必 须 被 签 名, 默 认 生 成 的 软 件 文 件 是 debug 签 名 该 签 名 并 非 基 于 权 威 证 书, 不 会 决 定 某 个 软 件 是 否 允 许 安 装, 而 是 基 于 自 签 名 证 书, 用 于 申 请 Android 中 的 signature 类 型 和 signature-or-system 类 型 的 权 限 (3)Dalvik 虚 拟 机 Dalvik 虚 拟 机 可 以 支 持 已 转 换 为.dex( 即 Dalvik Executable) 格 式 的 Java 软 件 的 运 行 经 过 优 化, 它 允 许 在 有 限 的 内 存 中 同 时 运 行 多 个 虚 拟 机 的 实 例, 其 中 每 一 个 Dalvik 应 用 作 为 一 个 独 立 的 Linux 进 程 执 行 独 立 的 进 程 可 以 防 止 进 程 间 冲 突, 也 可 以 防 止 在 虚 拟 机 崩 溃 的 时 候 所 有 程 序 都 被 关 闭 其 它 安 全 机 制 Android 运 行 时 的 环 境, 例 如 硬 件 设 备 编 程 语 言 等, 也 为 Android 系 统 提 供 了 诸 多 机 制 来 保 障 系 统 的 安 全 (1) 内 存 管 理 单 元 内 存 管 理 单 元 是 一 个 硬 件 组 件, 能 够 保 证 不 同 的 进 程 被 划 分 到 不 同 的 地 址 空 间 中 运 行 该 硬 件 组 件 是 诸 多 现 代 操 作 系 统 架 构 设 计 的 前 提 条 件 很 多 操 作 系 统 都 采 用 内 存 管 理 单 元 来 确 保 进 程 不 能 读 取 或 修 改 其 它 进 程 的 内 存 ( 信 息 闭 包 ) 该 硬 件 组 件 减 小 了 权 限 提 升 攻 击 的 可 能 性 因 为 一 个 进 程 不 能 通 过 复 写 操 作 系 统 内 存 来 让 其 程 序 运 行 在 特 权 模 式 (2) 强 类 型 安 全 强 类 型 安 全 是 编 程 语 言 的 一 种 特 性, 该 特 性 强 制 变 量 内 容 符 合 一 种 特 定 的 格 式, 从 而 避 免 了 缓 存 区 溢 出 如 果 编 程 语 言 缺 少 强 变 量 类 型 安 全 机 制 会 可 能 遭 受 缓 存 区 溢 出 攻 击, 最 终 恶 意 程 序 将 能 注 入 恶 意 代 码 Android 采 用 强 类 型 的 Java 语 言 比 起 C 语 言 能 够 在 没 有 类 型 检 测 和 边 界 检 测 的 情 况 下 执 行 代 码,Java 编 写 的 程 序 很 难 做 到 代 码 的 随 意 执 行 Android Interface Definition Language(AIDL) 是 Android 特 有 的 Binder 进 程 间 通 信 机 制 所 使 用 的 语 言, 它 也 是 强 类 型 安 全 的 开 发 者 通 过 AIDL 语 言 定 制 所 需 要 传 送 的 数 据 元 素 类 型 该 语 言 确 保 了 用 于 通 信 的 数 据 也 被 保 存 在 进 程 边 界 中 21

34 东 南 大 学 硕 士 学 位 论 文 安 全 机 制 小 结 从 以 上 的 分 析 可 以 看 出,Android 系 统 从 多 个 层 面 保 障 了 系 统 的 安 全 本 章 主 要 从 软 件 权 限 这 个 角 度 来 分 析 Android 的 安 全 机 制 如 果 本 文 将 所 有 安 全 机 制 综 合 起 来 考 虑, 那 本 文 所 讨 论 的 安 全 模 型 将 会 变 得 异 常 复 杂 况 且, 软 件 权 限 的 申 请 是 赋 予 软 件 操 作 其 它 应 用 或 者 系 统 的 能 力, 而 Linux 内 核 层 结 合 Dalvik 虚 拟 机 所 提 供 的 程 序 隔 离 机 制 是 限 制 软 件 的 能 力 的 因 此, 本 文 假 设 Linux 内 核 层 结 合 Dalvik 虚 拟 机 所 提 供 的 程 序 隔 离 机 制 运 行 正 常, 重 点 关 注 Android 权 限 的 获 取 3.2 软 件 权 限 的 统 计 分 析 数 据 来 源 本 文 采 集 的 数 据 集 一 共 由 2110 个 Android 软 件 组 成 : 其 中 850 个 软 件 来 自 2013 年 2 月 份 的 Android Market [37], 分 别 是 Android Market 里 11 个 软 件 分 类 [38] 和 6 个 游 戏 分 类 中, 排 名 前 50 的 应 用 ; 另 外 1260 个 软 件 来 自 于 Zhou 等 人 的 恶 意 软 件 数 据 集, 该 1260 个 软 件 都 标 注 为 Android 系 统 里 的 恶 意 软 件 本 文 假 定 从 Android 市 场 收 集 来 各 个 分 类 前 50 的 应 用 不 是 恶 意 程 序, 因 为 这 些 应 用 通 常 吸 引 很 多 的 用 户 ( 所 有 分 类 下 载 量 第 50 的 软 件 都 超 过 了 次 ), 一 般 是 由 Android 软 件 公 司 或 者 专 业 组 织 所 开 发 与 维 护 因 此,Android 软 件 开 发 公 司 或 者 专 业 组 织 为 了 自 身 的 声 誉 以 及 法 律 法 规 的 约 束, 并 不 会 在 应 用 中 实 施 恶 意 行 为 所 以, 我 们 将 这 850 个 软 件 列 入 白 名 单, 结 合 1260 个 恶 意 程 序, 来 展 开 对 软 件 的 静 态 分 析 数 据 集 中 软 件 的 分 类 如 表 3-2 所 示 软 件 表 3-2 数 据 集 概 况 分 类 名 称 分 类 排 第 1 的 下 载 量 分 类 排 第 50 的 下 载 量 本 文 数 据 集 中 的 数 量 通 讯 & 聊 天 次 次 50 网 络 & 社 区 次 次 50 影 音 & 图 像 次 次 50 办 公 & 财 经 次 次 50 资 讯 & 词 典 次 次 50 旅 行 & 地 图 次 次 50 输 入 法 & 系 统 次 次 50 生 活 & 购 物 次 次 50 美 化 & 壁 纸 次 次 50 阅 读 & 图 书 次 次 50 22

35 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 游 戏 恶 意 程 序 其 它 次 次 50 动 作 冒 险 次 次 50 角 色 扮 演 次 次 50 射 击 飞 行 次 次 50 赛 车 竞 速 次 次 50 策 略 经 营 次 次 50 棋 牌 休 闲 次 次 50 恶 意 程 序 X X 权 限 统 计 方 法 本 文 数 据 集 中 的 软 件 都 是 标 准 ZIP 兼 容 的 Android Package(APK) 格 式 虽 然 这 些 软 件 都 是 编 译 以 后 的 文 件, 并 不 是 很 容 易 进 行 源 代 码 分 析, 但 是 每 个 软 件 所 申 请 的 权 限 被 写 在 了 二 进 制 化 的 manifest.xml, 解 压 读 取 该 二 进 制 xml 文 件 是 相 对 容 易 的 本 文 编 写 了 一 个 Android 权 限 抽 取 的 shell 脚 本, 如 图 3-2 所 示 该 脚 本 调 用 Google SDK 自 带 的 Android Asset Packaging Tool [39], 从 而 抽 取 出 每 个 Android 软 件 中 的 manifest.xml 文 件, 然 后 读 取 manifest.xml 中 <uses-permission> 和 <permission> 节 点 中 的 内 容 如 图 3-3 所 示, 图 中 package 行 表 示 软 件 的 开 发 包 名, 用 于 唯 一 标 识 一 个 软 件 ;uses-permission 行 表 示 软 件 使 用 的 系 统 内 置 权 限 ; permission 行 表 示 软 件 使 用 的 自 定 义 权 off setlocal enabledelayedexpansion :: 循 环 读 取 全 部 apk 文 件, 文 件 路 径 存 入 i for /r %%i in (*.apk) do ( :: 使 用 appt 工 具 来 分 析 apk 包 中 的 manifest.xml 文 件 set s=%%i set s=!s:%~dp0=! :: 将 路 径 转 为 文 件 名 aapt d permissions "!s!" ) 图 3-2 Android 权 限 抽 取 的 shell 脚 本 package: com.netmite.andme uses-permission: android.permission.internet uses-permission: android.permission.vibrate 23

36 东 南 大 学 硕 士 学 位 论 文 uses-permission: android.permission.send_sms package: com.qidian.qdreader permission: com.qidian.qdreader.permission.read_db permission: com.qidian.qdreader.permission.write_db uses-permission: android.permission.write_settings uses-permission: android.permission.internet uses-permission: android.permission.write_external_storage 图 3-3 由 shell 脚 本 读 出 的 Android 权 限 示 例 由 于 软 件 自 定 义 权 限 由 开 发 者 设 置, 并 没 有 规 格 化 的 表 示, 所 以 本 文 对 自 定 义 权 限 不 加 以 分 析, 只 分 析 系 统 内 置 的 130 个 权 限 权 限 统 计 结 果 表 3-3 列 举 了 数 据 集 中 18 个 分 类 的 平 均 权 限 申 请 数 量 从 表 中 可 以 看 出, 恶 意 程 序 所 平 均 申 请 的 权 限 数 量 为 10.8, 大 于 白 名 单 中 软 件 所 申 请 的 平 均 权 限 数 量 7.1 同 样 是 白 名 单 中 的 软 件, 网 络 & 社 区 类 的 应 用 所 申 请 的 平 均 权 限 数 量 为 10.2, 同 样 比 最 小 平 均 权 限 数 量 高 出 了 不 少, 说 明 不 同 分 类 中 的 软 件 申 请 权 限 的 数 量 也 是 有 差 异 的 表 3-3 各 分 类 软 件 所 申 请 的 权 限 数 分 类 名 称 应 用 程 序 数 量 平 均 申 请 的 权 限 数 通 讯 & 聊 天 网 络 & 社 区 影 音 & 图 像 办 公 & 财 经 资 讯 & 词 典 应 用 程 序 游 戏 旅 行 & 地 图 输 入 法 & 系 统 生 活 & 购 物 美 化 & 壁 纸 阅 读 & 图 书 其 它 动 作 冒 险 角 色 扮 演 射 击 飞 行

37 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 赛 车 竞 速 策 略 经 营 棋 牌 休 闲 恶 意 程 序 恶 意 程 序 仔 细 对 每 个 权 限 分 类 进 行 分 析 以 后, 图 3-4 给 出 了 前 20 位 被 频 繁 申 请 的 权 限, 其 中 y 轴 代 表 每 一 个 在 安 装 时 被 申 请 的 权 限,x 轴 代 表 权 限 被 申 请 的 数 量 从 图 中 可 以 看 出, 创 建 网 络 套 接 字 的 INTERNET 权 限 被 最 频 繁 地 申 请, 它 被 2018(95.64%) 个 软 件 所 申 请, 其 中 恶 意 软 件 分 类 中 的 软 件 占 1232(97.78%) 个, 非 恶 意 的 软 件 占 586(68.94%) 个 读 取 通 话 状 态 的 权 限 READ_PHONE_STATE, 位 列 第 三, 被 1571(74.45%) 个 软 件 所 申 请, 其 中 恶 意 软 件 分 类 中 的 软 件 占 1179(93.57%) 个, 非 恶 意 的 软 件 占 392(46.12%) 个 WRITE_APN_SETTINGS RESTART_PACKAGES 恶 意 软 件 WRITE_CONTACTS READ_CONTACTS 非 恶 意 软 件 RECEIVE_SMS CALL_PHONE CHANGE_WIFI_STATE SEND_SMS WAKE_LOCK ACCESS_FINE_LOCATION WRITE_SMS ACCESS_COARSE_LOCATION VIBRATE READ_SMS RECEIVE_BOOT_COMPLETE ACCESS_WIFI_STATE WRITE_EXTERNAL_STORAG READ_PHONE_STATE ACCESS_NETWORK_STATE INTERNET 图 3-4 前 20 位 被 频 繁 申 请 的 权 限 在 对 数 据 集 的 分 析 过 程 中, 本 文 发 现 在 一 些 软 件 中, 开 发 者 申 请 了 相 同 的 权 限 两 次 这 是 开 发 者 的 问 题, 因 为 申 请 相 同 的 权 限 多 次 没 有 任 何 的 好 处 这 种 重 复 申 请 权 限 的 错 误 不 仅 仅 出 现 在 不 出 名 的 软 件, 例 如 恶 意 软 件 分 类 中 的 疯 狂 打 地 鼠, 它 分 别 申 请 了 READ_LOGS WRITE_EXTERNAL_STORAGE 和 RECEIVE_SMS 这 些 权 限 两 次 ; 也 出 现 在 较 为 受 欢 迎 的 软 件, 如 SOSO 街 景 地 图 ( 下 载 量 为 次 ), 它 申 请 了 INTERNET 权 限 两 次 这 个 问 题 可 能 是 由 于 程 序 员 个 人 对 权 限 的 错 误 理 解 导 致 的 也 可 能 是 开 发 环 境 的 自 动 化 处 理 导 致 的, 或 者 是 由 于 多 人 开 发 合 作 导 致 重 复 权 限 的 申 请 表 3-4 为 重 复 权 限 申 请 数 量 的 汇 总 表 3-4 数 据 集 中 权 限 重 复 申 请 的 情 况 权 限 名 称 权 限 重 复 申 请 的 数 量 INTERNET 31 ACCESS_NETWORK_STATE 14 RECEIVE_BOOT_COMPLETED 8 25

38 东 南 大 学 硕 士 学 位 论 文 READ_PHONE_STATE 8 READ_CONTACTS 5 ACCESS_FINE_LOCATION 4 READ_LOGS 2 WRITE_EXTERNAL_STORAGE 2 RECEIVE_SMS 2 另 外, 一 些 软 件 会 申 请 ACCESS_ASSISTED_GPS 和 ACCESS_CELL_ID 这 类 过 时 的 权 限, 这 些 权 限 在 Android 1.0 系 统 后 就 被 ACCESS_FINE_LOCATION 和 ACCESS_COARSE_LOCATION 这 两 个 权 限 所 取 代 同 时, 本 文 也 发 现 有 些 软 件 会 申 请 MASTER_CLEAR 这 样 的 权 限, 该 权 限 能 够 删 除 系 统 所 有 的 配 置 信 息, 也 就 是 软 格 式 化 ( 恢 复 出 厂 设 置 ) 由 于 该 权 限 赋 予 软 件 软 格 式 化 的 能 力, 所 以 这 类 权 限 的 使 用 仅 限 于 与 当 前 Android 系 统 拥 有 相 同 私 钥 的 软 件, 并 不 能 够 被 第 三 方 软 件 使 用 所 以 即 使 第 三 方 软 件 申 请 了 这 个 权 限, 在 使 用 的 时 候 进 程 仍 旧 会 报 错 3.3 基 于 Apriori 算 法 的 敏 感 权 限 组 合 挖 掘 Android 权 限 机 制 在 安 装 时 存 在 的 问 题 由 于 Android 木 马 通 过 植 入 的 方 式 以 正 常 应 用 程 序 的 形 式 出 现, 安 全 意 识 不 高 的 用 户 很 可 能 受 到 恶 意 程 序 的 入 侵, 而 一 旦 安 装 了 恶 意 程 序, 用 户 很 难 在 恶 意 程 序 造 成 伤 害 之 前 意 识 到 恶 意 程 序 的 存 在 所 以, 最 好 的 保 护 方 式 是 在 恶 意 程 序 安 装 时 发 现 可 能 会 导 致 软 件 实 施 恶 意 行 为 的 威 胁 并 阻 止 其 安 装 当 用 户 在 安 装 Android 软 件 的 时 候, 系 统 会 弹 出 对 话 框 标 注 该 软 件 所 申 请 的 权 限 列 表, 如 图 3-5 所 示, 由 用 户 来 判 断 是 否 授 予 应 用 程 序 这 些 权 限 图 3-5 Android 软 件 安 装 时 显 示 的 权 限 列 表 26

39 第 三 章 Android 系 统 中 软 件 权 限 的 静 态 分 析 如 果 用 户 仅 仅 因 为 Android 软 件 申 请 了 单 独 的 某 个 权 限 而 被 判 定 为 恶 意 软 件, 这 势 必 导 致 极 高 的 误 报 率 因 为 应 用 程 序 申 请 某 项 权 限 是 其 获 得 某 种 能 力 的 途 径, 而 任 何 一 种 能 力 都 不 应 该 威 胁 到 系 统 或 者 用 户 数 据 的 安 全 如 果 某 项 能 力 本 身 就 会 造 成 安 全 威 胁, 那 么 该 项 能 力 就 不 应 该 被 提 供 给 第 三 方 应 用 程 序, 例 如 MASTER_CLEAR 所 以 第 三 方 应 用 程 序 所 能 申 请 的 权 限, 从 单 独 使 用 的 角 度 来 看, 都 应 该 是 安 全 的 然 而, 通 常 Android 软 件 会 申 请 多 种 权 限, 一 旦 权 限 被 组 合 使 用, 则 有 可 能 威 胁 到 系 统 或 者 用 户 数 据 安 全 例 如,READ_PHONE_STATE 权 限 允 许 程 序 读 取 智 能 终 端 的 相 关 信 息 (SIM 卡 号 智 能 终 端 唯 一 标 识 码 等 ), 这 个 权 限 本 身 并 不 会 导 致 用 户 隐 私 的 泄 露, 很 多 应 用 程 序 获 取 这 个 权 限 的 目 的 是 为 了 识 别 出 用 户 所 在 的 省 份 或 者 使 用 的 通 信 服 务 商, 从 而 为 用 户 提 供 个 性 化 的 服 务 但 是, 如 果 Android 软 件 在 拥 有 获 取 智 能 终 端 相 关 信 息 的 权 限 同 时, 还 获 得 例 如 INTERNET 或 者 SEND_SMS 权 限 时, 就 有 可 能 会 造 成 用 户 隐 私 的 泄 露 另 一 个 例 子 是 READ_CONTACTS 权 限, 该 权 限 允 许 Android 软 件 读 取 用 户 存 储 的 联 系 人 信 息, 包 括 联 系 人 姓 名 电 话 电 子 邮 件 通 信 地 址 人 物 关 系 等 最 近 特 别 火 爆 的 Android 软 件 微 信 就 使 用 这 些 信 息 来 识 别 出 使 用 了 微 信 的 联 系 人, 从 而 更 为 方 便 用 户 在 移 动 终 端 上 快 速 组 建 出 社 交 圈 然 而, 如 果 恶 意 软 件 获 取 到 联 系 人 信 息 以 及 通 信 权 限, 则 为 群 发 垃 圾 短 信 或 者 为 社 会 工 程 学 的 攻 击 提 供 了 便 利 的 途 径 虽 然 有 实 施 恶 意 行 为 能 力 的 软 件 并 不 一 定 会 实 施 恶 意 行 为, 但 是 一 旦 这 类 软 件 被 安 装 后 将 敏 感 权 限 组 合 起 来 使 用, 则 可 能 造 成 更 大 的 破 坏 因 此, 这 些 具 有 实 施 恶 意 行 为 能 力 的 敏 感 权 限 组 合 在 软 件 安 装 阶 段 就 必 须 被 识 别 出 来, 并 提 示 用 户, 引 起 用 户 的 警 觉 [21] Enck 等 人 在 CCS09 会 议 上 提 出 了 一 个 名 为 Kirin 的 工 具, 该 工 具 会 对 预 先 定 义 好 的 可 能 进 行 恶 意 行 为 的 权 限 组 合 做 出 风 险 提 示 Enck 等 人 根 据 经 验, 预 先 定 义 了 一 些 权 限 组 合, 包 括 不 能 同 时 拥 有 获 取 地 理 位 置 网 络 和 开 机 启 动 这 三 个 权 限 ( 这 会 导 致 恶 意 软 件 能 够 随 时 跟 踪 用 户 的 位 置 ) 等 然 而,Enck 等 人 的 工 作 存 在 三 个 问 题 : 其 一,Enck 等 人 仅 仅 凭 借 着 个 人 对 Android 权 限 的 理 解 定 义 出 一 些 权 限 组 合, 这 些 权 限 组 合 在 恶 意 软 件 中 是 否 普 遍 存 在? 其 二, 这 些 权 限 组 合 是 否 也 经 常 存 在 于 非 恶 意 软 件 中 ( 产 生 误 报 率 )? 其 三, 这 些 权 限 组 合 是 否 涵 盖 了 所 有 威 胁 用 户 安 全 的 权 限 组 合?Enck 等 人 对 这 三 个 问 题 都 没 有 部 署 相 关 的 恶 意 软 件 与 非 恶 意 软 件 进 行 对 比 实 验 因 此,Kirin 工 具 所 预 设 权 限 组 合 的 可 靠 性 和 全 面 性 是 值 得 质 疑 的 27