一种安卓权限提升攻击的全面静态分析系统的制作方法
【技术领域】
[0001] 本发明提供了一种Android(安卓）权限提升攻击的全面静态分析系统，特别是一 种检测可能导致权限提升攻击的权能泄露漏洞的系统。
【背景技术】
[0002] 为了抵挡隐私信息的潜在滥用问题，Android(安卓）提出了一套基于权限的安全 模型。每个应用程序在安装前，都必须显式地向用户申请一系列所需的权限，而这有可能暴 露出程序的恶意意图。然而，一种称为权限提升攻击的新兴威胁却可以绕过这一权限授权 机制。这一模型针对的是包含可疑敏感权限的授权列表，因为敏感权限可能会导致恶意用 途。通过利用这一威胁模型，隐私信息获取和发送权限将被分散到不同的应用程序中。而 敏感操作访问也可以进行类似的改变，这样就隐藏了其恶意用途。因此，面对多个独立的权 限列表和应用程序，传统检测方法将很难识别其潜在的恶意意图。
[0003] 根据现有的文献资料，现有的反病毒扫描程序可能先采用计算待测试文件哈希值 的方法来判断当前样本是否为已知的恶意软件。如果这是一个未知样本，那么扫描程序就 将过滤敏感权限并使用控制流图分析、基于启发式的方法等自定义模型来验证这一样本是 否是恶意的。因此，在上述的威胁模型中，扫描程序很难在多个独立的权限列表和应用程序 中识别出潜在的恶意意图。
[0004] 目前，也有一些针对权限提升攻击的分析和检测方法。
[0005] 动态方法专注于调用图分析、IPC(进程间通信）调用链、自定义的监控框架或 者灵活且细粒度的强制访问控制组件，以此来解决部分或全部的此类攻击问题。Felt等 人将调用图分析与应用程序间的通信跟踪相结合来解决一种特殊的攻击案例。而在此 期间，Dietz等人则跟踪IPC(进程间通信）的调用链并为应用程序创建轻量级的签名来 发现一种特殊的权限提升攻击。Bugiel等人通过扩展操作系统中的相关组件开发了一 个框架来监控应用程序，并利用自定义的权限策略来判断当前样本是否包含权限提升攻 击。然而，这些方法存在路径覆盖与输入有效性的问题。目前，也有一些静态技术分析 手机预装镜像与应用程序中的此类攻击问题。然而，这些方法只关心中间件层上的公开 接口，并不包括内核层上其它形式的公开接口，比如，文件系统和网络套接字，而这样可 能会遗漏一些权能泄露的案例。例如，Grace等人只把应用程序配置文件中定义的入口 点以及一个可选属性当做公开接口。而在实际场景中以恶意软件NickyBot为例，其会 将音频文件放在SD卡（安全数位卡）上，这样就可能被其潜在合谋者所获取。Chan等 人使用反编译过的应用程序来分析，这可能会受到不好的反编译结果和潜在的混淆技术 的干扰。Zhou等人则对应用程序权能泄露中一类特殊问题Content Leaks展开了静态 分析与动态验证。相关文献可见 A.P. Felt, H. Wang, A. Moschuk, S. Hanna, and E. Chin. Permission re-delegation:Attacks and defenses. In Proceedings of the20th USENIX Security symposium, 2011 ；M. Dietz, S. Shekhar, Y. Pisetskyj A. Shuj and D. S. Wallach. Quire: Lightweight provenance for smart phone operating systems. In Proceedings of the 20th USENIX Security symposium, 2011 ；S.Bugielj L. Davij A. Dmitrienkoj T. Fischer,A. Sadeghij and B.Shastry. Towards taming privilege-esca lation attacks on android. In Proceedings of the 19th Network and Distributed System Security symposium, 2012 ；S. Bugielj S. Heuserj and A. -R. Sadeghi. Flexible and Fine-Grained Mandatory Access Control on Android for Diverse Security and Privacy Policies. In Proceedings of the 22nd USENIX Security Symposium, 2013 ；M.Grace, Y. Zhou, Z. Wang, and X. Jiang. Systematic detection of capability leaks in stock android smartphones. In Proceedings of the 19th Network and Distributed System Security symposium, 2012 ；P.P.Chan,L. C. Huij and S.Yiu.Droidchecker: Analyzing android applications for capability leak. In ACM Conference on Security and Privacy in Wireless and Mobile Networks, 2012 ；L. Lu, Z. Li, Z. Wuj W. Lee, and G. Jiang. Chex:statically vetting android apps for component hijacking vulnerabilities. In Proceedings of the 2012ACM Conference on Computer and communications Security, 2012 ；Y.Zhou,and X. Jiang. Detecting Passive Content Leaks and Pollution in Android Applications. In Proceedings of the 20th Network and Distributed System Security symposium, 2013 ；X.Jiang, Security alert:New nickbot spyware found in alternative android markets, http://www. esc. ncsu. edu/faculty/jiang/ NickiBot/,2011 ；apktool.http://code.google, com/p/android-apktool/? 2012； androguard. http://code. google, com/p/androguard/, 2012〇
【发明内容】
[0006] 发明目的：本发明所要解决的技术问题是针对现有技术的不足，提供一种 Android(安卓）权限提升攻击的全面静态分析系统。
[0007] 为了解决上述技术问题，本发明公开了一种Android(安卓）权限提升攻击的全面 静态分析系统，该装置包括以下单元：
[0008] 用于将带有可疑特征的程序从众多程序中剥离出来的可疑分析单元；所述可疑 分析单元包括：用于提取Android(安卓）应用程序敏感权限的权限检测模块；用于识别 Android(安卓）应用程序公开组件的组件检测模块；用于识别Android(安卓）应用程 序Intent通信的Intent操作检测模块，其中Intent是待执行操作的抽象描述；用于识别 Android(安卓）应用程序文件访问的文件检测模块；用于识别Android(安卓）应用程序 间网络通信的套接字检测模块；
[0009] 用于提取可疑程序中明确的权能泄漏路径的泄露路径分析单元，所述泄露路径分 析单元包括：用于提取Android (安卓）应用程序API应用程序接口流向分析的API应用程 序接口调用检测模块。
[0010] 本发明中，优选地，用于识别Android(安卓）应用程序公开组件的组件检测 模块，所述组件检测模块包括：用exported默认值或标识为true的组件识别子模块， 其中exported用于标记组件是否能被外部程序访问；包含用户自定义行为action的 intent-filter的组件识别子模块，其中intent-filter就是用来注册组件具有能在某种 数据上执行一个动作的能力；sharedUserld属性的识别子模块，其中sharedUserld为共享 WD，即共享用户标识符；
[0011] 所述组件检测模块检测的组件包括：Activity组件、Service组件、Broadcast Receiver 组件以及 Content Provider 组件；
[0012] 其中Activity组