Android智能终端安全漏洞挖掘技术研究

Android smart terminal is coming into many aspects of people’s life in the form of telephone, PDA, wearable computing and smart home. These devices meet customers’ needs in different application scenarios, and at the same time, bring more security needs. Vulnerability is the main security threat of Android smart terminals. For now Android application security has received adequate research, but in the aspects of complex Android system and widely used third party libraries, the security problems have not got enough attention..Based on comprehensive research of Android OS security mechanism, we will study the vulnerability mining method, which combines dynamic testing and static analysis. Vulnerability mining toolkit will be developed and it should be compatible with the complexity of Android system and diversity of third party libraries. Concrete vulnerability mining scheme will be designed to apply on different target to mine the vulnerabilities of Android system and third party libraries.

Android智能终端以手机、平板、智能家居、智能穿戴等形式融入了用户生活的方方面面。这些设备在不同的应用场景下满足了用户的需求，同时也带来了更多设备安全的需求。安全漏洞是Android智能终端安全的主要威胁。目前，Android应用层面的安全漏洞已得到了较为充分的研究，但是对于实现复杂的Android系统及得到开发者广泛使用的第三方类库方面的安全问题研究却不够充分。.在全面分析Android操作系统安全机制的基础上，研究结合了动态测试与静态分析的漏洞挖掘技术。形成一套适应复杂的Android系统和多样的第三方类库的漏洞挖掘工具集。根据不同待测目标设计测试方案，挖掘Android系统、第三方类库等方面存在的安全漏洞。

随着移动互联网的不断发展，Android智能终端设备已经成为目前移动终端领域的主流系统。作为一个开源的操作系统，其应用大多基于互联网，因此很容易受到病毒和木马的攻击。因此Android智能终端设备的安全问题已经得到了各大终端厂商、普通用户和安全研究人员的密切关注。如何准确高效地基于Android智能终端进行漏洞挖掘，已经成为目前安全漏洞研究的热点。同时对基于android系统相关的智能终端的应用场景如物联网等相关安全问题进行研究。.本项目旨在全面分析和研究Android智能终端的系统服务安全以及物联网安全性，项目的主要研究内容包括系统服务接口安全、驱动程序安全、第三方库安全、Android应用动态加载和反射机制的安全性、物联网方面实体之间复杂交互性、云平台消息传递协议等方面。针对上述领域，本项目设计了一套基于数据变异模型的Fuzzing测试工具，总结并发现了系统服务接口中的一种普适性漏洞。并利用遗传算法改进了Fuzzing技术，使改进后的算法可以应用于Android驱动程序的漏洞挖掘。本项目还针对第三方库，发现了第三方库的文件共享和权限共享问题，并提出了针对第三方库的安全增强解决方案。本项目对Android系统的相关源代码进行了修改，从而实现了一个能够对Android动态加载和反射机制进行有效污点分析的工具。本项目对XLDH（Cross-Library Data Harvesting）这种新型威胁进行分析，并设计XFinder，采用自然语言处理和机器学习的混合技术对其进行识别。.在物联网方面，本项目对Android在智能家居和物联网应用进行研究，针对参与实体（即设备，物联网云和移动应用）之间的复杂交互性进行了深入分析，并发现了数个严重漏洞。本项目同时还针对物联网云平台中最流行的消息传递协议MQTT进行了分析，确定了数个漏洞以及相关的严重后果。在研究过程中，本项目综合应用了软件工程和安全漏洞领域的多种关键技术和方法，发现了数十个Android智能终端相关漏洞，并发表了十多篇高水平的学术论文，具有良好的创新性。