基于启发式GUI模糊测试的移动应用自动并行化测试方法研究

Mobile applications have shown explosive growth trends—the number of applications in Google play has exceeded one million. The efficiency of security analysis of mobile applications became a tough problem. The use of automated testing techniques and large-scale computing clusters to accelerate mobile application analysis is a possible solution. However, the mobile apps are mainly based on Graphic User Interface(GUI), which is very difficult for automatic testing. Meanwhile, the testing process involves the full path analysis and sensitive data streams, thus it is difficult to achieve high parallelization.. This project is trying to model the user-interaction features and using concolic analysis to solve mobile applications testing problem. We mainly focus on the user behavior modeling, the automatic hierarchy view building, the highly structured data generating, and the heuristic GUI-fuzzing algorithms. We also trying to reduce the whole testing procedure into segmented problems, by this we may increase the code coverage and build an automated parallel testing system. The techniques proposed in this project will be the foundation of an efficient, large-scale automatic mobile application testing platform.

目前移动应用呈现爆炸性增长趋势，安卓官方市场应用数量已超百万级别。针对移动应用进行安全分析效率低下是目前移动应用安全领域面临的难题。利用自动化测试技术以及大规模计算集群来加速移动应用分析是一个可能的解决方向。但现有移动应用往往涉及大量图形用户界面交互，难以实现自动化测试。同时由于测试过程中涉及数据流敏感的全路径分析，因此难以有效利用计算集群实现高效并行化。. 本项目针对这一难题，试图利用移动应用以用户交互为主的特性，提出一种自动化测试方法，以给安全分析提供底层驱动。重点研究用户交互行为建模、程序内部层次视图自动构建及迁移、高结构化数据自动生成、启发式模糊测试样例生成等关键技术问题，力图将移动应用测试问题自动化、分段化，从而有效增强移动应用测试代码覆盖率的问题，以构建一种良好的自动化并行测试体系，为进一步研究高效的大规模移动应用自动化分析技术打下基础。

本课题组在移动应用分析领域获得了丰硕的成果，发表论文12篇，申请专利9项。课题组围绕移动应用的用户交互机制做了深入的研究，进而突破了传统的软件分析测试范畴，将用户交互机制研究与模拟操作技术、启发式模糊测试技术与图像框架分析技术结合起来，在移动应用自动化分析、软件特征识别和移动应用安全分析等领域做出了突破性进展，完成了基于自动化执行的恶意应用广告分析、基于网络流量特征的移动应用识别、以及基于流量特征的DDOS攻击预测等重要研究成果，并在相关软件与系统安全顶级会议如IEEE S&P、ACM CCS上发表了多篇论文，获得了国际软件与系统安全学术界和工业界同行的高度评价。本课题组在进行学术研究的同时，也积极推动国内外软件安全学术界之间的交流，并将其研究成果工业化，成功应用于多个项目。