面向混合移动应用安全性的数据流分析技术研究

Recently, along with the growing security threats for mobile applications, the emergence of hybrid mobile applications introduce ever increasing security vulnerabilities through the cross-language interaction. Data-flow analysis is a technique to explore the potential behavior of harmful theft and malicious injection through monitoring the data flowing process during the execution of a mobile application. Currently, the security research for hybrid mobile applications is in its early stage, most existing data-flow analysis methods can only deal with a specific language, which cannot support the cross-language data-flow process for the hybrid mobile applications. For both static and dynamic tracking methods, the inefficiency problem and the difficulty for language-polymorphism analysis exists. Meanwhile, the scalability for those third-party libraries is poor. .This proposal intends to study efficient data-flow analysis techniques for hybrid mobile applications, which cover the following five aspects: the identification of those insecure data paths in hybrid mobile applications, the data-flow tracking and analyzing methods for the cross-language WebView data interface, the scalable analysis techniques for the third-party libraries, the cross-component data-flow analysis techniques, the efficient data-flow technique that integrate both static and dynamic methods. The successful application of these research results can lay a solid foundation for both industrial applications and further researches in the security area for the hybrid mobile applications.

近年来，针对移动应用的安全威胁呈现出日益增长的趋势。混合移动应用的出现，增加了跨语言环境的交互通道，引入了更多潜在的不安全攻击通道。数据流分析技术的目标是透视移动应用执行过程的数据流向，是发掘移动应用中潜在的恶意窃取和恶意注入通路的重要手段。目前针对混合移动应用安全性的研究才刚起步，而数据流分析方法多针对单语言环境进行，无法打通混合移动应用整体数据流通路，在静态分析和动态跟踪方法上面临低效和语言多态性分析困难的问题，同时针对第三方代码分析的扩展性差。我们的目标是针对混合移动应用不安全数据通路研究高效的数据流分析技术，将重点研究混合移动应用的不安全数据通路、跨语言环境的WebView数据通道的分析和跟踪方法、可扩展的第三方代码分析技术、跨组件的数据流分析技术、动静态相结合的高效数据流分析方法，进而应用到混合移动应用的不安全数据检测中。为保护混合移动应用的用户安全奠定研究和应用基础。

在本基金的资助下，研究工作首先系统地分析了混合移动应用跨语言不安全数据通路，建立了覆盖通路的测试数据集。在此基础上，面向WebView交互通道动态污点跟踪，提出了一种双向的污点跟踪方法BridgeTaint，可以动态监测桥接口传输的敏感数据污点，克服了高层混合应用开发中第三方框架语法语义的多样性对污点跟踪带来的困难。面向跨组件数据流跟踪困难问题，提出了一种高效基于数据流拼接的跨组件数据流跟踪方法，并将之扩展应用于安卓界面劫持和安卓应用数据流相关安全漏洞检测中。面向第三方代码数据流分析，提出了一种基于函数摘要的快速分析方法，将jQuery库代码跟踪结果以函数摘要的形式保存，可更快速检测JS不安全的数据通路。同时提出了将静态分析的部分结果应用于安卓应用的自动化触发执行的方法，使得动态测试更高效、测试覆盖率更高。结合数据流分析，提出了基于深度学习和机器学习的恶意URL检测方法和恶意应用细粒度行为分析方法。在上述研究基础上，设计开发混合移动应用数据流分析原型系统。本课题的研究可应用到混合移动应用的不安全数据检测中，为保护混合移动应用的用户安全奠定研究和应用基础。