[發明專利]Android應用程序的靜態分析方法及裝置

在審

• 申請號: 201310634856.X
• 申請日: 2013-12-02
• 公開（公告）號: CN103793650A
• 公開（公告）日: 2014-05-14
• 發明（設計）人: 郭燕慧;李靜;董航;李承澤;張程鵬;費會;董楓;胡陽雨;楊昕雨;胡鴿
• 申請（專利權）人: 北京郵電大學;國家計算機網絡應急技術處理協調中心
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 李相雨

1.一種Android應用程序的靜態分析方法，其特征在于，包含以下步驟:

S1、解壓待測應用程序，提取Classes.dex文件，并對Classes.dex文件進行反編譯，得到Smali文件；

S2、遍歷所述Smali文件，獲取源碼信息，并構建所述源碼信息的控制流圖和數據流圖；

S3、解析所述源碼信息，構建惡意行為判斷引擎；根據所述惡意行為判斷引擎遍歷所述控制流圖及所述數據流圖，將應用程序的API與預定義惡意行為庫中的API分別進行匹配，將匹配成功的應用程序的API標記為惡意行為API；

S4、依據所述預定義惡意行為庫分別得到所述惡意行為API所占權重；依據所述惡意行為API所占權重，求取所述待測應用程序的惡意度量值；

S5、將所述惡意程序度量值與預設的惡意程度指標進行匹配，得到所述待測應用程序的風險等級。

2.如權利要求1所述的靜態分析方法，其特征在于，步驟S2中構建所述源碼信息的控制流圖和數據流圖的方法為：

S21、對所述Smali文件進行詞法和語法解析，輸出樹結構組織的抽象語法樹；

S22、以所述抽象語法樹為基礎，構造自定義的“中間結構”，將生成的所述抽象語法樹中字符串表示的信息映射成“中間結構”中的程序元素；

S23、以“中間結構”中的程序元素為分析對象，分別進行程序關鍵數據和程序關系識別分析，建立控制流圖和數據流圖。

3.如權利要求1所述的靜態分析方法，其特征在于，步驟S3中進一步包括步驟：構建用戶行為判斷引擎，根據所述用戶行為判斷引擎遍歷所述控制流圖及所述數據流圖，找出與用戶行為觸發相關聯的惡意行為API，并將該惡意行為API附帶用戶行為標記。

4.如權利要求3所述的靜態分析方法，其特征在于，步驟S4中計算所述待測應用程序的惡意度量值的表達式為：n表示檢測出的惡意行為API的數量；

式中，B表示所述待測應用程序的惡意度量值；a_i表示檢測出的第i個惡意行為API在所述預定義惡意行為庫中所占的權重；當檢測出的第i個惡意行為API所述惡意行為API附帶用戶行為標記時，r_i取值0.25，否則取值為1。

5.一種Android應用程序的靜態分析裝置，其特征在于，包含以下部分：

反編譯模塊，用于解壓待測應用程序，提取Classes.dex文件，并對Classes.dex文件進行反編譯，得到Smali文件；

源代碼語法解析模塊，用于遍歷所述Smali文件，獲取源碼信息，并構建所述源碼信息的控制流圖和數據流圖；

惡意行為API分析模塊，用于解析所述源碼信息，構建惡意行為判斷引擎；根據所述惡意行為判斷引擎遍歷所述控制流圖及所述數據流圖，將應用程序的API與預定義惡意行為庫中的API分別進行匹配，將匹配成功的應用程序的API標記為惡意行為API；

綜合判斷模塊，依據所述預定義惡意行為庫分別得到所述惡意行為API所占權重；依據所述惡意行為API所占權重，求取所述待測應用程序的惡意度量值；

風險等級評估模塊，用于將所述惡意程序度量值與預設的惡意程度指標進行匹配，得到所述待測應用程序的風險等級。

6.如權利要求5所述的靜態分析裝置，其特征在于，所述惡意行為API分析模塊進一步包括用戶行為API分析模塊，用于構建用戶行為判斷引擎，根據所述用戶行為判斷引擎遍歷所述控制流圖及所述數據流圖，找出與用戶行為觸發相關聯的惡意行為API，并將該惡意行為API附帶用戶行為標記。

7.如權利要求5所述的靜態分析裝置，其特征在于，所述綜合判斷模塊中計算所述待測應用程序的惡意度量值的表達式為：n表示檢測出的惡意行為API的數量；

式中，B表示所述待測應用程序的惡意度量值；a_i表示檢測出的第i個惡意行為API在所述預定義惡意行為庫中所占的權重；當檢測出的第i個惡意行為API所述惡意行為API附帶用戶行為標記時，r_i取值0.25，否則取值為1。