[發(fā)明專利]基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法

在審

• 申請?zhí)枺?/td>: 202210895144.2
• 申請日: 2022-07-27
• 公開（公告）號(hào): CN115203681A
• 公開（公告）日: 2022-10-18
• 發(fā)明（設(shè)計(jì)）人: 牛偉納;嚴(yán)然;張小松;李有霖;汪義航;鞏嘉誠;張然
• 申請（專利權(quán)）人: 電子科技大學(xué)
• 主分類號(hào): G06F21/53
• 分類號(hào): G06F21/53
• 代理公司: 成都正煜知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 51312
• 代理人: 李龍

1.一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，包括如下步驟：

步驟1：將測試Android APK文件反編譯，提取測試Android APK中所調(diào)用的API，并與環(huán)境監(jiān)測API列表相匹配，為匹配成功的API生成函數(shù)調(diào)用鏈，并判斷函數(shù)調(diào)用鏈最上層是否為Android APK運(yùn)行入口；

其中，Android APK表示安卓安裝包，API表示應(yīng)用編程接口，可用于環(huán)境檢測的API列表包括一系列可用于應(yīng)用判斷自身環(huán)境是處于真機(jī)還是模擬器環(huán)境的API；

步驟2：找出從Android APK運(yùn)行入口出發(fā)，經(jīng)過環(huán)境檢測API的所有完整控制流路徑，形成環(huán)境檢測API控制流子圖；

步驟3：對上述環(huán)境檢測API控制流子圖分析其函數(shù)間數(shù)據(jù)流傳播，找到數(shù)據(jù)流傳播路徑上最近的分支語句，并從分支開始分裂為若干的更小的控制流子圖；

步驟4：比較各控制流子圖之間的所使用函數(shù)的行為差異，判斷其是否具有動(dòng)態(tài)逃逸特征，并指出其具體逃逸行為。

2.根據(jù)權(quán)利要求1所述的一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，所述步驟1具體步驟為：

步驟1.1：首先根據(jù)前人工作已提到的可用來檢測環(huán)境的方法在Android官方文檔中尋找對應(yīng)API，得到可用于檢測環(huán)境的API列表；

步驟1.2：通過Androguard工具反編譯測試APK，得到APK中的所有方法，與步驟1.1篩選的可用于檢測環(huán)境的API列表進(jìn)行匹配，得到測試APK使用了的特征API，然后對這些特征API進(jìn)行調(diào)用鏈追溯；

步驟1.3：判斷函數(shù)調(diào)用鏈最上層是否屬于Android APK運(yùn)行入口，如果不屬于，判斷函數(shù)調(diào)用鏈最上層是否可以由入口函數(shù)顯式或隱式intent調(diào)用啟用，入口函數(shù)包括APK文件夾中的Manifest.xml中定義的主入口函數(shù)及框Android框架層中會(huì)隱式啟動(dòng)的方法，如onclick函數(shù)。

3.根據(jù)權(quán)利要求1所述的一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，所述步驟2具體步驟為：

步驟2.1：為符合條件的調(diào)用鏈中每個(gè)函數(shù)生成各自函數(shù)內(nèi)控制流圖；

步驟2.2：從Android APK入口出發(fā)，分析各自函數(shù)內(nèi)控制流圖，生成若干經(jīng)過環(huán)境檢測API的函數(shù)間控制流路徑；

步驟2.3：對每一個(gè)環(huán)境檢測API，將所有經(jīng)過它的函數(shù)間控制流路徑聚合，形成若干環(huán)境檢測API控制流子圖。

4.根據(jù)權(quán)利要求2所述的一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，所述步驟3具體步驟為：

步驟3.1：對每一個(gè)環(huán)境檢測API，分析被測APK調(diào)用檢測環(huán)境的API的信息流向，前向傳播其數(shù)據(jù)流，生成函數(shù)內(nèi)顯式信息流傳播路徑，如果其顯式信息流傳播路徑的終點(diǎn)位于分支語句的判斷條件中，則定位此位置，否則去除此環(huán)境檢測API控制流子圖；

步驟3.2：將剩余環(huán)境檢測API控制流子圖按上述定位的分支語句分為若干個(gè)更小的行為控制流子圖。

5.據(jù)權(quán)利要求3所述的一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，所述步驟4具體步驟為：

對上述得到的控制流子圖，分析其所調(diào)用的函數(shù)來推斷行為，判斷是否符合動(dòng)態(tài)逃逸行為，最終比較各控制流子圖間行為差異，如果其中至少一個(gè)行為子圖不含有動(dòng)態(tài)逃逸行為，而同時(shí)至少有一個(gè)行為子圖確定含有動(dòng)態(tài)逃逸行為，則確定其Android動(dòng)態(tài)逃逸軟件。

6.據(jù)權(quán)利要求4所述的一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，所述環(huán)境檢測API具體包括：

獲取IMEI、獲取設(shè)備序列號(hào)、獲取MAC地址、獲取Android ID、獲取網(wǎng)絡(luò)配置、獲取聯(lián)系人列表、獲取短信內(nèi)容、獲取短信、獲取應(yīng)用程序信息、獲取WIFI、獲取電池電量信息、獲取最近的電話、獲取手機(jī)通話記錄、獲取加速器、陀螺儀、GPS、重力傳感器的值、獲取CPU信息、獲取安卓SDK的公共類build等特殊API的值，獲取計(jì)算和圖顯性能等。

7.據(jù)權(quán)利要求5所述的一種基于數(shù)據(jù)流和控制流的安卓軟件動(dòng)態(tài)逃逸行為識(shí)別方法，其特征在于，所述動(dòng)態(tài)逃逸行為具體包括：

使用Android官方文檔規(guī)定的敏感API、使用退出延時(shí)一類影響程序執(zhí)行的系統(tǒng)函數(shù)、從本地native層加載代碼。