[发明专利]一种Android系统应用程序漏洞检测方法

说明书

本发明公开了一种Android系统应用程序漏洞检测方法，可用于渗透测试和APK安全性测试。本发明方法首先分析待检测的APK包，确定其可能存在的漏洞种类；然后寻找APK包的早期版本，并按照发布时间顺序排序；循环遍历早期版本的APK包，对其进行APK可用性测试；对于存在网络连接的APK包，逐一进行网络抓包嗅探分析测试，寻找漏洞；对于不存在网络连接的APK包，进行解包逆向工程操作，分析是否存在漏洞；利用找到的漏洞进行攻击，试探攻击是否成功，如果成功，则确定为漏洞。

技术领域

本发明属于网络空间安全技术领域，尤其涉及一种Android系统应用程序漏洞检测方法。

背景技术

近年来，智能移动端发展迅速，Android操作系统以其开源、界面美观、用户体验好等诸多优势在智能移动端操作系统林立涌现的局势下，迅速占据了最大的市场份额。Android的安装程序APK也由于其开发者入门门槛较低，支持第三方开发等原因，备受开发者的青睐。在一个APK开发到应用的过程中，正常情况要经历很多个版本，从一开始的内测版本到公测版本，再到后来的商用版本。每一次的更新都是对自身的一次提升，早期版本的APK由于技术所限，开发人员的经验不足，尤其是在开发过程中涉及到网络与信息安全问题的处理不当，很可能导致早期版本存在很多逻辑设计上或安全应用上的漏洞或者缺陷。

对于最新版的APK应用程序，要想通过逆向工程手段进行分析是十分困难的，因为其代码一般采取了相应的保护措施。但是这一点在早期版本中并不明显。事实上，如果攻击者能对早期的APK包展开攻击，恢复出源代码，或者通过分析协议，拿到一些企业仍在使用的RestfulAPI接口，那么攻击者的能力就会变得非常强，很可能拿到一些有价值的信息，甚至直接对企业服务器展开攻击。

前述逆向工程，顾名思义，就是通过现有的产品，采用一些技术手段对其进行逆向推演，最后还原出产品本来的系统架构、模块组成等。对于一个Android应用程序来说，我们可以通过最原始的APK包，利用一些工具还原出APK的逻辑代码、架构、函数调用树、界面源码等。常见的工具有APKTool和dex2jar，这也是我们主要使用的工具。另外，有专门针对于Android逆向工程的Linux操作系统，集成了很多可以进行反编译的工具。

传统的APK漏洞检测方法，侧重于在最新的版本中进行漏洞检测，这样只能发现当前版本客户端应用的漏洞，而无法发现存在于服务器端、但未在新版本中使用的漏洞。这是传统的检测方法的一个盲点。

此外，传统的APK漏洞检测方法，仅对一个版本的APK进行漏洞检测，忽略了版本与版本之间的联系，因而检测结果具有局限性，无法对APK的安全性进行全面综合的评测。

发明内容

本发明的目的在于提供一种Android系统应用程序漏洞检测方法，能有效检测出应用程序的漏洞，辅助于服务器渗透测试或者渗透测试工程师对第三方APK软件的安全性评估等。

本发明Android系统应用程序漏洞检测方法，包括以下步骤：

步骤一、分析待检测的APK包，确定其可能存在的漏洞种类；

步骤二、寻找APK包的早期版本，并按照发布时间顺序从早到晚排序各版本；

步骤三、从最早发布的APK包进行APK可用性的测试，即测试APK包能否正常使用；如果不能正常使用，按照发布时间顺序继续选择下一个APK包进行测试，以此类推，直至找到一个可用的APK包为止，找到后进入步骤四；

步骤四、对于不存在网络连接的APK包，直接进入步骤五，对于存在网络连接的APK包，对APK包进行网络抓包嗅探分析测试，寻找漏洞；测试完毕后，对剩下的可用早期版本APK包逐一进行网络抓包嗅探分析测试，寻找漏洞，并记录找到的每一个漏洞；

步骤五、对APK包进行解包逆向工程操作，分析其是否存在漏洞；对剩下的可用早期版本APK进行逆向工程测试，记录找到的每一个漏洞；