[发明专利]一种对Android应用程序敏感信息获取进行管控的方法

说明书

本发明公开了一种对Android应用程序敏感信息获取进行管控的方法，其中包括：在Android应用程序打包阶段扫描所有的class文件，对检测到的敏感信息获取方法调用进行替换，替换为调用自己包装的敏感信息获取方法，在自己包装的方法内判断方法调用栈是否在服务端下发的白名单内，在白名单内则调用系统方法获取敏感权限并返回，不在白名单内则返回空。以达到对Android应用程序中敏感信息的获取进行管控，防止未经授权的代码或第三方SDK获取用户敏感信息的目的。

技术领域

本发明涉及移动开发和网络安全领域，特别涉及一种对Android应用程序敏感信息获取进行管控的方法。

背景技术

一般情况下Android设备上某个敏感权限一旦被授予给某个Android应用程序，则该应用程序中任何地方的代码都可以调用敏感信息获取方法进行敏感数据获取，且多数情况下一个应用程序不可避免的会使用到第三方提供的SDK，这些第三方SDK或多或少都会有一些敏感权限获取的代码存在；虽然在接入时第三方已声明这些代码只是在特定场景下才会触发或者在当前应用程序中永远不会触发，但是不能确保这些第三方SDK绝对不会私自窃取用户敏感信息或者存在BUG的情况下错误收集了不该收集的敏感信息。

发明内容

本发明要解决的技术问题是克服现有技术的缺陷，提供一种对Android应用程序敏感信息获取进行管控的方法，其中包括：在Android应用程序打包阶段扫描所有的class文件，对检测到的敏感信息获取方法调用进行替换，替换为调用自己包装的敏感信息获取方法，在自己包装的方法内判断方法调用栈是否在服务端下发的白名单内，在白名单内则调用系统方法获取敏感权限并返回，不在白名单内则返回空。以达到对Android应用程序中敏感信息的获取进行管控，防止未经授权的代码或第三方SDK获取用户敏感信息的目的。

本发明提供了如下的技术方案：

本发明提供一种对Android应用程序敏感信息获取进行管控的方法，包括以下：

(1)自定义各种敏感信息获取的工具类，里面包含各敏感信息获取的包装方法；如：获取设备IMEI方法对应的包装方法内部实现为，先检测调用方是否在白名单内，在白名单内则调用系统名信息获取方法进行IMEI获取并返回给调用方，不在白名单内则直接返回空值给调用方；

(2)在Android应用程序打包时Transform阶段(Android官方提供给开发者在项目构建阶段(.class-.dex转换期间)用来修改.class文件的一套标准API)遍历应用程序所有class文件；

(3)通过ASM(一种Java字节码操纵框架，可以解析和修改class字节码文件)解析class文件得到树形字节码结构；

(4)通过ASM遍历(3)中得到的树形字节码结构，检测是否有敏感信息获取方法调用；

(5)当检测到有敏感信息获取方法调用，则通过ASM修改class文件将调用改为调用第(1)步中自己包装好的对应敏感信息获取方法；

(6)当应用程序运行时，进行敏感信息获取则会进入到(1)中对应的包装方法中去，在自己包装的方法中判断方法调用栈是否在服务端下发的白名单内；

(7)如果在白名单内，则调用系统敏感信息获取方法得到敏感信息并返回给调用方；

(8)如果不在白名单内，则直接返回空值给调用方。

与现有技术相比，本发明的有益效果如下：

1、通过编译阶段修改字节码指令的方式替换敏感信息获取方法调用，达到的效果与修改应用程序源码基本一致，避免了应用程序运行环境不同带来的兼容性和稳定性问题。

2、利用下发白名单的机制可以做到动态管控，避免安装包发布出去后无法修改的问题。

附图说明