應用軟件漏洞靜態(tài)挖掘技術應用

1、報告提綱 一，問題背景 二，二進制逆向分析 三，中間代碼靜態(tài)分析 四，漏洞檢測 五，評價IDC Lab, HUST0問題背景漏洞危害：漏洞可能被攻擊者用以實現(xiàn)拒絕服務攻擊、 權限提升、竊取應用數(shù)據(jù)和用戶隱私等漏洞形式多樣：組件間通信,網(wǎng)絡通信,數(shù)據(jù)存儲, 混合應用漏洞等動態(tài)分析代碼覆蓋率低、靜態(tài)分析速度快代碼混淆等對抗分析技術流行Android程序獨特的生命周期 二進制逆向分析 將應用安裝文件成功轉(zhuǎn)化為語義完整的可分析代碼是本研究關鍵的第一步 解析AndroidManifest文件：權限、組件信息 dex字節(jié)碼文件 與 java字節(jié)碼的轉(zhuǎn)換 代碼包的層次關系 SAAF，AXMLPrinter2

2、，baksmali等一些 開源逆向項目中間代碼靜態(tài)分析Android應用與通常的Java程序不同,不存在主函數(shù),應用的運行以及函數(shù)之間的調(diào)用是通過事件回調(diào)函數(shù)來實現(xiàn)的,并且回調(diào)時機與組建的生命周期相關Android應用程序生命周期圖中間代碼靜態(tài)分析 設置source，sink，entrypoint 生成偽主函數(shù)（FlowDroid、soot） 構建過程間控制流圖 遍歷過程間控制流圖（污點跟蹤）中間代碼靜態(tài)分析根據(jù)生成的應用偽主函數(shù)和應用的函數(shù)調(diào)用關系圖,可以構建應用的ICFG(過程間控制流圖),ICFG中每個節(jié)點表示一個函數(shù)或代碼塊,圖中的邊表示可能的節(jié)點之間的調(diào)用關系. 過程間調(diào)用關系圖漏洞

3、檢測l基于指紋特征的Android應用軟件漏洞檢測l漏洞類別：數(shù)據(jù)泄露，未知代碼執(zhí)行，注入漏 洞，內(nèi)容共享與代碼加載，編碼失效l檢測方式：規(guī)則庫匹配l研究其漏洞模式和產(chǎn)生的原理,提取漏洞特征,編 寫漏洞檢測規(guī)則.l覆蓋15種常見漏洞常見漏洞類別類別子類別特征數(shù)據(jù)泄露 敏感數(shù)據(jù)外部存儲敏感信息存儲在sdcard敏感數(shù)據(jù)明文存儲數(shù)據(jù)存儲未經(jīng)過加密處理敏感數(shù)據(jù)明文傳輸網(wǎng)絡傳輸時,數(shù)據(jù)未經(jīng)過加密處理日志泄露敏感數(shù)據(jù)敏感數(shù)據(jù)通過logcat以日志的形式輸出未知代碼執(zhí)行WebView遠程代碼執(zhí)行WebView組件將本地對象暴露給JS腳本Shell命令執(zhí)行使用Runtime.exec來執(zhí)行shell命令注入

4、漏洞SQL代碼注入sql語句接收未經(jīng)校驗的參數(shù)輸入Intent注入包含export為true的組件,且存在可能被注入的Intent-filter內(nèi)容共享與代碼加載Package資源共享存在Package contexts資源共享，使應用可以在運行時加載別的應用的資源文件和代碼ClassLoaders執(zhí)行未知代碼使用classloader加載未知代碼Native未知代碼執(zhí)行使用NDK等開發(fā)技術，加載本地庫文件ApkInstall加載外部包代碼調(diào)用PackageManager下載和安裝指定的APK編碼失效可逆編碼應用程序使用的編碼函數(shù)過于簡單硬編碼將密鑰以字符串形式寫入代碼弱密碼不安全的偽隨機數(shù)生成器或錯誤的密鑰設置IDC Lab, HUST7評價u 測試集：113個Android應用(包含10個樣本應用,103個 市場流行應用)u 二進制代碼逆向分析模塊的成功率明顯優(yōu)于不能對抗 代碼混淆的系統(tǒng)，達到92% ；失敗原因是無法繞過某 些應用所采取的加固處理u 能對特征庫種包含的15種漏洞進行檢測u 人工分析加以驗證評價IDC Lab, HUST9構造的應用偽main函數(shù)圖評價IDC Lab, HUST10以偽主函數(shù)為入口,分析函數(shù)調(diào)用關系,構建應用