动态事件序列制导的Android应用漏洞验证技术

来源：计算机工程与应用杂志2018年第6期北京时间：

作者：孙骁永1，2，王 伟1，霍 玮1，2，周建华1

单位：1.中国科学院 信息工程研究所，北京 100195；2.中国科学院大学 网络空间安全学院，北京 100190

摘要：目前Android应用漏洞检测方法分为静态分析和动态分析。其中，静态分析存在误报率较高的问题，动态分析降低了误报率，但是存在运行效率和覆盖率较低的问题。针对动态分析存在的问题，首次提出了动态事件序列制导的Android应用漏洞验证技术，该技术使用自动化UI触发的方法生成Activity跳转关系图，然后对漏洞嫌疑路径进行精确制导，最后对漏洞触发嫌疑路径是否执行进行验证。经过对10 122个应用进行自动化漏洞分析，结果为召回率96.12%，误报率2.66%。实验结果表明，动态事件序列制导的Android应用漏洞验证技术对于自动化分析应用漏洞有很好的效果。

关键词：动态事件序列,自动化UI触发,制导验证,Android