• 中国精品科技期刊
  • CCF推荐A类中文期刊
  • 计算领域高质量科技期刊T1类
高级检索

TipTracer:基于安全提示的安卓应用通用漏洞检测框架

张磊, 杨哲慜, 李明琪, 杨珉

张磊, 杨哲慜, 李明琪, 杨珉. TipTracer:基于安全提示的安卓应用通用漏洞检测框架[J]. 计算机研究与发展, 2019, 56(11): 2315-2329. DOI: 10.7544/issn1000-1239.2019.20190348
引用本文: 张磊, 杨哲慜, 李明琪, 杨珉. TipTracer:基于安全提示的安卓应用通用漏洞检测框架[J]. 计算机研究与发展, 2019, 56(11): 2315-2329. DOI: 10.7544/issn1000-1239.2019.20190348
shu
Zhang Lei, Yang Zhemin, Li Mingqi, Yang Min. TipTracer: Detecting Android Application Vulnerabilities Based on the Compliance with Security Guidance[J]. Journal of Computer Research and Development, 2019, 56(11): 2315-2329. DOI: 10.7544/issn1000-1239.2019.20190348
Citation: Zhang Lei, Yang Zhemin, Li Mingqi, Yang Min. TipTracer: Detecting Android Application Vulnerabilities Based on the Compliance with Security Guidance[J]. Journal of Computer Research and Development, 2019, 56(11): 2315-2329. DOI: 10.7544/issn1000-1239.2019.20190348
shu
张磊, 杨哲慜, 李明琪, 杨珉. TipTracer:基于安全提示的安卓应用通用漏洞检测框架[J]. 计算机研究与发展, 2019, 56(11): 2315-2329. CSTR: 32373.14.issn1000-1239.2019.20190348
引用本文: 张磊, 杨哲慜, 李明琪, 杨珉. TipTracer:基于安全提示的安卓应用通用漏洞检测框架[J]. 计算机研究与发展, 2019, 56(11): 2315-2329. CSTR: 32373.14.issn1000-1239.2019.20190348
shu
Zhang Lei, Yang Zhemin, Li Mingqi, Yang Min. TipTracer: Detecting Android Application Vulnerabilities Based on the Compliance with Security Guidance[J]. Journal of Computer Research and Development, 2019, 56(11): 2315-2329. CSTR: 32373.14.issn1000-1239.2019.20190348
Citation: Zhang Lei, Yang Zhemin, Li Mingqi, Yang Min. TipTracer: Detecting Android Application Vulnerabilities Based on the Compliance with Security Guidance[J]. Journal of Computer Research and Development, 2019, 56(11): 2315-2329. CSTR: 32373.14.issn1000-1239.2019.20190348
shu

TipTracer:基于安全提示的安卓应用通用漏洞检测框架

  • (复旦大学软件学院 上海 201203) (lei_zhang14@fudan.edu.cn)

基金项目: 国家“九七三”重点基础研究发展计划项目(2015CB358800)；国家自然科学基金项目(U1636204,61602121,U1736208,61602123,U1836213,U1836210)
详细信息

  • 中图分类号: TP39

TipTracer: Detecting Android Application Vulnerabilities Based on the Compliance with Security Guidance

  • (Software School, Fudan University, Shanghai 201203)

HTML全文

    摘要
  • 摘要: 为了使开发者能安全准确地使用第三库接口，库设计者提供了各种类型的安全提示(安全规约)，进而保护应用程序免受因库函数的误用而造成的安全攻击.然而，研究表明:开发者经常性不遵守这些安全规约，导致应用程序中引入了各种各样的安全漏洞.为了评估该问题的影响与规模，进行了系统性的、大规模的对安全规约在安卓应用程序中违反情况的研究.结果表明:已有的安全规约由于不精确的描述、误导性的代码示例、错误的默认设置、碎片化以及缺少强制性检查等原因而大大影响了其在实际运用中的有效性.为了使开发者能更好地遵守安全规约，提出了TipTracer，一个自动化的通用漏洞分析框架.TipTracer主要包含2个部分:1)TipTracer定义了一个能形式化描述安全规约的安全性语言，并利用该语言对已知的安全规约进行形式化表述;2)TipTracer实现了一个静态代码分析器，用于检查应用程序是否满足安全规约.最后，通过大规模的实验分析，证明了TipTracer能有效且准确地对大规模的真实应用程序进行安全性分析.
    Abstract: Many security vulnerabilities are caused by the unsafe use of library programming interfaces. To protect applications from security attacks, library designers provide security tips to help developers use security-sensitive APIs correctly. However, developers often fail to follow security tips, which can introduce vulnerabilities to their programs. To evaluate the scale and impact of this problem, we conduct the first systematic, large-scale study on security tips and their violations in Android apps. Our study shows that existing security tips are less effective, due to their imprecise descriptions, misleading sample code, incorrect default settings, fragmentation (scattered across different sources), and lack of compliance check. As a result, the significant portion of Android apps we analyze are found to be vulnerable. To help the security guidance better followed by app developers, we propose TipTracer, a framework for verifying Android security tips automatically and efficiently. TipTracer contains a security property language that formally describes constraints expressed in security tips and a static code analyzer that checks whether applications satisfy security tips. We demonstrate the effectiveness, efficiency and usability of TipTracer using a large set of real-world apps.
    • HTML全文
    • 参考文献(0)
    • 相关文章
    • 施引文献(35)

  • 期刊类型引用(11)

    1. 肖宇庭，吕晓琪，谷宇，刘传强. 基于拆分残差网络的糖尿病视网膜病变分类. 广西师范大学学报(自然科学版). 2024(01): 91-101 . 百度学术
    2. 吕德珍，赵玉，苗素琴. 基于分布式多节点医疗管理系统进程设计. 计算机与数字工程. 2024(02): 382-387 . 百度学术
    3. 盛文娟，赖振谱，杨宁，Peng Gangding. 基于改进AdaBoost算法的可调谐F-P滤波器温漂补偿方法. 光学学报. 2023(03): 48-56 . 百度学术
    4. 傅懋钟，胡海洋，李忠金. 面向GPU集群的动态资源调度方法. 计算机研究与发展. 2023(06): 1308-1321 . 本站查看
    5. 杨小琴，朱玉全. 基于距离限定优化的多姿态人脸图像智能识别. 计算机仿真. 2022(01): 200-203+282 . 百度学术
    6. 王昕. 梯度下降及优化算法研究综述. 电脑知识与技术. 2022(08): 71-73 . 百度学术
    7. 赵永亮，于倩，邓博，韩丽君，高红梅. 基于博弈论及机器学习的最优化算法设计与仿真. 电子设计工程. 2022(13): 23-27 . 百度学术
    8. 李晓锋，燕少飞，吴宸. 移动终端操作系统应用程序恶意检测系统技术研究. 电子技术与软件工程. 2022(17): 75-79 . 百度学术
    9. 蒋平. 基于卷积神经网络的图像精度深度优化. 淮阴工学院学报. 2021(03): 30-34 . 百度学术
    10. 杨国葳，李宏坤，张明亮，黄刚劲. 基于一维深度卷积自动编码器的刀具状态监测方法. 振动与冲击. 2021(21): 223-233+274 . 百度学术
    11. 郑雯，沈琪浩，任佳. 基于Improved DR-Net算法的糖尿病视网膜病变识别与分级. 光学学报. 2021(22): 72-83 . 百度学术

    其他类型引用(24)

    • 资源附件(0)
计量
  • 文章访问数:  1270
  • HTML全文浏览量:  8
  • PDF下载量:  494
  • 被引次数: 35
出版历程
  • 发布日期:  2019-10-31

目录

摘要
HTML全文
    参考文献(0)
    相关文章
    施引文献(35)
    资源附件(0)

    /

    返回文章
    返回
    邮件订阅 RSS
    微信订阅号<br/>（实时资讯）

    微信订阅号
    （实时资讯）

    微信服务号<br/>（同步网站）

    微信服务号
    （同步网站）

    微信视频号<br/>（视频分享）

    微信视频号
    （视频分享）

    CCF<br/>（扫码入会）

    CCF
    （扫码入会）

    版权所有 © 《计算机研究与发展》编辑部

    本系统由北京仁和汇智信息技术有限公司开发  百度统计