發(fā)布時間：2018-08-06 17:24

【摘要】：Android操作系統(tǒng)因其開源特性而受到廣泛應(yīng)用,但由于系統(tǒng)存在漏洞,不法分子利用系統(tǒng)漏洞提升自身應(yīng)用權(quán)限,在用戶完全不知情的情況下非法采集或泄露用戶信息,甚至完全控制用戶設(shè)備的事件時有發(fā)生。例如信息泄露導(dǎo)致的垃圾電話和短信讓人們的正常生活飽受騷擾,電信詐騙造成的財產(chǎn)損失等。因此,Android操作系統(tǒng)的安全問題受到高度重視,研究Android系統(tǒng)漏洞的檢測和利用方法,無論是在商業(yè)價值還是在保護(hù)個人信息和財產(chǎn)方面,都具有重大意義。本文通過對Android應(yīng)用層安全機(jī)制進(jìn)行分析,總結(jié)出Android應(yīng)用的安全開發(fā)測試方法;在研究Android系統(tǒng)層面安全機(jī)制和漏洞緩沖機(jī)制的基礎(chǔ)上,總結(jié)出Android 4.1.2-6.0.1版本間可用的漏洞提權(quán)利用的方法,編寫了漏洞利用代碼;另外,針對目前市場上Android系統(tǒng)漏洞檢測應(yīng)用軟件的缺乏,提出了基于漏洞自身特性的漏洞檢測方法和基于漏洞編號的二進(jìn)制漏洞檢測方法這兩種漏洞檢測方法,基于這兩種方法設(shè)計并實(shí)現(xiàn)了一種漏洞檢測工具一一VTS。VTS有效解決了使用傳統(tǒng)PoC和其他腳本方式進(jìn)行漏洞存在性驗(yàn)證時效率低、工作量大、穩(wěn)定性差的問題。通過對系統(tǒng)版本在4.1.2-6.0.1之間的19款機(jī)型使用漏洞利用代碼進(jìn)行root提權(quán)測試,發(fā)現(xiàn) CVE-2014-7911CVE-2014-4322、CVE-2015-3636、CVE-2015-1805 這幾個漏洞利用代碼的組合使用可以root所有機(jī)型。而僅使用單個漏洞利用代碼進(jìn)行提權(quán)測試時,由于漏洞利用代碼中存在硬編碼,需要做大量機(jī)型適配工作才能取得比較好的效果。另外對漏洞檢測工具VTS添加了 93個漏洞檢測代碼,并在Google官方和國內(nèi)廠商的幾款機(jī)型上進(jìn)行了測試。測試結(jié)果顯示VTS檢測速度快,運(yùn)行穩(wěn)定流暢。通過對具體機(jī)型做針對性代碼修改,檢測結(jié)果的錯誤率可以控制在10%以內(nèi)。滿足了國內(nèi)廠商定期對所發(fā)布系統(tǒng)進(jìn)行漏洞補(bǔ)丁級別檢測以及用戶熟悉自身設(shè)備安全性的要求。
[Abstract]:The Android operating system is widely used because of its open source characteristics. However, because of the flaw in the system, the lawless elements take advantage of the system vulnerability to enhance their application rights and illegally collect or disclose user information without the user's knowledge. Events that even take full control of the user's equipment occur from time to time. For example, spamming phone calls and text messages caused by information leaks harass people's normal lives, and damage to property caused by telecom fraud. Therefore, the security of the Android operating system has received great attention. It is of great significance to study the detection and utilization of Android system vulnerabilities, whether in commercial value or in the protection of personal information and property. By analyzing the security mechanism of Android application layer, this paper summarizes the security development and testing methods of Android application, and studies the security mechanism and vulnerability buffer mechanism of Android system. This paper summarizes the methods of vulnerability exploitation between version 4.1.2-6.0.1 of Android, and compiles the code of vulnerability exploitation. In addition, aiming at the lack of application software for vulnerability detection of Android system in the current market, Two vulnerability detection methods are proposed, which are vulnerability detection method based on vulnerability characteristics and binary vulnerability detection method based on vulnerability number. Based on these two methods, a vulnerability detection tool, VTS.VTS, is designed and implemented to effectively solve the problems of low efficiency, heavy workload and poor stability when using traditional PoC and other scripting methods to verify vulnerability existence. By testing the vulnerability exploitation code of 19 models with system version between 4.1.2-6.0.1, it is found that CVE-2014-7911CVE-2014-4322CVE-2015-3636 CVE-2015-1805 can be used by all root models. However, when only using a single vulnerability code for power raising testing, due to the existence of hard coding in the vulnerability exploitation code, a large number of adaptations are needed in order to achieve better results. In addition, 93 vulnerability detection codes were added to the vulnerability detection tool VTS, and tested on several models of Google official and domestic manufacturers. The test results show that the VTS detection speed is fast and the operation is stable and smooth. The error rate of the test results can be controlled within 10% by making specific code modification. It meets the requirements of domestic manufacturers to check the vulnerability level of the issued system regularly and users are familiar with the security of their own equipment.
【學(xué)位授予單位】：西安科技大學(xué)
【學(xué)位級別】：碩士
【學(xué)位授予年份】：2017
【分類號】：TP316;TP309

【參考文獻(xiàn)】

相關(guān)期刊論文 前10條

1 Yue CHEN;;地址空間布局隨機(jī)化(ASLR)增強(qiáng)研究綜述[J];中國教育網(wǎng)絡(luò);2016年08期

2 張嘉元;;一種基于匹配的Android系統(tǒng)漏洞檢測方法[J];電信科學(xué);2016年05期

3 蔣克東;;360手機(jī)助手推“照妖鏡”提升手機(jī)安全性[J];計算機(jī)與網(wǎng)絡(luò);2016年06期

4 鄭顯義;李文;孟丹;;TrustZone技術(shù)的分析與研究[J];計算機(jī)學(xué)報;2016年09期

5 包依勤;;TrustZone技術(shù)在Android系統(tǒng)中的安全性研究[J];物聯(lián)網(wǎng)技術(shù);2015年10期

6 梁霞;趙曉燕;馬春艷;;Linux系統(tǒng)中文件訪問控制列表在權(quán)限管理中的應(yīng)用[J];信息技術(shù)與信息化;2015年07期

7 姚一楠;翟世俊;;Android平臺漏洞及安全威脅研究[J];移動通信;2015年11期

8 潘談;;基于linux系統(tǒng)文件權(quán)限的研究[J];無線互聯(lián)科技;2014年10期

9 楊超;劉文慶;張偉;陳云芳;;基于利用方式的Android Root漏洞分析[J];計算機(jī)科學(xué);2014年S1期

10 楊歡;張玉清;胡予濮;劉奇旭;;基于多類特征的Android應(yīng)用惡意行為檢測系統(tǒng)[J];計算機(jī)學(xué)報;2014年01期

相關(guān)博士學(xué)位論文 前1條

1 張源;安卓平臺安全性增強(qiáng)關(guān)鍵技術(shù)的研究[D];復(fù)旦大學(xué);2014年

相關(guān)碩士學(xué)位論文 前9條

1 陳宏偉;基于關(guān)聯(lián)分析的Android權(quán)限濫用攻擊檢測系統(tǒng)研究[D];中國科學(xué)技術(shù)大學(xué);2016年

2 李曉洲;Android應(yīng)用程序組件漏洞測試方法研究[D];太原理工大學(xué);2015年

3 彭凌;Android應(yīng)用權(quán)限檢測技術(shù)的研究與改進(jìn)[D];中國科學(xué)技術(shù)大學(xué);2015年

4 劉昊晨;基于Lua引擎的Android漏洞檢測工具研究[D];西安電子科技大學(xué);2015年

5 趙幸;Android平臺惡意應(yīng)用程序行為分析與研究[D];北京交通大學(xué);2014年

6 馬誠澤;Android與iOS的對比分析及Android安全技術(shù)的設(shè)計與實(shí)現(xiàn)[D];山東理工大學(xué);2013年

7 汪劍;基于SEAndroid的安全探究及其動態(tài)多標(biāo)簽實(shí)現(xiàn)[D];電子科技大學(xué);2013年

8 彭智俊;采用靜態(tài)分析檢測Android應(yīng)用信息泄露的研究[D];復(fù)旦大學(xué);2012年

9 金國軍;基于安全的Linux內(nèi)核動態(tài)行為研究[D];蘭州大學(xué);2012年

，

本文編號：2168445