[发明专利]Android应用权限泄露漏洞的测试方法及系统

摘要

本发明提供一种Android应用权限泄露漏洞的测试方法，包括：步骤一、从Android应用程序包中的Manifest文件提取所有对外公开的Service和Broadcast Receiver组件；步骤二、针对Android应用中Service和Broadcast Receiver两种模块间通讯组件接口，提取Action、Data和Extras信息，构造作为模糊测试输入的Intent对象；步骤三、通过ICC机制，由代理应用向应用目标组件通讯接口发送构造好的Intent对象；和步骤四、通过修改Android系统中的权限检查函数，监控权限检查日志情况，基于日志作出是否发生权限泄露的判断。本发明还提供一种Android应用权限泄露漏洞的测试系统。本发明提供的方法和系统无需人工参与，为大规模自动化发现Android应用中权限泄露安全漏洞提供了有力支持，并且具有无误报和低漏报的优点。

主权项

一种Android应用权限泄露漏洞的测试系统，包括：控制端和位于Android系统上的代理端；其中，代理端包括：系统权限检查模块，适于通过修改Android系统中的权限检查函数，将通过检查的权限相关信息记录到系统日志中；Extra信息获取模块，适于通过修改Android系统中的获取Extras信息函数，将所获取的Extras信息的键和值数据类型相关信息记录到系统日志中；和代理应用模块，适于接收控制端构造好的Intent对象，然后通过Android ICC机制发送至待测试应用的目标组件；其中，控制端包括：Intent构造模块，分别与所述Extra信息获取模块和代理应用模块连接，适于通过所述代理应用模块从待测试应用中提取Action、Data信息，适于利用从所述Extra信息获取模块得到Android系统反馈的Extras信息的键和值数据类型，构造合适的Extras键值对信息，还适于基于以上得到的Action、Data和Extras信息构造Intent对象，并通过代理应用模块发送至待测试应用的目标组件；和权限泄露检测模块，与所述系统权限检查模块连接，适于获取所述系统权限检查模块对所述待测试应用的权限检查输出的日志，判断所述待测试应用是否存在权限泄露漏洞。