[发明专利]一种对android应用进行自动化安全检测的方法

摘要

一种对android应用进行自动化安全检测的方法是通过特定的android系统对android应用进行dex文件的拦截，然后利用特定的findbugs在漏洞规则库的基础上对android应用源代码进行安全检测。本发明所述技术方案的有益效果在于：本发明所述方法将代码审查与漏洞挖掘融合为了一体，可以对加壳应用进行安全检测；对Android应用检测时，无需人工对应用进行反编译、调试、代码审查、渗透测试，利用本发明所述技术方案，可以实现高效快速的安全分析；可以对海量应用实现自动化安全测试；帮助开发者定位到漏洞关键代码片段，方便开发人员解决安全隐患，提高了开发者安全加固的效率。

主权项

一种对android应用进行自动化安全检测的方法，其特征在于：所述自动化安全检测的方法包括android应用自动化安全检测的环境搭建和android应用自动化检测两部分；所述android应用自动化安全检测的环境搭建包括如下步骤：步骤一：针对常见android安全漏洞，建立漏洞规则库；步骤二：修改android系统的dalvik虚拟机源代码形成定制android系统，所述定制android系统主要获取加壳android应用的源码，即通过定制android系统完成android应用的dex文件的拦截；步骤三：搭建 findbugs的执行方式，包括封装接口，以及设置插件路径、字节码路径、报告输出路径的配置信息；所述android应用自动化检测包括如下步骤：步骤一：获取待检测Android应用；步骤二：采用反编译技术，获取待检测Android应用的AndroidManifest.xml清单文件配置信息；步骤三：针对待检测Android应用，再次修订漏洞规则库；步骤四：基于ADB，将待检测Android应用安装至定制android系统中并运行，同时定制android系统的dalvik虚拟机拦截待检测Android应用的dex文件；步骤五：利用dex2jar工具将拦截的dex文件逆向生成classes.jar文件，并解压classes.jar文件以生成java字节码；步骤六：采用搭建的findbugs，基于建立的漏洞规则库，对生成的java字节码进行漏洞检测；步骤七：将定制Android系统拦截的dex文件与待检测Android应用自行解压生成的dex文件进行比较；如果定制Android系统拦截的dex文件与待检测Android应用自行解压生成的dex文件信息一致，说明待检测Android应用未加壳，利用 androguard获取步骤六中的漏洞检测结果方法体的java代码信息并进行展示；如果定制Android系统拦截的dex文件与待检测Android应用自行解压生成的dex文件信息不一致，说明待检测Android应用加壳，将待检测Android应用自行解压目录下的dex文件替换为定制Android系统拦截的dex文件，重新打包待检测Android应用，利用 androguard获取步骤六中的漏洞检测结果方法体的java代码信息并进行展示。