安卓混淆恶意应用程序检测方法研究
发布时间：2021-10-10 04:16
近年来,安卓系统因其开放性始终占据移动市场的主导地位。然而,安卓恶意应用的日益增长严重威胁着用户的财产和信息安全。安卓应用的安全性逐渐引起人们的重视,针对安卓恶意应用的研究和检测方法应运而生,其中静态分析技术备受研究者的青睐成为主要的检测方法。然而近年来,混淆技术被广泛地应用于安卓应用,良性应用的开发者通过混淆技术来保证自己的知识产权不受到侵害,而恶意应用的开发者通常利用该技术增加应用被逆向分析的难度或者使用反射技术隐藏恶意代码,从而躲避静态分析。因此安卓混淆技术是一把双刃剑,在安卓混淆应用中良性应用和恶意应用并存。5G时代的到来使得移动设备的安全问题更加突出,如何有效地检测市场中的安卓混淆恶意应用是一个意义重大且亟待解决的问题。当前,混淆恶意应用的检测与分析方法存在数据集不明确且静态分析技术效率低下的问题。针对这些问题,本文构建了一个动态检测安卓混淆恶意应用的方法,该方法分为混淆应用检测和恶意应用检测两个模块。使用混淆应用检测方法构建了用于混淆恶意应用检测的数据集,分别包括778和712个混淆的正常和恶意应用。恶意应用检测模块在误报率为1.55%的情况下达到了 93.49%的准确率。...
【文章来源】：北京交通大学北京市 211工程院校 教育部直属院校
【文章页数】：69 页
【学位级别】：硕士
【部分图文】：
图２－１安卓系统架构图??Ｆｉｇｕｒｅ?２－１?Ｔｈｅ?ｓｙｓｔｅｍ?ｆｒａｍｅｗｏｒｋ?ｏｆ?Ａｎｄｒｏｉｄ??管理器（Ａｃｔｉｖｉｔｙ?Ｍａｎａｇｅｒ）、内容提供者（Ｃｏｎｔｅｎｔ?Ｐｒｏｖｉｄｅｒ）、窗口管理器（Ｗｉｎｄｏｗ??
于传统的Ｊａｖａ虚拟机，主要表现在［５３］：?Ｄａｌｖｉｋ虚拟机是基于寄存器架构，数据的??访问方式比基于栈的Ｊａｖａ虚拟机要快很多。另外，Ｊａｖａ虚拟机运行的是Ｊａｖａ字节??码（．ｃｌａｓｓ文件），而Ｄａｌｖｉｋ虚拟机运行的是．ｄｅｘ文件（Ｄａｌｖｉｋ字节码）。如图２－２??所示，在一般的Ｊａｖａ程序中，Ｊａｖａ类会被编译成Ｊａｖａ字节码，然后被保存到ｃｌａｓｓ??文件中。而在安卓应用程序中，Ｊａｖａ字节码会通过Ａｎｄｒｏｉｄ?ＳＤＫ?（安卓开发工具包）??中的ＤＸ工具转换成Ｄａｌｖｉｋ字节码，进而被打包到ＤＥＸ?（Ｄａｌｖｉｋ?Ｅｘｅｃｕｔａｂｌｅ）可执??行文件中。Ｊａｖａ虚拟机通过将ｃｌａｓｓ文件里面的内容解码从而运行程序。而Ｄａｌｖｉｋ??虚拟机会解释．ｄｅｘ可执行文件来运行字节码。??Ｊａｖａ源文件??Ｊａｖａ编译器??Ｊａｖａ卞货码??？?ＤＸ工具??Ｄａｌｖｉｋ字节码??Ｊａｖａ虛拟机?Ｄａｌｖｉｋ虚拟机??图２－２?Ｊａｖａ虚拟机与Ｄａｌｖｉｋ虚拟机??Ｆｉｇｕｒｅ?２－２?Ｊａｖａ?ｖｉｒｔｕａｌ?ｍａｃｈｉｎｅ?ａｎｄ?Ｄａｌｖｉｋ?ｖｉｒｔｕａｌ?ｍａｃｈｉｎｅ??ＤＸ工具在处理Ｊａｖａ文件时，会消除类文件中的冗余信息，如重复的方法签??名信息，此外将所有的字符串常量池进行分解，去除冗余信息后重新组合成一个??新的共享常量池，因此Ｄａｌｖｉｋ字节码文件相对来说体积更小。去除多余的信息后??虚拟机减少了?Ｉ／Ｏ操作次数
际上是一个ＺＩＰ压缩包，将其解压之后会发现它由资源文件、ＤＥＸ文件以及清单??文件ＡｎｄｒｏｉｄＭａｎｉｆｅｓｔ．ｘｍｌ等组成。前面提到过，ＤＥＸ文件是安卓平台Ｄａｌｖｉｋ虚拟??机下的可执行文件。ＤＥＸ文件由多个结构体组合而成，如图２－３所示，展示了?ＤＥＸ??文件的结构信息，与ｃｌａｓｓ文件结构有较大差异，但它们所携带的信息一致。ＤＥＸ??文件中的数据存储在ｄａｔａ数据区，ｌｉｎｋ＿ｄａｔａ为静态链接数据区。??Ｄｅｘ?ｈｅａｄｅｒ??Ｓｔｒｉｎｇ—ｉｄｓ??Ｔｙｐｅ＿ｉｄｓ??Ｐｒｏｔｏ＿ｉｄｓ??Ｆｉｅｌｄ」ｄｓ??Ｍｅｌｈｏｄ＿ｉｄｓ??Ｃｌａｓｓ一?ｄｅｔ、??ｄａｔａ??Ｌｉｎｋ一?ｄａｔａ??图２－３?ＤＥＸ文件结构图［５３］??Ｆｉｇｕｒｅ?２－３?Ｄａｌｖｉｋ?Ｅｘｅｃｕｔａｂｌｅ?ｆｉｌｅ?ｓｔｒｕｃｔｕｒｅ１５３３??从ｓｔｒｉｎｇ＿ｉｄｓ到ｃｌａｓｓ＿ｄｅｆ结构是“索引结构区”。Ｄｅｘ?ｈｅａｄｅｒ是ＤＥＸ文件头，??这个部分主要存储了其他各数据结构的起始地址、偏移量、长度信息以及校验和??等。文件头部分共占用０ｘ７０个字节，各部分信息如表２－１所示。??目前，ｍａｇｉｃ字段的值为ｄｅｘ．０３５，标识了一个有效的ＤＥＸ文件。ｃｈｅｃｋｓｕｍ字??段是ＤＥＸ文件的校验和
【参考文献】：
硕士论文
[1]基于深度学习的安卓恶意应用检测方法研究[D]. 赵梦雪.北京交通大学 2018
[2]基于函数调用图的Android重打包应用检测方法研究[D]. 吴兴茹.北京交通大学 2017
[3]基于动态分析的Android恶意应用检测系统的设计与实现[D]. 魏宗涛.北京交通大学 2017
[4]安卓应用的恶意行为检测与归类方法研究[D]. 马君丽.北京交通大学 2016
本文编号：3427627
【文章来源】：北京交通大学北京市 211工程院校 教育部直属院校
【文章页数】：69 页
【学位级别】：硕士
【部分图文】：
图２－１安卓系统架构图??Ｆｉｇｕｒｅ?２－１?Ｔｈｅ?ｓｙｓｔｅｍ?ｆｒａｍｅｗｏｒｋ?ｏｆ?Ａｎｄｒｏｉｄ??管理器（Ａｃｔｉｖｉｔｙ?Ｍａｎａｇｅｒ）、内容提供者（Ｃｏｎｔｅｎｔ?Ｐｒｏｖｉｄｅｒ）、窗口管理器（Ｗｉｎｄｏｗ??
于传统的Ｊａｖａ虚拟机，主要表现在［５３］：?Ｄａｌｖｉｋ虚拟机是基于寄存器架构，数据的??访问方式比基于栈的Ｊａｖａ虚拟机要快很多。另外，Ｊａｖａ虚拟机运行的是Ｊａｖａ字节??码（．ｃｌａｓｓ文件），而Ｄａｌｖｉｋ虚拟机运行的是．ｄｅｘ文件（Ｄａｌｖｉｋ字节码）。如图２－２??所示，在一般的Ｊａｖａ程序中，Ｊａｖａ类会被编译成Ｊａｖａ字节码，然后被保存到ｃｌａｓｓ??文件中。而在安卓应用程序中，Ｊａｖａ字节码会通过Ａｎｄｒｏｉｄ?ＳＤＫ?（安卓开发工具包）??中的ＤＸ工具转换成Ｄａｌｖｉｋ字节码，进而被打包到ＤＥＸ?（Ｄａｌｖｉｋ?Ｅｘｅｃｕｔａｂｌｅ）可执??行文件中。Ｊａｖａ虚拟机通过将ｃｌａｓｓ文件里面的内容解码从而运行程序。而Ｄａｌｖｉｋ??虚拟机会解释．ｄｅｘ可执行文件来运行字节码。??Ｊａｖａ源文件??Ｊａｖａ编译器??Ｊａｖａ卞货码??？?ＤＸ工具??Ｄａｌｖｉｋ字节码??Ｊａｖａ虛拟机?Ｄａｌｖｉｋ虚拟机??图２－２?Ｊａｖａ虚拟机与Ｄａｌｖｉｋ虚拟机??Ｆｉｇｕｒｅ?２－２?Ｊａｖａ?ｖｉｒｔｕａｌ?ｍａｃｈｉｎｅ?ａｎｄ?Ｄａｌｖｉｋ?ｖｉｒｔｕａｌ?ｍａｃｈｉｎｅ??ＤＸ工具在处理Ｊａｖａ文件时，会消除类文件中的冗余信息，如重复的方法签??名信息，此外将所有的字符串常量池进行分解，去除冗余信息后重新组合成一个??新的共享常量池，因此Ｄａｌｖｉｋ字节码文件相对来说体积更小。去除多余的信息后??虚拟机减少了?Ｉ／Ｏ操作次数
际上是一个ＺＩＰ压缩包，将其解压之后会发现它由资源文件、ＤＥＸ文件以及清单??文件ＡｎｄｒｏｉｄＭａｎｉｆｅｓｔ．ｘｍｌ等组成。前面提到过，ＤＥＸ文件是安卓平台Ｄａｌｖｉｋ虚拟??机下的可执行文件。ＤＥＸ文件由多个结构体组合而成，如图２－３所示，展示了?ＤＥＸ??文件的结构信息，与ｃｌａｓｓ文件结构有较大差异，但它们所携带的信息一致。ＤＥＸ??文件中的数据存储在ｄａｔａ数据区，ｌｉｎｋ＿ｄａｔａ为静态链接数据区。??Ｄｅｘ?ｈｅａｄｅｒ??Ｓｔｒｉｎｇ—ｉｄｓ??Ｔｙｐｅ＿ｉｄｓ??Ｐｒｏｔｏ＿ｉｄｓ??Ｆｉｅｌｄ」ｄｓ??Ｍｅｌｈｏｄ＿ｉｄｓ??Ｃｌａｓｓ一?ｄｅｔ、??ｄａｔａ??Ｌｉｎｋ一?ｄａｔａ??图２－３?ＤＥＸ文件结构图［５３］??Ｆｉｇｕｒｅ?２－３?Ｄａｌｖｉｋ?Ｅｘｅｃｕｔａｂｌｅ?ｆｉｌｅ?ｓｔｒｕｃｔｕｒｅ１５３３??从ｓｔｒｉｎｇ＿ｉｄｓ到ｃｌａｓｓ＿ｄｅｆ结构是“索引结构区”。Ｄｅｘ?ｈｅａｄｅｒ是ＤＥＸ文件头，??这个部分主要存储了其他各数据结构的起始地址、偏移量、长度信息以及校验和??等。文件头部分共占用０ｘ７０个字节，各部分信息如表２－１所示。??目前，ｍａｇｉｃ字段的值为ｄｅｘ．０３５，标识了一个有效的ＤＥＸ文件。ｃｈｅｃｋｓｕｍ字??段是ＤＥＸ文件的校验和
【参考文献】：
硕士论文
[1]基于深度学习的安卓恶意应用检测方法研究[D]. 赵梦雪.北京交通大学 2018
[2]基于函数调用图的Android重打包应用检测方法研究[D]. 吴兴茹.北京交通大学 2017
[3]基于动态分析的Android恶意应用检测系统的设计与实现[D]. 魏宗涛.北京交通大学 2017
[4]安卓应用的恶意行为检测与归类方法研究[D]. 马君丽.北京交通大学 2016
本文编号：3427627
本文链接：https://www.wllwen.com/kejilunwen/ruanjiangongchenglunwen/3427627.html
