【PPT分享】复旦大学张磊——Invetter: Locating Insecure Input Validations in Android Services

1月19日，在清华大学举办的网络安全研究国际学术论坛InForSec 2019年年会上，复旦大学张磊带来了《Invetter: Locating Insecure Input Validations in Android Services》的精彩报告。

演讲 主题： Invetter: Locating Insecure Input Validations in Android Services→ PPT下载

内容 摘要： Android系统整合了越来越多的系统服务，其中不乏地理位置、电话、短信等各种敏感服务及资源。为了防止恶意软件利用这些系统服务非法获取敏感的系统资源，Android系统实现了一套基于访问控制的机制去保护这些服务。虽然，已经有很多工作研究了这些访问控制中的漏洞问题，但是，他们都集中于研究那些基于权限验证的访问控制，还有一大类基于输入验证的访问控制，却被疏忽了。而本文就是针对那些尚未被研究过的存在于Android系统服务中的输入验证。虽然Android系统服务中包含了很多输入验证，但是我们发现，识别他们仍然有很多困难，因为他们分布非常离散，而且缺少结构化特征，也没有文档说明。为了解决这些困难，我们实现了一个叫做Invetter的工具。该 工具 通过利用机器学习和静态分析去识别敏感的输入验证，再结合一些安全规则进行漏洞检测。最终，通过对8个Android系统镜像的扫描，我们发现了约20个漏洞。