主页 / 网络安全学术论坛 / Invetter: Locating Insecure Input Validations in Android Services
  • 作者
    张磊@复旦大学
  • 简介

    Android系统整合了越来越多的系统服务,其中不乏地理位置、电话、短信等各种敏感服务及资源。为了防止恶意软件利用这些系统服务非法获取敏感的系统资源,Android系统实现了一套基于访问控制的机制去保护这些服务。虽然,已经有很多工作研究了这些访问控制中的漏洞问题,但是,他们都集中于研究那些基于权限验证的访问控制,还有一大类基于输入验证的访问控制,却被疏忽了。而本文就是针对那些尚未被研究过的存在于Android系统服务中的输入验证。虽然Android系统服务中包含了很多输入验证,但是我们发现,识别他们仍然有很多困难,因为他们分布非常离散,而且缺少结构化特征,也没有文档说明。为了解决这些困难,我们实现了一个叫做Invetter的工具。该工具通过利用机器学习和静态分析去识别敏感的输入验证,再结合一些安全规则进行漏洞检测。最终,通过对8个Android系统镜像的扫描,我们发现了约20个漏洞。

  • 援引
    https://www.inforsec.org/wp/?p=3040
  • 提示
    本站仅做资料的整理和索引,转载引用请注明出处
相关推荐
附件下载
  • Session3.张磊.Invetter.张磊.复旦大学.20190119.2.pdf
    时间: 大小: 0.57 M 下载: 41