软件学报

作者：王蕾,周卿,何冬杰,李炼,冯晓兵

单位：王蕾，计算机体系结构国家重点实验室(中国科学院 计算技术研究所), 北京 100190;中国科学院大学, 北京 10019011,周卿，计算机体系结构国家重点实验室(中国科学院 计算技术研究所), 北京 100190;中国科学院大学, 北京 10019002,何冬杰，计算机体系结构国家重点实验室(中国科学院 计算技术研究所), 北京 100190;中国科学院大学, 北京 10019003,李炼，计算机体系结构国家重点实验室(中国科学院 计算技术研究所), 北京 100190;中国科学院大学, 北京 10019004,冯晓兵，计算机体系结构国家重点实验室(中国科学院 计算技术研究所), 北京 100190;中国科学院大学, 北京 10019005

关键词：程序分析;污点分析;软件安全;静态分析;Android

基金：国家重点研发计划（2017YFB0202002）；国家自然科学基金（61521092，61432016）

当前，静态污点分析检测Android应用隐私泄露存在误报率较高的问题，这给检测人员和用户带来很大的不便.针对这一问题，提出了一种多源绑定发生的污点分析技术.该技术可以精确地判断污点分析结果中多组源是否可以在一次执行中绑定发生，用户可以从单一分析1条结果转为分析有关联的多组结果，这既缩小了分析范围，又降低了检测的误报率.在精度上，该技术支持上下文敏感、流敏感、域敏感等特性，并可以有效地区分出分支互斥的情况.在效率上，提供了一种高效的实现方法，可以将高复杂度（指数级别）的分析降低为与传统方法时间相近的分析（初始阶段开销为19.7%，进一步的多源分析平均时间为0.3s）.基于此，实现了一个原型系统MultiFlow，利用其对2 116个良性手机软件和2 089个恶意手机软件进行应用，应用结果表明，多源污点分析技术可以有效地降低隐私泄露检测的误报率（减少多源对41.1%）.同时，还提出了一种污点分析结果风险评级标准，评级标准可以进一步帮助用户提高隐私泄露检测的效率.最后探讨了该技术潜在的应用场景.

来源：2019年第2期

《软件学报》期刊编辑部

查看软件学报杂志2019年第2期