面向SSL Error-Handling漏洞的自動(dòng)發(fā)現(xiàn)方法研究.pdf

1、安卓系統(tǒng)內(nèi)嵌了SSL庫來進(jìn)行加密傳輸，開發(fā)者可以直接使用這些庫在程序中與服務(wù)器建立HTTPS連接，但是在實(shí)現(xiàn)這些功能時(shí)，開發(fā)者錯(cuò)誤的使用了這些庫而破壞了HTTPS的安全性，使程序易遭受到中間人攻擊。尤其是安卓混合應(yīng)用，使用了大量WebView作為程序的核心組件，當(dāng)開發(fā)者使用WebView與服務(wù)器通訊時(shí)，出于安全角度的考慮使用HTTPS連接，正是在實(shí)現(xiàn)這一功能是，開發(fā)者錯(cuò)誤的處理了來自系統(tǒng)的證書異常錯(cuò)誤，導(dǎo)致程序無法抵抗中間人攻擊，或者是

2、釣魚攻擊。在本文中，確認(rèn)了來自第三方安卓應(yīng)用市場的應(yīng)用程序有很多含有這個(gè)漏洞，并且設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)框架來對(duì)這個(gè)漏洞進(jìn)行自動(dòng)化檢測，該框架同時(shí)包含對(duì)目標(biāo)程序的靜態(tài)分析和動(dòng)態(tài)分析。在靜態(tài)分析模塊，框架會(huì)定位到那些處理證書異常的代碼，然后對(duì)程序的界面跳轉(zhuǎn)圖和函數(shù)調(diào)用圖進(jìn)行構(gòu)建，最終用這些信息引導(dǎo)動(dòng)態(tài)分析模塊。動(dòng)態(tài)分析模塊會(huì)把程序安裝并運(yùn)行，并根據(jù)程序的實(shí)時(shí)運(yùn)行狀態(tài)模擬人操作來控制程序跳轉(zhuǎn)到含有漏洞的頁面，最終觸發(fā)漏洞。在動(dòng)態(tài)分析部分需要同時(shí)對(duì)