基于自动代码生成的Android服务层测试框架

• 作者: 周原 何艺 毛岱波 杨芫 李琦 江勇
• 来源期刊: 网络新媒体技术
• 关键词: Android安全 自动检测 拒绝服务攻击 资源耗尽攻击 非法提权
• 年，卷（期）: 2021,（3）
• 所属期刊栏目: 实用技术|PRACTICAL TECHNOLOGY
• 页码范围: 63-70
• 页数: 8页
• 语种: 中文
• DOI: 10.3969/j.issn.2095-347X.2021.03.009

摘要

Android是应用广泛的移动操作系统,正面临着非法提权、资源耗尽攻击等威胁.许多攻击都利用了 Android系统服务中的漏洞,如JNI全局引用耗尽攻击(JGRE)、Android重击漏洞(ASV)和权限泄漏,这些漏洞会导致系统冻结、重新启动和未经授权的权限升级.本文中提出了一个Android服务层自动测试框架,扫描Android服务中存在的漏洞,并命名为Android服务自动测试工具.Android服务自动测试工具可以根据系统服务接口(Service API)自动生成测试代码来自动验证漏洞,大幅度减少人工验证的工作量.将Android服务自动测试工具应用于Android 9上,自动生成了 720套测试代码,在137个系统服务中,总共发现了 33个漏洞,其中的19个系统服务有28个JGRE漏洞,其中3个系统服务有5个权限提升漏洞.