楊 芬

（長治職業(yè)技術(shù)學(xué)院 信息工程系，山西 長治 046000）

在網(wǎng)絡(luò)技術(shù)發(fā)展的背景下，Android智能手機(jī)得以廣泛應(yīng)用，而且越來越多的應(yīng)用系統(tǒng)融入到Android官方網(wǎng)站之中，但是，在一些軟件發(fā)展中并沒有采用安全性的檢測技術(shù)，導(dǎo)致在軟件系統(tǒng)使用的過程中出現(xiàn)安全漏洞問題，為用戶帶來安全風(fēng)險(xiǎn)。因此，在網(wǎng)絡(luò)系統(tǒng)運(yùn)行中，為了保障用戶使用信息資源的安全性，應(yīng)該合理分配Android系統(tǒng)中的應(yīng)用程序，并通過獨(dú)立、虛擬的網(wǎng)絡(luò)環(huán)境，為用戶營造良好的應(yīng)用環(huán)境。在Android應(yīng)用中，可以為用戶提供靈活的通信機(jī)制，通過對通信系統(tǒng)方法的整合，進(jìn)行用戶之間的信息傳遞，從而滿足信息的傳播需求。在Android應(yīng)用中，其安全程序是指在Android應(yīng)用程序的周期內(nèi)，保障數(shù)據(jù)的有效性、完整性及安全性、隱私性。但是，無論對于何種系統(tǒng)，都存在著漏洞形式，通過SQL注入漏洞靜態(tài)檢測方法的運(yùn)用，可以提高系統(tǒng)運(yùn)行的安全性。

1 Android應(yīng)用中漏洞分析

Android系統(tǒng)在運(yùn)行的過程中，會為自身系統(tǒng)提供一定的保障價值，在權(quán)限機(jī)制整合的同時，實(shí)現(xiàn)對Android系統(tǒng)安全機(jī)制的確定，而且，在不同手機(jī)中Android系統(tǒng)都存在著不同的權(quán)限，實(shí)現(xiàn)對用戶系統(tǒng)數(shù)據(jù)資源的保護(hù)，避免資源濫用現(xiàn)象的發(fā)生。但是，在Android應(yīng)用系統(tǒng)中，并不是每個權(quán)限都是完備的，因此，系統(tǒng)開發(fā)中應(yīng)該認(rèn)識到這一因素，通過對漏洞現(xiàn)象的問題，進(jìn)行數(shù)據(jù)資源的整合。圖1所示為Android應(yīng)用系統(tǒng)中權(quán)限泄露漏洞。應(yīng)用A作為Android設(shè)備中已經(jīng)安裝的應(yīng)用，當(dāng)申請Send＿SMS權(quán)限時，需要向SMS發(fā)送請求，并暴露這項(xiàng)服務(wù)；而B作為一個惡意程序，會按照Android的權(quán)限設(shè)置問題，破壞所申請的信息，從而導(dǎo)致發(fā)送的信息沒有得到安全保護(hù)，嚴(yán)重的會對用戶的財(cái)產(chǎn)安全造成影響。

圖1 Android應(yīng)用權(quán)限泄露漏洞

2 Android應(yīng)用中SQL注入漏洞靜態(tài)檢測方法

2.1 靜態(tài)分析中的SQL

在Android系統(tǒng)運(yùn)用的過程中，為了實(shí)現(xiàn)對數(shù)據(jù)代碼的靜態(tài)化檢測，需要通過對用戶程序以及結(jié)構(gòu)進(jìn)行靜態(tài)化分析，從而使數(shù)據(jù)結(jié)構(gòu)代碼得到展現(xiàn)。為了在數(shù)據(jù)分析檢測中擴(kuò)大數(shù)據(jù)的使用范圍，靜態(tài)分析中會采用Android系統(tǒng)中的字節(jié)碼文件[1]。如圖2所示，整個分析過程應(yīng)該做到：第一，對程序靜態(tài)進(jìn)行分析，體現(xiàn)控制流分析、數(shù)據(jù)流分析技術(shù)的運(yùn)用；第二，將Android系統(tǒng)中注入SQL漏洞檢測技術(shù)，然后按照檢測流程進(jìn)行檢測方法的執(zhí)行。在檢測中對于所引用的jar文件，需要進(jìn)行字節(jié)碼的控制，流程控制中需要對單個詞語、指令以及函數(shù)進(jìn)行順序的調(diào)用，并通過對控制流的確定，進(jìn)行控制流程圖的設(shè)計(jì)。在控制流程圖選擇中，需要通過對基本塊以及基本執(zhí)行關(guān)系的分析，進(jìn)行流程的控制。在基礎(chǔ)控制流約束法使用中，可以在基本塊之內(nèi)，將語句輸出數(shù)據(jù)輸出，進(jìn)入到下一流程。在流程控制中，需要對每個SQL參數(shù)進(jìn)行位置及參數(shù)的確定。最后使用定位程序進(jìn)行SQL方法的選擇，合理調(diào)整靜態(tài)污點(diǎn)的分析功能，并對SQL參數(shù)進(jìn)行數(shù)據(jù)的輸入及輸出，完善系統(tǒng)程序的檢查機(jī)制[2]。

圖2 靜態(tài)分析中的SQL流程圖

2.2 針對SQL注入漏洞靜態(tài)檢測進(jìn)行污點(diǎn)分析

2.2.1 特殊數(shù)據(jù)的污點(diǎn)傳播

在特殊數(shù)據(jù)的污點(diǎn)傳播中，應(yīng)該認(rèn)識到系統(tǒng)傳播的規(guī)律性。例如，在外部輸入數(shù)據(jù)中，一些程序會直接選擇字符進(jìn)行儲存及修改，但是，也有一些數(shù)據(jù)會使用特定的程序進(jìn)行數(shù)據(jù)的儲存。因此，在對結(jié)構(gòu)狀態(tài)整合及分析中，應(yīng)該將資源作為一個整體結(jié)構(gòu)進(jìn)行處理，然后將污點(diǎn)數(shù)據(jù)傳遞給數(shù)組元素，將其標(biāo)記為污染。改組中的所有數(shù)據(jù)都會被污染傳播，數(shù)組結(jié)構(gòu)污點(diǎn)傳播規(guī)則如下：

（1）.String[]spreadArray=new String[2];

（2）.spreadArray[0]=“constant”;

（3）.spreadArray[1]=taintStr;

（4）.String str=spreadArray[0];

2.2.2 Collection接口以及Map接口

通過對Android系統(tǒng)運(yùn)用狀況的分析可以發(fā)現(xiàn)，Java中對語言系統(tǒng)進(jìn)行定義，并確定了Collection接口以及Map接口。開發(fā)者在對數(shù)據(jù)分析中，需要整合復(fù)雜性的項(xiàng)目確定，從而實(shí)現(xiàn)復(fù)雜數(shù)據(jù)的整合及分析。在該種檢測方法確定中，系統(tǒng)會針對污點(diǎn)進(jìn)行傳播，而且在傳播中污點(diǎn)傳播方法與數(shù)組類型存在著一定的相似性。對于這種狀況，只需要將污點(diǎn)數(shù)據(jù)傳遞給結(jié)構(gòu)體，即可將整個結(jié)構(gòu)視為污染，從而實(shí)現(xiàn)對污染信息的計(jì)算[3]。

2.3 傳播污點(diǎn)檢測

2.3.1 傳播過程的污點(diǎn)傳播

在對過程內(nèi)污點(diǎn)傳播中，其方法主要是在單位時間內(nèi)進(jìn)行的，該種方法利用中，需要對污點(diǎn)數(shù)據(jù)進(jìn)行污點(diǎn)信息的確定。因此，在整個過程中應(yīng)該做到以下幾點(diǎn)內(nèi)容：第一，對初始化的污點(diǎn)數(shù)據(jù)進(jìn)行整合，然后將污點(diǎn)信息進(jìn)行傳播，確定外部傳輸?shù)姆椒?、變量以及污點(diǎn)數(shù)據(jù)，并通過對指令類型進(jìn)行操作；第二，在對變量讀取的過程中，需要及時記錄變量中的污點(diǎn)信息；第三，在對普通賦值指令分析中，應(yīng)該結(jié)合當(dāng)前變量內(nèi)容，進(jìn)行污點(diǎn)數(shù)據(jù)的集中處理；第四，針對特殊性的數(shù)據(jù)內(nèi)容，需要進(jìn)行指令的讀寫，然后實(shí)現(xiàn)污點(diǎn)信息的實(shí)時性傳輸；第五，在對返回指令分析中，需要記錄數(shù)據(jù)參數(shù)，然后輸出整個污點(diǎn)數(shù)據(jù)，其基本算法如表1所示。

表1 污點(diǎn)數(shù)據(jù)集算法

2.3.2 傳播過程間的傳播方法

在過程間污點(diǎn)傳播中，需要通過對過程內(nèi)污點(diǎn)傳播方法的分析，對傳播的參數(shù)以及返回值信息進(jìn)行確定，并及時記錄相關(guān)參數(shù)[4]。檢測中，系統(tǒng)會對被調(diào)用的闡述進(jìn)行確定，若發(fā)現(xiàn)數(shù)據(jù)為之前掃描過的需要利用之前方法，與之相反的需要將闡參數(shù)的污點(diǎn)信息傳遞給被調(diào)用方法，然后將其返回值的污點(diǎn)進(jìn)行該種調(diào)用方法的確定。

2.4 合法信息檢測方法

2.4.1 參數(shù)法

參數(shù)法在很多數(shù)據(jù)庫中得以運(yùn)用。該種技術(shù)會使系統(tǒng)在執(zhí)行SQL語句時對SQL進(jìn)行編譯，然后將其參數(shù)進(jìn)行帶入。在一些惡性參數(shù)檢測中，也可以避免程序的執(zhí)行，從而提高Android應(yīng)用系統(tǒng)的穩(wěn)定性。

2.4.2 白名單驗(yàn)證方法

在項(xiàng)目開發(fā)著的信息整合中，雖然一些參數(shù)不會導(dǎo)致SQL出現(xiàn)漏洞，但是也需要在程序運(yùn)行之前進(jìn)行數(shù)據(jù)庫項(xiàng)目的操作，充分保證系統(tǒng)運(yùn)行的安全性[5]。例如，在Pattern.matcher系統(tǒng)中，需要與程序模塊進(jìn)行匹配，或是通過String方法的使用，進(jìn)行數(shù)據(jù)整合闡述的判斷，及時分析敏感字符，從而實(shí)現(xiàn)對系統(tǒng)數(shù)據(jù)的有效整合。若在系統(tǒng)運(yùn)行中執(zhí)行了白名單驗(yàn)證方法，需要將檢測的數(shù)據(jù)庫污點(diǎn)參數(shù)進(jìn)行分析，以便提高SQL檢測方法的合法性。

2.4.3 敏感字符的轉(zhuǎn)化

在Android系統(tǒng)運(yùn)行的過程中，當(dāng)出現(xiàn)敏感詞匯問題時，通過SQL漏洞檢測方法的運(yùn)用，可以實(shí)現(xiàn)對敏感詞匯的轉(zhuǎn)換。在轉(zhuǎn)化中需要使用replace的檢測方法，也就是系統(tǒng)通過對敏感詞匯的確定，進(jìn)行敏感字符的過濾及轉(zhuǎn)義。這種操作方法可以被認(rèn)為是合法性的項(xiàng)目檢驗(yàn)。

3 結(jié)束語

總而言之，在Android應(yīng)用系統(tǒng)的SQL注入漏洞靜態(tài)檢測方法確定中，應(yīng)該通過對安全分析框架的分析，進(jìn)行靜態(tài)檢測方法的確定，實(shí)現(xiàn)對動態(tài)框架分析不足問題的彌補(bǔ)。而且，該種檢測也可以為用戶提供安全性的數(shù)據(jù)保障信息，并對數(shù)據(jù)采用加固的處理方法，實(shí)現(xiàn)對數(shù)據(jù)信息的逆向化分析，提高SQL注入漏洞靜態(tài)檢測的有效性。通過檢測及時發(fā)現(xiàn)Android應(yīng)用系統(tǒng)中的漏洞問題，并針對相關(guān)問題進(jìn)行技術(shù)的構(gòu)建，從而提高數(shù)據(jù)分析的精確性，為Android用戶營造良好的軟件使用環(huán)境。