公开(公告)号：CN111563260B

公开(公告)日：2023-03-14

申请号：CN202010229835.X

申请日：2020-03-27

Applicant: 中南大学

Inventor： 王伟平 ,  徐蒋婷 ,  宋虹 ,  王建新

IPC: G06F21/57 ,  G06F8/30

Abstract: 本发明公开了一种面向安卓应用程序的Web注入代码执行漏洞检测方法及系统，所述方法包括以下步骤：步骤1：对给定安卓应用程序执行静态程序分析，获取该应用程序中可能导致Web注入代码执行的跨语言通信接口信息；步骤2：选定一个字符串数据作为跨语言通信接口引入的Web数据，分别针对不同的跨语言通信机制，完成Web注入代码样例的构造；步骤3：在应用程序运行过程中拦截其与服务器间的通信流量，修改服务器的响应数据，往里面注入构造好的Web注入代码样例；如果在该应用程序运行过程中观察到界面上弹出与选定的字符串数据相应的消息，则判定该应用程序存在Web注入代码执行漏洞。本发明能够准确并有效地检测安卓应用程序是否存在Web注入代码执行漏洞。

公开(公告)号：CN111563260A

公开(公告)日：2020-08-21

申请号：CN202010229835.X

申请日：2020-03-27

Applicant: 中南大学

Inventor： 王伟平 ,  徐蒋婷 ,  宋虹 ,  王建新

IPC: G06F21/57 ,  G06F8/30

Abstract: 本发明公开了一种面向安卓应用程序的Web注入代码执行漏洞检测方法及系统，所述方法包括以下步骤：步骤1：对给定安卓应用程序执行静态程序分析，获取该应用程序中可能导致Web注入代码执行的跨语言通信接口信息；步骤2：选定一个字符串数据作为跨语言通信接口引入的Web数据，分别针对不同的跨语言通信机制，完成Web注入代码样例的构造；步骤3：在应用程序运行过程中拦截其与服务器间的通信流量，修改服务器的响应数据，往里面注入构造好的Web注入代码样例；如果在该应用程序运行过程中观察到界面上弹出与选定的字符串数据相应的消息，则判定该应用程序存在Web注入代码执行漏洞。本发明能够准确并有效地检测安卓应用程序是否存在Web注入代码执行漏洞。