Android应用中SQL注入漏洞静态检测方法

作者：潘秋红; 崔展齐; 王林章^*

来源：计算机科学与探索, 2018, 12(08): 1225-1237.

DOI：10.3778/j.issn.1673-9418.1710023

• SQL注入
• 静态检测
• 污点分析
• 合法性检查

随着移动互联网的迅猛发展,基于Android平台的移动终端以及移动应用数量逐年攀升,极大地改变了人们的生活方式。然而,移动应用具有交互复杂、难于调试、版本更新迭代频繁等特点,很多应用没有经过充分检测就投入了使用,致使Android应用中各种漏洞导致的故障频发。其中,SQL注入漏洞是一类常见安全漏洞,会引发用户信息泄露、恶意篡改数据库等严重后果。但现有的通用静态分析工具大多无法有效检测Android应用中的SQL注入漏洞。针对这一问题,分析了SQL注入漏洞的代码特征和数据特征,提出了一种基于污点分析的静态检测方法,并在开源工具FindBugs的基础上,实现了原型工具SQLInj。实验结果表明,该方法能有效检测出Android应用中存在的SQL注入漏洞。

• 单位
  北京信息科技大学; 南京大学; 计算机软件新技术国家重点实验室