Android和iOS应用软件密码误用漏洞分析

摘要

大量Android和iOS应用程序存在密码误用漏洞,但是目前针对密码误用漏洞的研究较少,本文在已有研究的基础上,完善了密码误用漏洞模型,提出了动静结合的密码误用漏洞分析方法,并且设计并实现了用于Android和iOS平台的密码误用漏洞分析的原型工具,该工具首先通过静态分析得出应用软件调用的密码相关函数集合和执行路径分支,然后通过动态分析记录密码相关函数的运行时参数,最后分析动态分析生成的记录以判定该应用软件是否存在密码误用漏洞.实验表明,工具对Android应用软件的密码误用分析效果较好,iOS应用软件由于存在大量自定义函数,对分析工具提出了更高的要求。