基于TaintDroid扩展的WebView隐私泄露检测

摘要

针对Android应用程序与WebView交互可能导致隐私泄露的问题,分析WebView的2个隐私泄露主要通道addJavascriptInterface和loadUrl,提出一种扩展TaintDroid的数据流跟踪框架WTD.WTD扩展了Android源码中的addJavascriptInterface和敏感API,在敏感API中利用Java函数栈执行跟踪机制记录系统中的函数调用层次关系,从而判断addJavascriptInterface注册对象是否访问敏感API,同时增加loadUrl加载页面参数的污点检测.实验结果表明,WTD能有效检测WebView引起的隐私数据泄露.