论文总结——真实世界移动应用中Web资源操纵的实证研究

已于 2022-09-28 18:51:44 修改
阅读量817 收藏
点赞数
分类专栏： 网络测量学 论文学习 文章标签： 安全 系统安全
于 2022-08-08 18:58:38 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Ohh24/article/details/126230909
版权

真实世界移动应用中Web资源操纵的实证研究

介绍

这是一篇来自27th USENIX Security Symposium的论文《An Empirical Study of Web Resource Manipulation in Real-world Mobile Applications》

研究背景

当前主流移动平台（包括Android和iOS）使用应用内Web浏览器来运行Web内容。浏览器的示例包括用于Android的WebView和用于iOS的UIWebView/WKWebView。
基于Web视图，移动系统进一步为应用程序开发人员提供Web资源操作API，以自定义浏览器行为并丰富Web应用程序功能。
然而，一些Web资源操作API缺乏基于源的访问控制，这意味着应用程序代码可以通过这些API WebView管理的所有源操作Web资源。
例如，如果主机应用程序具有加载“www.facebook.com”的网络视图，则它可以使用evaluateJavascript API在facebook网页中运行JavaScript，并从facebook获取用户数据。

论文贡献

  1. 将Web资源操纵中的威胁定义为跨主体操纵（XPM），并对现实世界应用中的此类威胁进行了大规模研究。
  2. 设计了一个自动工具，以识别Android应用程序中的跨主体操作。
  3. 基于对80694个应用程序的研究，提出了新的结果和发现，并对当前防御机制的发现和评估也为未来的防御设计带来了新的见解。

恶意的XPM行为

安全的资源获取行为是第三方软件先向用户代理进行申请又返回token进行操作，而恶意的XPM行为不通过中间的用户代理而直接和OAuth服务器提供商进行操作。
在这里插入图片描述

跨主体操作（XPM）

例子

如图所示，有两个应用程序，其中应用程序A是Facebook的官方应用程序，应用程序B是名为“Chatous”的独立聊天应用程序。应用程序B整合了Facebook登录SDK，以支持用户使用其Facebook账户。这两个应用程序中有三个Java类（C1、C2和C3），它们使用WebView加载www.facebook。并使用CookieManager.getCookieAPI从www.facebook.com获取Cookie。

对于属于官方Facebook应用程序的C1和属于官方Facebook登录SDK的C2，他们从www.Facebook.com访问cookie是很正常的。然而，由于C3属于“Chatous”，不属于Facebook的软件，但是C3也能从www.Facebook.com获取cookie。

当Web资源由应用程序代码操纵时，如果操纵代码和被操纵的Web资源属于同一方，则可以认为是正常的。然而，如果它们不是来自同一方，则可能会对被操纵的Web资源带来威胁。在这里插入图片描述

定义

Web资源操作点

应用程序代码在何处使用Web资源操纵API来操纵Web资源叫做Web资源操纵点。在每个Web资源操纵点，都有两个参与方，即操纵代码和操纵的Web资源。

应用主体和Web主体

将操纵代码的安全主体指定为应用主体（AP），将操纵的Web资源的安全主体命名为Web主体（WP）。

跨主体操作

当应用主体在Web资源操纵点与Web主体不同时，即为跨主体操作。
公式为IS_XPM(mp) := AP(mp)≠ WP(mp)

威胁模型

一般认为主机应用程序不可信，即它可能通过窃取敏感数据、破坏代码/数据完整性等方式攻击Web资源。主机应用程序中有两种攻击者：主机应用程序本身和合并的第三方库/SDK。

测量方法

这篇论文用的测量方法是先去收集并分析Web资源操作中的API，并将其归为四类。然后开发自动化的工具XPMCheker识别该行为。在开发XPMChecker后，先用少量APP计算出该工具的准确率，最后用该工具对真实世界移动应用进行大规模实验。

分析Web资源操作API

首先对WebView的API深入研究，将API分为四种类型
在这里插入图片描述

  1. 本地存储操作API：WebView可能会在设备的本地存储上保留敏感数据，如HTTP Cookie、Web Storage1和Web SQL数据库。例如，攻击者可以使用CookieManager.getCookie（字符串url）获取“url”指定的任何域的Cookie。
  2. Web内容操作API：Web内容包括网站的HTML、JavaScript和CSS。例如，攻击者可以使用evaluateJavascript API将JavaScript代码注入网页，并获得注入域的权限。
  3. Web地址操作API：Web地址是包含相当敏感信息的WebView的当前URL。例如，攻击者可以使用shouldOverrideUrlLoading（WebView视图，字符串url）拦截url并提取OAuth隐式流授权的访问令牌。
  4. 网络流量操纵API：这些API使攻击者能够监视/修改WebView和远程服务器之间的网络流量。

XPMChecker

XPMChecker关键组件

  • 静态分析器：以Android APK文件作为输入，定位所有可能的Web资源操作点，并收集每个操作点的操作信息。操纵信息包括操纵的Web URL和操纵上下文。静态分析器将所有信息记录到数据库中以供进一步分析。

  • 主体标识符：使用数据库中的操作信息标识每个操作点的Web主体和应用主体。

  • XPM识别器：通过利用自然语言处理技术和搜索引擎搜索Web主体和应用主体的相关度，最终决定Web资源操作点是否为跨主体。

XPMChecker原理

首先输入一个Android APK，然后通过静态分析，分析出URL和上下文内容，并发送至数据库中，然后主体标识符提取应用主体和Web主体，最后由XPM识别器判断Web资源操作点是否跨主体。
在这里插入图片描述

测量角度和结果

角度结果
操作点49.2%的操作点为跨主体点
存在行为应用16.9%的应用操作Web资源，4.8%的应用具有XPM行为
来源63.6%的跨主体操作点来自库
被操作主机超过70%的XPM点操作顶级流行Web服务
被操作内容Web内容和Web地址是最常见的被操纵和跨主体操纵的Web资源。
XPM必要行为大多数XPM行为对于提高移动用户的可用性是必要的。
不安全的XPM行为一些XPM行为以不安全的方式实现OAuth隐式授权流
恶意XPM行为确认了具有明显恶意意图的Web资源操纵行为
操作系统Android和iOS上都存在恶意XPM行为
恶意XPM方向大多数恶意XPM行为都以OAuth为目标
恶意XPM影响范围恶意XPM行为影响了大量用户
服务提供商大多数Web服务提供商不知道Web资源操纵的风险，并且无法有效阻止用户访问WebView中的敏感页面
防御挑战WebView的完全隔离与大多数应用程序不兼容
防御条件细粒度访问控制是规范Web资源操作API的必要条件
Ohh24
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
论文研究-股指期货操纵预警的Logistic模型实证研究.pdf
09-20
论文研究-股指期货操纵预警的Logistic模型实证研究.pdf, 通过建立Logistic回归模型判别股指期货被操纵的可能性,将股指期货是否被操纵的问题转化为根据一定时期内股指...
促销评论：在线评论操纵的实证调查-研究论文
06-10
然而，在线用户评论的真实性仍然令人担忧； 公司有动力为自己的产品制造正面评价，并为其竞争对手制造负面评价。 在本文中，我们将各种关于经济诡计的文献与关于组织形式的文献结合起来。 我们对促销评论进行实证...
[论文总结] 智慧农业论文摘要阅读概览
You and Me
09-13 1万+
1. Design of a winter-jujube grading robot based on machine vision（Computers and Electronics in Agriculture） 摘要：Winter-jujube(冬枣)在中国是一种新鲜的水果。 收获后,winter-jujubes需要年级分成不同的类别根据其成熟度级别。 成熟winter-jujube可以认可他们的红色。 在这项研究中,一个winter-jujube分级机器人设计。 此外,一个方法结合YOLOv3算法和
【一千个论文合集】计算机科学的26个细分领域近年必读论文集合
热门推荐
AI_Conf的博客
05-11 1万+
AMiner必读论文是一个可以帮您了解某个领域、机构、期刊、会议的学术专辑，包括必读论文和代表学者，由AI初筛+学者复核后提供给您，您可以收藏为自己的论文清单
AAAI2020论文列表（中英对照）
dovings的博客
07-04 5901
AAAI2020论文列表（中英对照）
【论文翻译】Deep Learning
风信子的博客
08-10 842
论文题目：Deep Learning 论文来源： 翻译人：BDML@CQUT实验室 Deep Leaning Yann LeCun1,2, Yoshua Bengio3 & Geoffrey Hinton4,5 深度学习 Yann LeCun1,2, Yoshua Bengio3 & Geoffrey Hinton4,5 Deep learning allows computational models that are composed of multiple processing la
移动存储系统中文件系统碎片的实证研究
05-11
为了深入研究移动存储系统中文件系统碎片化的问题，本文作者对多个长时间使用的移动设备进行了实验分析。研究中使用了EXT4作为默认文件系统，这是一种广泛应用于Linux操作系统及Android平台上的文件系统。EXT4通过...
实证研究论文撰写方法.pdf
06-11
导师分享的关于实证论文的写作方法，对实证论文扫盲与入门很有用。自己电脑里存着怕误删，在这里作为备份存一份。
信息资源在汽车维修业中的应用——外文翻译.rar
05-24
标题中的“信息资源在汽车维修业中的应用——外文翻译.rar”表明了本文档的核心内容是关于信息资源如何在外语环境中被应用于汽车维修行业的实践。这可能涉及到利用信息技术改进汽车维修服务、提升诊断效率、优化供应...
科普文：Linux系统安全加固指南
为无为，事无事，味无味。
07-25 1066
本指南仅关注安全性和隐私性，而不关注性能，可用性或其他内容。列出的所有命令都将需要root特权。以“$”符号开头的单词表示一个变量，不同终端之间可能会有所不同。选择一个好的Linux发行版有很多因素。避免分发冻结程序包，因为它们在安全更新中通常很落后不使用与Systemd机制的发行版。Systemd包含许多不必要的攻击面；它尝试做的事情远远超出了必要，并且超出了初始化系统应做的事情。使用musl作为默认的C库。
人工智能：大语言模型提示注入攻击安全风险分析报告下载
cybtec的博客
07-25 1110
大语言模型提示注入攻击安全风险分析报告下载
大语言模型（LLM）安全测评基准V1.0 发布版下载
cybtec的博客
07-25 857
大语言模型（LLM）安全测评基准V1.0 发布版下载
实验室责任人员管理保障实训系统安全
07-28 298
​ 在智慧校园的实训管理生态中，实验室责任人员的角色犹如精密机器中的关键齿轮，他们不仅是实验室安全与高效运转的守护者，更是实训教学质量的直接塑造者。这一角色的重要性，在智慧校园的数字化转型中得到了前所未有的凸显，通过一系列精心设计的功能模块，实验室责任人员得以在更加智能化、系统化的环境中履行其职责，确保每一场实训都能在安全、有序且富有成效的环境下进行。
mpu6050陀螺仪使用方法开发教程文档.docx
07-30
mpu6050陀螺仪使用方法
【SCI顶级】龙格库塔算法RUN-CNN-LSTM-Multihead-Attention温度预测【含源码 5747期】.zip
07-30
CSDN海神之光上传的全部代码均可运行，亲测可用，直接替换数据即可，适合小白； 1、代码压缩包内容 主函数：Main .m； 数据； 调用函数：其他m文件；无需运行 运行结果效果图； 2、代码运行版本 Matlab 2019b；若运行有误，根据提示修改；若不会，可私信博主； 3、运行操作步骤 步骤一：将所有文件放到Matlab的当前文件夹中； 步骤二：双击打开除Main.m的其他m文件； 步骤三：点击运行，等程序运行完得到结果； 4、仿真咨询 如需其他服务，可私信博主或扫描博主博客文章底部QQ名片； 4.1 CSDN博客或资源的完整代码提供 4.2 期刊或参考文献复现 4.3 Matlab程序定制 4.4 科研合作 智能优化算法-CNN-LSTM-Mutilhead-Attention回归预测系列程序定制或科研合作方向： 4.4.1 遗传算法GA/蚁群算法ACO-CNN-LSTM-Mutilhead-Attention回归预测 4.4.2 粒子群算法PSO/蛙跳算法SFLA-CNN-LSTM-Mutilhead-Attention回归预测 4.4.3 灰狼算法GWO/狼群算法WPA-CNN-LSTM-Mutilhead-Attention回归预测 4.4.4 鲸鱼算法WOA/麻雀算法SSA-CNN-LSTM-Mutilhead-Attention回归预测 4.4.5 萤火虫算法FA/差分算法DE-CNN-LSTM-Mutilhead-Attention回归预测
大模型的数学之魂：统计学习理论精要
07-30
大型机器学习模型，通常简称为“大模型”，是指具有数十亿甚至数千亿参数的深度神经网络模型。这些模型因为其庞大的参数量和复杂的计算结构，能够处理非常复杂的任务和数据，展现出强大的表达能力和预测性能。大模型在自然语言处理、计算机视觉、语音识别和推荐系统等多个领域都有广泛的应用。 大模型的设计目的是通过训练海量数据来学习复杂的模式和特征，从而具备强大的泛化能力，能够对未见过的数据做出准确的预测。与参数较少、层数较浅的小模型相比，大模型虽然需要更多的计算资源和时间来训练和推理，但它们展现出了一种被称为“涌现能力”的特性，即从原始训练数据中自动学习并发现新的、更高层次的特征和模式。 大模型的发展历程可以分为几个阶段，从早期的卷积神经网络模型发展到以Transformer为代表的全新神经网络模型，再到当前以GPT为代表的预训练大模型阶段。Transformer架构因其自注意力机制而成为大模型的核心技术，它使得模型能够更好地理解和处理文本数据中的长距离依赖关系。 大模型的分类主要包括语言大模型（NLP）、视觉大模型（CV）和多模态大模型。语言大模型专注于处理文本数据和理解自然语言，而视觉大模型用
唯美淡雅四页.zip
最新发布
07-30
【简历模板】工作总结、商业计划书、述职报告、读书分享、家长会、主题班会、端午节、期末、夏至、中国风、卡通、小清新、岗位竞聘、公司介绍、读书分享、安全教育、文明礼仪、儿童故事、绘本、防溺水、夏季安全、科技风、商务、炫酷、企业培训、自我介绍、产品介绍、师德师风、班主任培训、神话故事、巴黎奥运会、世界献血者日、防范非法集资、3D快闪、毛玻璃、人工智能等等各种样式的ppt素材风格。 设计模板、图片素材、PPT模板、视频素材、办公文档、小报模板、表格模板、音效配乐、字体库。 广告设计：海报，易拉宝，展板，宣传单，宣传栏，画册，邀请函，优惠券，贺卡，文化墙，标语，制度，名片，舞台背景，广告牌，证书，明信片，菜单，折页，封面，节目单，门头，美陈，拱门，展架等。 电商设计：主图，直通车，详情页，PC端首页，移动端首页，钻展，优惠券，促销标签，店招，店铺公告等。 图片素材：PNG素材，背景素材，矢量素材，插画，元素，艺术字，UI设计等。 视频素材：AE模板，会声会影，PR模板，视频背景，实拍短片，音效配乐。 办公文档：工作汇报，毕业答辩，企业介绍，总结计划，教学课件，求职简历等PPT/WORD模板。
仿真验证阵列可以提高接收信号信噪比
07-30
这是一份模拟了阵列输入信号及噪声，并验证了相对于阵列接收到的信号，阵列输出信号可以将信噪比提高M倍，其中M为阵列的阵元个数的代码。 代码中可以随意修改阵元个数、阵元间距、波束指向角度、信号频率等。 代码中关键部分均含有文字注释，完全不必担心看不懂。 无论是从仿真波形，还是计算的信噪比结果均能看出阵元数为M的阵列将信号的信噪比提高了M倍。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值