安卓应程序中目标分裂
摘 –安卓应声明安卓运行台目标版更新安卓版设备运行时应程序会议兼容模式执行尝试模仿前版设计具严重安全问题时安卓版应程序安卓**全性改变效称种情况目标分裂问题
2012年5月2015年12月分析数集1232696免费安卓应程序研究显示目标分裂问题整应程序生态系统值关注年直样总计前93应程序版老台版均时686天79应程序传应程序商城时已时台版终调查七安全相关更改指定已期应程序中停安卓台结果显示起尝试提高安卓应程序安全性作
1 引言
安卓已成全球流行智手机台拥超10亿台源设备安卓面两安全挑战：交付安全代码户设备中碎片应程序中碎片设备碎片关注众周谷歌控制分发安卓设备安卓软件更新谷歌企业网络提供新安卓软件户新设备形式进行软件升级分布式进程量安卓设备运行老新安卓版程序界安全补丁达数万计安卓户延长安全漏洞生命周期设备碎片化相较程序碎片化少收类似安全果关注
安卓通安卓API暴露许必库功应程序安卓台新版介绍现library特征做改变例：安卓44改变Alarmmanagerset批量报警行设置相时间种变化助提高电池寿命牺牲精确报警行变化会引起前应程序问题更新新安卓版时设备会突然中断
谷歌分配安卓台版整数称作API等级保持定程度兼容性防止应程序戏剧性改变没警告提示行应程序目标API级
API级较高设备运行应程序目标API级兼容模式执行尝试目标API匹配设备水接例设置应程序目标API级18（安卓43）相匹配报警行便运行新安卓设备安卓台变化包括重新安全功解决已知问题安卓API者提供额外保护防止攻击功兼容性模式禁适合时安卓API等级设计意味着运行新设备针时API级应程序法方位新安全特性谷歌谷歌商店中发布应程序目标API水没简单方法户知道应程序应API否已时相反户完全时应程序开发者摆布称问题应碎片时目标分裂问题
家熟悉目标分裂问题结果关远程执行代码漏洞——安卓网页API级17天际新行解决漏洞种变化知识应应程序API级17者更高目标该漏洞披露安卓台应程序然脆弱运行新台时旧时API级研究披露报告显示API等级等14应程序占百分
种脆弱性例子目标分裂问题安卓应程序安全没研究权专属标碎片较完整目标分裂问题分析解安卓生态系统安全性
知篇报告第方面认识目标分裂安全性问题文中谷歌应商城中收集五数集免费安卓应信息四年数总说数集包括1232696应程序测量目标分裂问题趋势谷歌Play商店获元数研究安全性影响目标分裂问题具体漏洞研究研究问题结果：
目标分裂安卓应环境中状态什样？检查2015年12月谷歌应商店收集60086免费应数集发现93应定位时API级定义时度量目标API级686天
开发员选择定位期安卓版开发者放弃应程序导致分裂化？解决未维护应定义时时度量应传应商店日起测量期时间结果显示目标分段仅仅停滞应导致发现2015年12月收集应程序均时时长536天
受欢迎应程序中目标分裂问题？研究发现受欢迎应程序中存目标分裂问题发现2015年12月收集88应程序安装超百万次应程序时API等级应程序均时607天均时时493天稍微低全部口
目标分裂问题否会着时间推移变严重呢？2012年12月数集目标分裂2012年五月2014年7月期间谷歌应商店收集四数集进行较数集包含1232696应发现越越越越尾巴极端超时应程序四收集数集中时分布非常相似表明目标分裂问题严重性年没显着改变
天目标分裂具体安全影响什？通检查安卓台中7安全相关变化扩展目标分裂问题讨提供目标分裂安卓整体系统安全性广泛影响第次定量分析
2背景
安卓应程序包装清单文件清单文件包含关应程序XML文档例应构件清单请求权限系统事件应程序响应清单包含研究相关两属性：低限度API 级Sdk版目标API 级目标Sdk版低限度API 级含义十分直截应程序法安装低低限度API 级安卓设备样设计确保应程序安装缺乏基功设备
清单样包括高限度API级安卓201开始高限度API水做谷歌应商店中做滤搜索
应程序目标API 级维护促进兼容新安卓台果设备API级高应设备目标API级设备启兼容性功匹配目标API特性套兼容性功API级安卓文档中找注意应程序目标API级低设备安全安装开发员定位新API级会应程序旧版安卓设备相容
果应程序声明目标API级者果目标API级低低限度API级目标API级定低限API级文余部分区清单文件中原始级目标API级规计算目标级实际安卓操作系统目标API级目前约百分8应程序未声明效原始目标API级
目标Sdk版Sdk版属性整数值称API级API级应安卓版代码文余部分讨API版API级值(列 17 18 19)版代码(例 42 43 44)API级安卓版代码应表I示
API 等级
版号
版名称
发布日期
14
40–402
Ice Cream Sandwich
2011年10月
15
403–404
2011年12月
16
41–412
Jelly Bean
2012年7月
17
42–422
2012年11月
18
43–431
2013年7月
19
44–444
KitKat
2013年11月
20
44W–44W2
2014年6月
21
50–502
Lollipop
2014年11月
22
51–511
2015年5月
23
60–601
Marshmallow
2015年10月
表I：安卓版简史
A．安全问题
安卓文档中出矛头指落伍API级存安全隐患点明显文档页面目标Sdk版属性谷歌建议开发员应该增加[目标Sdk版]属性价值匹配新API级里没提目标落伍API级安全果安全贴士第9页没提目标API级假设目标落伍API级存安全果
然新安卓版中重安全改动会目标落伍API级应程序例API级1719两者皆包含广泛中防止代码注入漏洞改变API级改变流行特征具更安全默认行提供层额外保护表II列出安全通定位停安卓台改变改变细节修复漏洞第五节中讨果量应程序目标期API级更改心良苦应程序置必风险
API
台更改
16
17
17
19
19
21
21
默认情况JavaScript访问文件网址禁
默认情况容理器受外部应程序影响
未注释应程序模式JavaScript代码调
isValidFragment防止Fragment Hijacking
JavaScript URLs分开网络视图环境中执行
ContextbindService接受隐藏目
网络视图默认阻止混合容
表II：已选择安卓相关台更改更改Android台目标API级低列级应程序法受益更改提供安全保护
3．方法
研究分析2012年5月2016年1月期间谷歌应商店收集1232696免费应数集收集应开发系统抓取谷歌应商店识新应谷歌应中抓取元数 存储载实际应程序文件 该系统五短暂时间窗口中操作然数集分成应时间窗口五较数集（数集ABCDE时间逆序）表III描述 数集列出收集数集时新API级
A收集应程序
系统会首先抓取谷歌应商店便载应程序 果应具唯应ID认该应唯 抓取谷歌应商店四种技术：（1）针热门应收藏抓取谷歌应指定类（2）抓取机知名开发者页面查找新应（3）谷歌搜索 已知应程式说明中字词播放商店（4）已检索网页网址撷取应程序编号
谷歌会商店中发布应程式中继资料会撷取收集已检索应程式中继资料包括新版 该应程序已传应商店已安装应程序设备数量
载应程序类似ViennotGarciaNieh 描述方法 尝试效收集组应程序载未见应程序ID 数集A外数集尝试载抓取期间标识应程序ID 时间限制（技术挑战）数集A应程序子集 第VIB节讨种收集方法效果
数集
应程序数量
检索日期
新 API
A
60086
December 2015
23
B
219115
June 2014
19
C
165489
January 2014
19
D
645862
July 2013
17
E
142144
May 2012
15
表III：研究中五数集概述数集收集时新API级
B分析
谷歌应商店发布应程式低API层级会发布目标API层级 apk工具 静态分析工具包应程序转换类读文件提取清单记录目标API级 应程序数库非常执行复杂静态分析切实际 研究中静态分析纯语法通处理apk工具提取应程序字节码smali表示执行
4．评
节中量化目标分裂问题程度首先展示数抽样应目标时API级定义期度量衡量单应程序应群体目标分裂问题严重程度显示目标分裂问题开发员疏忽引起应商店应程序造成较流行受欢迎应程序间时度量证明流行应程序中目标分裂问题发现时曲线四收集数集中相似结果表明非目标分裂问题重新审查否侧未会相规模存数集规模较认结果广泛适整谷歌应系统中
A．目标分裂问题
图显示数集A中应程序目标API级分布数包A包含新应程序明显绝数应程序会定位API级23收集数集A新API级更确切说发现数集A目标API中93％应程序级22更低
定位更时API级应更错重安全更改 仅仅应程序否时感兴趣应程序时 定义种称时定量度量作应目标API级发布日期应收集时新API级发布日期间差异（天数） 发现数集A中应程序中间时性704天均时性686天期累积分布（图2）作应程序群体目标分裂问题严重性度量 通检查曲线低端发现数应程序指时API级 曲线顶部长尾部显示相应程序目标API级已时年
期目标API级分布类似倾斜正态分布着API级越越时针API级应程序百分会减少图1示发现针API级716应程序百分相较低API等级7API等级16应程序数量相API级9特突出数集A中应程序3％提供关键兼容性功什应程序定位样时API级？
果分析数集A中原始目标API级发现82％应程序包括原始目标API级设置低低API级值原始目标API级效 应低API级作目标API级 应程序占目标API级分布中部分 例定位API级15更低应程序63％低API级作目标API级 表示通说服开发员正确目标Sdk版属性消目标API级分布中长尾部机会
B．前应程序
非Google Play商店应程式开发员定期维护 图3显示应程式集合开发员传谷歌应商店间天数分布情况请注意日期应程式第次发布应程式更新日期2015年10月发布API级23仅传数集A中38％应程序显然Google Play商店停滞应程序会针发布新API级 存未维护应程序会扭曲目标API分发虚假暗示动维护应程序开发员法更新应程序定位新API级 里试图区分未维护应程序造成时性通应程序维护持续时性
应程序时定义目标API级发布日期传谷歌应商店前新API级发布日期间差异（天单位） 时时措施错开发者应定位前API级机会 图4描述具体例子阐明时时时间区 发现数集A中应程序间中间失期377天均时时536天
更宽松定义时时性包括滞时间便开发员发布新API级重新定位应应程序传应程式商店时会选择新API级应程序传应程式商店时选择新API级应程式传应程式商店时少需N天 滞时间称收养窗口增加30天收养窗口会稍微影响疏忽时性疏忽时时间减少327天均疏忽时时间减少496天
图5显示30天采窗口疏忽时累积分布 量收养窗口应程序然法定位适API级 79％应程序度定位时API级意味着应程序传应商店会期开发员发布前访问新安卓台应程序第天新API级进行更新 结果清楚出目标碎片问题陈旧应程序解释开发员疏忽结果视目标期API级果者意选择定位时API级
C．流行应程序
谷歌应商店中绝数应没户载 数集A中2％应程序已安装超1000000次应占数集A中应程序总安装量74％解应程序流行度目标碎片问题间关系重
图6较流行度应程序间时程序分布 时曲线非常相似受欢迎应程序（少安装百万次）稍微时API级 较流行度应程序间疏忽时分布出类似结果（里包括空格）安装少百万次应程序均时时间607天均忽略时时间493天
文香网httpwwwxiangdangnet
《香当网》用户分享的内容，不代表《香当网》观点或立场，请自行判断内容的真实性和可靠性！
该内容是文档的文本内容，更好的格式请下载文档
摘 –安卓应声明安卓运行台目标版更新安卓版设备运行时应程序会议兼容模式执行尝试模仿前版设计具严重安全问题时安卓版应程序安卓**全性改变效称种情况目标分裂问题
2012年5月2015年12月分析数集1232696免费安卓应程序研究显示目标分裂问题整应程序生态系统值关注年直样总计前93应程序版老台版均时686天79应程序传应程序商城时已时台版终调查七安全相关更改指定已期应程序中停安卓台结果显示起尝试提高安卓应程序安全性作
1 引言
安卓已成全球流行智手机台拥超10亿台源设备安卓面两安全挑战：交付安全代码户设备中碎片应程序中碎片设备碎片关注众周谷歌控制分发安卓设备安卓软件更新谷歌企业网络提供新安卓软件户新设备形式进行软件升级分布式进程量安卓设备运行老新安卓版程序界安全补丁达数万计安卓户延长安全漏洞生命周期设备碎片化相较程序碎片化少收类似安全果关注
安卓通安卓API暴露许必库功应程序安卓台新版介绍现library特征做改变例：安卓44改变Alarmmanagerset批量报警行设置相时间种变化助提高电池寿命牺牲精确报警行变化会引起前应程序问题更新新安卓版时设备会突然中断
谷歌分配安卓台版整数称作API等级保持定程度兼容性防止应程序戏剧性改变没警告提示行应程序目标API级
API级较高设备运行应程序目标API级兼容模式执行尝试目标API匹配设备水接例设置应程序目标API级18（安卓43）相匹配报警行便运行新安卓设备安卓台变化包括重新安全功解决已知问题安卓API者提供额外保护防止攻击功兼容性模式禁适合时安卓API等级设计意味着运行新设备针时API级应程序法方位新安全特性谷歌谷歌商店中发布应程序目标API水没简单方法户知道应程序应API否已时相反户完全时应程序开发者摆布称问题应碎片时目标分裂问题
家熟悉目标分裂问题结果关远程执行代码漏洞——安卓网页API级17天际新行解决漏洞种变化知识应应程序API级17者更高目标该漏洞披露安卓台应程序然脆弱运行新台时旧时API级研究披露报告显示API等级等14应程序占百分
种脆弱性例子目标分裂问题安卓应程序安全没研究权专属标碎片较完整目标分裂问题分析解安卓生态系统安全性
知篇报告第方面认识目标分裂安全性问题文中谷歌应商城中收集五数集免费安卓应信息四年数总说数集包括1232696应程序测量目标分裂问题趋势谷歌Play商店获元数研究安全性影响目标分裂问题具体漏洞研究研究问题结果：
目标分裂安卓应环境中状态什样？检查2015年12月谷歌应商店收集60086免费应数集发现93应定位时API级定义时度量目标API级686天
开发员选择定位期安卓版开发者放弃应程序导致分裂化？解决未维护应定义时时度量应传应商店日起测量期时间结果显示目标分段仅仅停滞应导致发现2015年12月收集应程序均时时长536天
受欢迎应程序中目标分裂问题？研究发现受欢迎应程序中存目标分裂问题发现2015年12月收集88应程序安装超百万次应程序时API等级应程序均时607天均时时493天稍微低全部口
目标分裂问题否会着时间推移变严重呢？2012年12月数集目标分裂2012年五月2014年7月期间谷歌应商店收集四数集进行较数集包含1232696应发现越越越越尾巴极端超时应程序四收集数集中时分布非常相似表明目标分裂问题严重性年没显着改变
天目标分裂具体安全影响什？通检查安卓台中7安全相关变化扩展目标分裂问题讨提供目标分裂安卓整体系统安全性广泛影响第次定量分析
2背景
安卓应程序包装清单文件清单文件包含关应程序XML文档例应构件清单请求权限系统事件应程序响应清单包含研究相关两属性：低限度API 级Sdk版目标API 级目标Sdk版低限度API 级含义十分直截应程序法安装低低限度API 级安卓设备样设计确保应程序安装缺乏基功设备
清单样包括高限度API级安卓201开始高限度API水做谷歌应商店中做滤搜索
应程序目标API 级维护促进兼容新安卓台果设备API级高应设备目标API级设备启兼容性功匹配目标API特性套兼容性功API级安卓文档中找注意应程序目标API级低设备安全安装开发员定位新API级会应程序旧版安卓设备相容
果应程序声明目标API级者果目标API级低低限度API级目标API级定低限API级文余部分区清单文件中原始级目标API级规计算目标级实际安卓操作系统目标API级目前约百分8应程序未声明效原始目标API级
目标Sdk版Sdk版属性整数值称API级API级应安卓版代码文余部分讨API版API级值(列 17 18 19)版代码(例 42 43 44)API级安卓版代码应表I示
API 等级
版号
版名称
发布日期
14
40–402
Ice Cream Sandwich
2011年10月
15
403–404
2011年12月
16
41–412
Jelly Bean
2012年7月
17
42–422
2012年11月
18
43–431
2013年7月
19
44–444
KitKat
2013年11月
20
44W–44W2
2014年6月
21
50–502
Lollipop
2014年11月
22
51–511
2015年5月
23
60–601
Marshmallow
2015年10月
表I：安卓版简史
A．安全问题
安卓文档中出矛头指落伍API级存安全隐患点明显文档页面目标Sdk版属性谷歌建议开发员应该增加[目标Sdk版]属性价值匹配新API级里没提目标落伍API级安全果安全贴士第9页没提目标API级假设目标落伍API级存安全果
然新安卓版中重安全改动会目标落伍API级应程序例API级1719两者皆包含广泛中防止代码注入漏洞改变API级改变流行特征具更安全默认行提供层额外保护表II列出安全通定位停安卓台改变改变细节修复漏洞第五节中讨果量应程序目标期API级更改心良苦应程序置必风险
API
台更改
16
17
17
19
19
21
21
默认情况JavaScript访问文件网址禁
默认情况容理器受外部应程序影响
未注释应程序模式JavaScript代码调
isValidFragment防止Fragment Hijacking
JavaScript URLs分开网络视图环境中执行
ContextbindService接受隐藏目
网络视图默认阻止混合容
表II：已选择安卓相关台更改更改Android台目标API级低列级应程序法受益更改提供安全保护
3．方法
研究分析2012年5月2016年1月期间谷歌应商店收集1232696免费应数集收集应开发系统抓取谷歌应商店识新应谷歌应中抓取元数 存储载实际应程序文件 该系统五短暂时间窗口中操作然数集分成应时间窗口五较数集（数集ABCDE时间逆序）表III描述 数集列出收集数集时新API级
A收集应程序
系统会首先抓取谷歌应商店便载应程序 果应具唯应ID认该应唯 抓取谷歌应商店四种技术：（1）针热门应收藏抓取谷歌应指定类（2）抓取机知名开发者页面查找新应（3）谷歌搜索 已知应程式说明中字词播放商店（4）已检索网页网址撷取应程序编号
谷歌会商店中发布应程式中继资料会撷取收集已检索应程式中继资料包括新版 该应程序已传应商店已安装应程序设备数量
载应程序类似ViennotGarciaNieh 描述方法 尝试效收集组应程序载未见应程序ID 数集A外数集尝试载抓取期间标识应程序ID 时间限制（技术挑战）数集A应程序子集 第VIB节讨种收集方法效果
数集
应程序数量
检索日期
新 API
A
60086
December 2015
23
B
219115
June 2014
19
C
165489
January 2014
19
D
645862
July 2013
17
E
142144
May 2012
15
表III：研究中五数集概述数集收集时新API级
B分析
谷歌应商店发布应程式低API层级会发布目标API层级 apk工具 静态分析工具包应程序转换类读文件提取清单记录目标API级 应程序数库非常执行复杂静态分析切实际 研究中静态分析纯语法通处理apk工具提取应程序字节码smali表示执行
4．评
节中量化目标分裂问题程度首先展示数抽样应目标时API级定义期度量衡量单应程序应群体目标分裂问题严重程度显示目标分裂问题开发员疏忽引起应商店应程序造成较流行受欢迎应程序间时度量证明流行应程序中目标分裂问题发现时曲线四收集数集中相似结果表明非目标分裂问题重新审查否侧未会相规模存数集规模较认结果广泛适整谷歌应系统中
A．目标分裂问题
图显示数集A中应程序目标API级分布数包A包含新应程序明显绝数应程序会定位API级23收集数集A新API级更确切说发现数集A目标API中93％应程序级22更低
定位更时API级应更错重安全更改 仅仅应程序否时感兴趣应程序时 定义种称时定量度量作应目标API级发布日期应收集时新API级发布日期间差异（天数） 发现数集A中应程序中间时性704天均时性686天期累积分布（图2）作应程序群体目标分裂问题严重性度量 通检查曲线低端发现数应程序指时API级 曲线顶部长尾部显示相应程序目标API级已时年
期目标API级分布类似倾斜正态分布着API级越越时针API级应程序百分会减少图1示发现针API级716应程序百分相较低API等级7API等级16应程序数量相API级9特突出数集A中应程序3％提供关键兼容性功什应程序定位样时API级？
果分析数集A中原始目标API级发现82％应程序包括原始目标API级设置低低API级值原始目标API级效 应低API级作目标API级 应程序占目标API级分布中部分 例定位API级15更低应程序63％低API级作目标API级 表示通说服开发员正确目标Sdk版属性消目标API级分布中长尾部机会
B．前应程序
非Google Play商店应程式开发员定期维护 图3显示应程式集合开发员传谷歌应商店间天数分布情况请注意日期应程式第次发布应程式更新日期2015年10月发布API级23仅传数集A中38％应程序显然Google Play商店停滞应程序会针发布新API级 存未维护应程序会扭曲目标API分发虚假暗示动维护应程序开发员法更新应程序定位新API级 里试图区分未维护应程序造成时性通应程序维护持续时性
应程序时定义目标API级发布日期传谷歌应商店前新API级发布日期间差异（天单位） 时时措施错开发者应定位前API级机会 图4描述具体例子阐明时时时间区 发现数集A中应程序间中间失期377天均时时536天
更宽松定义时时性包括滞时间便开发员发布新API级重新定位应应程序传应程式商店时会选择新API级应程序传应程式商店时选择新API级应程式传应程式商店时少需N天 滞时间称收养窗口增加30天收养窗口会稍微影响疏忽时性疏忽时时间减少327天均疏忽时时间减少496天
图5显示30天采窗口疏忽时累积分布 量收养窗口应程序然法定位适API级 79％应程序度定位时API级意味着应程序传应商店会期开发员发布前访问新安卓台应程序第天新API级进行更新 结果清楚出目标碎片问题陈旧应程序解释开发员疏忽结果视目标期API级果者意选择定位时API级
C．流行应程序
谷歌应商店中绝数应没户载 数集A中2％应程序已安装超1000000次应占数集A中应程序总安装量74％解应程序流行度目标碎片问题间关系重
图6较流行度应程序间时程序分布 时曲线非常相似受欢迎应程序（少安装百万次）稍微时API级 较流行度应程序间疏忽时分布出类似结果（里包括空格）安装少百万次应程序均时时间607天均忽略时时间493天
文香网httpwwwxiangdangnet
《香当网》用户分享的内容，不代表《香当网》观点或立场，请自行判断内容的真实性和可靠性！
该内容是文档的文本内容，更好的格式请下载文档
