【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险

admin 2022年6月2日15:29:23安全新闻评论14 views1379字阅读4分35秒阅读模式

编者按


5月28日,由InForSec主办,清华大学(网络研究院)-奇安信联合研究中心、复旦大学系统软件与安全实验室承办,中国科学院计算技术研究所计算机体系结构国家重点实验室、中国科学院软件研究所可信计算与信息保障实验室、百度安全、奇安信集团、蚂蚁集团、阿里安全协办的“网络安全四大顶会研究成果分享”之“移动互联网安全”(一)论坛在线上成功召开。中国科学技术大学特任教授糜相行、香港理工大学博士生赵开发 、香港理工大学薛磊老师、香港中文大学博士生徐枫皓在会上作了精彩的报告。本次会议由复旦大学教授张源主持,共156人参加会议。


InForSec将对会议精彩报告进行内容回顾,本文分享的是徐枫皓博士的报告——《Android on PC: 探索面向终端用户的安卓模拟器中的安全风险》。


徐枫皓博士首先介绍了论文关注的主要问题,即PC端的Android模拟器中是否存在特有的安全风险。安卓模拟器有着广泛的应用,开发者可以基于模拟器进行安卓app的开发与测试。除此之外,众多普通终端用户也会在其PC设备上使用模拟器,比如手机游戏玩家在桌面端运行手机游戏以增强用户体验。但研究发现,此类模拟器为提供各种便捷功能的同时也留下了一系列安全隐患。


【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险


为了深入理解PC端安卓模拟器的运行状态,徐博士对安卓模拟器的运行进行了测试与分析。以Windows系统为例,模拟器在PC端包含一个UI进程和运行实际安卓系统的虚拟机进程,双方通过网络连接,虚拟设备等方式进行通信,实现命令传输,数据交换等任务,例如在模拟器中安装PC中的APK文件。


【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险


在了解了安卓模拟器的运行模型后,徐博士提出了针对该场景的攻击模型。攻击者为模拟器中的普通恶意应用,该应用不具有任何危险权限,攻击目标是打破安卓系统的沙箱保护机制,如绕过权限检查等,攻击方法主要围绕着模拟器安卓进程和宿主机的几种通信方式展开。


【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险


随后,徐博士介绍了几种具体的攻击方式和攻击后果,主要包括应用安装劫持,利用Race Condition实现安装文件的替换,以及Tab页面劫持,在用户使用tab功能栏切换界面时实现UI劫持,窃取用户在页面上输入的敏感信息。


【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险


最终,徐博士对该篇工作进行了总结,并且讨论了这篇研究工作产生的动机,主要是从安卓系统定制化角度展开思考,找到了安卓模拟器这一有趣的切入点。


【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险


【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险

演讲者简介

徐枫皓,香港中文大学信息工程学系博士生。主要研究兴趣为移动平台安全,物联网系统安全。研究成果曾发表于CCS,NDSS等知名国际会议。


报告内容详情视频请点击上方的小程序观看。欢迎小伙伴们在哔哩哔哩关注「InForSec学术社区」解锁更多精彩视频。


我们会定期邀请国内外安全领域知名专家学者开展报告,交流相关领域最新技术以及进展。敬请期待6月4日(本周六14:00举办的“移动互联网安全”(二)论坛

相关阅读

【InForSec论坛预告】6月4日InForSec继续分享“移动互联网安全(二)”,我们不见不散!


【“移动互联网安全”论坛回顾】薛磊:硬件辅助的安卓程序脱壳分析


【“移动互联网安全”论坛回顾】赵开发:针对基于图的安卓恶意软件检测系统的结构攻击


【“移动互联网安全”论坛回顾】糜相行:针对大规模住宅网络代理的安全研究

【“移动互联网安全”论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险

原文始发于微信公众号(网安国际):【“移动互联网安全”论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月2日15:29:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【移动互联网安全论坛回顾】徐枫皓:Android on PC: 探索面向终端用户的安卓模拟器中的安全风险 http://cn-sec.com/archives/1078857.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: