小程序敏感数据收集行为检测

小程序近年来被广泛应用,因承载了大量的敏感用户数据而引发了广泛的隐私安全担忧.现有的面向传统移动应用的隐私安全分析方法无法直接应用于小程序中.一方面,现有方法难以有效分析小程序闭源框架行为带来的隐私流转以及JavaScript闭包特性带来的跨作用域隐私流转,造成分析结果的缺失.另一方面,小程序动态加载子包的机制导致不完整的分析范围,进一步造成分析结果的缺失.为此本文提出了动静态混合的小程序隐私收集行为分析方法.首先,该方法为小程序中的不同单元边界构建了基于控制流或数据依赖关系的数据传播路径,即小程序隐私传播流图.进一步地,该方法通过学习并迁移传统移动应用端界面设计知识,并利用UI事件与页面转换行为之间的控制流关联作为指引,有效地对小程序界面进行探索,从而触发子包加载过程.相应的子包代码经分析后与已有分析结果融合,形成更为全面的小程序隐私传播流图.本文基于小程序隐私传播流图实现了对小程序内敏感数据的追踪.本文基于上述方法实现了小程序隐私收集行为分析工具MiniSafe.评估结果表明, MiniSafe在精确率与召回率上分别达到了90.4%与87.4%,均优于现有工作.同时, MiniSafe平均在每个小程序中检测出7项敏感数据收集行为,通过考虑小程序子包中的敏感数据收集行为使整体检测效果提升了42.9%,具有较好的检测效果与实际可用性.