Android 第三方库检测工具的系统评估
软件工程
2021-08-05 v1
摘要
第三方库（TPL）已成为 Android 生态的重要组成部分。开发者可利用各类 TPL 来简化应用开发。遗憾的是，TPL 的流行也带来了新的安全问题。例如，TPL 可能携带恶意或漏洞代码，从而感染热门应用，对移动用户构成威胁。此外，TPL 检测对于漏洞与恶意软件检测等下游任务至关重要。因此，已开发出多种工具来识别 TPL。然而，现有工作尚未对这些 TPL 检测工具进行详细研究，且不同工具关注的应用与技术各异，性能也存在差异。对这些工具的全面理解将有助于我们更好地使用它们。为此，我们开展了一项全面的实证研究，基于六项标准：TPL 构建的准确性、有效性、效率、版本识别的准确性、对代码混淆的鲁棒性以及易用性，评估并比较所有公开可用的 TPL 检测工具，以填补空白。此外，我们通过修复这些开源工具的局限性来增强它们，以提升其检测能力。最后，我们构建了一个可扩展框架，集成了所有现有可用的 TPL 检测工具，为研究界提供在线服务。我们发布了评估数据集与增强版工具。根据我们的研究，我们还提出了重要发现并讨论了对本领域有前景的启示。我们相信我们的工作清晰描绘了现有 TPL 检测技术的全貌，并为未来研究提供了路线图。
引用
@article{arxiv.2108.01964,
title = {A Systematic Assessment on Android Third-party Library Detection Tools},
author = {Xian Zhan and Tianming Liu and Yepang Liu and Yang Liu and Li Li and Haoyu Wang and Xiapu Luo},
journal= {arXiv preprint arXiv:2108.01964},
year = {2021}
}