探索Android运行时演化：跨版本分析及其对内存取证的影响
密码学与安全
2025-12-23 v1
摘要
用户态内存取证已成为智能手机调查和事件响应的关键组成部分，能够恢复易失性证据，例如来自端到端加密应用的已删除消息和加密货币交易。然而，这些取证工具，特别是在Android平台上，在适应不同版本和随时间保持可靠性方面面临重大挑战，这是因为对证据恢复和重建至关重要的底层结构不断演化。结构变化，从简单的偏移量修改到完全架构重新设计，给依赖精确结构解释的取证工具带来了巨大的维护和适应性难题。因此，本文首次系统研究了Android运行时(ART)结构演化及其对内存取证的影响。我们对关键的Android运行时结构进行了实证分析，考察了它们在六个版本和四种架构下的演化。我们的发现表明，超过73.2%的结构成员发生了位置变化，这显著影响了内存取证工具的适应性和可靠性。对运行时、线程和堆结构等核心组件的进一步分析揭示了不同的演化模式及其对关键取证操作(包括线程状态枚举、内存映射和对象重建)的影响。这些结果表明，依赖静态结构定义和基于符号方法的传统方法，尽管历史上可靠，但单独使用已越来越不可持续。我们建议，内存取证工具(特别是Android工具)应向混合方法演进，该方法保留符号方法的验证强度，同时集成自动结构推断、版本感知解析和冗余分析策略。
引用
@article{arxiv.2512.18517,
title = {Exploring Runtime Evolution in Android: A Cross-Version Analysis and Its Implications for Memory Forensics},
author = {Babangida Bappah and Lauren G Bristol and Lamine Noureddine and Sideeq Bello and Umar Farooq and Aisha Ali-Gombe},
journal= {arXiv preprint arXiv:2512.18517},
year = {2025}
}