建站
咨詢
售后
建站咨詢
新聞中心
2019年10月26日，由Testin主辦的第二屆NCTS中國(guó)云測(cè)試行業(yè)峰會(huì)在京召開(kāi)，此次峰會(huì)以“AI+未來(lái)”為主題，匯聚來(lái)自國(guó)內(nèi)外測(cè)試領(lǐng)域的知名專家學(xué)者、領(lǐng)先企業(yè)決策者、高層技術(shù)管理者、媒體從業(yè)者等，共同探討高端云測(cè)試技術(shù)，幫助測(cè)試從業(yè)者了解最前沿行業(yè)趨勢(shì)，及最新的行業(yè)實(shí)踐。
創(chuàng)新互聯(lián)建站主營(yíng)遂平網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司,主營(yíng)網(wǎng)站建設(shè)方案,手機(jī)APP定制開(kāi)發(fā),遂平h5微信小程序定制開(kāi)發(fā)搭建,遂平網(wǎng)站營(yíng)銷(xiāo)推廣歡迎遂平等地區(qū)企業(yè)咨詢
會(huì)上，北京大學(xué)計(jì)算機(jī)科學(xué)技術(shù)系副主任郭耀教授做《移動(dòng)應(yīng)用生態(tài)系統(tǒng)：現(xiàn)狀與挑戰(zhàn)》主題演講。郭耀教授分享了北京大學(xué)在移動(dòng)應(yīng)用領(lǐng)域的最新研究成果，并在現(xiàn)場(chǎng)呼吁，希望學(xué)術(shù)界和測(cè)試大咖能夠攜起手來(lái)，通過(guò)更完備的審查功能以及更好的分析測(cè)試技術(shù)，將存在惡意問(wèn)題的應(yīng)用盡早識(shí)別，共同努力改進(jìn)國(guó)內(nèi)移動(dòng)應(yīng)用生態(tài)。
以下為郭耀教授演講實(shí)錄：
非常高興來(lái)到第二屆NCTS中國(guó)云測(cè)試行業(yè)峰會(huì)，感謝Testin徐總的邀請(qǐng)，讓我來(lái)作峰會(huì)的開(kāi)場(chǎng)致辭。今年峰會(huì)來(lái)了很多人，祝愿本次云測(cè)試行業(yè)峰會(huì)能夠圓滿成功。
目前，北大也在做一些測(cè)試實(shí)踐，我不是測(cè)試大咖，就在此分享一下我們這兩年在移動(dòng)應(yīng)用領(lǐng)域的研究工作。我分享的題目是《移動(dòng)應(yīng)用生態(tài)系統(tǒng)：現(xiàn)狀與挑戰(zhàn)》。
中國(guó)的移動(dòng)應(yīng)用生態(tài)非常大，國(guó)內(nèi)有上百個(gè)應(yīng)用市場(chǎng)，APP經(jīng)濟(jì)超過(guò)千億美元的規(guī)模。移動(dòng)應(yīng)用生態(tài)的組成，包括移動(dòng)用戶、手機(jī)、開(kāi)發(fā)商，還有很大規(guī)模的APP和應(yīng)用市場(chǎng)。在中國(guó)，市場(chǎng)移動(dòng)用戶規(guī)模巨大，手機(jī)版本也非常多，能統(tǒng)計(jì)到的開(kāi)發(fā)者和真正有簽名的開(kāi)發(fā)商已經(jīng)超過(guò)百萬(wàn)，還有成千上萬(wàn)的移動(dòng)APP。
整個(gè)市場(chǎng)非常復(fù)雜，國(guó)內(nèi)市場(chǎng)的很多應(yīng)用都存在著很多問(wèn)題，用戶在選擇的時(shí)經(jīng)常會(huì)不知道選哪一個(gè)更好。同時(shí)，雖然國(guó)內(nèi)很多應(yīng)用市場(chǎng)都號(hào)稱做了非常嚴(yán)格的審查，但事實(shí)上，很多APP的應(yīng)用質(zhì)量都不盡如人意。這就需要做測(cè)試的同志們來(lái)幫助開(kāi)發(fā)者把應(yīng)用做得更好，幫助用戶更好的理解應(yīng)用到底怎么用。
在北大，我們這兩年做了一些移動(dòng)應(yīng)用分析和測(cè)試的實(shí)踐，構(gòu)建了一個(gè)大規(guī)模的移動(dòng)應(yīng)用分析平臺(tái)，嘗試去理解移動(dòng)應(yīng)用生態(tài)面臨的問(wèn)題，并利用APP自動(dòng)測(cè)試技術(shù)檢測(cè)APP惡意行為。我們構(gòu)建了一個(gè)平臺(tái)，抓取了20多個(gè)應(yīng)用市場(chǎng)，近千萬(wàn)的APK，其中包括不同版本的APP，我們有一套從下面開(kāi)始預(yù)處理的平臺(tái)，包括脫殼、反編譯等功能，在此之上，我們搭建了一套靜態(tài)和動(dòng)態(tài)分析，包括自動(dòng)化測(cè)試在內(nèi)的技術(shù)，主要是面向安全隱私做第三方庫(kù)的分析，其中包括惡意廣告的分析和一些惡意應(yīng)用的檢測(cè)。
下面我向大家簡(jiǎn)要分享北大最近的研究成果。
中國(guó)移動(dòng)應(yīng)用生態(tài)很復(fù)雜，在國(guó)外，基本上一個(gè)Google Play就可以了。我們進(jìn)行了大量數(shù)據(jù)的對(duì)比，Google Play下載了200萬(wàn)的移動(dòng)應(yīng)用，國(guó)內(nèi)市場(chǎng)的數(shù)據(jù)稍微小一點(diǎn)，量級(jí)差不多。這里分析一些簡(jiǎn)單的數(shù)據(jù)，其中有非常好玩的發(fā)現(xiàn)。比如應(yīng)用市場(chǎng)的應(yīng)用評(píng)分，5分最好，1分很差，3分在中間。我們做了一個(gè)累計(jì)分布圖（CDF），中間的藍(lán)線是Google Play。如果我們看一下國(guó)內(nèi)應(yīng)用市場(chǎng)，除了Google Play之外的其他市場(chǎng)，70%，80%的應(yīng)用評(píng)分都是零。下面這個(gè)市場(chǎng)是從2.5分下來(lái)的，很多評(píng)分是在中間的，這個(gè)評(píng)分不具備參考性，不是正規(guī)的評(píng)分的分布。
同時(shí)，用戶在應(yīng)用市場(chǎng)下載的應(yīng)用很多版本都不是最新的，應(yīng)用市場(chǎng)最新版本的比例，Google Play大概是95%，國(guó)內(nèi)的應(yīng)用更新不是很及時(shí)，只有50%的應(yīng)用是最新版的，一半的應(yīng)用都比市場(chǎng)上的要舊，這說(shuō)明我們的應(yīng)用市場(chǎng)還有很多的問(wèn)題。
此外，因?yàn)闈h化，破解這些原因，現(xiàn)在市場(chǎng)上還有很多虛假或者仿冒的應(yīng)用。比如說(shuō)虛假應(yīng)用，Google Play是0.03%，非常低了，國(guó)內(nèi)市場(chǎng)平均下來(lái)大概是0.6%，還是有20倍的差距。我們?cè)?jīng)找到過(guò)30個(gè)建行應(yīng)用，看起來(lái)都是一樣的，這對(duì)用戶就會(huì)很麻煩。后面是克隆應(yīng)用，拿來(lái)稍微改一改就變成自己的，最右面的這列，整個(gè)市場(chǎng)都是比較高的，包括Google Play也是有10%。還有一個(gè)用戶都非常關(guān)心的，就是越權(quán)，到底有多少應(yīng)用是申請(qǐng)了過(guò)多的權(quán)限？這個(gè)比例相對(duì)比較高， Google Play大概65%的應(yīng)用會(huì)申請(qǐng)過(guò)多的權(quán)限，國(guó)內(nèi)市場(chǎng)更高一點(diǎn)，大概達(dá)到80%，很多申請(qǐng)超過(guò)8、9個(gè)權(quán)限，都是在代碼里不應(yīng)該申請(qǐng)的權(quán)限。
大家都很關(guān)心，惡意應(yīng)用會(huì)不會(huì)進(jìn)市場(chǎng)，會(huì)不會(huì)到我們的手機(jī)上？VirusTotal上集成了約60個(gè)檢測(cè)引擎，我們用VirusTotal分析了所有這些移動(dòng)應(yīng)用，發(fā)現(xiàn)國(guó)內(nèi)市場(chǎng)惡意應(yīng)用的比例是Google Play的十多倍，所以我們需要做測(cè)試、做分析的同事們及早發(fā)現(xiàn)這些問(wèn)題。還有一個(gè)有趣的結(jié)果，我們想看看這些應(yīng)用市場(chǎng)會(huì)不會(huì)發(fā)現(xiàn)這些惡意應(yīng)用并刪除他們。在8個(gè)月之后，我們對(duì)這些惡意應(yīng)用進(jìn)行了掃描，發(fā)現(xiàn)Google Play 84%的惡意應(yīng)用已經(jīng)刪掉了，而國(guó)內(nèi)某些市場(chǎng)一個(gè)都沒(méi)有刪，都還在那兒。
前面這部分工作關(guān)注的是國(guó)內(nèi)市場(chǎng)的移動(dòng)應(yīng)用。接下來(lái)介紹和移動(dòng)應(yīng)用開(kāi)發(fā)者相關(guān)的工作。因?yàn)榇蠹沂亲鰷y(cè)試的，對(duì)開(kāi)發(fā)者生態(tài)非常關(guān)心。比如我們做了一個(gè)分析，總共找到了將近100萬(wàn)的開(kāi)發(fā)者，這是所有應(yīng)用下載量的累計(jì)分布圖，基于開(kāi)發(fā)者的下載量?？梢钥闯觯螺d量超過(guò)10K的開(kāi)發(fā)者是很少的，大概是百分之十幾，如果是超過(guò)100萬(wàn)就更加少了，只有1%的開(kāi)發(fā)者累計(jì)的下載量是超過(guò)300萬(wàn)的，這是在Google Play上，說(shuō)明1%的開(kāi)發(fā)者占據(jù)了80%的應(yīng)用市場(chǎng)。
這些移動(dòng)開(kāi)發(fā)者中大概一半只在Google Play上發(fā)表應(yīng)用，還有一半是在國(guó)內(nèi)其它市場(chǎng)上發(fā)表應(yīng)用，比如華為市場(chǎng)和Google Play之間，根據(jù)簽名來(lái)判斷，重疊度只有1%，基本上還是不同的開(kāi)發(fā)者在這些市場(chǎng)在發(fā)布應(yīng)用。
我們最近做了關(guān)于應(yīng)用簽名的實(shí)驗(yàn)，所有安卓應(yīng)用都是需要簽名的， Google Play提供了三個(gè)版本的簽名，我們稱之為V1、V2、V3。V1有很多漏洞，V2修復(fù)了漏洞，我們?cè)赩2發(fā)布近兩年的時(shí)候做了一次分析，發(fā)現(xiàn)國(guó)內(nèi)的市場(chǎng)里有93.7%的應(yīng)用只用了V1的簽名，這意味著，如果他們安裝安卓7.0以前的系統(tǒng)，就會(huì)受到攻擊。同時(shí)有一些下載量超過(guò)10億的應(yīng)用存在兼容性的問(wèn)題，在有些版本的手機(jī)上無(wú)法安裝，還有一些應(yīng)用采用了公開(kāi)的密鑰簽名，這意味著誰(shuí)都可以修改。其實(shí)這是非常容易發(fā)現(xiàn)的問(wèn)題，但是從開(kāi)發(fā)到測(cè)試，一直到發(fā)布到應(yīng)用市場(chǎng)上，都沒(méi)有人發(fā)現(xiàn)，而且還有近億的下載量。
我在前面主要講的是一些問(wèn)題，為了解決這些問(wèn)題，還可以通過(guò)測(cè)試、機(jī)器學(xué)習(xí)、深度學(xué)習(xí)這些技術(shù)做更好的測(cè)試。我們自己也做了一些工作，對(duì)于動(dòng)態(tài)測(cè)試，最早的時(shí)候大家是用Monkey隨機(jī)點(diǎn)擊，后來(lái)我們開(kāi)發(fā)的工具Droidbot，可以根據(jù)UI的轉(zhuǎn)換去點(diǎn)相應(yīng)的UI，就比隨機(jī)點(diǎn)要好。最近，我們把深度學(xué)習(xí)拿進(jìn)來(lái)，根據(jù)用戶點(diǎn)擊過(guò)程的歷史數(shù)據(jù)，我們可以來(lái)學(xué)習(xí)用戶更喜歡點(diǎn)哪個(gè)地方，這樣可以讓自動(dòng)測(cè)試工具像人一樣進(jìn)行點(diǎn)擊，效果就會(huì)更好。
基于這些動(dòng)態(tài)分析工具，我們還發(fā)現(xiàn)了其他問(wèn)題。例如，廣告欺詐的問(wèn)題，很多廣告會(huì)騙你點(diǎn)擊，當(dāng)你選擇退出按鈕的時(shí)候，你正要點(diǎn)廣告就彈出來(lái)了，這就是廣告欺詐。我們通過(guò)自動(dòng)化的測(cè)試工具去找到這些行為，國(guó)內(nèi)市場(chǎng)廣告惡意欺詐行為非常多。我們還研究了惡意的下推通知，其中包含有下載應(yīng)用，特別是惡意的，還有廣告，這都是不允許的，但是現(xiàn)實(shí)中很多應(yīng)用存在這些問(wèn)題，違反了應(yīng)用市場(chǎng)的政策，這說(shuō)明我們的審查力度還是不夠。
另外，還有很多惡意約會(huì)應(yīng)用，搜索一下附近有很多美女和你聊天，正想聊的時(shí)候讓你交錢(qián)，交完錢(qián)之后就不理你了。我們利用動(dòng)態(tài)分析工具找了一下，就找到了幾百個(gè)，而且我們都手動(dòng)去確認(rèn)了，我們的學(xué)生還花錢(qián)注冊(cè)了，發(fā)現(xiàn)真的是惡意應(yīng)用，這個(gè)市場(chǎng)非常大，一個(gè)月有上百萬(wàn)美金的流水，這類惡意應(yīng)用在市場(chǎng)上非常多。
我今天的報(bào)告大概分析了一下國(guó)內(nèi)的移動(dòng)應(yīng)用生態(tài)，說(shuō)明應(yīng)用市場(chǎng)還是非常復(fù)雜的。我希望學(xué)術(shù)界和在座的測(cè)試大咖們可以一起合作，通過(guò)采用更好的審查功能，過(guò)濾掉惡不應(yīng)該有的應(yīng)用，用更好的分析測(cè)試技術(shù)，把存在惡意問(wèn)題的應(yīng)用在進(jìn)市場(chǎng)之前盡早的識(shí)別出來(lái)。另外，我們?cè)谟脩艉褪謾C(jī)端也在做一些工作，包括細(xì)粒度的訪問(wèn)控制，幫助用戶更好的去理解應(yīng)用的功能和隱私訪問(wèn)的控制。
希望在座的各位能夠攜起手來(lái)，共同努力改進(jìn)國(guó)內(nèi)移動(dòng)應(yīng)用的生態(tài)。我的分享就到這兒，謝謝大家！
文章題目：【NCTS峰會(huì)回顧】北大郭耀：移動(dòng)應(yīng)用生態(tài)系統(tǒng)的現(xiàn)狀與挑戰(zhàn)
轉(zhuǎn)載來(lái)源：http://m.5511xx.com/article/ccdcpjs.html
