随着移动互联网的飞速发展,Android智能终端在人们生活中扮演的角色越来越重要,由于Android系统的开源性和Google Play薄弱的软件检测力度,Android智能终端恶意应用越来越多。信息泄露、资料被删、电话窃听、资金被盗等已对广大Android智能终端用户构成严重的威胁。针对Android智能终端日益猖獗的攻击,常用检测方式有静态检测技术和动态检测技术。由于静态检测技术的代码全面覆盖、挖掘自动化、高效等优点,静态检测技术得到广泛关注和应用。但目前静态检测技术主要利用应用程序的特征码及文件签名校验等方式对应用程序进行恶意检测,或者将PC端应用程序安全检测技术直接应用于Android应用软件安全检测,故存在误报漏报率高、新型恶意代码处理滞后等缺陷。为解决上述问题,本文深入研究Android应用程序及其系统架构,在常用静态检测技术基础上,设计实现了一种基于完善信息流的Android源代码安全检测系统。本文系统相对于应用程序特征码匹配检测、文件签名校验检测或者将PC端应用程序安全检测技术直接应用于Android应用软件安全检测等方法,具有每小时百万行代码的高自动化扫描速率,检测结果误报率低于30%、漏报率低于35%的高准确度及快速解决新型恶意代码检测滞后问题等优势。本文主要内容如下:第一,总结OWASP MOBILE TOP 10中Android应用程序常见漏洞,对Android应用程序的常见漏洞、漏洞产生原因及主流静态检测技术工具等进行研究分析。第二,从Android应用程序源代码静态检测的功能性和非功能性需求出发,对系统进行设计,明确系统需要完成的功能,将系统分为代码解析、控制流分析、数据流分析、规则库设计与解析、应用程序恶意行为分析五大核心功能模块。应用程序恶意行为分析模块根据规则库文件对代码解析结果AST树进行扫描,利用控制流分析和数据流分析得到的程序信息流对关键数据进行流分析,最后得到Android应用程序中存在的编码漏洞缺陷。通过利用流程图、图表等对这五个核心功能模块进行分析与设计,最终完成本文系统的设计工作。第三,根据系统的分析设计,利用Java语言、XML语言、开源工具ANTLR对本系统的代码分析引擎模块、规则管理模块、报告管理模块和Swing界面等进行编程实现,其中代码分析引擎是本系统最核心的功能模块,由代码解析、控制流分析、数据流分析、结构分析、安全分析调度和安全分析接口六大模块组成,根据规则管理模块提供的规则文件对应用程序源代码进行自动解析检测,将检测结果交由报告管理模块进行管理,进而本文完成系统全部的开发工作。利用本系统对多个开源Android应用程序源代码进行扫描,分析本系统检测结果的误报率和漏报率,并将检测结果与商业软件HP Fortify SCA扫描结果进行对比分析,验证本系统的可行性。第四,对本文研究成果进行总结,指出本文的缺陷和局限性,即本文设计的系统不像Fortify这样的商业软件拥有庞大的规则库,另外如果本系统要扩展规则库,需要进一步学习Android系统安全,应用程序安全、代码缺陷、编码规范等知识,进而明确下一步工作研究内容。