Android系统从其推出开始,就得到广大用户和开发者的青睐,在近几年间Android系统的迅猛发展,给人们的生活带来极大便利。但是Android手机需要经常接入不同的网络热点,不稳定的网络环境导致Android应用与其服务器通信的网络数据存在被监视的可能,或者通过在网络数据中注入恶意代码,实现在用户未知的情况下对Android应用程序的功能调用,甚至将病毒、木马等注入Android系统中,给用户造成难以预估的损失。因此,现阶段迫切需要研究利用网络进行代码注入的原理,实现对Android应用进行漏洞分析与挖掘。传统Android应用程序漏洞分析与挖掘方法大部分都是基于对Android应用进行静态分析和动态测试。静态分析主要是针对开发过程中代码层的疏忽或者业务层的不合理进行漏洞挖掘,但也存在很多不足,比如代码覆盖率大,误报率较高,针对性不强。动态测试则是在未知程序源码的情况下,通过运行程序,同时向应用程序输入半有效数据,根据程序反馈的日志或调试等信息检测程序是否存在漏洞。动态测试的过程同样存在着很多不足之处,比如代码覆盖率低,存在漏报的可能。本论文结合了静态分析方法和动态测试方法,提出了一种基于协议Fuzzing技术的Android应用漏洞分析方法,该方法的核心是分析如何通过网络数据实现对Android应用程序进行恶意代码注入,最终达到分析挖掘Android应用潜在漏洞的目的。本文的主要研究内容和工作成果如下:(1)研究了 Android平台的安全机制和Android应用漏洞产生原因,深入研究了 Android应用用于加载和显示Web页面的组件WebView以及可能引发的恶意代码注入原理。(2)研究由恶意代码注入造成的Android应用漏洞类型,主要针对三种漏洞进行研究:JavaScript注入漏洞,SQL注入漏洞,跨站脚本漏洞。此外还研究了网络中间人原理,研究攻击者如何利用中间人原理将代码注入到网络数据中。(3)研究了 Android漏洞检测常用分析方法以及Fuzzing测试技术,结合静态分析和动态测试方法设计了一套基于协议Fuzzing技术的Android应用漏洞分析方案。(4)根据提出的方案,结合Android应用自动化测试技术,实现了一个Android应用漏洞分析系统。该系统可以以代码注入的方式检测Android应用是否存在特定漏洞。