近年来,Android应用安全问题受到越来越多的关注,Android应用行为动态监测技术成为当前研究的热点方向之一。目前Android应用程序动态监测技术实现形式上通常有三种:1.定制ROM镜像;2.在获取设备Root权限情况下,去修改系统文件或者利用ptrace技术向目标进程注入代码;3.重打包APK,加入监控代码。这三种方式都是以侵入式方式实现,依赖于具体系统环境,需要获取系统Root权限,难以部署到不同的设备上。因此,本论文提出一种基于沙箱的非侵入式动态监测技术,用来解决上述问题。论文的主要工作如下:(1)针对侵入式动态监测技术需要Root手机,修改系统源码或系统文件,难以部署到不同移动设备上的缺点,提出一种基于沙箱的易部署的Android应用程序动态监测技术。该技术将监测系统以宿主App形式发布,安装到目标设备上。将待监测应用以插件形式加载到宿主App环境中运行,同时由宿主App加载相应的监控模块,完成对待监测App应用行为的动态监测。在待监测应用作为插件运行前,预先启动一个进程,通过动态代理方式对该进程中Binder服务代理对象进行替换,将该进程中Binder服务请求重定向到虚拟服务进程中的虚拟服务进行处理,从而使待监测应用中的四大组件能在预先启动的进程中运行。然后在待监测应用Application初始化过程中加载Java层和Native层监控模块,完成监控。由于待监测应用进程与宿主App进程共享相同的代码,因此不需要修改系统源码或者获取Root权限后进行进程注入,对机型差异的适配发生在应用层,具有易部署特点。(2)针对构建沙箱环境过程中,Activity插件化采用Activity LaunchMode一对一类映射规则方法,插件Activity数量过多会引起沙箱体积过度膨胀问题,提出一种基于栈管理算法的虚拟Task栈映射规则方法。通过栈管理算法模拟系统AMS管理插件Activity,将占位Activity的数量降为1个,解决了沙箱体积过度膨胀问题。(3)针对传统侵入式动态监测方法在监控应用过程中存在设备相关信息泄露的缺点,增加了设备信息防护模块。通过自定义虚拟信息服务,来管理单一应用对应的虚拟设备信息,防止监控应用行为过程中真实设备信息发生泄漏,保护设备隐私。最后实现了原型系统AndroidMonitor。实验结果表明,与其它动态监测方法相比,虽然会使待监测应用启动时间增加1.4s左右时间,但该方法不需要获取设备系统Root权限,能够同时对Java层和Native层敏感API进行监控,引入设备信息防护模块,防止监控App过程中设备信息发生泄漏。系统以App形式发布,应用体积不会发生膨胀,容易部署到不同设备上,同时具有多种应用场景。