在当今移动互联网时代,Android智能设备融入到人们生活的方方面面并且被人们重度依赖。大量的个人隐私数据,如联系人、通话记录、短信、照片等保存在其中,人们非常关切个人隐私是否会被泄露。Android原生应用出现时间较早并且软件架构成熟,Android原生应用中的隐私泄露检测问题已有不少研究积累。而随着Android智能设备性能提升、HTML5为代表的移动Web技术完善以及移动浏览器引擎性能提升,Android混合应用这种新的Android应用软件架构应运而生并日趋流行。Android混合应用软件架构不同于Android原生应用,其中新的隐私泄露方式急需研究。Android混合应用中Java对象与JavaScript对象的桥接机制使得应用能够利用JavaScript代码泄露隐私。当前少有系统能够检测Android混合应用中JavaScript代码访问设备隐私数据并泄露的行为。系统分析了Android混合应用隐私泄露方式和泄露过程中隐私数据在Dalvik虚拟机、WebKit引擎与JavaScript引擎间的传播过程,提出并实现了针对Android混合应用隐私泄露检测的动态污点跟踪系统HTDroid。HTDroid系统复用了Taint Droid系统的Dalvik虚拟机内部动态污点跟踪功能,然后将Dalvik虚拟机内字符串类型的隐私数据的污点标记传播到WebKit引擎与JavaScript引擎,并在WebKit引擎和JavaScript引擎内部实现了污点数据跟踪功能。HTDroid系统能够有效检测Android混合应用中特有的通过JavaScript代码泄露隐私的行为。HTDroid系统在计算密集型的性能测试中增加22%的开销,而在JavaScript引擎性能测试中只增加4.3%的开销。