目前,随着最新的通信技术的普及,手机已经逐渐替代以前电脑的地位。在2009年的统计中,手机上网用户比例仅仅有60.8%,而到了 2018年,这一统计的数据已经到达了 98.6%。在这一情形下,越来越多的企业选择将本身的服务不是以网页的方式,而是以手机应用的方式展现给用户,并且现在包括大型企业在内的许多服务或者内容提供者都提供了能够连接他们自己的服务器,和客户使用的设备交流通讯的应用程序。同时对于这些应用,他们的手机应用端中用来提供服务的接口和网页端中相应的接口有着很大的区别,这也就意味着,Web网页的中某个API接口的工作逻辑和与之对应的相同功能的移动端API接口不是完全一样的。同时,对于这些手机端的用户而言,手机使用方面的安全问题也急需更高的重视,一旦存在的安全相关的问题,在如此大的用户基数面前,就会使很多人的经济受损,或者隐私遭到泄露。在上述情况的前提下,我们会面向在原生函数层的这些私有Web接口进行自动化的提取和分析,借此来发现原生函数中Web接口与Java函数层的差异性,并且进一步分析存在的安全漏洞。在这一个想法的前提下,我们首先查阅了相关的工作,包括自动化的提取,关于网络隐私的保护,还有各种各样的安卓自动化测试工具;与此同时,我们还进行了手动验证的工作,确定了在原生函数层有着与Java函数层完全不一样的网络接口。这也证实了我们最初的猜想,并且为后续的工具设计做好了预研与准备。对于整体的工具设计,我们在一个自动化的发现在这些安卓应用程序中没有被文档公开的Java私有APIs接口的前提下,去发现并且自动化的提取在原生函数中调用的APIs。首先我们对一个应用文件进行反编译并且整体分析,利用静态的方法去找到所有调用原生函数的Web接口的Activity,随后我们的系统在安装了安卓系统的虚拟机中运行这些被发现的Activities,并完成一个网络函数获取相关的脚本,通过执行这个脚本,我们可以监控在这些Activities中,来自原生层的网络函数的HTTP请求和响应信息,最后通过自动化测试与提取的方法来完成对于原生函数和Java函数中的APIs的动态获取,通过比较获取结果来分析二者间的差异,同时我们在本地搭建了相关的安全测试平台,并且自动化的将获得的原生层API进行安全相关的分析,得到我们的分析报告和安全性的评价,并且根据获取到API的特征和应用相关特性,对不同的应用做出分类与安全特征相关的整理。我们通过实验验证了我们的结论:我们共计测试了下载量靠前的大量的应用,同时我们对每一个应用进行了从静态构建路径到动态模拟点击再到本地提交分析的完整过程。在这个过程中我们成功拿到了超过一百个应用测试所得到的数据,在这些经过测试的应用中,共计提取出来了接近2万个url。并且在这些url里面,我们共计发现了 1 1个漏洞种类,其中3种属于我们关注的漏洞(CSRF,CRLF,XSS)。这也确实证明了在原生函数的网络接口中,存在一定的安全问题。本次工作也有着自动化遍历不全,安全测试相对比较初步的相关问题。