随着移动互联网技术的快速发展,移动支付技术迅速融入了人们的生活,各大银行先后推出了自己的手机银行应用。然而由于国内针对Android系统中密码学应用安全测试的研究起步较晚,发展也尚未成熟。现有的手机银行客户端应用中存在很多安全问题有待解决。最近的研究表明,现有的Android应用软件中存在着许多违反密码误用规则的现象,相关加密存在着安全风险。针对上述安全隐患,本文从Android应用程序入手,设计了一个Android系统密码应用安全检测研究方案。该方案主要由代码层面的密码函数误用检测以及系统整体安全性分析两部分组成,我们借助实验验证了所设计方案的性能。本文的工作主要如下:（1）对Android系统常用密码函数API进行梳理,我们调研了国内外学者对于密码误用规则的研究现状,结合实际情况,总结出七条密码误用规则。现有的研究主要包括对称加密算法、非对称加密算法与散列算法三个种类。（2）针对手机银行采用的加固技术,采取FART脱壳方案进行脱壳,辅助手动脱壳技术得到未加壳的部分DEX文件。之后,我们在对DEX文件进行修复,最终得到可以反编译的源程序代码。（3）在反编译阶段,我们使用Android Killer、JEB等反编译工具对代码进行反编译,然后采用静态分析与动态分析相结合的方式对代码进行分析。静态分析根据代码的常规词法、语法、语义等,采用顺序查看法、特征函数法快速定位到程序的关键代码处,分析工作以阅读代码的方式为主。动态分析是根据程序的执行流程,在初步推测程序可能使用加密函数API的地方,让程序在Android模拟器中运行,配合Android Studio以及IDA Pro软件,通过记录密码相关函数的调用参数及返回值,根据运行日志输出来判断软件是否存在密码误用漏洞。通过静态分析能够梳理出大致思路,通过动态分析能够获取程序正确的执行流程,二者相辅相成。因此静态分析与动态分析相结合的方式能得到更详细的分析结果。（4）手机银行作为银行系统的客户端方式,具有瞬时性的特点,因此会带来一定风险。手机银行的风险主要来自几个方面:信息篡改、非法访问、伪造交易信息等。因此本文还对手机银行客户端安全性做了一个全面的评估。主要从中国银行手机银行Android客户端代码保护、用户身份认证、敏感数据存储保护以及客户端与服务器数据传输保护等几个方面展开分析,找出其中的薄弱点并给出合理意见。