本文研究了Android系统服务中Binder机制的安全问题。Binder是Android应用访问系统服务的核心进程间通信机制，其设计采用客户端-服务器角色模型，通常将系统服务视为服务器、应用视为客户端。然而，越来越多的场景要求系统服务充当Binder客户端，向可能由应用实例化的Binder服务器发起查询。利用这种角色反转的可能性，作者提出了Binder事务重定向（BiTRe）攻击：攻击者诱导系统服务与一个定制的Binder服务器进行事务交互，然后从Binder服务器这一通常缺乏防护的方向发起攻击。作者通过枚举BiTRe中可利用的Binder接口来展示攻击面的规模，发现攻击面随Android版本更新而扩大；在Android 11中，超过70%的Binder接口受到影响或可用于BiTRe。为了证明攻击的可行性，作者构建了一个原型系统，能够自动生成可执行程序以覆盖大部分攻击面，并识别出一系列漏洞，这些漏洞已被Google确认并分配了十个CVE编号。该研究揭示了Android系统服务中因角色反转而引入的盲区，为系统服务安全设计和防护提供了新的视角。适合系统安全研究人员、Android平台开发者以及移动安全防御者阅读。

WOOTdroid 是一种面向 Android 原生系统的全设备在线追踪方案，旨在解决现有系统审计面临的两大问题。第一，现有系统调用追踪器（如 ftrace）在负载较高时无法及时读取事件，导致缓冲区溢出，造成事件静默丢失。第二，Android 中安全相关的应用行为通过 Binder（内核 IPC 机制）进行，而内核看到的 Binder 数据包（parcel）不包含方法名或类型化参数，导致底层事件与高层语义之间存在“语义鸿沟”。现有方案要么修改 Android 框架（难以适配系统更新），要么在用户态插桩追踪应用（易被绕过）。WOOTdroid 不需要 OS 修改或应用插桩，包含两个核心组件：WDSys 和 WDBind。WDSys 是将 eAudit 风格系统调用审计移植到 eBPF 的实现，可在当前 Android 系统上运行，Geekbench 开销不超过 3.6%，且相比 ftrace 可多追踪 33% 的系统调用。WDBind 在内核中捕获 Binder 数据包，并通过 Java 反射提取的框架签名表在进程外解码。作者在运行 Android 16 的 Pixel 9 设备上进行了端到端案例研究，成功重建了十个安全相关的 Binder 事务。该工作为 Android 安全监控提供了低开销、高语义还原度的新途径。