本文研究了Android系统服务中Binder机制的安全问题。Binder是Android应用访问系统服务的核心进程间通信机制，其设计采用客户端-服务器角色模型，通常将系统服务视为服务器、应用视为客户端。然而，越来越多的场景要求系统服务充当Binder客户端，向可能由应用实例化的Binder服务器发起查询。利用这种角色反转的可能性，作者提出了Binder事务重定向（BiTRe）攻击：攻击者诱导系统服务与一个定制的Binder服务器进行事务交互，然后从Binder服务器这一通常缺乏防护的方向发起攻击。作者通过枚举BiTRe中可利用的Binder接口来展示攻击面的规模，发现攻击面随Android版本更新而扩大；在Android 11中，超过70%的Binder接口受到影响或可用于BiTRe。为了证明攻击的可行性，作者构建了一个原型系统，能够自动生成可执行程序以覆盖大部分攻击面，并识别出一系列漏洞，这些漏洞已被Google确认并分配了十个CVE编号。该研究揭示了Android系统服务中因角色反转而引入的盲区，为系统服务安全设计和防护提供了新的视角。适合系统安全研究人员、Android平台开发者以及移动安全防御者阅读。