移动互联网的高速发展使得移动设备的安全性日益重要,各种窃取用户隐私的恶意应用层出不穷。为了保证用户敏感信息的安全性,研究者开发了多种基于模拟器的平台来检测和分析应用市场中潜在的恶意软件。但是,由于模拟器与真实设备之间存在着根本差异,恶意软件可以利用这些差异对模拟器进行检测,若检测到运行环境是模拟器则不执行恶意代码,达到绕过检测和分析平台的目的。虽然有一些手段可以对模拟器进行修改,使其尽可能表现得与真机一样,但是有很多系统级和硬件级的差异是无法被消除的,如CPU架构的差异、GPU性能的差异、传感器差异等等。因此,为了对抗对恶意应用的模拟器检测行为,在真机上部署分析平台成为另一种选择。使用真实设备面临的首要问题就是,如何快速地将系统恢复至可信状态。这在分析平台中尤为重要,因为恶意程序在被分析的过程中可能对系统进行损坏,为了保证待测程序在被分析时其运行环境是可信的,必须在每一个待测程序运行结束后对系统进行恢复。由于模拟器本质上即虚拟机,得益于其快照功能,可以在几秒时间内恢复系统。真实设备的系统恢复操作一般是重启到恢复模式,通过adb工具将电脑上的系统镜像文件刷入到设备中,达到恢复系统的目的,但是这一过程极其耗时,最多需要140秒左右。目前国内外仅有的解决方案为Mutti等人提出的BareDroid,它将数据分区进行完全的冗余备份,通过重启到恢复模式下交换已使用的数据分区和未使用的数据分区,节省了重新刷入数据分区的时间开销,一定程度上加快了系统恢复速度,最快可在32秒左右恢复系统。但是BareDroid的完整备份方案极大地浪费了存储空间,且32秒的系统恢复过程仍然很耗时,降低了分析平台的效率。针对这一问题,我们通过将UnionFS文件系统移植到Android内核中,同时研究了 Android的系统分区、启动过程以及Framework层服务,创新性地提出了一种在不重启设备的情况下恢复系统的方法,并基于该方法实现了能在真实设备上快速恢复系统的CleanDroid。此外,我们使用TEE本地度量和SafetyNet远程认证两种方式实现了在运行时对Android系统进行度量,辅以SELinux进一步加强度量结果的可靠性。由于避免了系统的重启和重新刷入,CleanDroid大幅降低了恢复系统的时间。测试发现,CleanDroid最快能在5秒左右完成系统的恢复。