在最近的几年里,移动支付的出现和普及,给人们的日常生活出行带来极大的便捷的同时也出现了大量用户隐私信息泄露的问题。本文站在攻击者的角度,研究了一种潜在的隐私信息攻击方式,其能够通过分析移动支付应用产生的加密网络流量识别出用户行为类型进而获取用户的相关信息。目前的用户行为识别研究主要集中于聊天通讯行为(如即时聊天、发送图片和发送视频等)分析,现有的方法针对人们日益依赖的移动支付应用上资金交易行为(如转账、发送红包等)无法精确识别;此外,大多数研究者仍在使用人工采集方式进行流量收集,费时费力。针对这些缺陷与不足,本文基于流量分析对移动支付应用上的用户行为展开研究。首先提出了一种基于自动化流量采集与分析的移动支付应用用户行为识别方法。利用模糊测试工具实现自动化的流量采集;之后通过对用户行为进行具体分析,提取适用于移动支付应用用户行为识别的统计特征;使用贝叶斯算法进行建模以实现对未知流量的识别。实验结果显示该方法实现了对移动支付应用上用户行为的有效识别,尤其是对于最常见的支付宝应用,其识别准确率为87%,较之前Yan等人的方法提升了8%左右。针对某些特定的移动支付应用上用户行为识别准确率低的问题,提出了基于噪声处理与集成学习算法相结合的行为识别优化方法。首先针对背景流量与混淆流分别进行噪声过滤处理;然后使用RF、Ada Boost、GBDT和XGBoost四种集成学习算法分别进行建模;最后将噪声处理与集成学习算法相结合对模型进行优化。实验显示该方法在对不同移动支付应用用户行为的识别任务上准确率和F1分数均达到了90%以上。为还原完整的真实攻击场景,设计并实现了一个移动支付流量层次化识别仿真系统。在此系统中,以分层的方式实现对移动支付应用网络流量的分析与识别。首先,从混淆的加密流量中识别出移动支付应用;在识别出应用类型之后,分类出用户具体的行为类型(发送文本、图片、转账、红包等等);最后,从更细粒度的角度出发,识别出用户的阶段性行为类型(例如转账支付行为的每个操作步骤)。实验结果表明,所提出的层次化识别仿真系统在真实攻击场景下具有有效性和广泛性。