一種應用安裝包的行為檢測方法、服務器及系統技術方案

本發明專利技術提供了一種應用安裝包的行為檢測方法、服務器及系統，方法包括：1)獲取待檢測的應用安裝包；2)提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果，其中，所述行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；3)根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果。本發明專利技術可以對應用安裝包進行多方面的快速檢測，以讓用戶快速的了解待檢測的APK中是否有惡意或者各類風險行為的存在以及存在的惡意行為特征，從而對用戶使用的終端進行有效防護。

Method, server and system for detecting behavior of installation package

The present invention provides an application package behavior detection method, server and system. The method comprises the steps of: 1) for application to detect the installation package; 2) behavior database to extract the application installation behavior characteristic information with the preset in the package, risk behavior detection, access behavior feature matching results, which the behavior characteristics of the database, save data features many behavior, each behavior data identifies at least one risk behavior; 3) according to the characteristics of matching results of generation of the application package for test results. The invention can be applied to the installation package for rapid detection in many aspects, whether it is malicious or various risk behaviors exist that allow users to quickly understand the detected APK and the presence of malicious behavior, so as to effectively protect the user terminal.

【技術實現步驟摘要】

本專利技術涉及信息處理
，尤其涉及一種對安卓系統下惡意軟件進行檢測的應用安裝包的行為檢測方法、服務器及系統。
技術介紹
移動終端逐步普及，使其成為個人隱私的聚集地，另外，移動支付時代的到來使得移動終端作為一種金融工具被普遍使用，這些趨勢必然導致移動惡意程序的迅猛增長。目前，一些安卓應用存在惡意行為，如通過逆向工程修改原程序邏輯、嵌入廣告；盜取用戶隱私信息；敲詐勒索等。這些手段威脅安卓系統的安全，對用戶產生了嚴重損害。現有技術中，為了檢測惡意安卓應用，通常使用人工的手段對應用安裝包(APK)進行分析來確定惡意安卓應用，隨后提取這些惡意安卓應用的哈希值與待檢測的APK的哈希值進行匹配。但依賴于人工分析結果，且其匹配方式局限于哈希值，檢測不全面；且檢測工具掃描速度較慢，完成檢測需要較長時間，無法讓用戶快速的了解待檢測的APK中行為是否有惡意或者各類風險行為的存在。因此，需要提供一種有效的檢測方式，能夠自動、快速發現待檢測應用安裝包中的未知移動惡意程序或各類風險行為的存在，從而對終端進行有效防護。
技術實現思路
本專利技術的目的在于，提供一種應用安裝包的行為檢測方法、服務器及系統，可以對應用安裝包進行多方面的快速檢測，以讓用戶快速的了解待檢測的APK中是否有惡意或者各類風險行為的存在以及存在的惡意行為特征，從而對用戶使用的終端進行有效防護。為實現上述目的，本專利技術提供了一種應用安裝包的行為檢測方法，包括如下步驟：(1)獲取待檢測的應用安裝包；(2)提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果，其中，所述行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；(3)根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果。為了實現上述目的，本專利技術還提供了一種應用安裝包的行為檢測服務器，包括應用安裝包獲取模塊、行為分析模塊以及檢測結果生成模塊；所述應用安裝包獲取模塊，用于獲取待檢測的應用安裝包；所述行為分析模塊與所述應用安裝包獲取模塊相連，用于提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果，其中，所述行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；所述檢測結果生成模塊與所述行為分析模塊相連，用于根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果。為了實現上述目的，本專利技術還提供了一種應用安裝包的行為檢測系統，包括行為檢測服務器以及行為檢測客戶端；所述行為檢測服務器采用本專利技術所述的行為檢測服務器；所述行為檢測客戶端包括通信模塊以及顯示模塊，所述通信模塊，用于與所述行為檢測服務器進行通信，將待檢測的應用安裝包上傳至所述行為檢測服務器，以及接收所述行為檢測服務器返回的行為檢測結果；所述顯示模塊，用于顯示所述行為檢測結果。本專利技術的優點在于：可以對應用安裝包進行多方面的檢測，匹配方式不局限于哈希值，包括但不限于類名、包名、權限列表、敏感API、調用序列、開發者簽名等行為特征信息。本專利技術快速掃描、分析，只要幾秒就可以完成檢測，檢測速度比一般檢測工具快，可以讓用戶快速的了解待檢測的APK中是否有惡意或者各類風險行為的存在以及存在的惡意行為特征，從而對用戶使用的終端進行有效防護。本專利技術所述的應用安裝包的行為檢測技術方案可以方便部署于防病毒網關，設備制造商的rom，終端防病毒產品和其他可預見的、需要進行APK安全檢測的場合。附圖說明圖1，本專利技術一實施例所述的應用安裝包的行為檢測方法的流程示意圖；圖2，本專利技術一實施例所述的應用安裝包的行為檢測系統架構示意圖；圖3，本專利技術一實施例所述的應用安裝包的行為檢測服務器架構示意圖；圖4，本專利技術一實施例所述的應用安裝包的行為檢測客戶端架構示意圖；圖5，本專利技術一實施例所述的上傳應用安裝包的示意圖；圖6至圖10，本專利技術不同實例對應的行為分析報告示意圖。具體實施方式下面結合附圖對本專利技術提供的應用安裝包的行為檢測方法、服務器及系統做詳細說明。參考圖1，本專利技術一實施例所述的應用安裝包的行為檢測方法的流程示意圖，所述方法包括如下步驟：S11：獲取待檢測的應用安裝包；S12：提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果；S13：根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果；以下結合附圖做詳細解釋。S11：獲取待檢測的應用安裝包。作為優選的實施方式，步驟S11進一步包括：獲取從指定網址的網頁中上傳的待檢測應用安裝包。該待檢測應用安裝包可以為用戶上傳的安卓軟件安裝包。待檢測應用安裝包的開發信息包括但不限于：應用名稱、包名稱、敏感API、調用序列、MD5值、SHA-1值、版本號、開發者簽名、公鑰。這些開發信息即為應用安裝包中的行為特征信息。S12：提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果。對應用安裝包的行為檢測即檢測應用安裝包中存在哪些風險行為特征。預置的行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；例如廣告特征數據標識廣告風險行為特征、病毒特征數據標識病毒風險行為特征、短信欺詐特征數據標識短信欺詐風險行為特征等。將應用安裝包的行為特征信息與預置的行為特征數據庫匹配，若行為特征信息在行為特征數據庫中匹配出相應的行為特征數據，則說明應用安裝包中存在該行為特征數據說所標識的相應風險行為特征；若未匹配出相應的行為特征數據，則說明應用安裝包中不存在風險行為特征。例如，安卓軟件安裝包的病毒特征，可能存在與對代碼中的類名、包名、敏感API、調用序列、開發者簽名等信息的變更；這些變更行為就構成了安卓軟件安裝包病毒特征數據，存儲在行為特征數據庫中；匹配行為特征數據庫就能檢測出出安卓軟件安裝包是否存在病毒特征。作為可選的實施方式，步驟S12進一步包括：1)對所述應用安裝包進行解包；2)對解包出的文件進行掃描，確定所述應用安裝包的所述行為特征信息；3)將確定出所述行為特征信息與所述行為特征數據庫中的行為特征數據匹配，進行風險行為檢測，從而獲取行為特征匹配結果。其中對解包出的文件進行掃描，確定所述應用安裝包的所述行為特征信息，具體可以為：讀取解包出的dex文件進行反匯編，提取所述應用安裝包中的全限定名、所有字符串和調用關系作為所述行為特征信息，以用于與行為特征數據庫中的行為特征數據進行匹配，分析其在行為特征數據庫中是否有匹配的行為特征數據，從而檢測出應用安裝包存在的風險行為特征。作為可選的實施方式，所述風險行為檢測包括：重打包檢測、廣告檢測、混淆加固檢測、病毒特征檢測、內置APK檢測、FakeID檢測、Root檢測、短信欺詐檢測、Masterkey檢測、行為檢測、啟發式檢測的至少一項。每一項檢測即為將應用安裝包的行為特征信息與行為特征數據庫中的相應行為特征數據進行匹配，判斷其是否存在相應風險行為特征。例如，重打包檢測即為：將行為特征信息與行為特征數據庫中的重打包特征數據進行匹配，若在行為特征數據庫中匹配出相應的重打包特征數據，則判定該應用安裝包存在重打包風險行為特征本文檔來自技高網...

【技術保護點】
一種應用安裝包的行為檢測方法，其特征在于，包括如下步驟：(1)獲取待檢測的應用安裝包；(2)提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果，其中，所述行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；(3)根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果。

【技術特征摘要】
1.一種應用安裝包的行為檢測方法，其特征在于，包括如下步驟：(1)獲取待檢測的應用安裝包；(2)提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果，其中，所述行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；(3)根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果。2.根據權利要求1所述的行為檢測方法，其特征在于，步驟(1)進一步包括：獲取從指定網址的網頁中上傳的待檢測應用安裝包。3.根據權利要求1所述的行為檢測方法，其特征在于，步驟(2)進一步包括：(21)對所述應用安裝包進行解包；(22)對解包出的文件進行掃描，確定所述應用安裝包的所述行為特征信息；(23)將確定出所述行為特征信息與所述行為特征數據庫中的行為特征數據匹配，進行風險行為檢測，從而獲取行為特征匹配結果。4.根據權利要求3所述的行為檢測方法，其特征在于，步驟(22)進一步包括：讀取解包出的dex文件進行反匯編，提取所述應用安裝包中的全限定名、所有字符串和調用關系作為所述行為特征信息。5.根據權利要求1或3所述的行為檢測方法，其特征在于，所述風險行為檢測包括：重打包檢測、廣告檢測、混淆加固檢測、病毒特征檢測、內置APK檢測、FakeID檢測、Root檢測、短信欺詐檢測、Masterkey檢測、行為檢測、啟發式檢測的至少一項。6.一種應用安裝包的行為檢測服務器，其特征在于，包括應用安裝包獲取模塊、行為分析模塊以及檢測結果生成模塊；所述應用安裝包獲取模塊，用于獲取待檢測的應用安裝包；所述行為分析模塊與所述應用安裝包獲取模塊相連，用于提取所述應用安裝包中的行為特征信息與預置的行為特征數據庫匹配，進行風險行為檢測，獲取行為特征匹配結果，其中，所述行為特征數據庫中保存有多項行為特征數據，每一行為特征數據標識至少一種風險行為特征；所述檢測結果生成模塊與所述行為分析模塊相連，用于根據所述行為特征匹配結果生成所述應用安裝包的行為檢測結果。7.根據權利要求6所述的行為檢測服務器，其特征在于，所述行為分析模塊進一步用于：...

【專利技術屬性】
技術研發人員：劉仁雋，趙帥，劉永奎，
申請(專利權)人：上海墨貝網絡科技有限公司，
類型：發明
國別省市：上海;31