CN103377341A - 一种安全检测的方法和系统 - Google Patents

Abstract

本发明实施例公开了一种安全检测的方法和系统，所述方法：a、对应用程序的代码进行安全扫描，若检测到高危险性，则标明所述应用程序为高危险性应用程序，产生检测结果，执行步骤d，否则执行步骤b；b、对所述应用程序的代码进行分析，并产生分析结果；c、基于所述分析结果进行检测判定，判断所述应用程序的安全性，产生检测判定结果；d、保存所述检测结果或所述检测判定结果，形成安全等级数据。所述系统包括漏洞检测模块、分析模块、检测判定模块和数据库。本发明实施例能够快速的从大量应用程序中发现恶意应用程序，提供应用程序的风险等级，让用户轻松了解高风险应用程序并避免使用，减少损失，并可规范管理应用市场。

Description

一种安全检测的方法和系统

技术领域

本发明涉及一种安全检测的方法和系统，属于移动设备技术领域。

背景技术

随着智能手机技术的发展，智能手机的App应用程序数量越来越多，但是目前许多App应用在使用过程中存在很多的安全隐患，比如：扣费，偷跑流量，窃取短信、通讯录、地理位置等隐私信息，现有对App应用安全进行检测的技术，已经不能满足APP应用安全的需要。

 

发明内容

有鉴于此，本发明的目的是提供一种安全检测的方法和系统，以解决现有技术中不能快速的在大量App应用中发现恶意应用程序，对应用程序进行风险分析，并进行风险等级的划分的问题。

本发明所采用的技术方案提供一种安全检测的方法，包括以下步骤：

a、对应用程序的代码进行安全扫描，若检测到高危险性，则标明应用程序为高危险性应用程序，产生检测结果，执行步骤d，否则执行步骤b；

b、对应用程序的代码进行分析，并产生分析结果；

c、基于分析结果进行检测判定，判断应用程序的安全性，产生检测判定结果；

d、保存检测结果或检测判定结果，形成安全等级数据。

根据上述方法，其中，安全扫描是通过高危检测逻辑对应用程序的代码进行扫描，检测出高危险性应用程序；

高危检测逻辑是利用高危特征码库，对应用程序进行安全检测的方法。

根据上述方法，其中，步骤b进一步包括：

b1、对应用程序的代码进行预处理，从代码中提取出二进制代码，并将二进制代码转换成为中间代码表示；

b2、基于中间代码表示，作进一步的控制流分析和数据流分析，并产生分析结果。

根据上述方法，其中，步骤b2包括：

基于中间代码表示进行控制流分析，得出函数调用图，函数调用图能准确表达程序代码中各函数之间的相互调用关系；

结合数据流分析对中间代码表示进行进一步的控制流分析，对分析结果进行修正，分析结果包括函数调用图。

根据上述方法，其中，步骤c进一步包括：

c1、通过中等威胁检测逻辑对应用程序进行检测判定，如果检测到中等威胁，则标明应用程序为中等威胁应用程序，执行步骤c4，否则执行步骤c2；

c2、通过可疑行为检测逻辑对应用程序进行检测判定，如果检测到可疑行为，则标明应用程序为可疑应用程序，执行步骤c4，否则执行步骤c3；

c3、对检测判定通过的应用程序，标明应用程序为正常应用程序；以及

c4、形成检测判定结果。

根据上述方法，其中，中等威胁检测逻辑是利用威胁特征库，对应用程序进行安全检测的方法。

根据上述方法，其中，可疑行为检测逻辑是利用可疑行为规则库，对应用程序进行安全检测的方法。

本发明所采用的技术方案还提供一种安全检测的系统，包括：

漏洞检测模块，用于对应用程序的代码进行安全扫描，检测出高危险性应用程序并进行标明，产生检测结果，将检测结果送至数据库，未检测出危险性的应用程序代码送入分析模块；

分析模块，用于对应用程序的代码进行预处理，并进行进一步的控制流分析和数据流分析，产生分析结果，并将分析结果提交给检测判定模块；

检测判定模块，用于基于分析结果，对应用程序的安全性进行判断分析，产生检测判定结果，将检测判定结果送至数据库；以及

数据库，用于保存检测结果或检测判定结果，形成安全等级数据。

根据上述系统，其中，漏洞检测模块具体包括：

高危检测逻辑单元，用于依据高危特征码库对应用程序的代码进行检测，对检测出的高危险性应用程序进行标明，产生检测结果；

发送单元，用于将高危检测逻辑单元产生的检测结果送至数据库，将检测通过的应用程序代码送入分析模块。

根据上述系统，其中，分析模块具体包括：

预处理子模块，用于对应用程序的代码进行预处理，从代码中提取出二进制代码，将二进制代码转换成为中间代码表示，最后将中间代码表示提供给流分析子模块；

流分析子模块，用于基于中间代码表示作进一步的控制流分析和数据流分析，产生分析结果，并将分析结果送至检测判定模块。

根据上述系统，其中，流分析子模块具体包括：

控制流分析单元，用于在中间代码表示的基础上进行控制流分析，生成程序的函数调用图，函数调用图能准确表达程序代码中各函数之间的相互调用关系，并结合数据流分析对分析结果进行修正，分析结果包括函数调用图；

数据流分析单元，用于在控制流分析的基础上，对程序进行数据流分析。

根据上述系统，其中，检测判定模块具体包括：

中等威胁检测逻辑单元，用于通过中等威胁检测逻辑对应用程序进行检测判定，如果检测到中等威胁，则标明应用程序为中等威胁应用程序；

可疑行为检测逻辑单元，用于通过可疑行为检测逻辑对应用程序进行检测判定，如果检测到可疑行为，则标明应用程序为可疑应用程序；

正常标注单元，用于对检测判定通过的应用程序，标明应用程序为正常应用程序；

发送单元，用于将检测判定结果送至数据库。

根据上述系统，其中，中等威胁检测逻辑是利用威胁特征库，对应用程序进行安全检测的方法。

根据上述系统，其中，可疑行为检测逻辑是利用可疑行为规则库，对应用程序进行安全检测的方法。

 

本发明实施例提供的一种安全检测的方法和系统，能够快速的从大量应用程序中发现恶意应用程序，并能提供应用程序的风险等级，让用户能轻松了解应用程序的风险等级，避免高风险应用的使用，减少用户的损失，并可规范管理应用市场。

 

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1是本发明实施例提供的一种安全检测的方法流程图；

图2是本发明实施例提供的一种安全检测的方法的过程流程图；

图3是本发明实施例中对应用程序进行分析的方法流程图；

图4是本发明实施例提供的一种安全检测的系统结构框图；

图5是图4所示系统中漏洞检测模块结构框图；

图6是图4所示系统中分析模块的结构框图；

图7是图6所示结构中流分析子模块结构框图；

图8是图4所示系统中检测判定模块结构框图。

 

具体实施方式

为了使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

参见图1，本发明实施例提供一种安全检测的方法，包括如下步骤：

步骤S110：对应用程序的代码进行安全扫描，若检测到高危险性，则标明应用程序为高危险性应用程序，产生检测结果，执行步骤S140，否则执行步骤S120。

步骤S120：对应用程序的代码进行分析，并产生分析结果。

步骤S130：基于分析结果进行检测判定，判断应用程序的安全性，产生检测判定结果。

步骤S140：保存检测结果或检测判定结果，形成安全等级数据。

本发明实施例中的应用程序可以是移动设备上的任意应用程序，该移动设备包括但不限于，手机、平板电脑等。其中，应用程序的安全等级可以是高危险性应用程序、中等威胁应用程序、可疑应用程序或正常应用程序。

本发明实施例中，以智能手机Android系统上的应用程序为例进行详细说明。

参见图2，需要判定任意应用程序的安全等级时，根据本发明实施例的方法如下所述：

步骤S210：对应用程序的代码进行安全扫描，检测是否具有高危险性。

安全扫描是通过高危检测逻辑对应用程序的代码进行扫描，检测出高危险性应用程序，高危检测逻辑是利用高危特征码库，对应用程序进行安全检测的方法。

在实际应用中，高危特征码库包括但不限于，根据已知的漏洞攻击程序提取出的特征码，比如：特征码可以是在执行漏洞攻击程序过程中的提示字符串“abcd”，通过比对应用程序中是否具有该字符串来判定其高危险性。

步骤S220：如果应用程序具有高危险性，则标明该应用程序为高危险性应用程序，产生检测结果。

步骤S230：如果应用程序不具有高危险性，则对应用程序的代码进行分析，产生分析结果。

在本实施例中，对应用程序的代码进行分析通常采用静态分析技术，参见图3，具体步骤如下：

步骤S310：对应用程序的代码进行预处理，从代码中提取出二进制代码，并将二进制代码转换成为中间代码表示。

步骤S320：将二进制代码转换成为中间代码表示。

在实际应用中，将二进制代码转换成为中间代码表示通常是利用代码的变换和优化技术。

在Android应用程序中，先从应用程序中提取出Dalvik字节码，再将Dalvik字节码转换成Java字节码，最后将Java字节码转换成中间代码表示。

步骤S330：基于中间代码表示，作进一步的控制流分析和数据流分析，并产生分析结果。

在实际应用中，分析结果包括基于中间代码表示构建的函数调用图，首先，基于中间代码表示进行控制流分析，得出函数调用图，但是，该函数调用图并不完全准确。

然后，结合数据流分析对中间代码表示进行进一步的控制流分析，对函数调用图进行修正，该操作可以执行许多次，直到得到准确的函数调用图，其中，函数调用图能准确表达程序代码中各函数之间的相互调用关系。

步骤S240：基于分析结果对应用程序进行中等威胁检测判定。

通过中等威胁检测逻辑对应用程序进行中等威胁检测判定，中等威胁检测逻辑是利用威胁特征库，对应用程序进行安全检测的方法。

在实际应用中，威胁特征库包括但不限于，根据已知具有威胁性质的代码执行路径提取出的特征，比如：特征可以是程序代码的执行路径“Run，a，b，SendSMS”，执行该路径后，应用程序会自动发送短信，消耗用户的通讯费用，通过比对应用程序中“Thread Run”的执行路径来判定其中等威胁性，如果该线程的执行路径与特征库中任意特征相同，则判定为中等威胁应用程序。

其中，在Android应用程序中，中等威胁包括但不限于：

1、 发送短信息，订阅收费的服务；

2、 破坏用户数据；

3、 下载其他应用程序并进行安装；

4、 访问恶意/广告类网站，上传用户隐私数据，浪费带宽等。

步骤S250：如果检测到中等威胁，则标明该应用程序为中等威胁应用程序，产生检测判定结果。

步骤S260：如果没有检测到中等威胁，则对应用程序进行可疑行为检测判定。

通过可疑行为检测逻辑对应用程序进行检测判定，可疑行为检测逻辑是利用可疑行为规则库，对应用程序进行安全检测的方法。

在实际应用中，可疑行为规则库包括但不限于，根据已有恶意程序的特点提取出的可疑行为函数调用库。

其中，在Android应用程序中，可疑行为包括但不限于：

1、 在安装包中包含子包，比如：在apk中内嵌另一个apk或者jar包；

2、 动态代码加载，比如：利用DexClassLoader加载jar包或者apk；

3、 在应用程序中调用加密/解密相关的系统函数；

4、 执行外部脚本/命令，比如：通过执行Runtime.exec；

5、 利用JNI访问Native Library等。

步骤S270：如果检测到可疑行为，则标明该应用程序为可疑应用程序，产生检测判定结果。

步骤S280：如果没有检测到可疑行为，则标明该应用程序为正常应用程序，产生检测判定结果。

步骤S290：保存检测结果或检测判定结果，形成安全等级数据。

通过上述步骤能够快速的从海量Android应用中发现恶意软件，利用安全等级数据能建立APP的风险等级库，让用户能轻松了解APP的风险等级，更可规范管理APP应用市场，并为本地或云端在线病毒查杀提供参考依据。

 

参见图4，本发明实施例提供一种安全检测的系统，包括：

漏洞检测模块410，用于对应用程序的代码进行安全扫描，检测出高危险性应用程序并进行标明，产生检测结果，将检测结果送至数据库440，未检测出危险性的应用程序代码送入分析模块420；

分析模块420，用于对应用程序的代码进行预处理，并进行进一步的控制流分析和数据流分析，产生分析结果，并将分析结果提交给检测判定模块430；

检测判定模块430，用于基于分析结果，对应用程序的安全性进行判断分析，产生检测判定结果，将检测判定结果送至数据库440；以及

数据库440，用于保存检测结果或检测判定结果，形成安全等级数据。

 

参见图5，本发明的一个实施例中，所述漏洞检测模块410具体包括：

高危检测逻辑单元510，用于依据高危特征码库对应用程序的代码进行检测，对检测出的高危险性应用程序进行标明，产生检测结果；

发送单元520，用于将高危检测逻辑单元510产生的检测结果送至数据库440，将检测通过的应用程序代码送入分析模块420。

 

参见图6，本发明的一个实施例中，所述分析模块420具体包括：

预处理子模块610，用于对应用程序的代码进行预处理，从代码中提取出二进制代码，将二进制代码转换成为中间代码表示，最后将中间代码表示提供给流分析子模块620；

流分析子模块620，用于基于中间代码表示作进一步的控制流分析和数据流分析，产生分析结果，并将分析结果送至检测判定模块430。

 

参见图7，本发明的一个实施例中，所述流分析子模块620具体包括：

控制流分析单元710，用于在中间代码表示的基础上进行控制流分析，生成程序的函数调用图，函数调用图能准确表达程序代码中各函数之间的相互调用关系，并结合数据流分析对分析结果进行修正，分析结果包括函数调用图；

数据流分析单元720，用于在控制流分析的基础上，对程序进行数据流分析。

 

参见图8，本发明的一个实施例中，所述检测判定模块430具体包括：

中等威胁检测逻辑单元810，用于通过中等威胁检测逻辑对应用程序进行检测判定，如果检测出中等威胁，则标明应用程序为中等威胁应用程序。

可疑行为检测逻辑单元820，用于通过可疑行为检测逻辑对应用程序进行检测判定，如果检测出可疑行为，则标明应用程序为可疑应用程序。

正常标注单元830，用于对检测判定通过的应用程序，标明应用程序为正常应用程序。

发送单元840，用于将检测判定结果送至数据库440。

 

优选的，本发明的一实施例，中等威胁检测逻辑是利用威胁特征库，对应用程序进行安全检测的方法。

优选的，本发明的一实施例，可疑行为检测逻辑是利用可疑行为规则库，对应用程序进行安全检测的方法。

 

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (14)

1.一种安全检测的方法，其特征在于：包括以下步骤：

a、对应用程序的代码进行安全扫描，若检测到高危险性，则标明所述应用程序为高危险性应用程序，产生检测结果，执行步骤d，否则执行步骤b；

b、对所述应用程序的代码进行分析，并产生分析结果；

c、基于所述分析结果进行检测判定，判断所述应用程序的安全性，产生检测判定结果；

d、保存所述检测结果或所述检测判定结果，形成安全等级数据。

2.根据权利要求1所述方法，其特征在于：所述安全扫描是通过高危检测逻辑对应用程序的代码进行扫描，检测出高危险性应用程序；

所述高危检测逻辑是利用高危特征码库，对应用程序进行安全检测的方法。

3.根据权利要求1所述方法，其特征在于：所述步骤b进一步包括：

b1、对应用程序的代码进行预处理，从所述代码中提取出二进制代码，并将所述二进制代码转换成为中间代码表示；

b2、基于所述中间代码表示，作进一步的控制流分析和数据流分析，并产生分析结果。

4.根据权利要求3所述方法，其特征在于：所述步骤b2包括：

基于所述中间代码表示进行控制流分析，得出函数调用图，所述函数调用图能准确表达程序代码中各函数之间的相互调用关系；

结合数据流分析对所述中间代码表示进行进一步的控制流分析，对所述分析结果进行修正，所述分析结果包括函数调用图。

5.根据权利要求1所述方法，其特征在于，所述步骤c进一步包括：

c1、通过中等威胁检测逻辑对应用程序进行检测判定，如果检测到中等威胁，则标明所述应用程序为中等威胁应用程序，执行步骤c4，否则执行步骤c2；

c2、通过可疑行为检测逻辑对应用程序进行检测判定，如果检测到可疑行为，则标明所述应用程序为可疑应用程序，执行步骤c4，否则执行步骤c3；

c3、对检测判定通过的应用程序，标明所述应用程序为正常应用程序；以及

c4、形成检测判定结果。

6.根据权利要求5所述方法，其特征在于，所述中等威胁检测逻辑是利用威胁特征库，对应用程序进行安全检测的方法。

7.根据权利要求5所述方法，其特征在于，所述可疑行为检测逻辑是利用可疑行为规则库，对应用程序进行安全检测的方法。

8.一种安全检测的系统，其特征在于，包括：

漏洞检测模块，用于对应用程序的代码进行安全扫描，检测出高危险性应用程序并进行标明，产生检测结果，将检测结果送至数据库，未检测出危险性的应用程序代码送入分析模块；

所述分析模块，用于对应用程序的代码进行预处理，并进行进一步的控制流分析和数据流分析，产生分析结果，并将分析结果提交给检测判定模块；

所述检测判定模块，用于基于所述分析结果，对所述应用程序的安全性进行判断分析，产生检测判定结果，将检测判定结果送至所述数据库；以及

所述数据库，用于保存所述检测结果或所述检测判定结果，形成安全等级数据。

9.根据权利要求8所述系统，其特征在于：所述漏洞检测模块具体包括：

高危检测逻辑单元，用于依据高危特征码库对应用程序的代码进行检测，对检测出的高危险性应用程序进行标明，产生检测结果；

发送单元，用于将所述高危检测逻辑单元产生的检测结果送至所述数据库，将检测通过的应用程序代码送入所述分析模块。

10.根据权利要求8所述系统，其特征在于：所述分析模块具体包括：

预处理子模块，用于对应用程序的代码进行预处理，从所述代码中提取出二进制代码，将二进制代码转换成为中间代码表示，最后将中间代码表示提供给流分析子模块；

所述流分析子模块，用于基于所述中间代码表示作进一步的控制流分析和数据流分析，产生分析结果，并将分析结果送至所述检测判定模块。

11.根据权利要求10所述系统，其特征在于：所述流分析子模块具体包括：

控制流分析单元，用于在中间代码表示的基础上进行控制流分析，生成程序的函数调用图，所述函数调用图能准确表达程序代码中各函数之间的相互调用关系，并结合数据流分析对所述分析结果进行修正，所述分析结果包括函数调用图；

数据流分析单元，用于在控制流分析的基础上，对程序进行数据流分析。

12.根据权利要求8所述系统，其特征在于：所述检测判定模块具体包括：

中等威胁检测逻辑单元，用于通过中等威胁检测逻辑对应用程序进行检测判定，如果检测到中等威胁，则标明所述应用程序为中等威胁应用程序；

可疑行为检测逻辑单元，用于通过可疑行为检测逻辑对应用程序进行检测判定，如果检测到可疑行为，则标明所述应用程序为可疑应用程序；

正常标注单元，用于对检测判定通过的应用程序，标明所述应用程序为正常应用程序；

发送单元，用于将检测判定结果送至所述数据库。

13.根据权利要求12所述系统，其特征在于：所述中等威胁检测逻辑是利用威胁特征库，对应用程序进行安全检测的方法。

14.根据权利要求12所述系统，其特征在于，所述可疑行为检测逻辑是利用可疑行为规则库，对应用程序进行安全检测的方法。

Images