CN103401845B - 一种网址安全性的检测方法、装置 - Google Patents

Abstract

本发明适用于网络信息安全技术领域，提供了一种网址安全性的检测方法、装置，所述方法包括：在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器；监控服务获取当前系统运行时所启动的所有应用的进程标识pid；监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作；当监控服务截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作；监控服务从所述消息日志中解析出所述请求动作中包含的网址URL信息；监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全。本发明，不会对用户的隐私造成侵犯。

Description

一种网址安全性的检测方法、装置

技术领域

本发明属于网络信息安全技术领域，尤其涉及一种网址安全性的检测方法、装置。

背景技术

随着移动互联网的迅速发展，安卓Android系统已经成为智能设备上应用最广泛的一个操作系统，但由于其开放性，随之而来的安全问题也日益暴露出来。恶意网址是指恶意种植木马、病毒等恶意程序在网站内，通过“伪装的网站服务内容”诱导用户访问该网站，一旦用户进入这些网站，便会触发网站内种植下的木马、病毒等程序，导致访问者的设备被感染，从而进一步面临隐私泄漏或账户损失等危险。恶意网站容易出现在一些不知名的带有销售、推荐性质的网址中。

传统的恶意网址检测和拦截技术，是基于对个人电脑PC系统的认知和研究，无论从技术角度或用户体验来说，在智能设备上普遍存在以下两类缺点：

1.传统的恶意网址检测和拦截方式主要是针对浏览器内的地址栏输入行为，实现方式通常是将监控代码注入到浏览器进程中实现，这是一种侵入式的监控，这种监控是不友好的，往往也会被质疑侵犯用户的隐私；而智能设备上的网址访问行为，大多来自于第三方应用的分享或转发（包括短信），从用户体验而言，现有的检测网址方式，以及侵入式的监控拦截方式，难以满足新的使用场景下的用户需求，更加会对用户隐私造成侵犯，因此亟待改进。

2.技术上，由于存储和计算都受硬件条件制约，智能终端的系统资源通常是很珍贵的，对系统资源的浪费或不合理使用，可能影响整个系统的稳定性，造成系统变慢甚至崩溃。恶意网址的检测和拦截往往需要实时快速的进行，而现有的方式一般是在浏览器打开后先进行恶意网址的检测和拦截，再在浏览器内提示用户网址的安全性，之后如果用户关闭了浏览器，浏览器在被打开后未经使用又被关闭了，这实际上是对宝贵的系统资源的浪费。

发明内容

本发明实施例提供了一种网址安全性的检测方法、装置，旨在解决现有技术提供的网址安全性的检测方法，容易对用户隐私造成侵犯的问题。

一方面，提供一种网址安全性的检测方法，所述方法包括：

在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器；

监控服务获取当前系统运行时所启动的所有应用的进程标识pid；

监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作；

当监控服务截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作；

监控服务从所述消息日志中解析出所述请求动作中包含的网址URL信息；

监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全。

进一步地，所述初始化监控服务具体为：

监控服务在系统中注册一个广播接收器msgReceiver，以由所述msgReceiver用于对外标识所述监控服务并接收系统发出的消息广播。

进一步地，所述监控服务获取当前系统运行时所启动的所有应用的进程标识pid包括：

监控服务打开一个接收缓冲区InputStream；

所述监控服务通过接收缓冲区InputStream来获取服务管理器servicemanager的打包信息，所述打包信息中包括当前系统运行时所启动的所有应用的进程标识pid。

进一步地，所述监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作包括：

监控服务建立并启动一个日志监听器LogCatScanner，由LogCatScanner监听LogCat采集的消息日志；

日志监听器实时分析新产生的消息日志，根据应用的进程标识pid从消息日志中识别出当前所启动的应用是否发生调用浏览器的动作日志。

进一步地，在所述监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全之后，还包括：

当匹配的结果是恶意网址时，监控服务提示用户网址不安全，并终止应用打开浏览器的动作；

当匹配的结果是安全网址时，监控服务终止对请求调用浏览器的应用的挂起，允许请求调用浏览器的应用继续打开浏览器，恢复浏览器调用并通知用户网址是安全的；

当匹配的结果是未知网址时，监控服务将所述网址信息发送到云端服务器进行云检测，由云端服务器对所述网址信息进行进一步的判断，并返回检测结果至监控服务。

另一方面，提供一种网址安全性的检测装置，所述装置包括：

初始化单元，用于在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器；

标识获取单元，用于获取当前系统运行时所启动的所有应用的进程标识pid；

请求动作判断单元，用于根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作；

浏览器打开暂停单元，用于当截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作；

网址信息获取单元，用于从所述消息日志中解析出所述请求动作中包含的网址URL信息；

安全性判断单元，用于将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全。

进一步地，所述初始化单元在系统中注册一个广播接收器msgReceiver，以由所述msgReceiver用于对外标识所述监控服务并接收系统发出的消息广播。

进一步地，所述标识获取单元包括：

缓冲区打开模块，用于打开一个接收缓冲区InputStream；

进程标识获取模块，用于通过接收缓冲区InputStream来获取服务管理器servicemanager的打包信息，所述打包信息中包括当前系统运行时所启动的所有应用的进程标识pid。

进一步地，所述请求动作判断单元包括：

日志监听器启动模块，用于建立并启动一个日志监听器LogCatScanner，由LogCatScanner监听LogCat采集的消息日志；

日志分析模块，用于实时分析新产生的消息日志，根据应用的进程标识pid从消息日志中识别出当前所启动的应用是否发生调用浏览器的动作日志。

进一步地，所述装置还包括：

第一处理单元，用于当匹配的结果是恶意网址时，提示用户网址不安全，并终止应用打开浏览器的动作；

第二处理单元，用于当匹配的结果是安全网址时，终止对请求调用浏览器的应用的挂起，允许请求调用浏览器的应用继续打开浏览器，恢复浏览器调用并通知用户网址是安全的；

第三处理单元，用于当匹配的结果是未知网址时，将所述网址信息发送到云端服务器进行云检测，由云端服务器对所述网址信息进行进一步的判断，并返回检测结果至监控服务。

在本发明实施例，在系统中建立监控服务，该监控服务独立于浏览器，其对外标识为浏览器，在某个应用请求调用浏览器时，可以截获到该调用请求，来检测在调用浏览器的应用中输入的网址的安全性。该实施例中，浏览器进程不需要事先运行，也不会将监控服务附着在浏览器进程上来检测网址，不会对用户的隐私造成侵犯。

附图说明

图1是本发明实施例一提供的网址安全性的检测方法的实现流程图；

图2是本发明实施例二提供的网址安全性的检测方法的实现流程图；

图3是本发明实施例三提供的网址安全性的检测装置的结构框图；

图4是本发明实施例四提供的网址安全性的检测装置的结构框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明实施例中，在系统中建立监控服务，该监控服务独立于浏览器，其对外标识为浏览器，在某个应用请求调用浏览器时，可以截获到该调用请求，来检测在调用浏览器的应用中输入的网址的安全性。

以下结合具体实施例对本发明的实现进行详细描述：

实施例一

图1示出了本发明实施例一提供的网址安全性的检测方法的实现流程，详述如下：

在步骤S101中，在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器。

在本发明实施例中，电器设备中安装的系统以Android系统为例来进行说明，并不限于该系统。在智能终端的Android系统中预先建立一个监控服务，并对该监控服务进行初始化，其中，初始化时，监控服务在系统中注册一个广播接收器msgReceiver，所述msgReceiver用于对外标识监控服务并接收Android系统发出的消息广播。

其中，本实施例中，监控服务的对外标识为浏览器，这样，在某个应用请求调用浏览器时，可以被监控服务截获。

其中，消息广播是由Android系统发出的。在Android系统中，广播体现在方方面面，例如当开机完成后系统会产生一条广播，接收到这条广播就能实现开机启动服务的功能；当网络状态改变时系统会产生一条广播，接收到这条广播就能及时地做出提示和保存数据等操作；当电池电量改变时，系统会产生一条广播，接收到这条广播就能在电量低时告知用户及时保存进度。

在步骤S102中，监控服务获取当前系统运行时所启动的所有应用的进程标识pid。

在本发明实施例中，监控服务先打开一个接收缓冲区InputStream；再通过Shell命令的方式，通过接收缓冲区InputStream来获取服务管理器servicemanager的打包信息，所述打包信息中包括当前系统运行时所启动的所有应用的进程标识pid。

需要说明的是，servicemanager是Android系统中的服务管理进程，它可以让监控服务得知Android系统中有哪些应用进程正在运行。

在步骤S103中，监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作。

在本发明实施例中，监控服务建立并启动一个日志监听器LogCatScanner，由LogCatScanner监听LogCat采集的消息日志，其中，LogCat采集的消息日志是由Android系统发出的消息广播。

日志监听器可以实时分析新产生的消息日志，根据应用的进程标识pid从消息日志中识别出当前所启动的应用是否发生调用浏览器的动作日志，其原理是：消息日志一般是按行格式生成和记录的，因此需要对消息日志进行逐行读入，逐行读入消息日志后，采用“关键字识别”技术，即如果消息日志中包含某几项关键字识别项的输入，就称为符合在Android系统中“浏览器调用”的模式，根据以往对“浏览器调用”的研究经验，指定关键识别项如下：一行中包括“START”或者“Starting”，并且，该行中还包括“act=android.intent.action.VIEW”、“cmp”和“dat=http://”。日志监听器对监听到的消息日志中的一行进行分析，如果该行中满足上面提到的指定关键识别项，则认为发生应用调用浏览器的请求动作。

在步骤S104中，当监控服务截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作，并从所述消息日志中解析出所述请求动作中包含的网址URL信息。

在本发明实施例中，当监控服务截获到发生应用调用浏览器的请求动作时，可以根据该应用的进程标识暂时挂起正在调用浏览器的应用，使该应用不能打开浏览器，同时从监听到的消息日志中解析出所述请求动作中包含的网址信息。

其中，监控服务使用Shell命令中的“kill–STOP pid”暂时挂起该请求动作的请求源（即正在调用浏览器的应用），这是本发明和现有的侵入式监控的一个最大的不同点：浏览器进程不需要事先运行，也不会将监控服务附着在浏览器进程上来检测网址，不会对用户的隐私造成侵犯。

在步骤S105中，监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全。

在本实施例中，监控服务在本地黑白名单库中查找步骤S104从消息日志中解析出的网址信息，这个黑白名单库是经过设计优化的，比如入库时只保留网址信息中的域名部分，对参数部分和协议部分进行舍弃，减少空间存储开销，提高查找效率；并且云端服务器会定期验证黑白名单库内网址信息的有效性，以防止内容失效；另外，还可以根据访问次数、恶意内容的类型等进行智能调整，并增加Comment字段来提供用户更多网址信息。黑白名单库的结构如表1所示，在黑白名单库中查找到步骤S104从消息日志中解析出的网址后，可以得到与该网址对应的Type字段的内容，该内容即可表示该网址是否安全，如果Type的值为0，则表示该网址的安全性为未知，如果Type的值为1，则表示该网址为安全网址，Type的值为2，则表示该网址为恶意网址。

表1

本实施例，在系统中建立监控服务，该监控服务独立于浏览器，其对外标识为浏览器，在某个应用请求调用浏览器时，可以截获到该调用请求，来检测在调用浏览器的应用中输入的网址的安全性。该实施例中，浏览器进程不需要事先运行，也不会将监控服务附着在浏览器进程上来检测网址，不会对用户的隐私造成侵犯。

本领域普通技术人员可以理解实现上述各实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，相应的程序可以存储于一计算机可读取存储介质中，所述的存储介质，如ROM/RAM、磁盘或光盘等。

实施例二

图2示出了本发明实施例二提供的网址安全性的检测方法的实现流程，详述如下：

在步骤S201中，在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器。

在步骤S202中，监控服务获取当前系统运行时所启动的所有应用的进程标识pid。

在步骤S203中，监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作。

在步骤S204中，当监控服务截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作，并从所述消息日志中解析出所述请求动作中包含的网址URL信息。

在步骤S205中，监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全。

在步骤S206中，当匹配的结果是恶意网址时，监控服务提示用户网址不安全，并终止应用打开浏览器的动作。

在步骤S207中，当匹配的结果是安全网址时，监控服务终止对请求调用浏览器的应用的挂起，允许请求调用浏览器的应用继续打开浏览器，恢复浏览器调用并通知用户网址是安全的。

在步骤S208中，当匹配的结果是未知网址时，监控服务将所述网址信息发送到云端服务器进行云检测，由云端服务器对所述网址信息进行进一步的判断，并返回检测结果至监控服务。

在本发明实施例中，当匹配的结果是未知网址时，为了进一步检测网址的安全性，可以联网检测，即将待检测的网址信息发送到云端服务器，云端服务器根据后台数据库中更多的网址库来判别该网址是否为恶意网址，然后将判定结果返回智能终端，此时同样会有三种结果，对于判定为恶意和安全的网址，监控服务的处理同步骤S206和S207一样，对于未知网址，则不再提示用户进行联网检测，但会给出风险提示，由用户选择继续访问还是停止访问。

另外，作为本发明的一个优选实施例，对于每次应用调用浏览器所访问的网址，监控服务同时也将网址记录在智能终端上，根据用户的操作选择，根据智能调整策略，自动将多次访问的未知网址重新调整为恶意或安全网址，这样当下次请求同样网址的时候，将进一步降低系统开销，适应用户的浏览行为。同时，用户也可以在设置中管理这些网址访问记录，自由调整对某个网址的安全性标记，对于骚扰次数多的网址，如果还未被系统识别为恶意网址，用户可以自由举报，云端服务器引擎会访问该网址，进行内容验证后更新到云端数据库中，进一步提高智能终端检测和拦截的效果。

本实施例，在获得网址的安全性以后，可以根据安全级别对该网址进行不同的处理。整个方式对浏览器的资源调用是不需要事先打开的，另外加入了云端服务器支持，从而提高了恶意网址的准确度，也减少了智能终端的系统资源开销，优化了恶意网址检测和拦截的用户体验和效率。

实施例三

图3示出了本发明实施例三提供的网址安全性的检测装置的具体结构框图，为了便于说明，仅示出了与本发明实施例相关的部分。该装置3可以是内置于智能终端中的软件单元、硬件单元或者软硬件结合的单元，包括：初始化单元31、标识获取单元32、请求动作判断单元33、浏览器打开暂停单元34、网址信息获取单元35和安全性判断单元36。

其中，初始化单元31，用于在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器；

标识获取单元32，用于获取当前系统运行时所启动的所有应用的进程标识pid；

请求动作判断单元33，用于根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作；

浏览器打开暂停单元34，用于当截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作；

网址信息获取单元35，用于从所述消息日志中解析出所述请求动作中包含的网址URL信息；

安全性判断单元36，用于将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全。

具体的，初始化单元31在系统中注册一个广播接收器msgReceiver，以由所述msgReceiver用于对外标识所述监控服务并接收系统发出的消息广播。

具体的，标识获取单元32包括：

缓冲区打开模块，用于打开一个接收缓冲区InputStream；

进程标识获取模块，用于通过接收缓冲区InputStream来获取服务管理器servicemanager的打包信息，所述打包信息中包括当前系统运行时所启动的所有应用的进程标识pid。

具体的，请求动作判断单元33包括：

日志监听器启动模块，用于建立并启动一个日志监听器LogCatScanner，由LogCatScanner监听LogCat采集的消息日志；

日志分析模块，用于实时分析新产生的消息日志，根据应用的进程标识pid从消息日志中识别出当前所启动的应用是否发生调用浏览器的动作日志。

本发明实施例提供的网址安全性的检测装置可以应用在前述对应的方法实施例一中，详情参见上述实施例一的描述，在此不再赘述。

实施例四

图4示出了本发明实施例四提供的网址安全性的检测装置的具体结构框图，为了便于说明，仅示出了与本发明实施例相关的部分。该装置4可以是内置于智能终端中的软件单元、硬件单元或者软硬件结合的单元，包括：初始化单元31、标识获取单元32、请求动作判断单元33、浏览器打开暂停单元34、网址信息获取单元35和安全性判断单元36。

上述单元31至36与实施例三中的相同，在此不再赘述。

进一步地，所述装置4还包括：第一处理单元41、第二处理单元42和第三处理单元43。

其中，第一处理单元41，用于当匹配的结果是恶意网址时，提示用户网址不安全，并终止应用打开浏览器的动作；

第二处理单元42，用于当匹配的结果是安全网址时，终止对请求调用浏览器的应用的挂起，允许请求调用浏览器的应用继续打开浏览器，恢复浏览器调用并通知用户网址是安全的；

第三处理单元43，用于当匹配的结果是未知网址时，将所述网址信息发送到云端服务器进行云检测，由云端服务器对所述网址信息进行进一步的判断，并返回检测结果至监控服务。

本发明实施例提供的网址安全性的检测装置可以应用在前述对应的方法实施例二中，详情参见上述实施例二的描述，在此不再赘述。

值得注意的是，上述装置实施例中，所包括的各个单元只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种网址安全性的检测方法，其特征在于，所述方法包括：

在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器；

监控服务获取当前系统运行时所启动的所有应用的进程标识pid；

监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作；

当监控服务截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作；

监控服务从所述消息日志中解析出所述请求动作中包含的网址URL信息；

监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全；

所述初始化监控服务具体为：

监控服务在系统中注册一个广播接收器msgReceiver，以由所述msgReceiver用于对外标识所述监控服务并接收系统发出的消息广播。

2.如权利要求1所述的方法，其特征在于，所述监控服务获取当前系统运行时所启动的所有应用的进程标识pid包括：

监控服务打开一个接收缓冲区InputStream；

所述监控服务通过接收缓冲区InputStream来获取服务管理器servicemanager的打包信息，所述打包信息中包括当前系统运行时所启动的所有应用的进程标识pid。

3.如权利要求1所述的方法，其特征在于，所述监控服务根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作包括：

监控服务建立并启动一个日志监听器LogCatScanner，由LogCatScanner监听LogCat采集的消息日志；

日志监听器实时分析新产生的消息日志，根据应用的进程标识pid从消息日志中识别出当前所启动的应用是否发生调用浏览器的动作日志。

4.如权利要求1至3任一项所述的方法，其特征在于，在所述监控服务将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全之后，还包括：

当匹配的结果是恶意网址时，监控服务提示用户网址不安全，并终止应用打开浏览器的动作；

当匹配的结果是安全网址时，监控服务终止对请求调用浏览器的应用的挂起，允许请求调用浏览器的应用继续打开浏览器，恢复浏览器调用并通知用户网址是安全的；

当匹配的结果是未知网址时，监控服务将所述网址信息发送到云端服务器进行云检测，由云端服务器对所述网址信息进行进一步的判断，并返回检测结果至监控服务。

5.一种网址安全性的检测装置，其特征在于，所述装置包括：

初始化单元，用于在系统中建立并初始化监控服务，所述监控服务的对外标识为浏览器；

标识获取单元，用于获取当前系统运行时所启动的所有应用的进程标识pid；

请求动作判断单元，用于根据所述进程标识pid监听并分析当前系统的消息日志，以判断是否发生应用调用浏览器的请求动作；

浏览器打开暂停单元，用于当截获到发生应用调用浏览器的请求动作时，暂停请求调用浏览器的应用打开浏览器的动作；

网址信息获取单元，用于从所述消息日志中解析出所述请求动作中包含的网址URL信息；

安全性判断单元，用于将所述网址信息与本地黑名单库中的网址信息进行匹配，根据匹配结果判断所述网址信息是否安全；

所述初始化单元在系统中注册一个广播接收器msgReceiver，以由所述msgReceiver用于对外标识所述监控服务并接收系统发出的消息广播。

6.如权利要求5所述的装置，其特征在于，所述标识获取单元包括：

缓冲区打开模块，用于打开一个接收缓冲区InputStream；

进程标识获取模块，用于通过接收缓冲区InputStream来获取服务管理器servicemanager的打包信息，所述打包信息中包括当前系统运行时所启动的所有应用的进程标识pid。

7.如权利要求5所述的装置，其特征在于，所述请求动作判断单元包括：

日志监听器启动模块，用于建立并启动一个日志监听器LogCatScanner，由LogCatScanner监听LogCat采集的消息日志；

日志分析模块，用于实时分析新产生的消息日志，根据应用的进程标识pid从消息日志中识别出当前所启动的应用是否发生调用浏览器的动作日志。

8.如权利要求5至7任一项所述的装置，其特征在于，所述装置还包括：

第一处理单元，用于当匹配的结果是恶意网址时，提示用户网址不安全，并终止应用打开浏览器的动作；

第二处理单元，用于当匹配的结果是安全网址时，终止对请求调用浏览器的应用的挂起，允许请求调用浏览器的应用继续打开浏览器，恢复浏览器调用并通知用户网址是安全的；

第三处理单元，用于当匹配的结果是未知网址时，将所述网址信息发送到云端服务器进行云检测，由云端服务器对所述网址信息进行进一步的判断，并返回检测结果至监控服务。