CN103442361A

CN103442361A - 移动应用的安全性检测方法及移动终端

Info

Publication number: CN103442361A
Application number: CN2013104071707A
Authority: CN
Inventors: 陈继; 吴庆; 吕涛; 马琳
Original assignee: Beijing Netqin Technology Co Ltd
Current assignee: Beijing Netqin Technology Co Ltd
Priority date: 2013-09-09
Filing date: 2013-09-09
Publication date: 2013-12-11
Anticipated expiration: 2033-09-09
Also published as: CN103442361B

Abstract

本发明提供了一种用于检测移动终端上的移动应用的安全性的方法以及相应的移动终端。该方法包括以下步骤：监控移动应用针对远程网络访问的会话的请求；在所述请求使用的协议满足规定的访问协议的情况下，截获所述请求的访问内容；在所述请求的访问内容包含URL访问请求的情况下，判断所述URL访问请求中的URL地址或对应的服务器地址是否为恶意地址；以及根据判断结果对所述移动应用执行安全操作。

Description

移动应用的安全性检测方法及移动终端

技术领域

本发明涉及移动终端安全领域，更具体地涉及一种用于检测移动终端上的移动应用的安全性的方法，以及实现该方法的移动终端。

背景技术

在当今的移动通信领域中，移动终端已在世界范围内被广泛应用。移动终端的示例包括(但不限于)：移动电话、个人数字助理(PDA)、手持计算机、膝上型计算机、平板电脑等。

随着移动终端的迅速普及，伴随而来的安全性问题日益突出，尤其是可在移动终端上运行的各种各样的移动应用所带来的安全性问题。当前，针对未知移动应用的安全性检测技术主要使用传统的静态检测技术(例如，特征码匹配技术和静态扫描技术)来进行安全性检测。特征码匹配技术主要在事先积累的大量样本(即，移动应用)的基础上通过提取特征串的方式建立丰富的特征码库，然后在此基础上通过安全策略设定和打分机制对未知移动应用进行解析和特征匹配，以判断该未知移动应用是否为恶意应用。静态扫描技术通常对未知移动应用采取反向过程或源代码扫描方式，从代码的角度对未知移动应用进行安全性扫描，以发现现有代码或逻辑中可能存在的安全性问题，并将此作为未知移动应用是否安全的依据。

传统的基于特征码的扫描和检测技术在面对新出现且具备隐秘特性的恶意移动应用时，已经面临无法进行实时和有效的检测所带来的挑战。现有的恶意移动应用在面对特征码匹配技术和静态扫描技术等现有的静态检测技术时时，可以通过混淆或隐藏等手段来逃避这些现有的静态检测技术，并且只在运行状态时，在远程控制命令触发条件下，才会产生恶意统一资源定位符(URL)访问情况，并带来相关的远程恶意行为。所以，需要解决这种未知移动应用只有和远程恶意源相互配合才会产生的安全威胁。

发明内容

因此，本发明针对这种未知移动应用只有和远程恶意源相互配合才会产生的安全威胁，提出一种面向移动应用的远程恶意行为的分析方法，用于弥补传统的静态检测方法在面对此类安全威胁检测时的不足，提高对未知移动应用的恶意远程行为的安全性检测的准确性。

具体地，根据本发明的第一方案，提供了一种用于检测移动终端上的移动应用的安全性的方法。该方法包括以下步骤：监控移动应用针对远程网络访问的会话的请求；在所述请求使用的协议满足规定的访问协议的情况下，截获所述请求的访问内容；在所述请求的访问内容包含URL访问请求的情况下，判断所述URL访问请求中的URL地址或对应的服务器地址是否为恶意地址；以及根据判断结果对所述移动应用执行安全操作。

在一些实施例中，根据判断结果对所述移动应用执行安全操作的步骤包括：如果所述URL访问请求中的URL地址或对应的服务器地址是恶意地址，则产生告警消息，所述告警消息包含所述请求中的URL地址或对应的服务器地址的具体信息。

在一些实施例中，根据判断结果对所述移动应用执行安全操作的步骤还包括：如果所述URL访问请求中的URL地址或对应的服务器地址是恶意地址，则在所述会话结束之后，将所述会话的相关信息写入所述移动终端的数据库中的恶意URL检测结果表。

在一些实施例中，所述会话的相关信息包括以下一项或多项：所述移动应用的名称；所述会话的发起时间；所述URL访问请求中的URL地址或对应的服务器地址的具体信息；与所述会话相关的网络数据报文的摘要；与所述会话相关的网络数据报文的存储路径。

在一些实施例中，根据判断结果对所述移动应用执行安全操作的步骤包括：如果所述URL访问请求中的URL地址或对应的服务器地址不是恶意地址，则给所述请求打上合法标记，以便后续直接放行在所述会话中进行的内容。

在一些实施例中，该方法还包括步骤：将判断结果发送给所述移动终端以外的第三方组件，以供所述第三方组件采取进一步的安全控制操作。

根据本发明的第二方案，提供了一种移动终端，用于检测移动终端上的移动应用的安全性。该移动终端包括：监控单元，用于监控移动应用针对远程网络访问的会话的请求；截获单元，用于在所述请求使用的协议满足规定的访问协议的情况下，截获所述请求的访问内容；判断单元，用于在所述请求的访问内容包含URL访问请求的情况下，判断所述URL访问请求中的URL地址或对应的服务器地址是否为恶意地址；安全操作执行单元，用于根据判断结果对所述移动应用执行安全操作。

在一些实施例中，所述安全操作执行单元还用于：如果所述URL访问请求中的URL地址或对应的服务器地址是恶意地址，则产生告警消息，所述告警消息包含所述请求中的URL地址或对应的服务器地址的具体信息。

在一些实施例中，所述安全操作执行单元还用于：如果所述URL访问请求中的URL地址或对应的服务器地址是恶意地址，则在所述会话结束之后，将所述会话的相关信息写入所述移动终端的数据库中的恶意URL检测结果表。

在一些实施例中，所述安全操作执行单元还用于：如果所述URL访问请求中的URL地址或对应的服务器地址不是恶意地址，则给所述请求打上合法标记，以便后续直接放行在所述会话中进行的内容。

在一些实施例中，所述移动终端还包括：发送单元，用于将判断结果发送给所述移动终端以外的第三方组件，以供所述第三方组件采取进一步的安全控制操作。

本发明提供的方法和移动终端为用户提供了动态监测移动应用的远程控制行为的手段。通过本发明的方法，可以对未知移动应用是否存在恶意远程行为进行安全性检测和分析，从而提高了移动终端的安全性。

附图说明

通过下面结合附图说明本发明的优选实施例，将使本发明的上述及其它目的、特征和优点更加清楚，其中：

图1是示出了根据本发明的一些实施例的移动终端100中的示例网络协议栈的框图。

图2是示出了根据本发明的一些实施例的安全检测机制的示意框图。

图3是示出了根据本发明的一些实施例的检测策略配置的一个示意结构。

图4是示出了根据本发明的一些实施例的恶意URL检测应用模块的处理流程。

图5是示出了根据本发明的一些实施例的检测移动应用的安全性的方法500的流程图。

图6是示出了根据本发明的一些实施例的移动终端600的框图。

在本发明的所有附图中，相同或相似的结构均以相同或相似的附图标记来标识。

具体实施方式

下面参照附图对本发明的优选实施例进行详细说明，在描述过程中省略了对于本发明来说是不必要的细节和功能，以防止对本发明的理解造成混淆。以下，以本发明应用于无线移动通信系统的场景为例，对本发明进行了详细描述。但本发明并不局限于此，本发明也可以应用于固定通信系统、有线通信系统，或者应用于无线移动通信系统、固定通信系统、有线通信系统等的任意混合结构。就移动通信系统而言，本发明并不局限于所涉及的各个移动通信终端的具体通信协议，可以包括(但不限于)2G、3G、4G、5G网络，WCDMA、CDMA2000、TD-SCDMA系统等，不同的移动终端可以采用相同的通信协议，也可以采用不同的通信协议。本发明并不局限于移动终端的具体操作系统，可以包括(但不限于)iOS、Windows Mobile、Symbian、安卓(Android)等，不同的移动终端可以采用相同的操作系统，也可以采用不同的操作系统。

首先，参考图1来说明根据本发明的一些示例实施例的移动终端100中的示例网络协议栈的框图。如图1所示，移动终端100中具有用于处理数据报文的网络协议栈110。在开放式系统互联(Open SystemInterconnection，下文中简称为OSI)7层参考模型下，该协议栈110也相应地包括7个协议层，即：物理层111、数据链路层112、网络层113、传输层114、会话层115、表示层116和应用层117。

在本实施例中，假设移动终端100是基于安卓平台开发的，而安卓平台是类Linux系统，其通常可被分为内核空间(kernel space)和用户空间(user space)。数据链路层112、网络层113、传输层114、会话层115等层的操作主要是在内核空间中实现的，用户通过系统调用(system calls)来调用内核空间中的函数接口，进而处理这些层的事务，而表示层116和应用层117的操作基本上是在用户空间中由用户自己实现的，用户需要自行编写处理函数来处理这两个层中的事务。当然，在其他实施例中，可以采用针对处理操作的其它内核空间／用户空间分布方式，本发明不限于上述分布方式。例如，会话层115的相关处理可以由用户在用户空间通过调用安卓系统的底层系统调用来自行实现。在本发明中，我们主要关注的是应用层117。

应用层117对应于OSI参考模型的第7层。应用层117直接和应用程序的本地进程交互并提供常见的网络应用服务。应用层117也向表示层116发出请求。应用层117是OSI参考模型的最高层，其是直接为应用进程提供服务的。其作用是在实现多个系统应用进程相互通信的同时，完成一系列业务处理所需的服务。

本发明的主要思路在于，通过在应用层(例如图1所示的应用层117)执行安全检测来实现针对移动应用的远程控制行为的动态行为分析。具体地，首先采集指定未知移动应用的运行生命周期内的网络行为相关数据，然后采用在应用层中实现恶意URL检测应用模块和在应用层中实现检测分析管理相结合的安全检测机制，来对未知移动应用是否存在恶意远程行为进行安全性检测和分析。

下面将主要以图2为例来说明本发明的总的发明构思。图2是示出了根据本发明的一些实施例的安全检测机制200的示意框图。

如图2所示，根据本发明的安全检测机制200由检测分析管理模块210和恶意URL检测应用模块220这两部分组成。

检测分析管理模块210是在应用层采取移动应用的方式实现的，主要包括以下功能：

1、对恶意URL检测应用模块应用检测策略配置；

2、监控恶意URL检测应用模块的运行状态；

3、管理未知移动应用的远程行为的检测分析结果，例如，这可以使用JAVA语言设计来实现；

4、模块及应用状态监控：实现检测功能的实时运行状态监控和异常状态告警设置；

5、检测结果管理，对未知移动应用已检测行为的分析结果进行管理，包括检测报告产生、检测结果导出和检测结果归档整理，例如配置管理产生的配置结果可以通过明文方式存储在SQLite数据库中。

图3示出了根据本发明的一些实施例的检测策略配置的一个示意结构。

如图3所示，检测策略配置规定了在时间范围“2013／08／01：00：00-2013／08／02：23：59”内，在协议范围“HTTP／HTTPS／FTP／SMTP／SNMP”内，启动针对待检样本“20130808001.apk”(即，未知移动应用)的恶意URL检测。此外，图3所示的检测策略配置还指定了数据存储位置。

恶意URL检测应用模块也是在应用层上通过移动应用的方式实现的。

图4是示出了根据本发明的一些实施例的恶意URL检测应用模块220的处理流程。

首先，在移动终端100的操作系统启动后，初始化设置功能410从SQLite数据库的指定表中读取恶意URL分类的所有相关配置信息，对这些信息进行HASH处理，然后在内存中形成供检测匹配使用的恶意URL分类HASH MAP表，从而完成初始化配置工作。

接下来，恶意URL检测应用模块启用监听功能420。例如，监听功能420可以通过代理方式运行。监听功能420可以对未知移动应用的远程网络访问中的会话请求进行监控。

当监听功能420监听到有会话请求的行为发生时，如果会话请求所使用的协议满足配置规定中的访问协议，那么监听功能420将截获该请求的访问内容。

监听功能420判断被截获的请求中是否包含有URL访问请求。如果有，则恶意URL检测应用模块将调用恶意URL分析功能430。

恶意URL分析功能430在检测HASH表中，对该URL信息进行顺序检索，以用来判断访问中的URL地址或其对应的服务器地址是否为恶意地址，即，判断访问中的URL地址是否为恶意URL地址，或者判断访问对应的服务器地址是否为恶意远程服务器地址。

如果访问中的URL地址或其对应的服务器地址不是恶意地址，例如该目标URL是合法URL地址，那么监听功能420会将该请求记录到SQLite的日志系统，并打上合法标记，以便对后续在该会话中进行的内容将直接放行通过。

如果访问中的URL地址或其对应的服务器地址是恶意地址(或非法URL)，那么监听功能420会产生告警消息。该告警消息包含该未知移动应用的概要信息和访问中的URL地址或其对应的服务器地址的具体信息。同时，监听功能420会开启数据包记录功能440。数据包记录功能440将与此次会话相关的所有网络数据包进行记录。此外，在会话结束后，监听功能420将与此次会话相关的所有网络数据包使用7zip提供的外部工具进行选择加密之后压缩并且上传到SD卡指定位置。在上传完毕后，监听功能420将此次会话的完整信息(样本名称、会话发起时间、请求URL信息、数据包摘要、数据包存储路径等)写入到SQLite数据库中的对应恶意URL检测结果表中。

此外，还可以将监听功能420配置用于访问外部接口。例如，监听功能420可以将检测结果发送给第三方组件，以供第三方功能可以在该检测结果的基础上采取进一步的安全控制操作。

图5是示出了根据本发明的一些实施例的检测移动应用的安全性的方法500的流程图，该方法500是在应用层(例如图1所示的应用层117)中实现的。如图5所示，方法500可以包括步骤S510、S520、S530、S540、S550、S560、S570和S580。根据本发明，方法500的一些步骤可以单独执行或组合执行，以及可以并行执行或顺序执行，并不局限于图5所示的具体操作顺序。在一些实施例中，方法500可以由图6所示的移动终端600来执行。在另一些实施例中，方法500可以由图1所示的移动终端100或图2所示的恶意URL检测应用模块220来执行。

图6是示出了根据本发明的一些实施例的移动终端600的方框图，该移动终端600可以检测其上的移动应用的安全性。如图6所示，移动终端600可以包括监控单元610、截获单元620、判断单元630和安全操作执行单元640。

监控单元610用于监控移动应用针对远程网络访问的会话的请求。监控单元610可以是移动终端600的中央处理单元(CPU)、数字信号处理器(DSP)、微处理器、微控制器等等，其可以与移动终端600的收发信机之类的通信接口等等相配合，以监控移动应用针对进行远程网络访问的会话的请求。

截获单元620用于在该请求所使用的协议满足规定的访问协议的情况下，截获该请求的访问内容。截获单元620可以是移动终端600的中央处理单元(CPU)、数字信号处理器(DSP)、微处理器、微控制器等等，其可以与移动终端600的存储设备(例如、硬盘、软盘、光盘、磁带等)等相配合，以截获使用规定的访问协议的请求中的访问内容。

判断单元630用于在该请求的访问内容包含URL访问请求的情况下，判断该URL访问请求中的URL地址或对应的服务器地址是否为恶意地址，即，判断该URL访问请求中的URL地址是否为恶意URL地址或该URL访问请求对应的服务器地址是否为恶意远程服务器地址。判断单元630可以是移动终端600的中央处理单元(CPU)、数字信号处理器(DSP)、微处理器、微控制器等等，其可以与移动终端600的存储设备(例如、硬盘、软盘、光盘、磁带等)等相配合，以判断该URL访问请求中的URL地址或对应的服务器地址是否为恶意地址。例如，可以通过对存储在移动终端600中的HASH表顺序检索该URL地址或对应的服务器地址来进行判断。

安全操作执行单元640用于根据判断结果对该移动应用执行安全操作。安全操作执行单元640可以是移动终端600的中央处理单元(CPU)、数字信号处理器(DSP)、微处理器、微控制器等等，其可以与移动终端600的存储设备(例如、硬盘、软盘、光盘、磁带等)等相配合，以根据判断单元630的判断结果来对该移动应用执行安全操作。

如果判断结果为该URL访问请求中的URL地址或对应的服务器地址是恶意地址(例如，非法URL)，则安全操作执行单元640可以产生告警消息。该告警消息包含请求中的URL地址或对应的服务器地址的具体信息。进一步地，安全操作执行单元640还可以在该会话结束之后，将该会话的相关信息写入移动终端600的数据库中的恶意URL检测结果表。例如，会话的相关信息包括以下一项或多项：移动应用的名称；会话的发起时间；URL访问请求中的URL地址或对应的服务器地址的具体信息；与会话相关的网络数据报文的摘要；与会话相关的网络数据报文的存储路径。如果判断结果为URL访问请求中的URL地址或对应的服务器地址不是恶意地址，例如，URL访问请求中的URL地址或对应的服务器地址为合法URL，则该安全操作执行单元640可以用于给该请求打上合法标记，以便后续直接放行在该会话中进行的内容。例如，该安全操作执行单元640可以将该会话的请求记录到SQLite的日志系统中，并打上合法标记，以便对后续在该会话中进行的内容直接放行通过。

移动终端600还可以包括发送单元650，用于将判断结果发送给移动终端600以外的第三方组件，以供第三方组件采取进一步的安全控制操作。

应注意，移动终端600中的两个或多个不同单元可以在逻辑上或物理上组合在一起。例如，监控单元610、截获单元620和发送单元650可以组合成一个单元，例如监控单元610、截获单元620和发送单元650可以由图2所示的监听功能来统一实现。

以下将结合图1～6，对根据本发明实施例的检测移动应用的安全性的方法500和移动终端600进行详细的描述。应当注意，本发明实施例的方法500和移动终端600可以在图1所示的移动终端100中实现，但本发明并不局限于此。

在步骤S510，移动终端600的监控单元610监控移动应用针对远程网络访问的会话的请求。

在步骤S520，移动终端600的判断单元630判断该请求使用的协议是否满足规定的访问协议。如果否，则方法500回到步骤S510，由移动终端600的监控单元610继续监控移动应用针对远程网络访问的会话的请求。

在步骤S530(即，步骤S520的判断结果为‘是’)，移动终端600的截获单元620在步骤S530截获该请求的访问内容。

在步骤S540，移动终端600的判断单元630判断该请求的访问内容是否包含URL访问请求。如果否，则方法500回到步骤S510，由移动终端600的监控单元610继续监控移动应用针对远程网络访问的会话的请求。

在步骤S550(即，步骤S540的判断结果为‘是’)，移动终端600的判断单元630继续判断该URL访问请求中的URL地址或对应的服务器地址是否为恶意地址，即，该URL访问请求中的URL地址是否为恶意URL地址或该URL访问请求对应的服务器地址是否为恶意远程服务器地址。例如，移动终端600的判断单元630可以通过对存储在移动终端600中的HASH表顺序检索该URL地址或对应的服务器地址，来进行判断。

在步骤S560(即，步骤S550的判断结果为‘是’)，移动终端600的安全操作执行单元640产生告警消息。该告警消息包含请求中的URL地址或对应的服务器地址的具体信息。

在步骤S570，安全操作执行单元640还可以在该会话结束之后，将该会话的相关信息写入移动终端600的数据库中的恶意URL检测结果表。例如，会话的相关信息包括以下一项或多项：移动应用的名称；会话的发起时间；URL访问请求中的URL地址或对应的服务器地址的具体信息；与会话相关的网络数据报文的摘要；与会话相关的网络数据报文的存储路径。

在步骤S580(即，步骤S550的判断结果为‘否’)，移动终端600的安全操作执行单元640可以给该请求打上合法标记，以便后续直接放行在该会话中进行的内容。例如，移动终端600的安全操作执行单元640可以将该会话的请求记录到SQLite的日志系统中，并打上合法标记，以便对后续在该会话中进行的内容直接放行通过。

根据本发明的一些实施例，方法500还可以包括以下步骤(未示出)：移动终端600的发送单元650将检测结果发送给该移动终端600以外的第三方组件，以供第三方组件采取进一步的安全控制操作。

至此已经结合优选实施例对本发明进行了描述。应该理解，本领域技术人员在不脱离本发明的精神和范围的情况下，可以进行各种其它的改变、替换和添加。因此，本发明的范围不局限于上述特定实施例，而应由所附权利要求所限定。

Claims

1.一种用于检测移动终端上的移动应用的安全性的方法，包括以下步骤：

监控移动应用针对远程网络访问的会话的请求；

在所述请求使用的协议满足规定的访问协议的情况下，截获所述请求的访问内容；

在所述请求的访问内容包含统一资源定位符(URL)访问请求的情况下，判断所述URL访问请求中的URL地址或对应的服务器地址是否为恶意地址；以及

根据判断结果对所述移动应用执行安全操作。

2.根据权利要求1所述的方法，根据判断结果对所述移动应用执行安全操作的步骤包括：

如果所述URL访问请求中的URL地址或对应的服务器地址是恶意地址，则产生告警消息，所述告警消息包含所述请求中的URL地址或对应的服务器地址的具体信息。

3.根据权利要求2所述的方法，根据判断结果对所述移动应用执行安全操作的步骤还包括：

如果所述URL访问请求中的URL地址或对应的服务器地址是恶意地址，则在所述会话结束之后，将所述会话的相关信息写入所述移动终端的数据库中的恶意URL检测结果表。

4.根据权利要求3所述的方法，其中，所述会话的相关信息包括以下一项或多项：

所述移动应用的名称；

所述会话的发起时间；

所述URL访问请求中的URL地址或对应的服务器地址的具体信息；

与所述会话相关的网络数据报文的摘要；

与所述会话相关的网络数据报文的存储路径。

5.根据权利要求1所述的方法，根据判断结果对所述移动应用执行安全操作的步骤包括：

如果所述URL访问请求中的URL地址或对应的服务器地址不是恶意地址，则给所述请求打上合法标记，以便后续直接放行在所述会话中进行的内容。

6.根据权利要求1至5中任一项所述的方法，还包括步骤：

将判断结果发送给所述移动终端以外的第三方组件，以供所述第三方组件采取进一步的安全控制操作。

7.一种移动终端，用于检测所述移动终端上的移动应用的安全性，包括：

监控单元，用于监控移动应用针对远程网络访问的会话的请求；

截获单元，用于在所述请求使用的协议满足规定的访问协议的情况下，截获所述请求的访问内容；

判断单元，用于在所述请求的访问内容包含统一资源定位符(URL)访问请求的情况下，判断所述URL访问请求中的URL地址或对应的服务器地址是否为恶意地址；

安全操作执行单元，用于根据判断结果对所述移动应用执行安全操作。

8.根据权利要求7所述的移动终端，所述安全操作执行单元还用于：

9.根据权利要求8所述的移动终端，所述安全操作执行单元还用于：

10.根据权利要求9所述的移动终端，其中，所述会话的相关信息包括以下一项或多项：

所述移动应用的名称；

所述会话的发起时间；

与所述会话相关的网络数据报文的摘要；

与所述会话相关的网络数据报文的存储路径。

11.根据权利要求7所述的移动终端，所述安全操作执行单元还用于：

12.根据权利要求7至11中任一项所述的移动终端，还包括：

发送单元，用于将判断结果发送给所述移动终端以外的第三方组件，以供所述第三方组件采取进一步的安全控制操作。