CN103632095A - 一种扩展包安全检测方法和装置 - Google Patents

Abstract

本发明公开了一种扩展包安全检测方法和装置，涉及浏览器领域。所述方法包括：获取CRX格式扩展文件;获取所述CRX格式扩展文件的二进制流;在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;以压缩格式的操作类对所述检测文件进行安全检测。本发明的一种扩展包安全检测方法可以将CRX格式扩展文件转换为内容可读格式的压缩格式的检测文件，如此可对压缩格式的文件进行安全检测，由此解决了无法检CRX格式扩展文件内容是否安全，导致用户可能安装不安全的CRX格式扩展文件的导致隐私信息的安全或者系统安全的问题，取得了可降低CRX格式扩展文件的安装对用户隐私泄露的风险以及对系统安全的威胁的有益效果。

Description

一种扩展包安全检测方法和装置

技术领域

本发明涉及浏览器领域，具体涉及一种扩展包安全检测方法和装置。

背景技术

为了适应互联网应用的发展，很多厂商提供了开源的浏览器，可以使各个应用提供商在开源浏览器中提供第三方的扩展应用，比如对于Chrome浏览器，应用提供商可基于Chrome浏览器提供各种各样的扩展，其扩展是以CRX（Chrome Extension）格式扩展文件的形式存在，以符合Chrome的接口要求，但是因为Chrome是开放的，对于扩展内容并未有何限定，只需技术人员在其接口标准下，任何操作均可加入扩展文件。在现有技术中，应用提供商提供的扩展文件一般是放入扩展平台提供给用户下载，但是用户由于不知道扩展文件的内容是否危险，其下载安装的扩展文件是不安全的，则可能威胁到其隐私信息的安全、也可能对其系统安全造成影响。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种扩展包安全检测装置和相应的一种扩展包安全检测方法。

依据本发明的一个方面，提供了一种扩展包安全检测方法，包括：

获取CRX格式扩展文件;

获取所述CRX格式扩展文件的二进制流;

在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

以压缩格式的操作类对所述检测文件进行安全检测。

可选的,所述在所述二进制流中去除指定位置的二进制流段包括：

去除从所述二进制流开头位置开始的306字节。

可选的,所述获得压缩格式的检测文件包括:

将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

可选的,所述以压缩格式的操作类对所述检测文件进行安全检测包括：

以zip操作类对所述检测文件进行安全检测。

可选的,所述以压缩格式的操作类对所述检测文件进行安全检测包括：

以zip操作类打开所述检测文件；

扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

可选的,扫描配置文件，并与安全特征库进行匹配，获得匹配结果；包括：

根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值。

可选的,所述扫描配置文件，并与安全特征库进行匹配，获得匹配结果包括：

扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

可选的,所述扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果包括：

扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

和/或，扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

和/或，扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

可选的,还包括：

在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

可选的,所述扫描配置文件，并与安全特征库进行匹配，获得匹配结果还包括：

根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

本发明还提供了一种扩展包安全检测装置，包括：

扩展文件获取模块，适于获取CRX格式扩展文件;

二进制流获取模块，适于获取所述CRX格式扩展文件的二进制流;

转换模块，适于在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

安全检测模块，适于以压缩格式的操作类对所述检测文件进行安全检测。

可选的,所述二进制流获取模块包括：

第一二进制流去除模块，适于去除从所述二进制流开头位置开始的306字节。

可选的,所述转换模块包括:

第一转换模块，适于将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

可选的,所述安全检测模块包括：

zip类安全检测模块，适于以zip操作类对所述检测文件进行安全检测。

可选的,所述安全检测模块包括：

打开模块，适于以zip操作类打开所述检测文件；

第一扫描模块，适于扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，第二扫描模块，适于扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

危险标记模块，适于根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

可选的,所述第二扫描模块包括：

权限扫描模块，适于根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值。

可选的,所述第二扫描模块包括：

第三扫描模块，适于扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

可选的,所述第三扫描模块包括：

对象字段扫描模块，适于扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

和/或许可字段扫描模块，适于扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

和/或，补丁字段扫描模块，适于扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

可选的,还包括：

敏感网站名单设置模块，适于在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

可选的,所述第二扫描模块还包括：

目标网站扫描模块，适于根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

第一安全判断模块，适于将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

根据本发明的一种扩展包安全检测方法可以将CRX格式扩展文件转换为内容可读格式的压缩格式的检测文件，如此可对压缩格式的文件进行安全检测，由此解决了无法检CRX格式扩展文件内容是否安全，导致用户可能安装不安全的CRX格式扩展文件的导致隐私信息的安全或者系统安全的问题，取得了可降低CRX格式扩展文件的安装对用户隐私泄露的风险以及对系统安全的威胁的有益效果。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的一种扩展包安全检测方法的流程示意图;

图2示出了根据本发明一个实施例的一种扩展包安全检测方法的流程示意图;

图3示出了根据本发明一个实施例的一种扩展包安全检测方法的流程示意图;

图4示出了根据本发明一个实施例的扫描的配置文件代码示例。

图5示出了根据本发明一个实施例的一种扩展包安全检测装置的结构示意图;

图6示出了根据本发明一个实施例的一种扩展包安全检测装置的结构示意图;

图7示出了根据本发明一个实施例的一种扩展包安全检测装置的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

实施例一

参照图1，其示出了本发明一种扩展包安全检测方法的流程示意图，具体可以包括：

步骤102，获取CRX格式扩展文件;

本发明实施例是针对Chrome浏览器的扩展文件，其扩展文件是CRX（Chrome Extension）格式的扩展文件，那么对于应用提供商上传到扩展平台的扩展文件，本发明则可在平台服务器侧从平台获取该CRX格式的扩展文件；或者在浏览器侧，针对用户下载的扩展文件，获取该CRX格式的扩展文件。

步骤104，获取所述CRX格式扩展文件的二进制流;

对于前述获得的CRX格式的扩展文件，本步骤先读取其二进制流。二进制流是指流动的是二进制数字序列，若流中有字符，则用一个字节的二进制ASCII码表示，若是数字，则用一个字节的二进制数表示。在流入流出时，对\n符号不进行变换。例如2001这个数，在文本流中用其ASCII码表示为：′2′′0′′0′′1′

||||

50 48 48 49

共占4字节。而在二进制流中则表示为：00000111 11010001。

另外，计算机的存储在物理上是二进制的，本发明在打开CRX格式扩展文件时，可以添加ios_base::binary标识，以read（）函数读取CRX格式扩展文件的二进制流。

步骤106，在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

因为CRX格式的文件，其将具体的功能文件比如脚本文件、配置文件、图片文件等文件按其格式进行加密封装，直接打开是无法查看其到底包括哪些文件以及内容是什么。那么本发明实施例则可通过对二进制流的处理，将其转换为内容可读的格式。即在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件。

在本发明实施例中，发明人经过对CRX格式文件的二进制流按字节顺序进行分析，发现去除指定位置的二进制流段，则可转换为压缩格式的文件，可通过压缩格式的文件查看CRX格式的扩展文件具体由哪些文件组成，其配置文件编码是什么。

优选的，所述在所述二进制流中去除指定位置的二进制流段包括：

步骤A12，去除从所述二进制流开头位置开始的306字节。

在本发明实施例中，CRX格式扩展文件的二进制流开始306字节是用来对扩展脚本文件、配置文件等进行封装的头部数据，而去除该306字节的数据后，剩余的数据即为正规的压缩格式文件。

优选的，所述获得压缩格式的检测文件包括:

步骤A14，将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

在本发明实施例中，去除指定位置的二进制流段后，可获得对应zip格式的二进制流，那么可将该剩余的二进制流按转换逻辑转换为zip格式的检测文件。

在本发明实施例中，优选的，去除从所述二进制流开头位置开始的306字节，剩下的二进制流转换为zip格式的检测文件。

在本发明实施例中，首先是从硬盘中将CRX格式扩展文件以二进制形式读入内存，在内存中去除从所述二进制流开头位置开始的306字节，然后将剩余的字节按二进制流与zip格式的转换逻辑转换为zip格式的文件。

步骤108，以压缩格式的操作类对所述检测文件进行安全检测。

在获得压缩格式的检测文件后，即可以针对该压缩格式的操作类函数对所述检测文件进行内容扫描，从而进行安全检测。

优选的，所述以压缩格式的操作类对所述检测文件进行安全检测包括：

步骤A16，以zip操作类对所述检测文件进行安全检测。

在本发明实施例中，当前述获得zip格式检测文件后，则可以zip操作类对所述检测文件进行安全检测。

在本发明实施例中可以php的zip操作类对其进行处理，php的zip file函数大致如下表一：

表一

在本发明中可采用zip_open()打开ZIP格式的检测文件，以zip_read()按序读取检测文件的每个项目（也即压缩包中的子文件）对项目进行分析，同时利用zip_entry_open()打开ZIP文件中的一个项目以供读取，然后利用zip_entry_read()读取ZIP文件中的一个打开的项目对项目内容进行分析。

优选的，所述以压缩格式的操作类对所述检测文件进行安全检测包括：

步骤A22，以zip操作类打开所述检测文件，扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

在本发明实施例中在以zip操作类打开所述检测文件后，可只扫描检测文件中的项目是否包括动态链接库类文件，也可只扫描检测文件中的配置文件，在Chrome浏览器的扩展文件设计标准中，其配置文件为manifest.json文件；当然最优的，是同时扫描检测文件中的项目是否包括动态链接库类文件，也扫描检测文件中的配置文件。

步骤A24，根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

如果包括动态链接库类文件，比如存在.dll格式的文件，则说明该扩展文件需要加载逻辑不明的动态链接库，存在潜在威胁，则可对CRX格式扩展文件进行危险标记。

对于扫描的manifest.json文件，在Chrome浏览器的扩展文件设计标准中，其扩展文件中必有manifest.json文件，用于配置扩展文件的对象网站、申请权限，js脚本等内容信息。

本发明实施例可以将CRX格式扩展文件转换为内容可读格式的压缩格式的检测文件，如此可对压缩格式的文件进行安全检测，由此解决了无法检CRX格式扩展文件内容是否安全，导致用户可能安装不安全的CRX格式扩展文件的导致隐私信息的安全或者系统安全的问题，取得了可降低CRX格式扩展文件的安装对用户隐私泄露的风险以及对系统安全的威胁的有益效果。

实施例二

参照图2，其示出了本发明一种扩展包安全检测方法的流程示意图，包括：

步骤202，获取CRX格式扩展文件;

步骤204，获取所述CRX格式扩展文件的二进制流;

步骤206，在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

步骤208，以zip操作类打开所述检测文件；

步骤210，扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；

步骤212，根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值；

在本发明实施例中在以zip操作类打开所述检测文件后，可同时扫描检测文件中的项目是否包括动态链接库类文件，也扫描检测文件中的配置文件。在Chrome浏览器的扩展文件设计标准中，其配置文件为manifest.json文件。

在本发明实施例中，CRX格式扩展文件可向浏览器或者系统申请各种权限，比如申请：

1.访问用户在电脑上和所有网站上的数据。

2.读取和修改用户的书签

3.读取和修改用户的浏览器记录

4.访问用户的标签页和浏览活动

5.管理用户的应用、扩展程序和主题背景

6.访问用户在所有网站上的数据。

7.访问用户在限定网站上的数据。

8.管理用于控制网站对Cookie,JavasScript和插件的访问权限的设置

9.检测用户所在的地理位置。

10.访问复制和粘贴的数据。

11.管理隐私相关设置

12.访问使用合成语音说出的所有文件。

等权限。而每种权限都可设置危险特征值表示危险程度，比如危险特征值取值范围为1～10，值越高说明越危险。

对于配置文件申请的各种权限，获得对应的危险特征值后，可进行加权计算，得到一个总特征值，则可以作为所述CRX格式扩展文件第一危险特征值。

在本发明实施例中，可扫描内容脚本（content_scripts）字段中的许可（permissions）字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值。

步骤214，根据所述是否包括动态链接库类文件的结果和所述第一危险特征值，对CRX格式扩展文件进行危险标记。

如果包括动态链接库类文件，比如存在.dll格式的文件，则说明该扩展文件需要加载逻辑不明的动态链接库，存在潜在威胁，则可对CRX格式扩展文件进行危险标记。

在本发明实施例中，对于是否包括动态链接库类文件的结果可设置一个第二危险特征值，与第一危险特征值进行加权计算获得总危险等级，并根据总危险等级对CRX格式扩展文件进行危险标记。

优选的，还包括：

步骤B24，在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

对于不同类型的网站，有些网站需要较高的安全性，比如银行网站，支付网站等，则可在安全特征库中针对上述类型网站设定敏感网站名单，而对于安全性程度要求不同的网站来说，对其禁止申请的权限的范围可大可小，因而可对不同安全程度的网站设置不同的禁止申请权限列表。以使其尽量降低对CRX格式扩展文件以及用户的影响。

优选的，还包括：

步骤B26，根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

步骤B28，将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

在本发明中还可根据CRX格式扩展文件的应用类别与申请的网站类别的相关度，判断申请的权限的危险程度。比如如果一个天气类的扩展，居然对淘宝申请“http://*”权限，则可以断定此扩展危险。

在本发明实施例中对每种判断为危险扩展的判断结果，可对应某危险值，然后进行加权计算获得总危险等级然后对CRX格式扩展文件进行危险等级标识。

本发明实施例可以将CRX格式扩展文件转换为内容可读格式的压缩格式的检测文件，并对压缩格式的文件以及申请权限进行安全检测，提高了安全检测的准确性，更有效的解决了无法检CRX格式扩展文件内容是否安全，导致用户可能安装不安全的CRX格式扩展文件的导致隐私信息的安全或者系统安全的问题，取得了可降低CRX格式扩展文件的安装对用户隐私泄露的风险以及对系统安全的威胁的有益效果。

实施例三

参照图3，其示出了本发明一种扩展包安全检测方法的流程示意图，包括：

步骤302，获取CRX格式扩展文件;

步骤304，获取所述CRX格式扩展文件的二进制流;

步骤306，在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

步骤308，以zip操作类打开所述检测文件；

步骤310，扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；

步骤312，扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果；

对于扫描的manifest.json文件，在Chrome浏览器的扩展文件设计标准中，其扩展文件中必有manifest.json文件，用于配置扩展文件的对象网站、申请权限，js脚本等内容信息。

因此本申请实施例可扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果，即扫描manifest.json文件代码中的content_scripts字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

优选的，参照图4，结合本发明manifest.json文件代码的示例，介绍所述扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

如图4其中的内容脚本字段为content_scripts字段，content_scripts字段中包括对象字段（maches字段）、许可字段（permissions字段）、补丁字段（pach字段）。maches字段表示js脚本的插入对象网站为什么，permissions字段声明要申请的权限，pach字段表示还有何其他功能的插件。

所述扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果可包括：

步骤C12，扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

content_scripts字段下matches的值（符合的网站可以注入脚本），可确定一个目标网站名单，规定哪些网站不能注入脚本，从而可以在扫描后对网站进行匹配。

和/或，步骤C14，扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

在本发明实施例中，如前所述可有12类的安全警告的申请权限，具体在扫描过程中安全特征库记录的用于匹配的的申请权限字段可包括下述几种：

a)webRequest(请求监控或修改)

b)webRequestBlocking(请求监控或修改)

c)proxy(设置网络代理)

d)management(进行扩展管理)

e)https://*（申请访问指定网站的权限）

f)*://*（申请访问各网站的权限）

g)http://*（申请访问指定网站的权限）

h)contentSettings(控制浏览器页面呈现，例如禁用js/cookie/flash等)

i)contextMenus(添加右键菜单)

j)experimental(开发测试API)

k)Bookmarks(读取修改书签)

l)unlimitedStorage(存储空间无限)

m)cookies(访问用户cookie)

n)history(访问历史纪录)

o)privacy(隐私控制，如允许第三方cookie等)

每个字段对应前述一个警告类别，可设置一个危险特征值，那么本步骤扫描到多少个字段，则每个字段则对应一个危险特征值，然后可并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值。

和/或，步骤C16，扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

如果content_scripts字段下的pach值为***.dll，则意味着该扩展还要添加一个动态链接库，那么其也是高危扩展。

当然，本发明实施例中步骤C12、C14和C16可任意组合，优选的是三种同时采用。

优选的，还包括：

步骤C18，在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

预先在安全特征库中设定敏感网站名单针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

优选的，所述扫描配置文件，并与安全特征库进行匹配，获得匹配结果还包括：

步骤C20，根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

步骤C22将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

步骤314，根据所述是否包括动态链接库类文件的结果和所述匹配结果，对CRX格式扩展文件进行危险标记。

在本发明实施例中，每种扫描结果可对应一个危险特值，至少包括四种危险特征值：1、表示是否包括动态库类文件的结果的危险特征值，如果没有则为0，如果有则表示危险，可设为10；2、对象字段中的目标网站与安全特征库中记录的目标网站名单匹配结果的危险特征值，如果不匹配，则为0，如果匹配，可设为8；3、前述计算得到的第一危险特征值，在0-10范围之内；4、补丁字段中是否存在动态链接库的插入指示的结果，如果没有，则为0，如果有，可设为10。

在本发明中，上述每一种超过阈值即可报警提示，也可进行加权计算得到总值后进行报警提示。

在本发明实施例中，可针对manifest.json文件的content_scripts字段进行扫描，进行更详细的分析，提高对CRX格式扩展文件安全判断的准确性。更有效的解决了无法检CRX格式扩展文件内容是否安全，导致用户可能安装不安全的CRX格式扩展文件的导致隐私信息的安全或者系统安全的问题，取得了可降低CRX格式扩展文件的安装对用户隐私泄露的风险以及对系统安全的威胁的有益效果。

实施例一、二、三相似的步骤原理类似，在此不再赘叙。

实施例四

参照图5，其示出了本发明实施例的一种扩展包安全检测装置的结构示意图，包括：

扩展文件获取模块402，适于获取CRX格式扩展文件;

二进制流获取模块404，适于获取所述CRX格式扩展文件的二进制流;

转换模块406，适于在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

安全检测模块408，适于以压缩格式的操作类对所述检测文件进行安全检测。

可选的，所述二进制流获取模块包括：

第一二进制流去除模块，适于去除从所述二进制流开头位置开始的306字节。

可选的，所述转换模块包括:

第一转换模块，适于将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

可选的，所述安全检测模块包括：

zip类安全检测模块，适于以zip操作类对所述检测文件进行安全检测。

可选的，所述安全检测模块包括：

打开模块，适于以zip操作类打开所述检测文件；

第一扫描模块，适于扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，第二扫描模块，适于扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

危险标记模块，适于根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

实施例五

参照图6，其示出了本发明实施例的一种扩展包安全检测装置的结构示意图，包括：

扩展文件获取模块502，适于获取CRX格式扩展文件;

二进制流获取模块504，适于获取所述CRX格式扩展文件的二进制流;

转换模块506，适于在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

打开模块508，适于以zip操作类打开所述检测文件；

第一扫描模块510，适于扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；

权限扫描模块512，适于根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值；

危险标记模块514，适于根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

可选的，还包括：

敏感网站名单设置模块，适于在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

可选的，所述第二扫描模块还包括：

目标网站扫描模块，适于根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

第一安全判断模块，适于将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

实施例五

参照图7，其示出了本发明实施例的一种扩展包安全检测装置的结构示意图，包括：

扩展文件获取模块602，适于获取CRX格式扩展文件;

二进制流获取模块604，适于获取所述CRX格式扩展文件的二进制流;

转换模块606，适于在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

打开模块608，适于以zip操作类打开所述检测文件；

第一扫描模块610，适于扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；

第三扫描模块612，适于扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果；

危险标记模块614，适于根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

所述第三扫描模块包括：

对象字段扫描模块，适于扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

和/或许可字段扫描模块，适于扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

和/或，补丁字段扫描模块，适于扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

可选的，还包括：

敏感网站名单设置模块，适于在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

可选的，所述第二扫描模块还包括：

目标网站扫描模块，适于根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

第一安全判断模块，适于将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的扩展包安全检测设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本发明提供了A1、一种扩展包安全检测方法，包括：

获取CRX格式扩展文件;

获取所述CRX格式扩展文件的二进制流;

在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

以压缩格式的操作类对所述检测文件进行安全检测。

A2、如A1所述的方法，其特征在于，所述在所述二进制流中去除指定位置的二进制流段包括：

去除从所述二进制流开头位置开始的306字节。

A3、如A1所述的方法，其特征在于，所述获得压缩格式的检测文件包括:

将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

A4、如A3所述的方法，其特征在于，所述以压缩格式的操作类对所述检测文件进行安全检测包括：

以zip操作类对所述检测文件进行安全检测。

A5、如A1所述的方法，其特征在于，所述以压缩格式的操作类对所述检测文件进行安全检测包括：

以zip操作类打开所述检测文件；

扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

A6、如A5所述的方法，其特征在于，扫描配置文件，并与安全特征库进行匹配，获得匹配结果；包括：

根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值。

A7、如A5所述的方法，其特征在于，所述扫描配置文件，并与安全特征库进行匹配，获得匹配结果包括：

扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

A8、如A7所述的方法，其特征在于，所述扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果包括：

扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

和/或，扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

和/或，扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

A9、如A6或A8所述的方法，其特征在于，还包括：

在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

A10、如A9所述的方法，其特征在于，所述扫描配置文件，并与安全特征库进行匹配，获得匹配结果还包括：

根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

本发明还提供了A11、一种扩展包安全检测装置，包括：

扩展文件获取模块，适于获取CRX格式扩展文件;

二进制流获取模块，适于获取所述CRX格式扩展文件的二进制流;

转换模块，适于在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

安全检测模块，适于以压缩格式的操作类对所述检测文件进行安全检测。

A12、如A11所述的装置，其特征在于，所述二进制流获取模块包括：

第一二进制流去除模块，适于去除从所述二进制流开头位置开始的306字节。

A13、如A11所述的装置，其特征在于，所述转换模块包括:

第一转换模块，适于将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

A14、如A13所述的装置，其特征在于，所述安全检测模块包括：

zip类安全检测模块，适于以zip操作类对所述检测文件进行安全检测。

A15、如A11所述的装置，其特征在于，所述安全检测模块包括：

打开模块，适于以zip操作类打开所述检测文件；

第一扫描模块，适于扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，第二扫描模块，适于扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

危险标记模块，适于根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

A16、如A15所述的装置，其特征在于，所述第二扫描模块包括：

权限扫描模块，适于根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值。

A17、如A15所述的装置，其特征在于，所述第二扫描模块包括：

第三扫描模块，适于扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

A18、如A17所述的装置，其特征在于，所述第三扫描模块包括：

对象字段扫描模块，适于扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

和/或许可字段扫描模块，适于扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

和/或，补丁字段扫描模块，适于扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

A19、如A16或A18所述的装置，其特征在于，还包括：

敏感网站名单设置模块，适于在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

A20、如A19所述的装置，其特征在于，所述第二扫描模块还包括：

目标网站扫描模块，适于根据对配置文件的扫描结果，获得目标网站以及对各目标网站申请的权限；

第一安全判断模块，适于将目标网站与安全特征库中的敏感网站名单进行匹配，对于匹配上的目标网站，则判断对目标网站申请的权限是否在所述禁止对所述敏感网站申请的权限列表中，如果在，则表示该CRX格式扩展文件属于危险扩展。

Claims (10)

1.一种扩展包安全检测方法，包括：

获取CRX格式扩展文件;

获取所述CRX格式扩展文件的二进制流;

在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

以压缩格式的操作类对所述检测文件进行安全检测。

2.如权利要求1所述的方法，其特征在于，所述在所述二进制流中去除指定位置的二进制流段包括：

去除从所述二进制流开头位置开始的306字节。

3.如权利要求1所述的方法，其特征在于，所述获得压缩格式的检测文件包括:

将去除指定位置的二进制流段后，剩下的二进制流转换为zip格式的检测文件。

4.如权利要求3所述的方法，其特征在于，所述以压缩格式的操作类对所述检测文件进行安全检测包括：

以zip操作类对所述检测文件进行安全检测。

5.如权利要求1所述的方法，其特征在于，所述以压缩格式的操作类对所述检测文件进行安全检测包括：

以zip操作类打开所述检测文件；

扫描所述压缩格式的检测文件中，是否包括动态链接库类文件；和/或，扫描配置文件，并与安全特征库进行匹配，获得匹配结果；

根据所述是否包括动态链接库类文件的结果和/或所述匹配结果，对CRX格式扩展文件进行危险标记。

6.如权利要求5所述的方法，其特征在于，扫描配置文件，并与安全特征库进行匹配，获得匹配结果；包括：

根据安全特征库，扫描所述配置文件申请的各权限，根据各权限对应的危险特征值，计算所述CRX格式扩展文件第一危险特征值。

7.如权利要求5所述的方法，其特征在于，所述扫描配置文件，并与安全特征库进行匹配，获得匹配结果包括：

扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果。

8.如权利要求7所述的方法，其特征在于，所述扫描配置文件代码中的内容脚本字段中的关键字段以及关键字段内容与安全特征库进行匹配，获得匹配结果包括：

扫描内容脚本字段中的对象字段中的目标网站并与安全特征库中记录的目标网站名单进行匹配；如果匹配，则表示所述CRX格式扩展文件为危险扩展；

和/或，扫描内容脚本字段中的许可字段中的声明的各权限，将各权限与安全特征库记录的权限进行匹配，获得各权限的危险特征值，并根据所述危险特征值计算所述CRX格式扩展文件第一危险特征值；

和/或，扫描内容脚本字段中的补丁字段，判断补丁字段中是否存在动态链接库的插入指示，如果有，则表示所述CRX格式扩展文件为危险扩展。

9.如权利要求6或8所述的方法，其特征在于，还包括：

在安全特征库中设定敏感网站名单，针对敏感网站名单中的各网站，确定禁止CRX格式扩展文件对所述敏感网站申请的权限列表。

10.一种扩展包安全检测装置，包括：

扩展文件获取模块，适于获取CRX格式扩展文件;

二进制流获取模块，适于获取所述CRX格式扩展文件的二进制流;

转换模块，适于在所述二进制流中去除指定位置的二进制流段，获得压缩格式的检测文件;

安全检测模块，适于以压缩格式的操作类对所述检测文件进行安全检测。

Images