CN103793209A - 一种修改Android程序执行流程的方法及系统 - Google Patents

Abstract

本发明属于病毒防御技术领域，具体公开了一种修改Android程序执行流程的方法及系统。该方法包括以下步骤：解包并反汇编所述Android程序；修改反汇编后的Android程序以满足其运行的各个条件；汇编并打包修改后的Android程序；运行重新汇编后的Android程序，并获取该Android程序的运行行为数据。本发明通过修改反汇编后的Android程序以满足其运行的各个条件以改变其执行流程，进而可以在其运行过程中获取其所有运行行为数据，使得任何恶意行为无法隐藏，提高病毒程序识别率。

Description

一种修改Android程序执行流程的方法及系统

技术领域

本发明属于病毒防御技术领域，具体涉及一种修改Android程序执行流程的方法及系统。

背景技术

Android是一种以Linux为基础的开放源代码操作系统，主要使用于便携设备。目前尚未有统一中文名称，中国大陆地区较多人使用“安卓”或“安致”。Android操作系统最初由AndyRubin开发，最初主要支持手机。2005年由Google收购注资，并组建开放手机联盟开发改良，逐渐扩展到平板电脑及其他领域上。

反汇编：把目标代码转为汇编代码的过程，也可说是把机器语言转为汇编语言代码，低级转高级的意思，常用于软件破解（例如找到它是如何注册的，从而解出它的注册码或者编写注册机。），外挂技术，病毒分析，逆向工程，软件汉化。通常，编写程序是利用高级语言如C，pascal等高级语言进行编程的，然后再经过编译程序生成可以被计算机系统直接执行的文件（机器语言）。反汇编即是指将这些执行文件反编译还原成汇编语言或其他高级语言。但通常反编译出来的程序与原程序会存在些许不同，虽然执行效果相同，但程序代码 会发生很大的变化，要读懂反汇编需要有扎实的高级语言编写功底，和汇编功底。目前网络上的免费软件，PSP PS NDS游戏机的破解和苹果iOS系统的越狱都跟反汇编息息相关。

随着Android系统的不断普及，各种Android病毒程序也日渐兴起。目前面对这些程序的分析方法通常就是将其反编译成明文或者让其在设备模拟器或者真实设备中运行，然后通过人工分析反编译的明文或者获取在设备模拟器或者真实设备中运行的数据，进而判断其是否具有一些恶意行为，比如：删除系统文件等等。

然而通过反编译成明文后人工分析，效率低下不太可取。同样，在设备模拟器或者真实设备中运行以分析其运行行为是否存在恶意行为，这种方法看似比较合理，但是很多病毒程序在设备正常运行过程中可能不会有恶意行为，只有其设定的某种特定条件满足的情况下才执行这些恶意行为。因此，现有的两种方法要么效率低下，要么可能无法分析出其是否具有恶意行为，也即是无法准确判断出该程序是否为病毒程序。

发明内容

为了解决上述问题，本发明的目的在于提供一种修改Android程序执行流程的方法及系统，在提高程序分析效率的同时，获取该Android程序的所有运行行为。

为了实现上述发明目的，基于上述研究发现，得到了以下技术方案：

一种修改Android程序执行流程的方法，包括以下步骤：

解包并反汇编所述Android程序；

修改反汇编后的Android程序以满足其运行的各个条件；

汇编并打包修改后的Android程序；

运行重新汇编后的Android程序，并获取该Android程序的运行行为数据。

进一步的，所述修改反汇编后的Android程序，具体是：修改Android程序的函数代码、传入参数、传出参数或返回值。

进一步的，所述运行重新汇编后的Android程序，具体是：将重新汇编后的Android程序置于设备模拟器或真实设备中运行。

一种修改Android程序执行流程的系统，包括以下模块：

解包和反汇编模块，解包并反汇编所述Android程序；

程序修改模块，修改反汇编后的Android程序以满足其运行的各个条件；

汇编和打包模块，汇编并打包修改后的Android程序；

模拟运行模块，运行重新汇编后的Android程序，并获取该Android程序的运行行为数据。

进一步的，所述修改反汇编后的Android程序，具体是：修改Android程序的函数代码、传入参数、传出参数或返回值。

进一步的，所述运行重新汇编后的Android程序，具体是：将重新汇编后的Android程序置于设备模拟器或真实设备中运行。

本发明通过修改反汇编后的Android程序以满足其运行的各个条件以改变其执行流程，进而可以在其运行过程中获取其所有运行行为数据，使得任何恶意行为无法隐藏，提高病毒程序识别率。

附图说明

此附图说明所提供的图片用来辅助对本发明的进一步理解，构成本申请的一部分，并不构成对本发明的不当限定，在附图中：

图1是本发明方法对应的流程图；

图2是本发明系统对应的框图。

具体实施方式

如图1所示，本实施例公开了一种修改Android程序执行流程的方法，包括以下步骤：

Step1：解包并反汇编所述Android程序；所谓的解包就是压包的反过程，即将压包文件还原成原来的文件；所谓的反汇编就是把目标代码转为汇编代码的过程，也可说是把机器语言转为汇编语言代码，低级转高级的意思；本步骤采用现有的解包和反汇编各种方法，即可完成。

Step2：修改反汇编后的Android程序以满足其运行的各个条件，具体可以是修改Android程序的函数代码、传入参数、传出参数或返回值；比如：该Android程序只有在用户发邮件是才启动转发邮件的动作，那么就需要修改其中的参数或者给其中的输入某个条件数值以使其运行过程中触发该转发邮件动作。

Step3：汇编并打包修改后的Android程序，本步骤就是将其转换成目标代码以供机器执行。

Step4：运行重新汇编后的Android程序，并获取该Android程序的运行行为数据。具体可以是：将重新汇编后的Android程序置于设备模拟器或真实设备中运行，以获取该Android程序的运行行为数据，进而直观分析出该Android程序是否为病毒程序。

本实施例还公开了一种修改Android程序执行流程的系统，包括以下模块：

解包和反汇编模块1，解包并反汇编所述Android程序；

程序修改模块2，修改反汇编后的Android程序以满足其运行的各个条件；所述修改反汇编后的Android程序，具体可以是：修改Android程序的函数代码、传入参数、传出参数或返回值；

汇编和打包模块3，汇编并打包修改后的Android程序；

模拟运行模块4，运行重新汇编后的Android程序，并获取该Android程序的运行行为数据；所述运行重新汇编后的Android程序，具体可是：将重新汇编后的Android程序置于设备模拟器或真实设备中运行。

本发明通过修改反汇编后的Android程序以满足其运行的各个条件，进而使得任何恶意行为无法隐藏，提高病毒程序识别率。

以上详细描述了本发明的较佳具体实施例，应当理解，本领域的普通技术无需创造性劳动就可以根据本发明的构思做出诸多修改和变化。因此，凡本技术领域中技术人员依本发明构思在现有技术基础上通过逻辑分析、推理或者根据有限的实验可以得到的技术方案，均应该在由本权利要求书所确定的保护范围之中。

Claims (6)

1.一种修改Android程序执行流程的方法，其特征在于包括以下步骤：

解包并反汇编所述Android程序；

修改反汇编后的Android程序以满足其运行的各个条件；

汇编并打包修改后的Android程序；

运行重新汇编后的Android程序，并获取该Android程序的运行行为数据。

2.根据权利要求1所述的修改Android程序执行流程的方法，其特征在于：

所述修改反汇编后的Android程序，具体是：修改Android程序的函数代码、传入参数、传出参数或返回值。

3.根据权利要求1所述的修改Android程序执行流程的方法，其特征在于：

所述运行重新汇编后的Android程序，具体是：将重新汇编后的Android程序置于设备模拟器或真实设备中运行。

4.一种修改Android程序执行流程的系统，其特征在于包括以下模块：

解包和反汇编模块，解包并反汇编所述Android程序；

程序修改模块，修改反汇编后的Android程序以满足其运行的各个条件；

汇编和打包模块，汇编并打包修改后的Android程序；

模拟运行模块，运行重新汇编后的Android程序，并获取该Android程序的运行行为数据。

5.根据权利要求4所述的修改Android程序执行流程的系统，其特征在于：

所述修改反汇编后的Android程序，具体是：修改Android程序的函数代码、传入参数、传出参数或返回值。

6.根据权利要求4所述的修改Android程序执行流程的系统，其特征在于：

所述运行重新汇编后的Android程序，具体是：将重新汇编后的Android程序置于设备模拟器或真实设备中运行。

Images