CN103927485A - 基于动态监控的Android应用程序风险评估方法 - Google Patents

Abstract

本发明公开了一种基于动态监控的Android应用程序风险评估方法，属于信息安全技术领域。该方法首先动态注入监控代码到ServiceManager系统进程中，通过监控应用程序申请服务来达到监控行为的目的；然后根据应用程序的行为特征，包括是否执行敏感操作，是否在后台运行，操作频率是否超过一定阈值等特征，确定应用程序的风险等级，本发明将风险分为5个等级，同时为了提高效率和准确度，设立了白名单和黑名单机制。本发明能够预测未知(恶意)软件的恶意性，检测Android平台的安全隐患。

Description

基于动态监控的Android应用程序风险评估方法

技术领域

本发明涉及一种基于动态监控的Android应用程序风险评估方法，属于信息安全技术领域。

背景技术

移动互联网飞速发展，智能终端成为人们生活或者工作的一个重要接入点，承载着越来越多的用户个人隐私数据。作为全球最活跃的移动终端平台，Android平台是恶意攻击者的首要目标。目前Android平台上的软件种类繁多，恶意软件层出不穷且隐蔽性很强。另外，一些公司出于业务的需求和对大数据分析的需要，会利用应用程序在后台收集用户的隐私数据。

常用的恶意软件的检测方法主要是通过特征码来检测，但这种方法具有一定的局限性。恶意程序数量庞大且不断增长，同时可能衍生诸多恶意变种，通过特征码检测恶意软件需要更大的特征数据库，更重要的是特征码检测无法检测未知恶意程序。

发明内容

发明目的：为了弥补通过特征码检测恶意软件的缺点，有效检测Android平台的安全隐患。本发明提出一种基于Android动态监控的应用程序风险评估方法。

技术方案：一种基于Android动态监控的应用程序风险评估方法，整体架构可分为两大模块：动态监控模块和风险评估模块。

动态监控模块将监控代码注入系统目标进程ServiceManager的内存空间，拦截进程间通信的Binder IPC数据，收集应用程序申请服务的行为特征信息。动态监控代码的注入包括以下步骤：

步骤1：查找Android系统进程ServiceManager的进程号PID，以此进程作为目标进程；

步骤2：调用ptrace函数调试目标进程，在目标进程中开辟内存空间，将监控代码拷贝到内存空间中；

步骤3：修改目标进程的寄存器状态，使CPU跳转执行监控代码；

步骤4：在目标进程中的监控代码解析ELF文件格式，查找GOT表地址，定位外部函数ioctl表项地址；

步骤5：修改GOT表中iotcl的表项内容，替换为钩子函数myIoctl地址；

步骤6：当应用程序发起某项请求服务时，拦截到该应用程序的Binder IPC数据，对数据进行解析；

步骤7：记录应用程序发起的敏感行为操作。

风险评估模块在动态监控的基础上，完成对Android应用程序的风险评估，并给出对应的风险等级。首先通过动态监控收集相应的特征信息，然后根据应用程序的行为是否涉及敏感操作、申请服务的频率、是否在用户不知情的情况下运行等因素，对未知的样本进行风险等级划分。风险评估包括以下步骤：

步骤1：在动态监控的过程中收集应用程序敏感行为特征；

步骤2：根据风险等级划分标准，无敏感操作行为，风险等级为0；有敏感操作行为，但是在白名单中，风险等级为1；有敏感操作行为，且运行在前台，风险等级为2；有敏感操作行为，监听手机事件，且运行在后台，频率没有超过阈值，风险等级为3；有敏感操作行为，监听手机事件，且运行在后台，频率超过阈值，风险等级为4；

步骤3：在风险等级评估中，风险等级为4的将加入黑名单；风险等级评估开始先检测黑名单，如果不在黑名单中再按步骤2中的标准进行等级划分；一旦风险等级被划分为4将不能下降该等级。

本发明的有益效果如下：

本方法可以对Android平台的应用程序进行实时监控,记录应用程序的所有敏感行为操作，在此基础上，通过风险等级的划分，能够预测未知(恶意)软件的恶意性，检测Android平台的安全隐患。

附图说明

图1为本发明实施例的整体架构图。

具体实施方式

下面结合具体实施例，进一步阐明本发明，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围，在阅读了本发明之后，本领域技术人员对本发明的各种等价形式的修改均落于本申请所附权利要求所限定的范围。

如图1所示为本发明的整体架构图，包括动态监控模块和风险评估模块。

动态监控模块将监控代码注入系统目标进程ServiceManager的内存空间，拦截进程间通信的Binder IPC数据，收集应用程序申请服务的行为特征信息。动态监控代码的注入包括以下步骤：

步骤1：查找Android系统进程ServiceManager的进程号PID，以此进程作为目标进程；

步骤2：调用ptrace函数调试目标进程，在目标进程中开辟内存空间，将监控代码拷贝到内存空间中；

步骤3：修改目标进程的寄存器状态，使CPU跳转执行监控代码；

步骤4：在目标进程中的监控代码解析ELF文件格式，查找GOT表地址，定位外部函数ioctl表项地址；

步骤5：修改GOT表中iotcl的表项内容，替换为钩子函数myIoctl地址；

步骤6：当应用程序发起某项请求服务时，拦截到该应用程序的Binder IPC数据，对数据进行解析；

步骤7：记录应用程序发起的敏感行为操作。

首先定义敏感行为如下：

如图1所示，在整个监控流程中，应用程序首先发起服务请求，系统进程调用被hook的函数，也就是请求的处理函数，监控代码将会被执行，监控代码通过应该程序的uid以及申请的服务在规则库中查找相应的策略，如果允许该请求通过则调用被hook的系统函数，继续应用程序对服务的请求和调用，并反馈给监控系统的交互界面，对该行为进行记录。如果拒绝请求，则终止应用程序的服务请求。

在动态监控的过程中，实时地对应用程序的行为进行风险评估。风险等级的划分标准如下：

在我们的实验过程中，发现某些应用程序在后台运行并执行了敏感操作，例如应用宝、360照相机、搜狗输入法等，但是经杀毒软件(如VirusTotal)和谷歌官方确认，这些应用程序都是安全的，所以我们设定了应用程序白名单，在白名单内的软件我们认为它们是安全的。为此首先需要人工收集白名单应用信息，包括应用程序名称、包名、MD5值、签名信息等，在监控系统初次运行的时候建立一个数据库，收集该手机中白名单应用的信息，将应用程序uid和对应的白名单信息联系起来。同时，为了减少计算量，我们也设立了应用程序黑名单，在风险评估过程中等级为4的应用程序将列入黑名单中。

在动态监控中会收集应用程序的所有服务申请，经过筛选，本发明中只关注具有敏感行为的服务的申请。风险评估的详细步骤如下：

步骤1：判断当前应用程序是否在黑名单中，如果是则风险等级为4，结束风险等级评估；否则继续进行风险等级评估；

步骤2：判断当前应用程序是否执行敏感操作，否则判断风险等级为0，是则继续进行风险等级评估；

步骤3：如果应用程序执行了敏感操作，判断该应用程序是否在白名单之中，是继续验证应用程序的签名，如果验证通过则判断风险等级为1，验证没通过以及应用程序不在白名单中则继续进行风险等级评估；

步骤4：判断当前的应用程序是否运行在前台，以此来区别该行为是用户操作还是应用程序后台运行，如果运行在前台则判定风险等级为2，如果运行在后台则判定风险等级为3，并开始记录应用程序行为特征的频率；

步骤5：判断当前应用程序敏感行为特征的频率是否超过设定的阈值，如果否则判定风险等级依然为3，如果超过了设定的阈值则判定风险等级为4，并将该应用程序的uid加入到黑名单中。

风险评估系统中的关键一点是如何实时地判断出该应用程序是否在前台运行，以此来区分用户触发和应用程序的自发行为。在本发明中，为了判断应用是否运行在前台，我们利用了ActivityManager中的getRunningAppProcesses方法。getRunningAppProcesses能够返回运行在设备上的所有进程的信息，保存在RunningAppProcessInfo中，其中RunningAppProcessInfo.importance表示该进程的重要等级，系统根据进程的重要等级对进程进行清理。IMPORTANCE_BACKGROUND表示该进程的代码在后台执行，IMPORTANCE_FOREGROUND则表示该进程运行在前台。

需要说明的是，由于某些应用的恶意行为只有在一定条件下才能触发，因此应用程序的风险等级可能会在评估过程中提高。对于这些应用本系统一旦发现其恶意行为，会提高其风险等级，而且该等级一旦提升，就不再下降。

Claims (3)

1.一种基于Android动态监控的应用程序风险评估方法，其特征在于，整体架构可分为两大模块：动态监控模块和风险评估模块；

动态监控模块将监控代码注入系统目标进程ServiceManager的内存空间，拦截进程间通信的Binder IPC数据，收集应用程序申请服务的行为特征信息；

风险评估模块在动态监控的基础上，完成对Android应用程序的风险评估，并给出对应的风险等级；首先通过动态监控收集相应的特征信息，然后根据应用程序的行为是否涉及敏感操作、申请服务的频率、是否在用户不知情的情况下运行的因素，对未知的样本进行风险等级划分。

2.如权利要求1所述的基于Android动态监控的应用程序风险评估方法，其特征在于，动态监控代码的注入包括以下步骤：

步骤1：查找Android系统进程ServiceManager的进程号PID，以此进程作为目标进程；

步骤2：调用ptrace函数调试目标进程，在目标进程中开辟内存空间，将监控代码拷贝到内存空间中；

步骤3：修改目标进程的寄存器状态，使CPU跳转执行监控代码；

步骤4：在目标进程中的监控代码解析ELF文件格式，查找GOT表地址，定位外部函数ioctl表项地址；

步骤5：修改GOT表中iotcl的表项内容，替换为钩子函数myIoctl地址；

步骤6：当应用程序发起某项请求服务时，拦截到该应用程序的Binder IPC数据，对数据进行解析；

步骤7：记录应用程序发起的敏感行为操作。

3.如权利要求1或2所述的基于Android动态监控的应用程序风险评估方法，其特征在于，风险评估包括以下步骤：

步骤1：在动态监控的过程中收集应用程序敏感行为特征；

步骤2：根据风险等级划分标准，无敏感操作行为，风险等级为0；有敏感操作行为，但是在白名单中，风险等级为1；有敏感操作行为，且运行在前台，风险等级为2；有敏感操作行为，监听手机事件，且运行在后台，频率没有超过阈值，风险等级为3；有敏感操作行为，监听手机事件，且运行在后台，频率超过阈值，风险等级为4；

步骤3：在风险等级评估中，风险等级为4的将加入黑名单；风险等级评估开始先检测黑名单，如果不在黑名单中再按步骤2中的标准进行等级划分；一旦风险等级被划分为4将不能下降该等级。