CN104123163A - 一种应用程序的下载请求的处理方法及装置 - Google Patents

Abstract

本发明实施例公开了一种应用程序的下载请求的处理方法，包括：接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取下载请求的链接信息；根据预置的上抛规则判断链接信息中是否包括所述上抛规则中包括的标识信息；若链接信息中包括上抛规则中包括的标识信息，则将下载请求通过上抛进程发送给应用层；接收应用层根据上抛进程的标识信息判断得到是否接受下载请求的上抛处理结果，并根据上抛处理结果接受所述下载请求或者拒绝所述下载请求。本发明实施例还公开了一种应用程序的下载请求的处理装置。采用本发明，具有可提高恶意软件等应用程序的识别率和应用程序的下载请求的监控准确性，增强终端设备的用户体验的优点。

Description

一种应用程序的下载请求的处理方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种应用程序的下载请求的处理方法及装置。

背景技术

随着个人电脑(Personal Computer，PC)与PC用户日常生活的关系的日益密切，PC的安全也关乎着PC用户的财产安全。当前，随着PC功能的日益强大和应用程序的日益多样化，各种广告软件、扣费软件等恶意软件也渐渐侵入，恶意软件侵入的有效拦截成为当前亟待解决的主要问题之一。

现有技术主要通过传输驱动程序接口(Transport Driver Interface，TDI)过滤技术对恶意软件的入侵进行流量监控和数据包监控，流量监控和数据包监控的准确性低。现有技术无法对恶意软件的下载链接进行监控，识别率低，安全漏洞大。

发明内容

本发明实施例提供一种应用程序的下载请求的处理方法及装置，可根据应用程序的下载请求的链接信息判断是否将下载请求上抛给应用层，通过应用层进行处理，确定是否接受应用程序的下载请求，以此来防止恶意软件等应用程序的入侵，提高了恶意软件等应用程序的识别率和应用程序的下载请求的监控准确性，增强了终端设备的用户体验。

本发明实施例第一方面提供了一种应用程序的下载请求的处理方法，其可包括：

接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息；

根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，所述标识信息为特定应用程序的下载请求的标识信息；

若所述链接信息中包括所述上抛规则中包括的标识信息，则将所述下载请求通过上抛进程发送给应用层；

接收所述应用层根据所述上抛进程的标识信息判断得到是否接受所述下载请求的上抛处理结果，并根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求。

其中，所述接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息之前，所述方法还包括：

预先设定下载请求的上抛规则，所述上抛规则用于对应用程序的下载请求进行上抛预处理；

其中，所述上抛预处理，包括：允许所述应用程序的下载请求上抛至应用层，或者不允许所述应用程序的下载请求上抛至应用层。

其中，所述特定应用程序，包括：广告软件、扣费软件中的至少一种；

所述特定应用程序的下载请求的标识信息包括：所述特定应用程序的下载请求的链接信息中包括的所述特定应用程序的名称、存储路径、版本信息中的至少一种。

其中，所述根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，包括：

判断所述下载请求的链接信息中是否包括所述特定应用程序的名称，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的存储路径，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的版本信息，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层。

其中，所述将所述下载请求通过上抛进程发送给应用层，包括：

新建一个上抛进程，将所述下载请求的链接信息、所述下载请求所请求的端口、所述下载请求所请求的域名中的至少一种信息添加至所述上抛进程的标识信息中，将所述上抛进程的标识信息发送给所述应用层。

其中，所述上抛进程的标识信息，还包括：所述上抛进程的标识ID、所述上抛进程的路径、所述上抛进程所请求的域名、所述上抛进程所请求的端口中的至少一种信息。

其中，所述下载请求的上抛处理结果，包括：允许所述下载请求执行，或者不允许所述下载请求执行。

其中，所述根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求，包括：

若所述下载请求的上抛处理结果为允许所述下载请求执行，则接受所述下载请求；

若所述下载请求的上抛处理结果为不允许所述下载请求执行，则拒绝所述下载请求。

其中，接受所述下载请求，包括：

将所述下载请求的输入输出请求包IRP下发给下一级设备，以通过所述下一级设备处理所述下载请求的所述IRP，并将所述上抛进程的标识信息和所述下载请求的上抛处理结果保存至缓存。

其中，所述拒绝所述下载请求，包括：

对所述下载请求的IRP进行处理，并调用指定的应用程序编程接口API结束下载请求进程。

本发明实施例第二方面提供了一种应用程序的下载请求的处理装置，其可包括：

解析模块，用于接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息；

判断模块，用于根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，所述标识信息为特定应用程序的下载请求的标识信息；

发送模块，用于在所述判断模块判断结果为是时，将所述下载请求通过上抛进程发送给应用层；

处理模块，用于接收所述应用层根据所述上抛进程的标识信息判断得到是否接受所述下载请求的上抛处理结果，并根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求。

其中，所述装置还包括：

设置模块，用于预先设定下载请求的上抛规则，所述上抛规则用于对应用程序的下载请求进行上抛预处理；

其中，所述上抛预处理，包括：允许所述应用程序的下载请求上抛至应用层，或者不允许所述应用程序的下载请求上抛至应用层。

其中，所述特定应用程序，包括：广告软件、扣费软件中的至少一种；

所述特定应用程序的下载请求的标识信息包括：所述特定应用程序的下载请求的链接信息中包括的所述特定应用程序的名称、存储路径、版本信息中的至少一种。

其中，所述判断模块，具体用于：

判断所述下载请求的链接信息中是否包括所述特定应用程序的名称，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的存储路径，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的版本信息，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层。

其中，所述发送模块，具体用于：

新建一个上抛进程，将所述下载请求的链接信息、所述下载请求所请求的端口、所述下载请求所请求的域名中的至少一种信息添加至所述上抛进程的标识信息中，将所述上抛进程的标识信息发送给所述应用层。

其中，所述上抛进程的标识信息，还包括：所述上抛进程的标识ID、所述上抛进程的路径、所述上抛进程所请求的域名、所述上抛进程所请求的端口中的至少一种信息。

其中，所述下载请求的上抛处理结果，包括：允许所述下载请求执行，或者不允许所述下载请求执行。

其中，所述处理模块，具体用于：

若所述下载请求的上抛处理结果为允许所述下载请求执行，则接受所述下载请求；

若所述下载请求的上抛处理结果为不允许所述下载请求执行，则拒绝所述下载请求。

其中，所述处理模块，具体用于：

将所述下载请求的输入输出请求包IRP下发给下一级设备，以通过所述下一级设备处理所述下载请求的所述IRP，并将所述上抛进程的标识信息和所述下载请求的上抛处理结果保存至缓存。

其中，所述处理模块，具体用于：

对所述下载请求的IRP进行处理，并调用指定的应用程序编程接口API结束下载请求进程。

本发明实施例第三方面还提供了一种终端设备，其可包括：本发明实施例第二方面提供的应用程序的下载请求的处理装置中的任意一项。

在实施本发明实施例中，可对应用程序的下载请求的数据包进行解析，获取请求的链接信息，根据应用程序的下载请求的链接信息，结合预置的上抛规则中包括的标识信息判断是否将下载请求上抛给应用层，通过应用层进行处理，确定是否接受应用程序的下载请求，以此来防止恶意软件等应用程序的入侵，提高了恶意软件等应用程序的识别率和应用程序的下载请求的监控准确性，增强了终端设备的用户体验。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的应用程序的下载请求的处理方法的实施例流程示意图；

图2是本发明实施例提供的应用程序的下载请求的处理装置的实施例一结构示意图；

图3是本发明实施例提供的应用程序的下载请求的处理装置的实施例另一结构示意图；

图4是本发明实施例提供的终端设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

具体实现中，本发明实施例中所描述的终端设备，可包括：PC(包括平板电脑和笔记本电脑)、手机，以及随身听等，上述终端设备仅是举例，而非穷举，包含但不限于上述终端设备。本发明实施例中所描述的应用程序主要为应用于上述终端设备的应用程序，例如PC应用程序等。下面将以PC为例，对本发明实施例中所描述的应用程序的下载请求的处理方法及装置进行具体描述。

参见图1，是本发明实施例提供的应用程序的下载请求的处理方法的实施例流程示意图。本实施例中所描述的应用程序的下载请求的处理方法，包括步骤：

S101，接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息。

在一些可行的实施方式中，本发明实施例中所描述的应用程序可包括广告软件、扣费软件等恶意软件的应用程序。本发明实施例中所描述的应用程序的下载请求的处理方法可基于TDI防火墙技术实现对应用程序的下载请求的监控，进而实现对恶意软件的应用程序的下载请求的拦截、控制。当前，随着PC功能的日益强大和应用程序的日益多样化，广告软件、扣费软件等恶意软件也学会通过各种各样的手段向PC用户推广。恶意软件可在PC的日常使用中，以各种各样的手段趁用户不注意下载至PC中，向PC用户提供广告等推广信息，或者乱扣费，干扰PC的正常使用，影响PC用户的生活。具体实现中，无论是广告软件，还是扣费软件等其他恶意软件，向PC用户推广时，都离不开请求下载连接的过程，即恶意软件想要进入PC，都必须向PC系统发起下载请求，通过PC驱动设备、应用层等系统软硬件设备的处理，方可成功下载到PC中，实现软件的推广。本发明实施例正是基于恶意软件的推广必经请求下载连接的过程这个特点，利用常见的PC防火墙技术中的TDI技术，实现对恶意软件的下载请求的监控，进而实现对恶意软件的监控、排查。

本发明实施例中所描述的应用程序的下载请求的处理方法可由PC驱动设备执行，PC驱动设备可生成下一级驱动(也称底层驱动)依附在传输控制协议(Transmission Control Protocol，TCP)设备或者互联网协议(Internet Protocol，IP)设备上，以对所有基于超文本传输协议(Hypertext Transfer Protocol，HTTP)的请求进行监控。

在一些可行的实施方式中，当广告软件、扣费软件等应用程序想要入侵PC等设备时，可首先向PC系统发起请求下载连接的过程。PC可接收应用程序的下载请求，并对上述下载请求的数据包(例如下载请求的HTTP包)进行解析，通过对上述下载请求的数据包进行解析获取下载请求的链接信息。其中，上述下载请求的链接信息中包括：应用程序的名称、应用程序的版本信息、应用程序的安装包的存储路径等信息。PC通过对应用程序发起的下载请求的数据包进行解析，获取得到上述下载请求的链接信息之后，则可根据预设的上抛规则对上述链接信息进行匹配，判断是否将上述下载请求上抛至应用层，现有的防火墙技术中没有对应用程序的下载请求的链接信息进行监控的操作方式，更没有将下载请求上抛至应用层的操作，本发明实施例中所描述的实现方式可加强对应用程序的监控，提高PC下载应用程序的安全性。

S102，根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，所述标识信息为特定应用程序的下载请求的标识信息。

在一些可行的实施方式中，本发明实施例可预先在PC中设置应用程序的下载请求的上抛规则，当PC检测到应用程序发起的下载请求时，可根据预设的上抛规则判断是否将检测到的下载请求上抛至应用层，通过应用层对下载请求的标识信息进行检测，判断是否允许上述下载请求执行。即，本发明实施例中所描述的上抛规则可用于对应用程序的下载请求进行上抛预处理，根据上述上抛规则，结合应用程序的下载请求的链接信息判断是否允许应用程序的下载请求上抛至应用层，或者不允许应用程序的下载请求上抛至应用层的预处理操作。具体的，可根据PC中记录的广告软件或者扣费软件等恶意软件的标记信息，获取常见的多种PC恶意软件向PC发起下载请求时提供的链接信息，从上述链接信息中提取包括软件名称或者软件版本信息、存储路径等标志性信息，将上述标志性信息存储为特定应用程序的下载请求的标识信息，添加至上抛规则中。其中，本发明实施例中所描述的特定应用程序可包括：广告软件、扣费软件等，特定程序的下载请求的标识信息可包括：特定应用程序的下载请求的链接信息中包括的特定应用程序的名称、存储路径、版本信息等。在本发明实施例所描述的技术方案中，可根据PC实际使用的过程中接收到的应用程序的下载请求，获取恶意软件发起的下载请求，并根据各种恶意软件发起的下载请求的频率定时(例如15分钟一次)更新PC中记录的恶意软件的标记信息，按照出现频率的高低将各种恶意软件的标记信息进行排序。获取出现频率排名靠前的多种应用程序(例如出现频率排名前十的十种应用程序)的下载请求的链接信息，根据上述链接信息更新PC中预置的上抛规则，以加强对各类恶意软件的监控，提供了恶意软件发起的下载请求的过滤的准确性。

在一些可行的实施方式中，PC获取到应用程序发起的下载请求的链接信息之后，则可根据预设的上抛规则判断上述请求的链接信息中是否包括上抛规则中包括的标识信息，即上抛规则中包括的特定应用程序的标识信息。具体实现中，PC可根据上述请求的链接信息判断上述链接信息中是否包括特定应用程序的名称，若判断结果为是，则可允许上述请求上抛，以通过上抛进程将上述请求发送至应用层。此外，PC还可根据上述请求的链接信息判断上述链接信息中是否包括特定应用程序的存储路径或者版本信息，若判断结果为是，则可允许上述请求上抛，以通过上抛进程将上述请求发送至应用层。通过应用程序名称的匹配、应用程序存储路径的匹配，以及应用程序的版本信息的匹配等多种方式对应用程序的下载请求的链接信息进行监控，加强了对应用程序的下载请求的监控强度，提高了PC的安全性和PC的用户体验。

S103，若所述链接信息中包括所述上抛规则中包括的标识信息，则将所述下载请求通过上抛进程发送给应用层。

在一些可行的实施方式中，当PC接收到应用程序的下载请求，并判断得知上述下载请求的链接信息中包括PC中预置的上抛规则中包括的标识信息，即特定应用程序的标识信息时，可将上述下载请求通过上抛进程发送至应用层。具体实现中，可新建一个上抛进程，将上述应用程序的下载请求的链接信息、上述下载请求所请求的端口、上述下载请求所请求的域名等信息添加至上述上抛进程的标识信息中，将上述上抛进程的标识信息发送给应用层。具体实现中，上述上抛进程的标识信息还包括：上抛进程的标识(Identity，ID)、上抛进程的路径、上抛进程所请求的域名、上抛进程所请求的端口等信息。其中，上述上抛进程所请求的域名对应于上述下载请求所请求的域名，上述上抛进程所请求的端口对应于上述下载请求所请求的端口，上述上抛进程的路径中包括上述下载请求的链接信息。应用层接收到上述上抛进程的标识信息之后，可根据上述上抛进程的路径、上抛进程所请求的域名或者端口等信息判断上述上抛进程所承载的下载请求是否为特定应用程序的下载请求。若判断得上述上抛进程所承载的下载请求为特定应用程序的下载请求，则可判断得知上述下载请求为恶意软件发起的下载请求，不可允许上述下载请求执行，此时，应用层可将上述上抛进程的处理结果，即下载请求的上抛处理结果，发送给驱动设备，其中，上述下载请求的上抛处理结果为不允许上述下载请求执行。若判断得上述上抛进程所承载的下载请求不是特定应用程序的下载请求，则可判断得知上述下载请求可能为用户正下载的应用程序发起的下载请求，可允许上述下载请求执行，此时，应用层可将上述下载请求的处理结果发送给驱动设备，其中，上述下载请求的处理结果为允许上述下载请求执行。驱动设备接收到应用层发送的下载请求的上抛处理结果之后，方可以事件的方式通知相应的模块阻止上述下载请求执行，或者放行上述下载请求。

S104，接收所述应用层根据所述上抛进程的标识信息判断得到是否接受所述下载请求的上抛处理结果，并根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求。

在一些可行的实施方式中，PC的驱动设备接收到应用层发送的下载请求的上抛处理结果之后，则可根据上述上抛处理结果接受上述下载请求或者拒绝上述下载请求。具体的，驱动设备接受下载请求时，可将上述下载请求的输入输出数据包(Input/Output Request Packets，IRP)下发给下一级设备(也称底层设备)，通过上述底层设备处理上述下载请求的IRP。底层设备完成下载请求的IRP的处理时便完成了应用程序的下载请求(也可称网络请求)。本发明实施例为了避免多次相同应用程序或者类似应用程序的多次上抛处理造成的性能影响，可在通过底层设备完成应用程序的下载请求的IRP处理之后，将上述应用程序的下载请求对应的上抛进程的标识信息，以及上述应用程序的下载请求的上抛处理结果保存至缓存中。PC再次接收到相同应用程序的下载请求的连接信息或者类型的应用程序的下载请求的链接信息时，则可直接接受上述下载请求，无需再次进行上抛处理，即主动信任上述上抛进程对应的下载请求，减少非特定应用程序的下载请求的功耗，提高非特定应用程序的下载请求的效率，增强PC的用户体验。

在一些可行的实施方式中，PC拒绝应用程序的下载请求时，驱动设备可直接在本层完成应用程序的下载请求的IRP的处理，而不将上述下载请求的IRP下发至底层设备(即TCP设备)，通过本层直接对下载请求的IRP进行处理并向应用程序返回处理结果，则可拒绝应用程序的下载请求。具体实现中，驱动设备在本层完成对应用程序的下载请求的IRP的处理之后，还可调用指定的应用程序编程接口(Application Programming Interface，API)结束下载请求进程，即拒绝上述应用程序的下载请求。

在本发明实施例中，PC可对应用程序的下载请求的数据包进行解析，获取请求的链接信息，根据应用程序的下载请求的链接信息，结合定时更新的上抛规则中包括的标识信息判断是否将下载请求上抛给应用层，通过应用层进行处理，确定是否接受应用程序的下载请求，接受应用程序的下载请求时则可将下载请求的IRP下发至底层设备，完成对下载请求的处理，拒绝应用程序的下载请求时则可在本层完成对下载请求的IRP的处理，并结束下载请求进程，以此来防止恶意软件等应用程序的入侵，提高了恶意软件等应用程序的识别率和应用程序的下载请求的监控准确性，增强了终端设备的用户体验。

参加图2，是本发明实施例提供的应用程序的下载请求的处理装置的实施例一实施例结构示意图。本实施例中所描述的处理装置，包括：

解析模块20，用于接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息。

判断模块30，用于根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，所述标识信息为特定应用程序的下载请求的标识信息。

发送模块40，用于在所述判断模块判断结果为是时，将所述下载请求通过上抛进程发送给应用层。

处理模块50，用于接收所述应用层根据所述上抛进程的标识信息判断得到是否接受所述下载请求的上抛处理结果，并根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求。

在一些可行的实施方式中，本发明实施例中所描述的处理装置(如图3)，还包括：

设置模块10，用于预先设定下载请求的上抛规则，所述上抛规则用于对应用程序的下载请求进行上抛预处理。

在一些可行的实施方式中，上述判断模块30，具体用于：

判断所述下载请求的链接信息中是否包括所述特定应用程序的名称，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的存储路径，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的版本信息，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层。

在一些可行的实施方式中，上述发送模块40，具体用于：

新建一个上抛进程，将所述下载请求的链接信息、所述下载请求所请求的端口、所述下载请求所请求的域名中的至少一种信息添加至所述上抛进程的标识信息中，将所述上抛进程的标识信息发送给所述应用层。

在一些可行的实施方式中，上述处理模块50，具体用于：

若所述下载请求的上抛处理结果为允许所述下载请求执行，则接受所述下载请求；

若所述下载请求的上抛处理结果为不允许所述下载请求执行，则拒绝所述下载请求。

在一些可行的实施方式中，上述处理模块50，具体用于：

将所述下载请求的输入输出请求包IRP下发给下一级设备，以通过所述下一级设备处理所述下载请求的所述IRP，并将所述上抛进程的标识信息和所述下载请求的上抛处理结果保存至缓存。

在一些可行的实施方式中，上述处理模块50，具体用于：

对所述下载请求的IRP进行处理，并调用指定的应用程序编程接口API结束下载请求进程。

在一些可行的实施方式中，本发明实施例中所描述的应用程序可包括广告软件、扣费软件等恶意软件的应用程序。本发明实施例中所描述的应用程序的下载请求的处理装置可基于TDI防火墙技术实现对应用程序的下载请求的监控，进而实现对恶意软件的应用程序的下载请求的拦截、控制。当前，随着PC功能的日益强大和PC应用程序的日益多样化，广告软件、扣费软件等恶意软件也学会通过各种各样的手段向PC用户推广。恶意软件可在PC的日常使用中，以各种各样的手段趁用户不注意下载至PC中，向PC用户提供广告等推广信息，或者乱扣费，干扰PC的正常使用，影响PC用户的生活。具体实现中，无论是广告软件，还是扣费软件等其他恶意软件，向PC用户推广时，都离不开请求下载连接的过程，即恶意软件想要进入PC，都必须向PC系统发起下载请求，通过PC驱动设备、应用层等系统软硬件设备的处理，方可成功下载到PC中，实现软件的推广。本发明实施例正是基于恶意软件的推广必经请求下载连接的过程这个特点，利用常见的PC防火墙技术中的TDI技术，实现对恶意软件的下载请求的监控，进而实现对恶意软件的监控、排查。

本发明实施例中所描述的应用程序的下载请求的处理装置具体可为PC的驱动设备，PC驱动设备可生成下一级驱动(也称底层驱动)依附在TCP设备或者IP设备上，以对所有基于HTTP的请求进行监控。

在一些可行的实施方式中，当广告软件、扣费软件等应用程序想要入侵PC等设备时，可首先向PC系统发起请求下载连接的过程。解析模块20可接收应用程序的下载请求，并对上述下载请求的数据包(例如下载请求的HTTP包)进行解析，通过对上述下载请求的数据包进行解析获取下载请求的链接信息。其中，上述下载请求的链接信息中包括：应用程序的名称、应用程序的版本信息、应用程序的安装包的存储路径等信息。解析模块20通过对应用程序发起的下载请求的数据包进行解析，获取得到上述下载请求的链接信息之后，判断模块30则可根据预设的上抛规则对上述解析模块20获取得到的链接信息进行匹配，判断是否将上述下载请求上抛至应用层，现有的防火墙技术中没有对应用程序的下载请求的链接信息进行监控的操作方式，更没有将下载请求上抛至应用层的操作，本发明实施例中所描述的实现方式可加强对应用程序的监控，提高PC下载应用程序的安全性。具体实现中，上述解析模块的具体实现过程可参见本发明实施例提供的应用程序的下载请求的处理方法的实施例中的步骤S101，在此不再赘述。

在一些可行的实施方式中，设置模块10可预先在PC中设置应用程序的下载请求的上抛规则，当解析模块20检测到应用程序发起的下载请求时，可通过判断模块30根据预设的上抛规则判断是否将检测到的下载请求上抛至应用层，通过应用层对下载请求的标识信息进行检测，判断是否允许上述下载请求执行。即，本发明实施例中所描述的上抛规则可用于对应用程序的下载请求进行上抛预处理，判断模块30可根据上述上抛规则，结合解析模块20处理得到的应用程序的下载请求的链接信息判断是否允许应用程序的下载请求上抛至应用层，或者不允许应用程序的下载请求上抛至应用层的预处理操作。具体的，设置模块10可根据PC中记录的广告软件或者扣费软件等恶意软件的标记信息，获取常见的多种PC恶意软件向PC发起下载请求时提供的链接信息，从上述链接信息中提取包括软件名称或者软件版本信息、存储路径等标志性信息，将上述标志性信息存储为特定应用程序的下载请求的标识信息，添加至上抛规则中。其中，本发明实施例中所描述的特定应用程序可包括：广告软件、扣费软件等，特定程序的下载请求的标识信息可包括：特定应用程序的下载请求的链接信息中包括的特定应用程序的名称、存储路径、版本信息等。在本发明实施例所描述的技术方案中，设置模块10可根据PC实际使用的过程中接收到的应用程序的下载请求，获取恶意软件发起的下载请求，并根据各种恶意软件发起的下载请求的频率定时(例如15分钟一次)更新PC中记录的恶意软件的标记信息，按照出现频率的高低将各种恶意软件的标记信息进行排序。获取出现频率排名靠前的多种应用程序(例如出现频率排名前十的十种应用程序)的下载请求的链接信息，根据上述链接信息更新PC中预置的上抛规则，以加强对各类恶意软件的监控，提供了恶意软件发起的下载请求的过滤的准确性。

在一些可行的实施方式中，解析模块20获取到应用程序发起的下载请求的链接信息之后，判断模块30则可根据预设的上抛规则判断上述解析模块20获取得到的请求的链接信息中是否包括上抛规则中包括的标识信息，即上抛规则中包括的特定应用程序的标识信息。具体实现中，判断模块30可根据上述请求的链接信息判断上述链接信息中是否包括特定应用程序的名称，若判断结果为是，则可允许上述请求上抛，以通过发送模块40通过上抛进程将上述请求发送至应用层。此外，判断模块30还可根据上述请求的链接信息判断上述链接信息中是否包括特定应用程序的存储路径或者版本信息，若判断结果为是，则可允许上述请求上抛，以通过上抛进程将上述请求发送至应用层。判断模块30通过应用程序名称的匹配、应用程序存储路径的匹配，以及应用程序的版本信息的匹配等多种方式对应用程序的下载请求的链接信息进行监控，加强了对应用程序的下载请求的监控强度，提高了PC的安全性和PC的用户体验。具体实现中，上述设置模块、判断模块的具体实现过程可参见本发明实施例提供的应用程序的下载请求的处理方法的实施例中的步骤S102，在此不再赘述。

在一些可行的实施方式中，当解析模块20接收到应用程序的下载请求，并通过判断模块30判断得知上述下载请求的链接信息中包括PC中预置的上抛规则中包括的标识信息，即特定应用程序的标识信息时，可通过发送模块40将上述下载请求通过上抛进程发送至应用层。具体实现中，发送模块40可新建一个上抛进程，将上述应用程序的下载请求的链接信息、上述下载请求所请求的端口、上述下载请求所请求的域名等信息添加至上述上抛进程的标识信息中，将上述上抛进程的标识信息发送给应用层。具体实现中，上述上抛进程的标识信息还包括：上抛进程的标识(Identity，ID)、上抛进程的路径、上抛进程所请求的域名、上抛进程所请求的端口等信息。其中，上述上抛进程所请求的域名对应于上述下载请求所请求的域名，上述上抛进程所请求的端口对应于上述下载请求所请求的端口，上述上抛进程的路径中包括上述下载请求的链接信息。应用层接收到上述上抛进程的标识信息之后，可根据上述上抛进程的路径、上抛进程所请求的域名或者端口等信息判断上述上抛进程所承载的下载请求是否为特定应用程序的下载请求。若判断得上述上抛进程所承载的下载请求为特定应用程序的下载请求，则可判断得知上述下载请求为恶意软件发起的下载请求，不可允许上述下载请求执行，此时，应用层可将上述上抛进程的处理结果，即下载请求的上抛处理结果，发送给驱动设备，其中，上述下载请求的上抛处理结果为不允许上述下载请求执行。若判断得上述上抛进程所承载的下载请求不是特定应用程序的下载请求，则可判断得知上述下载请求可能为用户正下载的应用程序发起的下载请求，可允许上述下载请求执行，此时，应用层可将上述下载请求的处理结果发送给驱动设备，其中，上述下载请求的处理结果为允许上述下载请求执行。驱动设备接收到应用层发送的下载请求的上抛处理结果之后，方可以事件的方式通知相应的模块阻止上述下载请求执行，或者放行上述下载请求。具体实现中，上述发送模块的具体实现过程可参见本发明实施例提供的应用程序的下载请求的处理方法的实施例中的步骤S103，在此不再赘述。

在一些可行的实施方式中，驱动设备的处理模块50接收到应用层发送的下载请求的上抛处理结果之后，则可根据上述上抛处理结果接受上述下载请求或者拒绝上述下载请求。具体的，处理模块50接受下载请求时，可将上述下载请求的IRP下发给下一级设备(也称底层设备)，通过上述底层设备处理上述下载请求的IRP。底层设备完成下载请求的IRP的处理时便完成了应用程序的下载请求(也可称网络请求)。本发明实施例为了避免多次相同应用程序或者类似应用程序的多次上抛处理造成的性能影响，处理模块50可在通过底层设备完成应用程序的下载请求的IRP处理之后，将上述应用程序的下载请求对应的上抛进程的标识信息，以及上述应用程序的下载请求的上抛处理结果保存至PC缓存中。PC再次接收到相同应用程序的下载请求的连接信息或者类型的应用程序的下载请求的链接信息时，则可直接接受上述下载请求，无需再次进行上抛处理，即主动信任上述上抛进程对应的下载请求，减少非特定应用程序的下载请求的功耗，提高非特定应用程序的下载请求的效率，增强PC的用户体验。

在一些可行的实施方式中，处理模块50拒绝应用程序的下载请求时，可直接在驱动设备本层完成应用程序的下载请求的IRP的处理，而不将上述下载请求的IRP下发至底层设备(即TCP设备)，通过本层直接对下载请求的IRP进行处理并向应用程序返回处理结果，则可拒绝应用程序的下载请求。具体实现中，处理模块50在本层完成对应用程序的下载请求的IRP的处理之后，还可调用指定的API结束下载请求进程，即拒绝上述应用程序的下载请求。具体实现中，上述处理模块的具体实现过程可参见本发明实施例提供的应用程序的下载请求的处理方法的实施例中的步骤S104，在此不再赘述。

在本发明实施例中，PC的驱动设备可对应用程序的下载请求的数据包进行解析，获取请求的链接信息，根据应用程序的下载请求的链接信息，结合定时更新的上抛规则中包括的标识信息判断是否将下载请求上抛给应用层，通过应用层进行处理，确定是否接受应用程序的下载请求，接受应用程序的下载请求时则可将下载请求的IRP下发至底层设备，完成对下载请求的处理，拒绝应用程序的下载请求时则可在本层完成对下载请求的IRP的处理，并结束下载请求进程，以此来防止恶意软件等应用程序的入侵，提高了恶意软件等应用程序的识别率和应用程序的下载请求的监控准确性，增强了PC的用户体验。

参见图4，是本发明实施例提供的一种终端设备的实施例结构示意图。本发明实施例提供的终端设备可包括本发明实施例提供的应用程序的下载请求的处理装置1000，本发明实施例中所描述的终端设备的具体实现过程可参见本发明实施例提供的应用程序的下载请求的处理方法或者装置的具体实现过程，在此不再赘述。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，"计算机可读介质"可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (21)

1.一种应用程序的下载请求的处理方法，其特征在于，包括：

接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息；

根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，所述标识信息为特定应用程序的下载请求的标识信息；

若所述链接信息中包括所述上抛规则中包括的标识信息，则将所述下载请求通过上抛进程发送给应用层；

接收所述应用层根据所述上抛进程的标识信息判断得到是否接受所述下载请求的上抛处理结果，并根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求。

2.如权利要求1所述的方法，其特征在于，所述接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息之前，所述方法还包括：

预先设定下载请求的上抛规则，所述上抛规则用于对应用程序的下载请求进行上抛预处理；

其中，所述上抛预处理，包括：允许所述应用程序的下载请求上抛至应用层，或者不允许所述应用程序的下载请求上抛至应用层。

3.如权利要求2所述的方法，其特征在于，所述特定应用程序，包括：广告软件、扣费软件中的至少一种；

所述特定应用程序的下载请求的标识信息包括：所述特定应用程序的下载请求的链接信息中包括的所述特定应用程序的名称、存储路径、版本信息中的至少一种。

4.如权利要求3所述的方法，其特征在于，所述根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，包括：

判断所述下载请求的链接信息中是否包括所述特定应用程序的名称，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的存储路径，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的版本信息，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层。

5.如权利要求4所述的方法，其特征在于，所述将所述下载请求通过上抛进程发送给应用层，包括：

新建一个上抛进程，将所述下载请求的链接信息、所述下载请求所请求的端口、所述下载请求所请求的域名中的至少一种信息添加至所述上抛进程的标识信息中，将所述上抛进程的标识信息发送给所述应用层。

6.如权利要求5所述的方法，其特征在于，所述上抛进程的标识信息，还包括：所述上抛进程的标识ID、所述上抛进程的路径、所述上抛进程所请求的域名、所述上抛进程所请求的端口中的至少一种信息。

7.如权利要求6所述的方法，其特征在于，所述下载请求的上抛处理结果，包括：允许所述下载请求执行，或者不允许所述下载请求执行。

8.如权利要求7所述的方法，其特征在于，所述根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求，包括：

若所述下载请求的上抛处理结果为允许所述下载请求执行，则接受所述下载请求；

若所述下载请求的上抛处理结果为不允许所述下载请求执行，则拒绝所述下载请求。

9.如权利要求8所述的方法，其特征在于，接受所述下载请求，包括：

将所述下载请求的输入输出请求包IRP下发给下一级设备，以通过所述下一级设备处理所述下载请求的所述IRP，并将所述上抛进程的标识信息和所述下载请求的上抛处理结果保存至缓存。

10.如权利要求8所述的方法，其特征在于，所述拒绝所述下载请求，包括：

对所述下载请求的IRP进行处理，并调用指定的应用程序编程接口API结束下载请求进程。

11.一种应用程序的下载请求的处理装置，其特征在于，包括：

解析模块，用于接收应用程序的下载请求，对所述下载请求的数据包进行解析，获取所述下载请求的链接信息；

判断模块，用于根据预置的上抛规则判断所述下载请求的链接信息中是否包括所述上抛规则中包括的标识信息，所述标识信息为特定应用程序的下载请求的标识信息；

发送模块，用于在所述判断模块判断结果为是时，将所述下载请求通过上抛进程发送给应用层；

处理模块，用于接收所述应用层根据所述上抛进程的标识信息判断得到是否接受所述下载请求的上抛处理结果，并根据所述上抛处理结果接受所述下载请求或者拒绝所述下载请求。

12.如权利要求11所述的装置，其特征在于，所述装置还包括：

设置模块，用于预先设定下载请求的上抛规则，所述上抛规则用于对应用程序的下载请求进行上抛预处理；

其中，所述上抛预处理，包括：允许所述应用程序的下载请求上抛至应用层，或者不允许所述应用程序的下载请求上抛至应用层。

13.如权利要求12所述的装置，其特征在于，所述特定应用程序，包括：广告软件、扣费软件中的至少一种；

所述特定应用程序的下载请求的标识信息包括：所述特定应用程序的下载请求的链接信息中包括的所述特定应用程序的名称、存储路径、版本信息中的至少一种。

14.如权利要求13所述的装置，其特征在于，所述判断模块，具体用于：

判断所述下载请求的链接信息中是否包括所述特定应用程序的名称，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的存储路径，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层；或者

判断所述下载请求的链接信息中是否包括所述特定应用程序的版本信息，若判断结果为是，则允许所述下载请求上抛，以通过上抛进程将所述下载请求发送至应用层。

15.如权利要求14所述的装置，其特征在于，所述发送模块，具体用于：

新建一个上抛进程，将所述下载请求的链接信息、所述下载请求所请求的端口、所述下载请求所请求的域名中的至少一种信息添加至所述上抛进程的标识信息中，将所述上抛进程的标识信息发送给所述应用层。

16.如权利要求15所述的装置，其特征在于，所述上抛进程的标识信息，还包括：所述上抛进程的标识ID、所述上抛进程的路径、所述上抛进程所请求的域名、所述上抛进程所请求的端口中的至少一种信息。

17.如权利要求16所述的装置，其特征在于，所述下载请求的上抛处理结果，包括：允许所述下载请求执行，或者不允许所述下载请求执行。

18.如权利要求17所述的装置，其特征在于，所述处理模块，具体用于：

若所述下载请求的上抛处理结果为允许所述下载请求执行，则接受所述下载请求；

若所述下载请求的上抛处理结果为不允许所述下载请求执行，则拒绝所述下载请求。

19.如权利要求18所述的装置，其特征在于，所述处理模块，具体用于：

将所述下载请求的输入输出请求包IRP下发给下一级设备，以通过所述下一级设备处理所述下载请求的所述IRP，并将所述上抛进程的标识信息和所述下载请求的上抛处理结果保存至缓存。

20.如权利要求18所述的装置，其特征在于，所述处理模块，具体用于：

对所述下载请求的IRP进行处理，并调用指定的应用程序编程接口API结束下载请求进程。

21.一种终端设备，其特征在于，包括：如权利要求11-20任意一项所述的装置。