CN104123499A - 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 - Google Patents
一种利用Android设备管理器对抗卸载的软件的识别方法及装置 Download PDFInfo
- Publication number
- CN104123499A CN104123499A CN201410345647.8A CN201410345647A CN104123499A CN 104123499 A CN104123499 A CN 104123499A CN 201410345647 A CN201410345647 A CN 201410345647A CN 104123499 A CN104123499 A CN 104123499A
- Authority
- CN
- China
- Prior art keywords
- characteristic
- antagonism
- equipment manager
- unloading
- software
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/562—Static detection
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Stored Programmes (AREA)
Abstract
本发明实施例公开了一种利用Android设备管理器对抗卸载的软件的识别方法，应用于服务器，执行步骤：对目标软件的APK进行反编译操作，得到反编译结果；对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。由于整个识别过程由服务器完成，与现有技术相比，不需要大量的分析人员，人力成本降低，识别效率也比较高。
Description
技术领域
本发明涉及移动安全领域，特别涉及一种利用Android设备管理器对抗卸载的软件的识别方法及装置。
背景技术
Android系统提供了一个叫设备管理器的设备，其作用是当用户激活软件为设备管理器后，用户将无法直接将其卸载，只有先将该软件取消激活设备管理器后，才能将其卸载。
一些软件正是利用该原理，通过阻止用户取消激活设备管理器来达到对抗卸载的目的。这些软件中有很大一部分是恶意软件，这些恶意软件在自动或欺骗用户激活其为设备管理器后，用户就无法对其取消激活设备管理器，从而无法被卸载，给用户造成危害。因此，能识别出这些利用设备管理器对抗卸载的软件就显得极为重要。
目前，对这些利用设备管理器对抗卸载的软件的识别还停留在人工分析提取特征的阶段，这种识别方式需要大量的分析人员，人力成本很高，效率也比较低。
发明内容
为解决上述问题，本发明实施例公开了一种利用Android设备管理器对抗卸载的软件的识别方法及装置；技术方案如下：
一种利用Android设备管理器对抗卸载的软件的识别方法，应用于服务器，执行步骤：
对目标软件的APK进行反编译操作，得到反编译结果；
对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。
在本发明的一种优选实施方式中，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述检测具体为：
检测所述反编译结果是否具有利用设备管理器漏洞的第一特征；
在所述反编译结果不具有所述第一特征的情况下，检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在本发明的一种优选实施方式中，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述检测具体为：
检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在所述反编译结果不具有所述第二特征的情况下，检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
在本发明的一种优选实施方式中，在所述识别所述目标软件是否为利用Android设备管理器对抗卸载的软件之后，进一步包括：
对所述利用Android设备管理器对抗卸载的软件，根据预设的白名单及预设的黑名单进行分类：
当所述利用Android设备管理器对抗卸载的软件符合预设的白名单时，将其划分为安全软件；
当所述利用Android设备管理器对抗卸载的软件符合预设的黑名单时，将其划分为恶意软件；
当所述利用Android设备管理器对抗卸载的软件既不符合预设的白名单，又不符合预设的黑名单时，将其划分为可疑软件。
在本发明的一种优选实施方式中，所述检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，包括：
检测所述目标软件的AndroidManifest文件是否具有注册设备管理器特征；
在所述目标软件的AndroidManifest文件不具有注册设备管理器特征的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件的AndroidManifest文件具有注册设备管理器特征的情况下，进一步检测所述目标软件是否添加
android.app.action.DEVICE_ADMIN_ENABLED属性；
在所述目标软件添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件没有添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果具有利用设备管理器漏洞的第一特征。
在本发明的一种优选实施方式中，所述检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，包括：
根据所述目标软件的AndroidManifest文件定位BroadcastReceiver类的位置；
根据所述BroadcastReceiver类的位置，定位BroadcastReceiver代码；
检测所述BroadcastReceiver代码中是否存在
onDisableRequested函数和onDisabled函数；
在onDisableRequested函数和onDisabled函数不都存在的情况下，
确定所述反编译结果不具有接收取消激活设备管理器广播对抗卸载的第二特征；
在仅存在onDisableRequested函数的情况下，
进一步检测所述onDisableRequested函数及其调用的子函数中是否存在对抗特征；
在仅存在onDisabled函数的情况下，
进一步检测所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在onDisableRequested函数和onDisabled函数都存在的情况下，
进一步检测
所述onDisableRequested函数及其调用的子函数、所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在不存在对抗特征的情况下，确定所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在存在对抗特征的情况下，确定所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在本发明的一种优选实施方式中，所述对抗特征包括：调用系统锁屏函数、返回桌面、启动其他Activity覆盖当前窗口、启动悬浮窗覆盖当期窗口以及调用系统激活设备管理器界面中的至少一项。
同时，本发明还提供了一种利用Android设备管理器对抗卸载的软件的识别装置，应用于服务器，所述装置包括：
反编译单元，用于对目标软件的APK进行反编译操作，得到反编译结果；
反编译结果检测单元，用于对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
对抗卸载软件识别单元，用于根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。
在本发明的一种优选实施方式中，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述反编译结果检测单元包括第一特征检测子单元，第二特征检测子单元；
所述第一特征检测子单元用于检测所述反编译结果是否具有利用设备管理器漏洞的第一特征；
并在所述反编译结果不具有所述第一特征的情况下，触发所述第二特征检测子单元检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在本发明的一种优选实施方式中，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述反编译结果检测单元包括第一特征检测子单元，第二特征检测子单元；
所述第二特征检测子单元用于检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
并在所述反编译结果不具有所述第二特征的情况下，触发所述第一特征检测子单元检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
在本发明的一种优选实施方式中，还包括软件分类单元，用于在所述对抗卸载软件识别单元识别所述目标软件是否为利用Android设备管理器对抗卸载的软件之后，对所述利用Android设备管理器对抗卸载的软件，根据预设的白名单及预设的黑名单进行分类：
当所述利用Android设备管理器对抗卸载的软件符合预设的白名单时，将其划分为安全软件；
当所述利用Android设备管理器对抗卸载的软件符合预设的黑名单时，将其划分为恶意软件；
当所述利用Android设备管理器对抗卸载的软件既不符合预设的白名单，又不符合预设的黑名单时，将其划分为可疑软件。
在本发明的一种优选实施方式中，所述反编译结果检测单元检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，包括：
检测所述目标软件的AndroidManifest文件是否具有注册设备管理器特征；
在所述目标软件的AndroidManifest文件不具有注册设备管理器特征的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件的AndroidManifest文件具有注册设备管理器特征的情况下，进一步检测所述目标软件是否添加
android.app.action.DEVICE_ADMIN_ENABLED属性；
在所述目标软件添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件没有添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果具有利用设备管理器漏洞的第一特征。
在本发明的一种优选实施方式中，所述反编译结果检测单元检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，包括：
根据所述目标软件的AndroidManifest文件定位BroadcastReceiver类的位置；
根据所述BroadcastReceiver类的位置，定位BroadcastReceiver代码；
检测所述BroadcastReceiver代码中是否存在
onDisableRequested函数和onDisabled函数；
在onDisableRequested函数和onDisabled函数不都存在的情况下，
确定所述反编译结果不具有接收取消激活设备管理器广播对抗卸载的第二特征；
在仅存在onDisableRequested函数的情况下，
进一步检测所述onDisableRequested函数及其调用的子函数中是否存在对抗特征；
在仅存在onDisabled函数的情况下，
进一步检测所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在onDisableRequested函数和onDisabled函数都存在的情况下，
进一步检测所述onDisableRequested函数、onDisabled函数、onDisableRequested函数调用的子函数或onDisabled函数调用的子函数中是否存在对抗特征；
在不存在对抗特征的情况下，确定所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在存在对抗特征的情况下，确定所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在本发明的一种优选实施方式中，所述对抗特征包括：调用系统锁屏函数、返回桌面、启动其他Activity覆盖当前窗口、启动悬浮窗覆盖当期窗口以及调用系统激活设备管理器界面中的至少一项。
本发明通过由服务器对目标软件的APK进行反编译后，检测其否具有利用设备管理器漏洞和/或是否具有通过接收取消激活设备管理器广播对抗卸载，并根据检测结果识别出利用Android设备管理器对抗卸载的软件。
由于整个识别过程由服务器完成，与现有技术相比，不需要大量的分析人员，人力成本降低，识别效率也比较高。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的第一种利用Android设备管理器对抗卸载的软件的识别方法流程图；
图2为本发明提供的第二种利用Android设备管理器对抗卸载的软件的识别方法流程图；
图3为本发明提供的第三种利用Android设备管理器对抗卸载的软件的识别方法流程图；
图4为本发明提供的第一种利用Android设备管理器对抗卸载的软件的识别装置示意图；
图5为本发明提供的第二种利用Android设备管理器对抗卸载的软件的识别装置结构示意图；
图6为本发明提供的第三种利用Android设备管理器对抗卸载的软件的识别装置结构示意图。
具体实施方式
随着Android系统的不断普及，针对Android系统的恶意软件的数量成上升趋势。在这些恶意软件中，有一部分是专门针对Android系统的设备管理器设计的。
Android系统设备管理器的作用是，当用户激活软件为设备管理器后，用户将无法直接将其卸载，只有先将该软件取消激活设备管理器后，才能将其卸载。这些恶意软件正是利用该原理，通过阻止用户取消激活设备管理器来对抗卸载，进而危害用户。
本申请发明人通过研究发现，软件阻止用户取消激活设备管理器目前有两种方法：
第一种是软件利用设备管理器漏洞将其标识信息从设备管理器列表隐藏掉。
在Android系统中，当一个软件激活为设备管理器后，它会注册
android.app.action.DEVICE_ADMIN_ENABLED属性，
这样该软件就会在设备管理器列表中显示其标识信息，这里所说标识信息是指能将该软件与其它软件相区别的信息，例如该软件的名称等。当用户想卸载该软件时，就可以在设备管理器列表中找到该软件的标识信息，并将其取消激活设备管理器，然后进行卸载。
而设备管理器的漏洞就在于如果一个软件不注册
android.app.action.DEVICE_ADMIN_ENABLED属性，
它仍然可以激活为设备管理器，并且其标识信息可以不在设备管理器列表中显示。在这种情况下，用户想卸载该软件，会由于在设备管理器列表中找不到该软件的标识信息而无法对其取消激活设备管理器，也就无法对其进行卸载。
第二种是软件注册BroadcastReceiver(广播接收者)接收取消激活设备管理器广播，并调用锁屏、启动其他界面、返回桌面等相关代码，阻止用户进行一步的取消激活设备管理器操作。
针对上述的两种阻止用户取消激活设备管理器的方法，本发明提供了一种利用Android设备管理器对抗卸载的软件的识别方法，应用于服务器，可以执行步骤：
对目标软件的APK进行反编译操作，得到反编译结果；
对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在所述反编译结果具有第一特征或第二特征中任意一项的情况下，识别所述目标软件为利用Android设备管理器对抗卸载的软件。
本发明通过由服务器对目标软件的APK进行反编译后，检测其否具有利用设备管理器漏洞和/或是否具有通过接收取消激活设备管理器广播对抗卸载，并根据检测结果识别出该目标软件是否为利用Android设备管理器对抗卸载的软件。
由于整个识别过程由服务器完成，与现有技术相比，不需要大量的分析人员，人力成本降低，识别效率也比较高。
下面将结合本发明施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，一种利用Android设备管理器对抗卸载的软件的识别方法，应用于服务器，可以执行步骤：
S101，对目标软件的APK进行反编译操作，得到反编译结果。
S102，对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
S103，根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。
根据前面对软件阻止用户取消激活设备管理器所采用的两种方法的分析，本发明实施例具体实施过程中，可以包括四种方案。
第一种方案是：当在服务器下载了一个未知的软件后，可以将其设定为目标软件，并由服务器自动对其进行如下处理：
对目标软件的APK进行反编译操作，得到反编译结果，然后检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，如果反编译结果具有第一特征，那么就可以识别所述目标软件为利用Android设备管理器对抗卸载的软件。如果反编译结果不具有第一特征，那么就可以识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
在实际检测过程中，检测所述反编译结果是否具有利用设备管理器漏洞的第一特征的方法，可以包括：
检测所述目标软件的AndroidManifest文件是否具有注册设备管理器特征；
在所述目标软件的AndroidManifest文件不具有注册设备管理器特征的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件的AndroidManifest文件具有注册设备管理器特征的情况下，进一步检测所述目标软件是否添加
android.app.action.DEVICE_ADMIN_ENABLED属性；
在所述目标软件添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件没有添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果具有利用设备管理器漏洞的第一特征。
第二种方案是：当在服务器下载了一个未知的软件后，可以将其设定为目标软件，并由服务器自动对其进行如下处理：
对目标软件的APK进行反编译操作，得到反编译结果，然后检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；如果反编译结果具有第二特征，那么就可以识别所述目标软件为利用Android设备管理器对抗卸载的软件。如果反编译结果不具有第二特征，那么就可以识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
由于软件在注册Android系统设备管理器时，会注册BroadcastReceiver来接收系统发出的广播，通常该BroadcastReceiver会有onDisableRequested和onDisabled两个函数处理系统发出的不同广播。
当用户点击取消激活设备管理器，系统会发送一条广播，该软件的onDisableRequested函数会处理该广播。当设备管理器取消激活成功后，该软件的onDisabled函数会处理对应的广播。所以，恶意软件会在这两个函数添加对抗特征来阻止用户取消激活设备管理器。
因此，在实际检测过程中，检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的方法，可以包括：
根据所述目标软件的AndroidManifest文件定位BroadcastReceiver类的位置；
根据所述BroadcastReceiver类的位置，定位BroadcastReceiver代码；
检测所述BroadcastReceiver代码中是否存在
onDisableRequested函数和onDisabled函数；
在onDisableRequested函数和onDisabled函数不都存在的情况下，
确定所述反编译结果不具有接收取消激活设备管理器广播对抗卸载的第二特征；
在仅存在onDisableRequested函数的情况下，
进一步检测所述onDisableRequested函数及其调用的子函数中是否存在对抗特征；
在仅存在onDisabled函数的情况下，
进一步检测所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在onDisableRequested函数和onDisabled函数都存在的情况下，
进一步检测
所述onDisableRequested函数及其调用的子函数、所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在不存在对抗特征的情况下，确定所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在存在对抗特征的情况下，确定所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在此方案中的对抗特征优选为：调用系统锁屏函数、返回桌面、启动其他Activity覆盖当前窗口、启动悬浮窗覆盖当期窗口以及调用系统激活设备管理器界面中的至少一项。
可以理解的是，这些对抗特征表现在函数中就是与之相应的代码，本领域技术人员可以根据本发明在此对对抗特征的描述而知晓与之相对应的代码。
如图2所示，第三种方案是：在服务器下载了一个未知的软件后，可以将其设定为目标软件，并由服务器自动对其进行如下处理：
首先执行S101，对目标软件的APK进行反编译操作，得到反编译结果，然后执行S102a，检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，如果反编译结果具有第一特征，那么就可以执行S103，识别所述目标软件为利用Android设备管理器对抗卸载的软件。
如果反编译结果不具有第一特征，则执行S102b，进一步检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；如果反编译结果具有第二特征，那么就可以执行S103，识别所述目标软件为利用Android设备管理器对抗卸载的软件。
如果反编译结果不具有第二特征，那么就可以执行S104，识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
当然，可以理解的是，在上述的第三种方案中，也可以先检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在所述反编译结果不具有所述第二特征的情况下，检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
第四种方案是：在服务器下载了一个未知的软件后，就可以将其设定为目标软件，并由服务器自动对其进行如下处理：
首先对目标软件的APK进行反编译操作，得到反编译结果；
然后，检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，得到第一次检测结果；
再检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，得到第二次检测结果；
综合两次检测结果，如果在两次检测结果中，反编译结果具有第一特征或第二特征中任意一项，就识别所述目标软件为利用Android设备管理器对抗卸载的软件。如果在两次检测结果中，反编译结果既不具有第一特征，也不具有第二特征，就识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
当然，可以理解的是，在上述的第四种方案中，也可以先检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
再检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
需要说明的是，在第三种方案及第四种方案中，对反编译结果是否具有利用设备管理器漏洞的第一特征的检测，可以采用第一种方案中相应的检测方法。
在第三种方案及第四种方案中，对反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的检测，可以采用第二种方案中相应的检测方法。
在实际应用中，有些杀毒软件以及监控类软件，为了防止被恶意卸载，也会阻止取消激活设备管理器。这些杀毒软件以及监控类软件是安全的，不会对用户造成危害，因此，需要将其与恶意软件进行区分。
为达到上述的目的，在本发明的一种优选实施方式，如图3所示，还可以增加一个分类机制，即在执行S103，根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件之后，执行S105，对所述利用Android设备管理器对抗卸载的软件，根据预设的白名单及预设的黑名单进行分类。分类目的是要将对用户无害的安全软件与对用户用害的恶意软件进行区别，可以采用现有技术的相关技术方案实现，本发明在此不作具体限定。
例如，当所述利用Android设备管理器对抗卸载的软件符合预设的白名单时，可以将其划分为安全软件；
当所述利用Android设备管理器对抗卸载的软件符合预设的黑名单时，可以将其划分为恶意软件；
当所述利用Android设备管理器对抗卸载的软件既不符合预设的白名单，又不符合预设的黑名单时，将其划分为可疑软件。
分类后，对于安全软件，可以不去处理，对于恶意软件，可以将其记录在恶意软件的数据库中，以便进行进一步的处理，例如对该软件进行查杀等。对于可疑软件，需要对其进一步的人工分析，以确定其是否为恶意软件。
需要说明的是，本发明以上各实施方案，即可以单独实施，也可以结合在一起实施，具体采用何种实施方式，本领域技术人员可以自行确定，本发明在此不作具体限定。
相应于上面的方法实施例，本发明还提供了一种利用Android设备管理器对抗卸载的软件的识别装置，应用于服务器，如图4所示，该装置与图1所示的方法流程对应，可以包括：
反编译单元101，用于对目标软件的APK进行反编译操作，得到反编译结果；
反编译结果检测单元102，用于对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
对抗卸载软件识别单元103，用于根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。
本发明通过由服务器对目标软件的APK进行反编译后，检测其否具有利用设备管理器漏洞和/或是否具有通过接收取消激活设备管理器广播对抗卸载，并根据检测结果识别出目标软件是否为利用Android设备管理器对抗卸载的软件。
由于整个识别过程由服务器完成，与现有技术相比，不需要大量的分析人员，人力成本降低，识别效率也比较高。
在本发明实施例的一种优选实施方案中，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征的情况下，反编译结果检测单元102具体可以用于检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
在所述反编译结果具有利用设备管理器漏洞的第一特征的情况下，触发对抗卸载软件识别单元103识别所述目标软件为利用Android设备管理器对抗卸载的软件。在所述反编译结果不具有利用设备管理器漏洞的第一特征的情况下，触发对抗卸载软件识别单元103识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
在本发明实施例的一种优选实施方案中，在所述检测包括检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，反编译结果检测单元102具体可以用于检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征情况下，触发对抗卸载软件识别单元103识别所述目标软件为利用Android设备管理器对抗卸载的软件。在所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征情况下，触发对抗卸载软件识别单元103识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
在本发明实施例的一种优选实施方案中，如图5所示，可以跟图2所示的方法流程对应，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，反编译结果检测单元102可以包括第一特征检测子单元102a，第二特征检测子单元102b；第一特征检测子单元102a用于检测所述反编译结果是否具有利用设备管理器漏洞的第一特征；
在所述反编译结果具有所述第一特征的情况下，触发对抗卸载软件识别单元103识别所述目标软件为利用Android设备管理器对抗卸载的软件。
在所述反编译结果不具有所述第一特征的情况下，触发所述第二特征检测子单元102b检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
在所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征情况下，触发对抗卸载软件识别单元103识别所述目标软件为利用Android设备管理器对抗卸载的软件。
在所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征情况下，触发对抗卸载软件识别单元103识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
当然，也可以由第二特征检测子单元102b先检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
并在所述反编译结果不具有所述第二特征的情况下，触发所述第一特征检测子单元102a检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
或
第一特征检测子单元102a检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，然后由第二特征检测子单元102b检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
如果在两次检测结果中，反编译结果具有第一特征或第二特征中任意一项，则触发对抗卸载软件识别单元103识别所述目标软件为利用Android设备管理器对抗卸载的软件。如果在两次检测结果中，反编译结果既不具有第一特征，也不具有第二特征，则触发对抗卸载软件识别单元103识别所述目标软件为非利用Android设备管理器对抗卸载的软件。
当然，也可以由第二特征检测子单元102b先检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；然后由第一特征检测子单元102a检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
在本发明上述的各实施方案中，反编译结果检测单元102检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，可以包括：
检测所述目标软件的AndroidManifest文件是否具有注册设备管理器特征；
在所述目标软件的AndroidManifest文件不具有注册设备管理器特征的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件的AndroidManifest文件具有注册设备管理器特征的情况下，进一步检测所述目标软件是否添加
android.app.action.DEVICE_ADMIN_ENABLED属性；
在所述目标软件添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件没有添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果具有利用设备管理器漏洞的第一特征。
可以理解的是，也可以采用其它方法来检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，本领域技术人员可以根据实际情况进行选择。
在本发明上述的各实施方案中，反编译结果检测单元102检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，可以包括：根据所述目标软件的AndroidManifest文件定位BroadcastReceiver类的位置；
根据所述BroadcastReceiver类的位置，定位BroadcastReceiver代码；
检测所述BroadcastReceiver代码中是否存在
onDisableRequested函数和onDisabled函数；
在onDisableRequested函数和onDisabled函数不都存在的情况下，
确定所述反编译结果不具有接收取消激活设备管理器广播对抗卸载的第二特征；
在仅存在onDisableRequested函数的情况下，
进一步检测所述onDisableRequested函数及其调用的子函数中是否存在对抗特征；
在仅存在onDisabled函数的情况下，
进一步检测所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在onDisableRequested函数和onDisabled函数都存在的情况下，
进一步检测所述onDisableRequested函数、onDisabled函数、onDisableRequested函数调用的子函数或onDisabled函数调用的子函数中是否存在对抗特征；
在不存在对抗特征的情况下，确定所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在存在对抗特征的情况下，确定所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
可以理解的是，也可以采用其它方法来检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，本领域技术人员可以根据实际情况进行选择。
在上述检测第二特征的过程中，对抗特征优选为：调用系统锁屏函数、返回桌面、启动其他Activity覆盖当前窗口、启动悬浮窗覆盖当期窗口以及调用系统激活设备管理器界面中的至少一项。
在本发明实施例的一种优选实施方案中，如图6所示，可以跟图3所示的方法流程对应，还包括软件分类单元105，用于在对抗卸载软件识别单元103识别所述目标软件是否为利用Android设备管理器对抗卸载的软件之后，对所述利用Android设备管理器对抗卸载的软件，根据预设的白名单及预设的黑名单进行分类。
分类目的是要将对用户无害的安全软件与对用户用害的恶意软件进行区别，可以采用现有技术的相关技术方案实现，本发明在此不作具体限定，
例如，当所述利用Android设备管理器对抗卸载的软件符合预设的白名单时，将其划分为安全软件；
当所述利用Android设备管理器对抗卸载的软件符合预设的黑名单时，将其划分为恶意软件；
当所述利用Android设备管理器对抗卸载的软件既不符合预设的白名单，又不符合预设的黑名单时，将其划分为可疑软件。
分类后，对于安全软件，可以不去处理，对于恶意软件，可以将其记录在一个恶意软件的数据库中，以便进行进一步的处理，例如对该软件进行查杀等。对于可疑软件，需要对其进一步的人工分析，以确定其是否为恶意软件。
需要说明的是，本发明以上各实施方案，即可以单独实施，也可以结合在一起实施，具体采用何种实施方式，本领域技术人员可以自行确定，本发明在此不作具体限定。
在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质中，这里所称得的存储介质，如：ROM/RAM、磁碟、光盘等。
以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。
Claims (14)
1.一种利用Android设备管理器对抗卸载的软件的识别方法，其特征在于，应用于服务器，执行步骤：
对目标软件的APK进行反编译操作，得到反编译结果；
对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。
2.如权利要求1所述的方法，其特征在于，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述检测具体为：
检测所述反编译结果是否具有利用设备管理器漏洞的第一特征；
在所述反编译结果不具有所述第一特征的情况下，检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
3.如权利要求1所述的方法，其特征在于，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述检测具体为：
检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在所述反编译结果不具有所述第二特征的情况下，检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
4.如权利要求1所述的方法，其特征在于，在所述识别所述目标软件是否为利用Android设备管理器对抗卸载的软件之后，进一步包括：
对所述利用Android设备管理器对抗卸载的软件，根据预设的白名单及预设的黑名单进行分类：
当所述利用Android设备管理器对抗卸载的软件符合预设的白名单时，将其划分为安全软件；
当所述利用Android设备管理器对抗卸载的软件符合预设的黑名单时，将其划分为恶意软件；
当所述利用Android设备管理器对抗卸载的软件既不符合预设的白名单，又不符合预设的黑名单时，将其划分为可疑软件。
5.如权利要求1-4中任意一项所述的方法，其特征在于，所述检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，包括：
检测所述目标软件的AndroidManifest文件是否具有注册设备管理器特征；
在所述目标软件的AndroidManifest文件不具有注册设备管理器特征的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件的AndroidManifest文件具有注册设备管理器特征的情况下，进一步检测所述目标软件是否添加
android.app.action.DEVICE_ADMIN_ENABLED属性；
在所述目标软件添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件没有添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果具有利用设备管理器漏洞的第一特征。
6.如权利要求1-4中任意一项所述的方法，其特征在于，所述检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，包括：
根据所述目标软件的AndroidManifest文件定位BroadcastReceiver类的位置；
根据所述BroadcastReceiver类的位置，定位BroadcastReceiver代码；
检测所述BroadcastReceiver代码中是否存在
onDisableRequested函数和onDisabled函数；
在onDisableRequested函数和onDisabled函数不都存在的情况下，
确定所述反编译结果不具有接收取消激活设备管理器广播对抗卸载的第二特征；
在仅存在onDisableRequested函数的情况下，
进一步检测所述onDisableRequested函数及其调用的子函数中是否存在对抗特征；
在仅存在onDisabled函数的情况下，
进一步检测所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在onDisableRequested函数和onDisabled函数都存在的情况下，
进一步检测
所述onDisableRequested函数及其调用的子函数、所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在不存在对抗特征的情况下，确定所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在存在对抗特征的情况下，确定所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
7.如权利要求6所述的方法，其特征在于，所述对抗特征包括：调用系统锁屏函数、返回桌面、启动其他Activity覆盖当前窗口、启动悬浮窗覆盖当期窗口以及调用系统激活设备管理器界面中的至少一项。
8.一种利用Android设备管理器对抗卸载的软件的识别装置，其特征在于，应用于服务器，所述装置包括：
反编译单元，用于对目标软件的APK进行反编译操作，得到反编译结果；
反编译结果检测单元，用于对所述反编译结果进行检测，所述检测包括：检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，和/或检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
对抗卸载软件识别单元，用于根据检测结果是否具有第一特征或第二特征中任意一项，识别所述目标软件是否为利用Android设备管理器对抗卸载的软件。
9.如权利要求8所述的装置，其特征在于，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述反编译结果检测单元包括第一特征检测子单元，第二特征检测子单元；
所述第一特征检测子单元用于检测所述反编译结果是否具有利用设备管理器漏洞的第一特征；
并在所述反编译结果不具有所述第一特征的情况下，触发所述第二特征检测子单元检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
10.如权利要求8所述的装置，其特征在于，在所述检测包括检测所述反编译结果是否具有利用设备管理器漏洞的第一特征和检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征的情况下，所述反编译结果检测单元包括第一特征检测子单元，第二特征检测子单元；
所述第二特征检测子单元用于检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
并在所述反编译结果不具有所述第二特征的情况下，触发所述第一特征检测子单元检测所述反编译结果是否具有利用设备管理器漏洞的第一特征。
11.如权利要求8所述的装置，其特征在于，还包括软件分类单元，用于在所述对抗卸载软件识别单元识别所述目标软件是否为利用Android设备管理器对抗卸载的软件之后，对所述利用Android设备管理器对抗卸载的软件，根据预设的白名单及预设的黑名单进行分类：
当所述利用Android设备管理器对抗卸载的软件符合预设的白名单时，将其划分为安全软件；
当所述利用Android设备管理器对抗卸载的软件符合预设的黑名单时，将其划分为恶意软件；
当所述利用Android设备管理器对抗卸载的软件既不符合预设的白名单，又不符合预设的黑名单时，将其划分为可疑软件。
12.如权利要求8-11中任意一项所述的装置，其特征在于，所述反编译结果检测单元检测所述反编译结果是否具有利用设备管理器漏洞的第一特征，包括：
检测所述目标软件的AndroidManifest文件是否具有注册设备管理器特征；
在所述目标软件的AndroidManifest文件不具有注册设备管理器特征的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件的AndroidManifest文件具有注册设备管理器特征的情况下，进一步检测所述目标软件是否添加
android.app.action.DEVICE_ADMIN_ENABLED属性；
在所述目标软件添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果不具有利用设备管理器漏洞的第一特征；
在所述目标软件没有添加android.app.action.DEVICE_ADMIN_ENABLED属性的情况下，确定所述反编译结果具有利用设备管理器漏洞的第一特征。
13.如权利要求8-11中任意一项所述的装置，其特征在于，所述反编译结果检测单元检测所述反编译结果是否具有通过接收取消激活设备管理器广播对抗卸载的第二特征，包括：
根据所述目标软件的AndroidManifest文件定位BroadcastReceiver类的位置；
根据所述BroadcastReceiver类的位置，定位BroadcastReceiver代码；
检测所述BroadcastReceiver代码中是否存在
onDisableRequested函数和onDisabled函数；
在onDisableRequested函数和onDisabled函数不都存在的情况下，
确定所述反编译结果不具有接收取消激活设备管理器广播对抗卸载的第二特征；
在仅存在onDisableRequested函数的情况下，
进一步检测所述onDisableRequested函数及其调用的子函数中是否存在对抗特征；
在仅存在onDisabled函数的情况下，
进一步检测所述onDisabled函数及其调用的子函数中是否存在对抗特征；
在onDisableRequested函数和onDisabled函数都存在的情况下，
进一步检测所述onDisableRequested函数、onDisabled函数、onDisableRequested函数调用的子函数或onDisabled函数调用的子函数中是否存在对抗特征；
在不存在对抗特征的情况下，确定所述反编译结果不具有通过接收取消激活设备管理器广播对抗卸载的第二特征；
在存在对抗特征的情况下，确定所述反编译结果具有通过接收取消激活设备管理器广播对抗卸载的第二特征。
14.如权利要求13所述的装置，其特征在于，所述对抗特征包括：调用系统锁屏函数、返回桌面、启动其他Activity覆盖当前窗口、启动悬浮窗覆盖当期窗口以及调用系统激活设备管理器界面中的至少一项。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410345647.8A CN104123499B (zh) | 2014-07-18 | 2014-07-18 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
| PCT/CN2015/082378 WO2016008355A1 (zh) | 2014-07-18 | 2015-06-25 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410345647.8A CN104123499B (zh) | 2014-07-18 | 2014-07-18 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN104123499A true CN104123499A (zh) | 2014-10-29 |
| CN104123499B CN104123499B (zh) | 2017-09-01 |
Family
ID=51768907
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201410345647.8A Active CN104123499B (zh) | 2014-07-18 | 2014-07-18 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN104123499B (zh) |
| WO (1) | WO2016008355A1 (zh) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2016008355A1 (zh) * | 2014-07-18 | 2016-01-21 | 北京金山安全软件有限公司 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
| CN105955789A (zh) * | 2016-05-18 | 2016-09-21 | 广东欧珀移动通信有限公司 | 一种应用程序卸载方法、装置及设备 |
| CN106909809A (zh) * | 2015-12-23 | 2017-06-30 | 北京奇虎科技有限公司 | 建立设备管理器的方法及装置 |
| CN106934290A (zh) * | 2015-12-31 | 2017-07-07 | 阿里巴巴集团控股有限公司 | 漏洞检测方法及装置 |
| CN107203369A (zh) * | 2016-03-16 | 2017-09-26 | 阿里巴巴集团控股有限公司 | 基于Android的弹框提示方法及装置 |
| CN110826068A (zh) * | 2019-11-01 | 2020-02-21 | 海南车智易通信息技术有限公司 | 安全检测方法和安全检测系统 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101154258A (zh) * | 2007-08-14 | 2008-04-02 | 电子科技大学 | 恶意程序动态行为自动化分析系统与方法 |
| CN103218566A (zh) * | 2013-01-25 | 2013-07-24 | 江南大学 | 基于Android平台软件行为检测的主动防御系统 |
| CN103824016A (zh) * | 2013-11-28 | 2014-05-28 | 北京奇虎科技有限公司 | 应用防卸载方法及设备 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104123499B (zh) * | 2014-07-18 | 2017-09-01 | 北京金山安全软件有限公司 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
-
2014
- 2014-07-18 CN CN201410345647.8A patent/CN104123499B/zh active Active
-
2015
- 2015-06-25 WO PCT/CN2015/082378 patent/WO2016008355A1/zh active Application Filing
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101154258A (zh) * | 2007-08-14 | 2008-04-02 | 电子科技大学 | 恶意程序动态行为自动化分析系统与方法 |
| CN103218566A (zh) * | 2013-01-25 | 2013-07-24 | 江南大学 | 基于Android平台软件行为检测的主动防御系统 |
| CN103824016A (zh) * | 2013-11-28 | 2014-05-28 | 北京奇虎科技有限公司 | 应用防卸载方法及设备 |
Non-Patent Citations (1)
| Title |
|---|
| ZPSEMO: "【原创】伪装某银行插件apk病毒分析（附源码）", 《看雪安全论坛 》 * |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2016008355A1 (zh) * | 2014-07-18 | 2016-01-21 | 北京金山安全软件有限公司 | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 |
| CN106909809A (zh) * | 2015-12-23 | 2017-06-30 | 北京奇虎科技有限公司 | 建立设备管理器的方法及装置 |
| CN106934290A (zh) * | 2015-12-31 | 2017-07-07 | 阿里巴巴集团控股有限公司 | 漏洞检测方法及装置 |
| CN106934290B (zh) * | 2015-12-31 | 2020-07-07 | 阿里巴巴集团控股有限公司 | 漏洞检测方法及装置 |
| CN107203369A (zh) * | 2016-03-16 | 2017-09-26 | 阿里巴巴集团控股有限公司 | 基于Android的弹框提示方法及装置 |
| US10678564B2 (en) | 2016-03-16 | 2020-06-09 | Alibaba Group Holding Limited | Android-based pop-up prompt method and device |
| US10853102B2 (en) | 2016-03-16 | 2020-12-01 | Advanced New Technologies Co., Ltd. | Android-based pop-up prompt method and device |
| CN105955789A (zh) * | 2016-05-18 | 2016-09-21 | 广东欧珀移动通信有限公司 | 一种应用程序卸载方法、装置及设备 |
| CN110826068A (zh) * | 2019-11-01 | 2020-02-21 | 海南车智易通信息技术有限公司 | 安全检测方法和安全检测系统 |
| CN110826068B (zh) * | 2019-11-01 | 2022-03-18 | 海南车智易通信息技术有限公司 | 安全检测方法和安全检测系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN104123499B (zh) | 2017-09-01 |
| WO2016008355A1 (zh) | 2016-01-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN104123499A (zh) | 一种利用Android设备管理器对抗卸载的软件的识别方法及装置 | |
| US10657258B2 (en) | Deployment of machine learning models for discernment of threats | |
| US20140053267A1 (en) | Method for identifying malicious executables | |
| US20120144488A1 (en) | Computer virus detection systems and methods | |
| US8732836B2 (en) | System and method for correcting antivirus records to minimize false malware detections | |
| US8763128B2 (en) | Apparatus and method for detecting malicious files | |
| CN108804912B (zh) | 一种基于权限集差异的应用程序越权检测方法 | |
| CN101414997B (zh) | 阻止恶意程序访问网络的方法和装置 | |
| CN105718825B (zh) | 一种恶意usb设备的检测方法及装置 | |
| CN102882875B (zh) | 主动防御方法及装置 | |
| US20130239214A1 (en) | Method for detecting and removing malware | |
| CN103810428A (zh) | 一种宏病毒检测方法及装置 | |
| CN104268476A (zh) | 一种运行应用程序的方法 | |
| KR102180098B1 (ko) | 악성코드 모니터링 및 사용자 단말 제어 기능을 수행하는 악성코드 탐지 시스템 | |
| CN107346390A (zh) | 一种恶意样本检测方法及装置 | |
| KR101264102B1 (ko) | 보안 기능을 가지는 스마트 폰 및 이의 보안방법 | |
| CN104978517B (zh) | 一种Android系统的非法root检测方法及系统 | |
| CN102857519B (zh) | 主动防御系统 | |
| CN108898012A (zh) | 检测非法程序的方法和装置 | |
| CN105488414A (zh) | 一种防止恶意代码探测虚拟环境的方法及系统 | |
| CN105631332B (zh) | 一种处理恶意程序的方法及装置 | |
| EP3482335B1 (en) | Mitigation of malicious actions associated with graphical user interface elements | |
| CN106203119B (zh) | 隐藏光标的处理方法、装置及电子设备 | |
| CN105389510A (zh) | 一种安卓移动设备恶意软件检测方法和系统 | |
| KR101311367B1 (ko) | 메모리 보호기능 우회 공격 진단 장치 및 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |