CN104376274A - 移动终端支付界面保护方法及装置 - Google Patents

Abstract

本发明公开一种移动终端支付界面保护方法，其包括以下步骤：捕获具备支付功能的客户端的界面信息，识别其中的支付界面；当所述客户端的支付界面被调用时，激活显示密码验证界面，使所述支付界面处于非激活状态；通过密码验证界面接收密码输入，在验证所输入的密码正确之后，激活所述支付界面。还公开一种可实施所述方法的移动终端支付界面保护装置。本发明的方法及装置将支付场景的识别具体到其活动界面，也即对应到其活动组件，增强识别的智能化程度，可适用于兼容支付功能的非支付类应用程序。

Description

移动终端支付界面保护方法及装置

技术领域

本发明涉及计算机领域，具体而言，本发明涉及一种移动终端设备安全支付技术，尤其涉及一种移动终端支付界面保护方法及其相应的装置。

背景技术

自微信客户端新增“微信钱包”功能，因其支付的便利性迅速获得了大量用户，微信由于绑定了移动终端(如智能手机)，通常在进入微信时不需要验证密码，而从微信进入“微信钱包”界面也不需要进行验证，只需要在支付流程中最后一个确认性步骤进行支付密码的验证，而“微信钱包”中绑定的银行卡信息、理财通或其他消费交易记录等隐私信息则会容易泄漏，特别是当手机被盗窃或盗用的时候。因此，以微信为代表的综合性的具备支付功能的移动客户端都将面临上述风险。

发明内容

本发明的目的旨在至少解决上述技术缺陷之一，提供一种保护移动终端支付界面的方法，还为该保护方法提供一种便于实施的装置。

为实现本发明的目的，本发明采取如下技术方案：

本发明的一种移动终端支付界面保护方法，其包括以下步骤：

捕获具备支付功能的客户端的界面信息，识别其中的支付界面；

当所述客户端的支付界面被调用时，激活显示密码验证界面，使所述支付界面处于非激活状态；

通过密码验证界面接收密码输入，在验证所输入的密码正确之后，激活所述支付界面。

具体地，所述界面信息通过获取系统广播消息所包含的界面组件的包名和类名来获得。

关于支付界面的识别方法：所述界面信息与本地支付类界面特征关键字列表相匹配时，则识别该界面为支付界面。

关于使支付界面处于非激活状态的手段之一：激活显示密码验证界面之前，还包括截留激活所述支付界面的指令的步骤。

进一步地，密码验证成功后，释放被截留的所述指令；否则，删除所述指令。

使支付界面处于非激活状态的手段之二：激活显示密码验证界面之前，还包括发出使所述支付界面处于非激活状态的指令的步骤。

进一步地，密码验证成功后，发出激活所述支付界面的指令；否则，发出维持所述支付界面处于非激活状态的指令。

为便于实现，所述密码验证界面为手势验证界面、字符验证界面以及图片验证界面的任意一项或组合。

为进一步保护支付界面，激活所述支付界面之后，判断在该状态下运行的进程是否属于支付环境白名单中的进程，判断结果为否时，终止该进程。

更进一步地，激活所述支付界面之后，判断新激活显示的其他界面是否为用户手动切换的，判断结果为否时，关闭该界面。

本发明相应提供的一种移动终端支付界面的保护装置，其包括：

支付识别模块，用于捕获具备支付功能的客户端的界面信息，识别其中的支付界面；

密码调用模块，用于当所述客户端的支付界面被调用时，激活显示密码验证界面，使所述支付界面处于非激活状态；

密码验证模块，用于通过密码验证界面接收密码输入，在验证所输入的密码正确之后，激活所述支付界面。

本发明还相应地提供一种移动终端，其包括如前所述的移动终端支付界面的保护装置。

与现有技术相比较，本发明至少具有如下优点：

(1)将支付场景的识别具体到其活动界面，也即对应到其活动组件，增强识别的智能化程度，可适用于兼容支付功能的非支付类应用程序；

(2)仅针对支付活动界面的保护，免除对用户在操作该应用程序时产生的不必要的弹框骚扰，使应用程序和支付保护的服务功能统一后更为人性化，既满足安全需求，又符合使用习惯。

进一步地，本发明提出的上述方案，对现有系统的改动很小，不会影响系统的兼容性，而且实现简单、高效。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明的移动终端支付界面保护方法的原理框图。

图2为本发明的移动终端支付界面保护方法的程序实现流程示意图。

图3为本发明的移动终端支付界面保护方法中支付界面激活后的支付清场流程示意图。

图4为本发明的移动终端支付界面保护方法中支付界面激活后支付环境保护的流程示意图。

图5为本发明的移动终端支付界面保护装置的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。

本技术领域技术人员可以理解，这里所使用的“终端”、“终端设备”既包括无线信号接收器的设备，其仅具备无发射能力的无线信号接收器的设备，又包括接收和发射硬件的设备，其具有能够在双向通信链路上，执行双向通信的接收和发射硬件的设备。这种设备可以包括：蜂窝或其他通信设备，其具有单线路显示器或多线路显示器或没有多线路显示器的蜂窝或其他通信设备；PCS(Personal Communications Service，个人通信系统)，其可以组合语音、数据处理、传真和/或数据通信能力；PDA(PersonalDigital Assistant，个人数字助理)，其可以包括射频接收器、寻呼机、互联网/内联网访问、网络浏览器、记事本、日历和/或GPS(Global PositioningSystem，全球定位系统)接收器；常规膝上型和/或掌上型计算机或其他设备，其具有和/或包括射频接收器的常规膝上型和/或掌上型计算机或其他设备。这里所使用的“终端”、“终端设备”可以是便携式、可运输、安装在交通工具(航空、海运和/或陆地)中的，或者适合于和/或配置为在本地运行，和/或以分布形式，运行在地球和/或空间的任何其他位置运行。这里所使用的“终端”、“终端设备”还可以是通信终端、上网终端、音乐/视频播放终端，例如可以是PDA、MID(Mobile Internet Device，移动互联网设备)和/或具有音乐/视频播放功能的移动电话，也可以是智能电视、机顶盒等设备。

本技术领域技术人员可以理解，这里所使用的远端网络设备，其包括但不限于计算机、网络主机、单个网络服务器、多个网络服务器集或多个服务器构成的云。在此，云由基于云计算(Cloud Computing)的大量计算机或网络服务器构成，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机。本发明的实施例中，远端网络设备、终端设备与WNS服务器之间可通过任何通信方式实现通信，包括但不限于，基于3GPP、LTE、WIMAX的移动通信、基于TCP/IP、UDP协议的计算机网络通信以及基于蓝牙、红外传输标准的近距无线传输方式。

请参考图1所示的本发明的移动终端支付界面保护方法的原理框图，该移动终端支付界面保护方法包括以下步骤：

S11：识别支付界面。捕获具备支付功能的客户端的界面信息，识别其中的支付界面。

所述具备支付功能的客户端应当广义地理解为包括以“手机淘宝”为代表的购物型客户端、以“支付宝钱包”为代表的理财型客户端，以及以“微信”为代表的综合功能型客户端，即凡涉及具备支付结算功能的客户端均适用与本发明所揭示的技术方案。

所述支付界面狭义地指代与支付结算动作直接相关的活动界面，常见的如“支付”、“转账”、“充值”和“收款”等。

所述界面信息被定义在界面组件所包含的特定界面配置信息中，将上述界面信息与本地的或云端的支付类界面特征关键字列表进行对比，两者匹配对应，则确认该界面为支付界面。

S12：显示密码验证界面。当所述客户端的支付界面被调用时，激活显示密码验证界面，使所述支付界面处于非激活状态。

所述密码验证界面在所述支付界面被激活但未显示前被调用显示，同时将已激活的支付界面转变为非激活状态。

所述非激活状态，本领域技术人员可以理解为进程状态中的就绪态和/或阻塞态，也可以选择性地理解为新建态，但为了便于后续对进程的调用，此处的非激活态不应当包含退出态的情况。

所述密码验证界面用于与用户进行交互，提供用户输入解锁密码的对话框，所述解锁密码可以是手指滑动轨迹、字符串以及图片等，对应地，所述密码验证界面可以是手势验证界面、字符验证界面以及图片验证界面等。

S13：进行密码验证。通过密码验证界面接收密码输入，在验证所输入的密码正确之后，激活所述支付界面。

本领域技术人员应当知晓，此处省略描述了一个步骤：密码验证正确之后，密码验证界面退出显示，所述支付界面被重新激活调用显示。

密码验证的过程以及策略为本领域技术人员所知晓，此处采用本领域公知手段即可达到预定的加密效果，在此不进行赘述。

图2是以本发明的方法为基础而实现的一个具体应用实例的具体程序流程图，用于揭示如何对支付界面进行识别和加密保护。以下结合其中所揭示的流程进一步说明本发明的整个程序设计逻辑，为本发明的实现提供参照：

1、当有新的客户端启动，系统首先对该客户端进行识别判断。

判断该客户端是否属于本地或云端支付客户端列表中的客户端；如果该客户端不在列表中，提取客户端配置信息中的特征信息，将其与本地或云端的客户端特征关键词进行对比，用以判断该客户端中是否存在具备支付结算功能的界面组件，即支付界面。

2、识别该客户端中的支付界面。

当确定该新启动的客户端属于支付类客户端或含有支付界面，即等同定义其为具备支付功能的客户端，然后，根据前述的关于支付界面的确认方法对其中的活动界面进行识别。

3、调用密码验证界面。

当支付界面被激活调用，其将作为活动界面被显示之前，激活显示密码验证界面，同时使所述支付界面处于非激活状态。

4、进行密码验证。

密码验证成功，所述密码验证界面退出，进入支付界面，支付功能可供正常使用。密码验证不成功，同时退出所述密码验证界面和支付界面

5、支付保护流程的持续或终止。

主动退出所述支付界面，或者因密码验证失败导致被动退出所述支付界面时，若同时退出该客户端，所述支付保护流程结束，否则，继续对该客户端中的活动界面进行识别，当再次调用支付界面时，再次调用密码验证界面。

以下以Android系统为例，对上述的流程作更详细的描述。

Android环境下的应用程序，每一活动界面即对应一个活动组件，即Activity，Activity即为Android的可执行组件之一。从功能的角度看，具备支付功能的客户端往往包括多种活动界面，包括用于执行支付结算操作(指令)的活动界面(即支付界面)，和用于展示信息或执行其他非支付结算操作的活动界面。各个Activity之间的调用，借助Intent技术实现，Intent对象包含当前活动界面所对应的活动组件的调用意图，也就包含了下一个Activity的界面信息或者指向界面信息的其他信息。

上述步骤1和2涉及所述支付界面的识别方法：

Android系统中，可以通过HOOK技术截获指向支付界面的Intent对象，从而判断出用户是否存在进行支付操作的真实活动意图，在确定用户存在该真实活动意图的前提下，才视为支付界面被激活的确定，以此对支付界面进行识别。

本发明的方法，还可以借助Android的广播消息机制，通过其提供的服务模块，可以从消息队列中，获得当前已经被激活的活动界面，通过当前活动界面的关键特征信息，如客户端的包名和活动界面的类名，便可以作为确定是否启动所述支付界面的基础，以此对支付界面进行识别。

上述步骤3和4涉及所述支付界面的状态的调控，具体是支付界面进程状态的调控，下面提供可具体实现的方法流程：

(1)对激活所述支付界面的指令进行处理。

若以HOOK技术截获了指向支付界面的Intent对象，可以进一步对该Intent对象进行隔离，维持该支付界面的非激活状态(暂停或停止)，直到密码验证成功；若密码验证失败或不进行密码验证，则删除该Intent对象，从而控制所述支付界面不被激活，继续处于非激活状态(暂停、停止或结束)。

(2)分阶段发出调控所述支付界面的指令。

若以广播消息获知所述支付界面即将调用显示，同样可以利用HOOK技术截获并隔离指向支付界面的Intent对象，而后，在调用显示密码验证界面之前或同一时间，还包括发出使所述支付界面处于非激活状态的Intent对象的步骤。密码验证成功后，发出激活所述支付界面的Intent对象；否则，发出维持所述支付界面处于非激活状态的Intent对象。

上述步骤5涉及所述密码验证界面的优化调用显示。

上述的以是否同时退出支付界面和客户端作为是否继续进行支付保护(进行密码验证)的判断依据，这应当理解为其中一个可供选择的实施例。考虑到客户端的使用体验，可以在该客户端启动后进行的第一次密码验证后，在退出该客户端之前都不再执行密码验证步骤；或者退出了支付界面又在预设的时间内再次进入支付界面时，不再执行密码验证步骤。

图3为基于图2所示的本发明的方法流程进一步执行的支付清场流程，进一步对移动终端支付界面进行保护。

在所述支付界面激活后(包括已经通过验证的客户端版本)，枚举移动终端当前运行的所有进程，然后依次对进程进行以下判断：本地cache云查询判断、白签名判断、系统进程判断、云查询判断和云查询结果判断。

其中，本地cache云查询判断是指文件扫描过程中把文件的特征(文件路径、文件大小、文件最后修改时间、文件创建时间、通过三要素计算出全文MD5、SHA1)存储在本地数据库，从而可以通过本地数据库获取待扫描文件的文件属性信息。例如文件大小、文件修改时间和文件路径等。系统中文件属性信息可根据文件的修改进行实时更新。根据文件路径从本地数据库获取文件信息对于同一个文件，如果应用层扫描感知到文件大小、文件最后修改时间、文件创建时间没有变化，且驱动层(qutmdrv.sys)在文件监控过程中也没有监控到文件发生过写操作，那么我们就认为两次扫描之中文件没有发生变化，就可以直接从数据库中获取该文件的特征如全文MD5、全文SHA1等信息。文件监控主要是驱动来做的，主要是审计驱动检测文件是否被改动。例如，出现了写操作，或者属性进行了修改，则可以在数据库中记录该变化情况，并认为该文件已经失效，在文件扫描过程中把前述文件的特征存储在本地数据库。如果未修改过，就可以直接从数据库中获取该文件的特征如全文MD5、全文SHA1等信息。

因为文件的最后修改时间和文件的创建时间是可以修改的，所以如果文件内容发生变化文件大小相同，且文件的最后修改时间及文件的创建时间也改为一样，就可以造成该方法会获取到一个错误的文件标识，因此引入了文件监控，当文件发生写操作或者其他的修改操作时就把本地缓存数据库的对应的记录做一个无效标志，下次扫描时，重新获取文件的特征。

通过本地cache云查询还可以确定当前扫描的进程与之前扫描的进程进行匹配，例如该进程之前被确定为白名单进程，则可以在支付界面激活时保留该进程，该进程之前被确定为黑名单进程，则可以加入黑/灰进程列表，并清除，对于本地cache云查询无结果或者类型不明确的进程可以记为灰名单进程，进行下一步判断。

白签名判断是指判断当前进程是否为本地记录的排序靠前的若干白签名的进程，例如使用1000个可以确定为白签名对进程对应的签名进行对比，如果确认进程签名属于白签名，则可以在支付界面激活状态下保留该进程，如果进程签名不在白签名中，则需要进行下一步判断。

系统进程判断是指判断当前进程是否为系统核心进程，一般而言，系统核心进程的UID(User Identification，用户身份证明)小于1000，因此可以将UID小于1000的进程在所述支付界面激活状态下保留该进程，否则，需要进行下一步判断。

云查询判断是指查询客户端的特征是否与云端的客户端特征进行匹配，若云端不存在与客户端特征匹配的特征，则可以在所述支付界面激活的状态下保留该进程，否则，需要进行下一步判断。

云查询结果判断是指确定客户端云查询的结果为白样本还是黑样本，若为白样本则可以在所述支付界面激活状态下保留该进程，若被确定为黑样本，则可以加入黑/灰进程列表，并清除。

以上多个判断过程依次进行，采用非黑即白的策略，终止所有的黑/灰进程，仅允许白进程在支付界面激活状态下保持运行。

进一步地，在完成支付清场后，继续进行进程监控、分析和处理。

图4为基于图2所示的本发明的方法流程进一步执行的支付环境保护流程图，该流程可以包括：在完成支付清场后，同时监控移动终端有无新的进程启动，以及监控移动终端有无新的界面被激活(即新的窗口弹出)。

具体地，在监控新的窗口(界面)时，执行以下步骤：

1)监控移动终端是否有新的进程窗口出现；

2)查询弹出的新窗口是否为用户开启的新的窗口或者允许在支付界面的后台运行的进程弹出的窗口；

3)若上述结果为否，在后台关闭该新窗口，并且无需给用户进行提示；若上述结果为是，允许新窗口执行，并暂停使用支付VPN(虚拟专网协议的通信隧道)。

在监控新进程时，执行以下步骤：

1)监控移动终端有无新的进程启动；

2)调用支付清场的cache策略进行进程验证，与之前支付进程过程中缓存的白进程和黑/灰进程进行比对，缓存策略同样可以使用特征比对的方式进行，例如文件路径、文件大小、文件最后修改时间、文件创建时间、通过三要素计算出全文MD5或SHA1；

3)判断是否为清场过程中终止的进程；

4)若上述结果为是，终止该新进程；若上述结果为否，对该进程按照支付清场的逻辑进一步进行检测，检测同样可以采用本地cache云查询判断、白签名判断、系统进程判断、云查询判断、云查询结果判断等步骤进行，对支付清场中未出现的新进程进行扫描。

为了实现上述的对移动终端支付界面保护的方法，可以预先向系统注册一服务模块，通过该服务模块对系统运行环境实施监控，以取得调用界面进程的控制权。

进一步地，如图5所示，该服务模块，包括能执行如前面所述的方法步骤的多个功能模块(单元)，即：支付识别模块(单元)1、密码调用模块(单元)2以及密码验证模块(单元)3；还可以包括进程分析模块(单元)(未图示)。所述各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

综上所述，本发明不依赖于终端操作系统的API而实现了远程会话建立的技术方案，不仅有利于实现集中控制，而且通过避开移动通信网络而提高了安全系数和执行效率。

由此可以理解，本发明不仅适用于Windows 8.1和Windows RT，也适用于包括Android、IOS等自行搭建了推送服务的系统环境中。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (12)

1.一种移动终端支付界面保护方法，其特征在于，其包括以下步骤：

捕获具备支付功能的客户端的界面信息，识别其中的支付界面；

当所述客户端的支付界面被调用时，激活显示密码验证界面，使所述支付界面处于非激活状态；

通过密码验证界面接收密码输入，在验证所输入的密码正确之后，激活所述支付界面。

2.如权利要求1所述的移动终端支付界面保护方法，其特征在于：所述界面信息通过获取系统广播消息所包含的界面组件的包名和类名来获得。

3.如权利要求2所述的移动终端支付界面保护方法，其特征在于：所述界面信息与本地支付类界面特征关键字列表相匹配时，则识别该界面为支付界面。

4.如权利要求1所述的移动终端支付界面保护方法，其特征在于：激活显示密码验证界面之前，还包括截留激活所述支付界面的指令的步骤。

5.如权利要求4所述的移动终端支付界面保护方法，其特征在于：密码验证成功后，释放被截留的所述指令；否则，删除所述指令。

6.如权利要求1所述的移动终端支付界面保护方法，其特征在于：激活显示密码验证界面之前，还包括发出使所述支付界面处于非激活状态的指令的步骤。

7.如权利要求6所述的移动终端支付界面保护方法，其特征在于：密码验证成功后，发出激活所述支付界面的指令；否则，发出维持所述支付界面处于非激活状态的指令。

8.如权利要求1所述的移动终端支付界面保护方法，其特征在于：所述密码验证界面为手势验证界面、字符验证界面以及图片验证界面的任意一项或组合。

9.如权利要求1所述的移动终端支付界面保护方法，其特征在于：激活所述支付界面之后，判断在该状态下运行的进程是否属于支付环境白名单中的进程，判断结果为否时，终止该进程。

10.如权利要求1所述的移动终端支付界面保护方法，其特征在于：激活所述支付界面之后，判断新激活显示的其他界面是否为用户手动切换的，判断结果为否时，关闭该界面。

11.一种移动终端支付界面的保护装置，其特征在于，其包括：

支付识别模块，用于捕获具备支付功能的客户端的界面信息，识别其中的支付界面；

密码调用模块，用于当所述客户端的支付界面被调用时，激活显示密码验证界面，使所述支付界面处于非激活状态；

密码验证模块，用于通过密码验证界面接收密码输入，在验证所输入的密码正确之后，激活所述支付界面。

12.一种移动终端，其特征在于：其包括如权利要求11所述的移动终端支付界面的保护装置。