CN107133517A - 一种基于内存中数据加密和计算的数据还原方法 - Google Patents

Abstract

本发明公开了一种基于内存中数据加密和计算的数据还原方法：在操作系统内存管理核心模块处设置内存数据监控探针；当应用程序在内存中申请数据内存空间、数据计算时，内存数据监控探针对该应用程序对应的数据对象进行标识，同时拷贝该数据对象的内容；当该数据对象进行计算和加密时，形成新的数据对象，内存数据监控探针对新的数据对象进行标识，并同时拷贝新的数据对象的内容；基于两次的标识信息，内存数据监控探针获得应用程序数据解密前后的密文和明文对应的数据，并将获得的数据传输给动态对象监控容器队列；在动态对象监控容器队列中计算或分析数据加密前明文数据和加密后密文数据的匹配，实现了能高效、准确获取加密的明文数据的技术效果。

Description

一种基于内存中数据加密和计算的数据还原方法

技术领域

本发明涉及计算机、移动智能终端软件信息数据安全技术领域，具体地，涉及一种基于内存中数据加密和计算的数据还原方法。

背景技术

目前，现代计算机操作系统中，应用软件为了数据安全或某种目的，会采用算法对输入输出的数据(内存中)进行加密，然后将加密的数据存储在本地磁盘文件或通过网络外传服务器；由于开发者对数据采用自定义或开源安全标准的加密算法加密，或采用加密通讯协议传输数据，如SSL传输协议等保护手段。

现代计算机加密算法大致就分为三类。

(1)对称加密

采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密，也称为单密钥加密。

DES、3DES、TDEA、Blowfish、RC2、RC4、RC5、IDEA、SKIPJACK、AES

(2)非对称加密

对称加密算法在加密和解密时使用的是同一个秘钥；而非对称加密算法需要两个密钥来进行加密和解密，这两个秘钥是公开密钥(public key，简称公钥)和私有密钥(private key，简称私钥)。

RSA、DSA,Elgamal、背包算法、Rabin、D-H、ECC(椭圆曲线加密算法)

(3)哈希(摘要算法)

Hash，一般翻译做“散列”，也有直接音译为“哈希”的，就是把任意长度的输入(又叫做预映射，pre-image)，通过散列算法，变换成固定长度的输出，该输出就是散列值。这种转换是一种压缩映射，也就是，散列值的空间通常远小于输入的空间，不同的输入可能会散列成相同的输出，所以不可能从散列值来唯一的确定输入值。简单的说就是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数。

MD4 MD5 SHA-1

那么，如何获取或还原这些加密数据的明文信息？

当前公开、已有的技术方案如下：

第一种方法，首先，必须知道加密数据对象采用何种加密算法；第二，必须获得加密算法的密钥；才能有机会解开数据加密内容，获取明文信息；本方法缺点是软件开发者不公开或提供算法和密钥，则无法解决这个问题。

第二种方法，采用暴力破解，基于数据字典，采用高性能计算机或服务器进行持续运行计算，穷举算法暴力破解；首先，暴力破解局限性太大，在计算机密码解密方法论里面，暴力破解的缺点是一种低效率、粗糙的猜想解密手段，暴力破解受制于加密key长度，复杂性，可能需要无穷长计算时间才能破解；暴力破解的解密方法并不是一种合规性有效方法。

第三种方法，人工逆向分析加密数据，解析加密数据特征，结合多次数据解析对比的分析方法；人工逆向分析缺点是时间、人力成本高，解密成功率低，有时花费大量时间仍然束手无策，人工逆向分析解密数据一般适用于简单的加密算法的数据解密用途。

当前计算机操作系统中，对应用软件输入输出的加密数据，现成技术解密的方法存在各种缺陷和不足。事实上，基于计算机操作系统原理，数据的输入输出均必须先通过内存进交换，如数据加工处理、算法运算、数据加密、解密等数据操作，然后再存储在磁盘文件或通过通讯协议传输。当前现成的各种解密方法，均是对应用软件已生成的加密数据滞后解密。受限于各种加密算法和难度，造成解密困难、效率地下、甚至无法成功解密。

发明内容

本发明提供了一种基于内存中数据加密和计算的数据还原方法，解决了应用软件加密数据的现成技术解密方法缺陷和不足，如无法获取加密算法、密钥、加密复杂度、人工逆向分析低效率、解密滞后等缺陷导致的无法解密加密数据问题；实现了能高效、准确获取加密的明文数据的技术效果。

本发明属于计算机、移动智能终端软件信息数据安全技术领域，涉及一种计算机、移动智能应用软件在现代计算机操作系统中运行原理，针对应用软件产生的数据在内存中加密(包括编码)，进行分析并还原原始数据的算法；尤其涉及计算机、移动智能终端操作系统信息安全，特别是非法或恶意的应用软件在计算机、移动智能终端系统上运行过程中产生的加密(包括编码)数据还原，或合法的应用软件在运行过程产生的数据泄密漏洞安全分析。本发明实现一种操作系统内存中计算(包括加密)的数据还原方法来解决以上的信息安全问题。

本发明基于现代计算机操作系统原理，创造性提出从操作系统内存中还原数据明文方法，实现数据在内存中进行加密时被获取加密前明文数据；本发明最大的技术创新是不需要知道应用软件加密算法类型或密钥，也不需要考虑加密算法复杂度或暴力破解等手段，且能高效、准确获取加密的明文数据。

本申请提供了一种基于内存中数据加密和计算的数据还原方法，所述方法包括：

在操作系统内存管理核心模块处设置内存数据监控探针；

当应用程序在内存中申请数据内存空间并进行数据计算时，内存数据监控探针对该应用程序对应的数据对象进行标识，同时拷贝该数据对象的内容；

当该数据对象进行计算和加密时，形成新的数据对象，内存数据监控探针对新的数据对象进行标识，并同时拷贝新的数据对象的内容；

基于两次的标识信息，内存数据监控探针获得应用程序数据解密前后的密文和明文对应的数据，并将获得的数据传输给动态对象监控容器队列；

在动态对象监控容器队列中计算或分析数据加密前明文数据和加密后密文数据的匹配。

本次发明方法思路是通过在操作系统内存模块中部署监控探针，监控内存地址、内存变量的数据变化，跟踪内存特征数据变化前和变化后的数据内容，从而实现获取内存中加密数据的明文和密文信息；本发明方法不需要考虑在内存中进行数据加密的算法复杂度和强度，也不需要专门对已经加密后的数据进行如背景技术中描述的三种方法来破解或破密，基于本发明思路方法，能够还原在内存中进行加密操作的数据明文。

本发明创造解决现代计算机应用软件加密数据如何还原明文方法，本发明方法基于现代计算机操作系统内存运行机制，应用程序在操作系统运行过程中，数据操作之前需要遵循先向操作系统申请一块内存，使用内存存放数据，使用完毕之后释放内存归还给操作系统。本发明方法在操作系统内存管理核心模块设置监控探针，当操作系统上层应用软件在运行过程中，会将数据声明各种类型对象并向操作系统申请内存空间，然后在内存中对输入输出数据进行解密或加密操作(注：进程后台数据操作，实则是在操作系统内核内存中运行计算操作，外部无法查看)，由于监控探针已部署在系统内存管理核心模块，因此当应用程序申请数据内存空间并数据计算(数据加密时会申请新的内存空间存放加密后的数据)时，部署的内存监控探针会拷贝这个新数据对象内容到“动态对象监控容器队列”并同时标识该对象特征；则该数据对象进行计算和加密时，形成新的数据对象，则内存监控探针同样能监控和拷贝，根据之前的标识获取到应用软件数据解密前后的密文和明文；内存监控探针在实时获取这些数据时，实时或策略延时将数据输出到部署的动态对象监控容器队列，在队列中计算或分析数据加密前明文和加密后数据的匹配；最终实现有效应用软件加密数据的解密和还原技术方法。

进一步的，请参考图2，内存数据监控探针部署在Android Runtime层中dalvik vm(Native)和Core Libraries的核心库，监控上层应用声明和定义对象信息。

进一步的，内存数据监控探针分为多种类型包括：二进制类型探针、字节类型探针、字符类型探针、对象类型探针。

进一步的，当数据对象A在声明和申请内存空间时，内存数据监控探针被触发监控到该数据对象A的相关属性，内存数据监控探针标识该数据对象A，并该数据对象A属性信息列入动态对象监控容器队列中；当该数据对象在内存中进行计算得出数据对象B，内存数据监控探针被触发监控到数据对象B的相关属性，内存数据监控探针标识该数据对象B，并将数据对象B属性信息列入动态对象监控容器队列中；操作系统通过输出动态对象监控容器队列信息，获得数据对象A内容和数据对象B内容对应关系。

进一步的，数据对象的相关属性包括：类型、申请的内存空间地址、内存空间长度以及数据内容。

进一步的，内存数据监控探针是结构体模式，最基本结构(根据方法情景需求可以扩展更多属性)如图3所示，内存数据监控探针具体为：内存数据监控探针采集对象信息，声明结构体对象，并存放在动态对象监控容器队列中；监控探针结构体属性A存储前列对象内存地址，监控探针结构体属性B存储当前对象内存地址，监控探针结构体属性C存放当前对象数据内容，监控探针结构体属性D是标识(污点)值。

本申请提供的一个或多个技术方案，至少具有如下技术效果或优点：

本发明创造的有益效果是，从内存设置数据监控探针，可以实现获知应用数据在内存中计算前和计算后的数据内容，从而实现理论上的加密数据的还原；本发明方法创造和使用，对比在常规的计算机应用数据破解情景和破解方法手段来说，是一种高效、准确、快速的加密数据还原方法。

附图说明

此处所说明的附图用来提供对本发明实施例的进一步理解，构成本申请的一部分，并不构成对本发明实施例的限定；

图1是本申请中Android的系统的结构示意图；

图2是探针位置设在Android Runtime中的示意图；

图3是内存数据监控探针示意图；

图4-5是本申请中数据还原方法原理示意图；

图6-图7是本申请中数据还原方法举例示意图。

具体实施方式

本发明提供了一种基于内存中数据加密和计算的数据还原方法，解决了应用软件加密数据的现成技术解密方法缺陷和不足，如无法获取加密算法、密钥、加密复杂度、人工逆向分析低效率、解密滞后等缺陷导致的无法解密加密数据问题；实现了能高效、准确获取加密的明文数据的技术效果。

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在相互不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述范围内的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

实施例：

本申请采用基于Linux内核的Android源码系统来实现发明思路，发明思路也适应于Linux操作系统或其它操作系统；Android是Google开发的基于Linux平台的开源手机操作系统。Android的系统架构和现代计算机操作系统一样，采用了分层的架构。从架构图看，Android分为四个层，从高层到低层分别是应用程序层、应用程序框架层、系统运行库层和linux核心层，如图1。

在Android操作系统架构中，第三层系统运行库层是Android操作系统核心库层，由“系统组件库”和“Android运行库”构成；其封装了第4层Liunx内核的各项服务API接口，提供上层应用程序运行时所有的的系统请求和数据处理服务支撑；其中，libc组件库包含和封装Liunx内核层的数据对象定义、声明、内存申请、分配、释放等接口；本发明思路基于Andoird源码系统设计了一套Android沙箱操作系统，作为验证发明平台，从这里切入进行技术方案论证和案例检验。

本发明的技术方案难点在于如何正确部署监控探针在内存管理模块位置，并能够实现对象分配内存时触发同步拷贝该内存对象的数据；内存监控探针根据数据特点分为多种类型，如二进制类型探针，字节类型探针，字符类型探针，对象类型探针；本发明思路中，为更简单的展示出发明思路的准确性和有效性，我们以字符类型监控探针作为技术实例讲解，基于相同的技术原理，从而达到举一反三效果。

Android应用软件在运行过程中，为实现业务功能，会定义、声明各种类型对象，同时申请内存空间(堆和栈)和赋值、并在内存中进行数据计算得出新的数据内容，这里的“在内存中进行数据计算”说法，我们狭义假设是基于原来某数据在内存中进行加密或编码情景，广义上可理解为计算后的数据内容和计算前数据内容不一致形态。由于发明技术方案已经在内存管理模块代码中部署了监控探针代码，因此，当数据对象在声明和申请内存空间时，监控探针会被触发监控到这个数据对象的相关属性，如类型、申请的内存空间地址、内存空间长度(大小)以及数据内容等，监控探针会同时标识这个数据对象特征A，并将这个数据对象属性信息列入“动态对象监控容器队列”中，如果这个数据对象在内存中进行计算(加密或编码)得出数据对象B；这种情景下，数据对象B其实也会被监控探针采集和处理，因为内存管理模块中的监控探针已经知道数据对象A相关属性信息，同时也跟踪获得数据对象A在内存中计算得出数据对象B的数据内容，这2个数据对象均会内存监控探针传输入“动态对象监控容器队列”，系统通过输出“动态对象监控容器队列”信息，则能得出数据对象A(未计算)内容和数据对象B(计算后)内容对应关系。这就是本发明技术方案理论可行性论证。

技术原理如下图4-5所示：

1、内存中变量S第一次分配内存空间和值；

2、内存中变量S进行计算后得出计算后数据内容；

3、定义动态对象监控容器数据识别；

容器队列已经存储了内存数据标识1和数据标识2，根据数据的相同标识特征，取得数据标识1和数据标识2的数据内容，从而获知在内存中，数据计算前和计算后(注：此处的计算包含加密算法意义)的数据内容。

基于本发明的思路，设计了一套Android沙箱系统，在内存管理模块部署了数据监控探针，实现Android应用程序在沙箱系统运行生命周期中，应用数据在内存操作数据计算时，沙箱系统能够获取该数据计算前明文和计算后密文，虽然这套沙箱系统能够完成更多的功能任务，但这里我们仅对在内存中加密数据情景进行加密数据还原实例说明和展示；同时，我们为了验证发明思路正确效果，另外开发了一个Android应用程序，这个应用程序具有2个功能：(1)输入的登陆帐号和密码后台采用MD5算法计算网络提交到远程服务器验证登陆；(2)读取本地通讯录数据采用DES 128bit算法加密并写入本地文件存储。通过发现思路设计方法，实现这2处数据在内存中加密时，会分别被系统内置的监控探针采集，并输出这2个数据的加密前数据和加密后数据的内容，从而证实发明方法的正确性和有效性。

根据本发明方法技术论证，数据在内存中采用何种加密算法对本发明方法不会产生任何影响、阻碍因素，本发明思路能在内存跟踪获取某数据(假设A)明文和加密后密文。

内存数据监控探针模块部署在Android源码系统“运行库”层，基于Android平台的应用程序，在运行过程申请的内存空间，系统会调用“运行库”关于内存声明和定义的API模块接口，由于内存数据监控探针已经在这些接口模块中，因此探针将会捕获变量定义和数据内容，并进行标识，从而获取并跟踪该数据对象，当该数据对象进行计算加密操作时，内存数据监控探针能取得数据对象的计算前和计算后数据。

我们采用了2个实例进行验证，第一个例子采用MD5散列算法计算，第二个例子采用DES算法计算；然后在例子输出的数据中进行验证。

本例子的应用软件在基于发明思路设计的支撑系统(Android沙盒系统)上运行，例子应用软件启动时候必须登录认证，应用软件后台进程会在内存中将用户密码计算为MD5值，然后将帐号和密码和远程服务器认证接口校验是否正确。本例子假设密码数据值采用MD5散列算法计算(也可以采用其它复杂度的加密算法)；图6是基于发明思路设计和部署的内存数据监控探针捕获和跟踪的数据内容(动态对象监控容器队列输出)；我们对输出的内容中的密码明文进行第三方md5计算，验证了本例子中登录密码明文和计算后的密文是对应一致！从而证实了本发明方法是准确和有效。

同上，本例子的应用软件会读取Android手机本地的通讯录信息，然后将通讯录采用DES加密计算后存储在本地，应用软件会在读取本机通讯录时和写入本地文件之前，会将通讯录内容读取在内存中，并进行计算(本例采用DES算法)，然后才将内存上的数据写入本地文件存储。基于发明思路设计的沙盒系统，当通讯录内容被读取在内存时候，将会被内存数据监控探针捕获和跟踪，同时后续进行计算后的数据(新申请的内存空间)，同样被捕获和监控，并将拷贝传递到动态对象监控容器队列中，然后输出外部；我们对图7的密文用相同的加密KEY进行解密，发现捕获的密文加密前就是所指定的明文信息；本例子进一步展示了本发明方法技术思路优势和特点，不受限于加密算法的复杂度，不需要暴力破解等手段，同时又能保持高效、准确、方便的加密数据还原技术手段。

在现代计算机操作系统(包含移动智能手机操作系统)理论上来说，应用程序在运行过程必须基于内存模块运行，声明数据和计算数据均必须在内存中操作，本发明方法从内存角度上实现内存数据的跟踪和监控技术方法，突破和改进了常规的暴力破解加密数据方法手段，创新性实现一种高效、准确的加密数据还原方法！基于本发明思路，还能够延伸完成更多基于内存数据操作方法。

本发明关键点是基于现在计算机操作系统理论基础，在计算机(包含移动智能手机操作系统)内存中数据的跟踪和监控技术思路实现；实现了应用程序加密数据的还原和展示，从而对分析数据和解密数据的技术人员和行业提供一种创新性的技术方法，且本发明方法效率比传统的破密、破解加密数据的方法更加有效率和准确！

上述本申请实施例中的技术方案，至少具有如下的技术效果或优点：

本发明创造的有益效果是，从内存设置数据监控探针，可以实现获知应用数据在内存中计算前和计算后的数据内容，从而实现理论上的加密数据的还原；本发明方法创造和使用，对比在常规的计算机应用数据破解情景和破解方法手段来说，是一种高效、准确、快速的加密数据还原方法。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。本申请以Android系统进行说明，采用与本申请相同的原理或方法在其他操作系统上实施同样的技术方案均在本申请的保护范围内，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (6)

1.一种基于内存中数据加密和计算的数据还原方法，其特征在于，所述方法包括：

在操作系统内存管理核心模块处设置内存数据监控探针；

当应用程序在内存中申请数据内存空间并进行数据计算时，内存数据监控探针对该应用程序对应的数据对象进行标识，同时拷贝该数据对象的内容；

当该数据对象进行计算和加密时，形成新的数据对象，内存数据监控探针对新的数据对象进行标识，并同时拷贝新的数据对象的内容；

基于两次的标识信息，内存数据监控探针获得应用程序数据解密前后的密文和明文对应的数据，并将获得的数据传输给动态对象监控容器队列；

在动态对象监控容器队列中计算或分析数据加密前明文数据和加密后密文数据的匹配。

2.根据权利要求1所述的基于内存中数据加密和计算的数据还原方法，其特征在于，内存数据监控探针部署在基于Linux内核的Android操作系统Android Runtime核心库中，监控上层应用声明和定义对象信息。

3.根据权利要求1所述的基于内存中数据加密和计算的数据还原方法，其特征在于，内存数据监控探针分为多种类型包括：二进制类型探针、字节类型探针、字符类型探针、对象类型探针。

4.根据权利要求1所述的基于内存中数据加密和计算的数据还原方法，其特征在于，当数据对象A在声明和申请内存空间时，内存数据监控探针被触发监控到该数据对象A的相关属性，内存数据监控探针标识该数据对象A，并该数据对象A属性信息列入动态对象监控容器队列中；当该数据对象在内存中进行计算得出数据对象B，内存数据监控探针被触发监控到数据对象B的相关属性，内存数据监控探针标识该数据对象B，并将数据对象B属性信息列入动态对象监控容器队列中；操作系统通过输出动态对象监控容器队列信息，获得数据对象A内容和数据对象B内容对应关系。

5.根据权利要求4所述的基于内存中数据加密和计算的数据还原方法，其特征在于，数据对象的相关属性包括：类型、申请的内存空间地址、内存空间长度以及数据内容。

6.根据权利要求1所述的基于内存中数据加密和计算的数据还原方法，其特征在于，内存数据监控探针采集对象信息，声明结构体对象，并存放在动态对象监控容器队列中；监控探针结构体属性A存储前列对象内存地址，监控探针结构体属性B存储当前对象内存地址，监控探针结构体属性C存放当前对象数据内容，监控探针结构体属性D是标识值。