CN107451477A - 一种恶意程序检测的方法、相关装置及系统 - Google Patents

Abstract

本发明实施例公开了一种恶意程序检测的方法，包括：向客户端发送目标交互式应用的随机参数以及初始化数据；接收客户端发送的第一应用数据，其中，第一应用数据为客户端根据所述随机参数、初始化数据以及操作信息生成的，操作信息是对目标交互式应用进行操作所得到的；若第一应用数据满足校验条件，则根据随机参数、初始化数据以及操作信息生成第二应用数据；若第一应用数据与第二应用数据不一致，则确定客户端为恶意客户端。本发明实施例还提供一种服务器、客户端以及恶意程序检测系统。本发明实施例采用复盘强校验的手段完整复现客户端的逻辑，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

Description

一种恶意程序检测的方法、相关装置及系统

技术领域

本发明涉及互联网技术领域，尤其涉及一种恶意程序检测的方法、相关装置及系统。

背景技术

随着网络游戏的普及，游戏外挂也越来越多，外挂更新的频率也越来越快。为了不影响游戏的口碑和体验，维护游戏的公平性，及时有效地打击恶意程序(例如破坏游戏平衡的外挂程序)成为急需解决的问题。

目前，常见的反外挂策略是采用关键内存数据偏移的方式，或者采用关键内存数据掩护(mask)存储的方式。以此提升客户端获取关键内存数据的难度，降低篡改关键内存数据的可能性。一定程度上可以防止外挂作弊。

然而，采用上述方式虽然一定程度上可以防止外挂作弊，但是难以防范运用反汇编将外挂注入程序的情况，高端的外挂总能找出关键内存数据所在的内存位置，导致难以有效全面地防止外挂。

发明内容

本发明实施例提供了一种恶意程序检测的方法、相关装置及系统，可以采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

有鉴于此，本发明第一方面提供了一种恶意程序检测的方法，包括：

向客户端发送目标交互式应用的随机参数以及初始化数据；

接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

若所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本发明第二方面提供了一种恶意程序检测的方法，包括：

接收服务器发送的随机参数以及初始化数据；

根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息为客户端根据用户对所述目标交互式应用的操作所得到的；

向所述服务器发送所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本发明第三方面提供了一种服务器，包括：

发送模块，用于向客户端发送目标交互式应用的随机参数以及初始化数据；

接收模块，用于接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述发送模块发送的所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

生成模块，用于若所述接收模块接收的所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

第一确定模块，用于若所述接收模块接收的所述第一应用数据与所述生成模块生成的所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本发明第四方面提供了一种客户端，包括：

接收模块，用于接收服务器发送的随机参数以及初始化数据；

生成模块，用于根据所述接收模块接收的所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息为客户端根据用户对所述目标交互式应用的操作所得到的；

发送模块，用于向所述服务器发送所述生成模块生成的所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本发明第五方面提供了一种服务器，包括：存储器、收发器、处理器以及总线系统；

其中，所述存储器用于存储程序；

所述处理器用于执行所述存储器中的程序，包括如下步骤：

控制所述收发器向客户端发送目标交互式应用的随机参数以及初始化数据；

控制所述收发器接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

若所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端；

所述总线系统用于连接所述存储器以及所述处理器，以使所述存储器以及所述处理器进行通信。

本发明第六方面提供了一种服务器，包括：存储器、收发器、处理器以及总线系统；

其中，所述存储器用于存储程序；

所述处理器用于执行所述存储器中的程序，包括如下步骤：

接收服务器发送的随机参数以及初始化数据；

根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息为客户端根据用户对所述目标交互式应用的操作所得到的；

向所述服务器发送所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端；

所述总线系统用于连接所述存储器以及所述处理器，以使所述存储器以及所述处理器进行通信。

本发明的第七方面提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第一方面所述的方法。

本发明的第八方面提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第二方面所述的方法。

本发明第九方面提供了一种恶意程序检测系统，所述恶意程序检测系统包括服务器以及客户端；

所述服务器向客户端发送目标交互式应用的随机参数以及初始化数据；

所述客户端根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息为客户端根据用户对所述目标交互式应用的操作所得到的；

所述客户端向所述服务器发送所述第一应用数据；

若所述第一应用数据满足校验条件，则所述服务器根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则所述服务器确定所述客户端为恶意客户端。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明实施例中，提供了一种防止外挂的方法，首先服务器向客户端发送随机参数以及初始化数据，然后接收客户端发送的第一应用数据，其中，第一应用数据为客户端根据随机参数、初始化数据以及操作信息生成的，若第一应用数据满足校验条件，则服务器根据随机参数、初始化数据以及操作信息生成第二应用数据，若第一应用数据与第二应用数据不一致，则服务器确定客户端为恶意客户端。通过上述方式，服务器采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

附图说明

图1为本发明实施例中恶意程序检测系统的架构图；

图2为本发明实施例中恶意程序检测方法一个交互实施例示意图；

图3为本发明实施例中恶意程序检测的方法一个实施例示意图；

图4为本发明实施例中异步校验的架构图；

图5为本发明实施例中多版本校验的架构图；

图6为本发明实施例中恶意程序检测的方法另一个实施例示意图；

图7为本发明实施例中客户端与服务器调用逻辑库的一个关系示意图；

图8为本发明实施例中客户端校验的架构图；

图9为本发明实施例中目标交互式应用的一个界面示意图；

图10为本发明实施例中目标交互式应用的另一个界面示意图；

图11为本发明实施例中目标交互式应用的另一个界面示意图；

图12为本发明实施例中服务器一个实施例示意图；

图13为本发明实施例中服务器另一个实施例示意图；

图14为本发明实施例中服务器另一个实施例示意图；

图15为本发明实施例中服务器另一个实施例示意图；

图16为本发明实施例中服务器另一个实施例示意图；

图17为本发明实施例中服务器另一个实施例示意图；

图18为本发明实施例中客户端一个实施例示意图；

图19为本发明实施例中客户端另一个实施例示意图；

图20为本发明实施例中服务器一个结构示意图；

图21为本发明实施例中客户端一个结构示意图；

图22为本发明实施例中恶意程序检测系统一个实施例示意图。

具体实施方式

本发明实施例提供了一种恶意程序检测的方法、相关装置及系统，可以采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

应理解，本发明实施例主要应用于交互式应用(游戏)，其目的是提升恶意程序检测的可靠性，并且全面有效地打击恶意程序。为了便于介绍，下面将以一款名为“天天爱消除”的交互式应用为例进行介绍。恶意程序检测系统包含客户端以及服务器，由服务器根据客户端在结算时上报的操作步骤以及得分等结果计算最终得分，进而来比对客户端上报的得分是否误，以此判断客户端是否作弊。服务器需要保证与客户端运行相同的计算逻辑，由于计算逻辑中运用到随机函数，服务器会在客户端开始某局的游戏时，给客户端下发唯一的随机种子，客户端与服务器都会用相同的随机种子来初始化随机函数。总的来说，开局棋盘、随机种子以及操作步骤能确定唯一的结果，而开局棋盘与随机种子都是服务器下发的，校验的时候也都是提取服务器侧的数据。如果外挂篡改了开局棋盘、随机种子或者通过结果，则都会导致复盘强校验失败。

请参阅图1，图1为本发明实施例中恶意程序检测系统的架构图，如图所示，服务器的复盘强校验流程具体为：

步骤101中，客户端向服务器发送特定关卡的开局请求，其中，“天天爱消除”中的不限定时间，但是需要在指定部署内达到过关条件的关卡可以为特定关卡；

步骤102中，服务器收到关卡开局协议后，给客户端回复这关卡的棋盘数据以及随机种子。随机种子是个重要的参数，主要是用于每局游戏中初始化逻辑库，客户端每局游戏中的随机种子都不一致。逻辑库中大量使用了随机函数，随机函数库是伪随机的，使用之前需要用随机种子进行初始化。每局游戏中，使用指定的关卡棋盘数据和确定的随机种子，就能唯一确定这局游戏的开局；

步骤103中，客户端收到棋盘数据和随机种子之后，就初始化棋盘并显示棋盘用户界面(User Interface，UI)。之后循环接受玩家界面的输入操作，驱动逻辑库进行动画效果展示，直至该局游戏结束；

步骤104中，客户端游戏结束后，上报当局游戏的结算数据，包括通关结果(通关状态以及分数等)以及有效的滑动操作序列给服务器；

步骤105中，服务器收到客户端的结算数据后，若发现这关是成功的，就进行复盘强校验。复盘强校验是完整复现客户端的逻辑，不同之处是服务器不需要展示客户端的UI。复盘时，服务器会采用给客户端下发的关卡数据，以及存储在服务器中的随机种子；

步骤106中，服务器会对比客户端的结算结果与后台复盘结果，最终回复给客户端。

为了便于理解，请参阅图2，图2为本发明实施例中恶意程序检测方法一个交互实施例示意图，如图所示，具体为：

步骤201中，客户端向服务器主进程发送指定关卡开局请求；

步骤202中，服务器向客户端回传“天天爱消除”的棋盘数据以及初始的随机种子；

步骤203中，客户端驱动游戏，并接收用户操作；

步骤204中，客户端向服务器主进程上报结算数据以及用户操作所对应的操作序列；

步骤205中，服务器主进程先进程弱校验；

步骤206中，服务器主进程触发校验进程进行异步强校验；

步骤207中，校验进程根据客户端版本号，选择对应的逻辑看进行复盘强校验；

步骤208中，校验进程将得到校验结果反馈给服务器主进程；

步骤209中，服务器主进程将校验进程回复的校验结果发送至客户端。

下面将从服务器的角度，对本发明中恶意程序检测的方法进行介绍，请参阅图3，本发明实施例中恶意程序检测的方法一个实施例包括：

301、向客户端发送目标交互式应用的随机参数以及初始化数据；

本实施例中，服务器先向客户端发送目标交互式应用的随机参数以及初始化数据，其中，客户端上安装有目标交互式应用，该目标交互式应用具体可以为游戏，为了便于介绍，将以“天天爱消除”这款游戏为例进行介绍。随机参数即为“随机种子”，即服务器为客户端随机分配的一个数据，初始化数据为服务器给客户端下发的关卡数据。

服务器可以采用V4虚拟机，4核Intel(R)Xeon(R)2.50GHz的中央处理器(CentralProcessing Unit，CPU)，16G的内存，tlinux_xenU-1.1.rc11(x86_64)的系统。需要说明的是，在实际应用中，服务器还可以在其他的硬件环境下运行，此处仅为一个示意，并不应理解为对本发明的限定。

302、接收客户端发送的第一应用数据，其中，第一应用数据为客户端根据随机参数、初始化数据以及操作信息生成的，操作信息是对目标交互式应用进行操作所得到的；

本实施例中，服务器接收客户端发送是第一应用数据。这里的第一应用数据生成方式为客户端根据服务器下发的随机参数、初始化数据以及操作信息生成的，操作信息即为用户采用客户端对目标交互式应用进行操作时生成的，也可以认为是终端设备与目标交互式应用进行交互时生成的，操作信息具体包含操作序列(顺序)和操作内容等。

第一应用数据中携带有第一结算数据，第一结算数据可以理解为目标交互式应用的最终得分。

303、若第一应用数据满足校验条件，则根据随机参数、初始化数据以及操作信息生成第二应用数据；

本实施例中，如果第一应用数据中的第一结算数据大于或等于预设值，则认为第一应用数据满足校验条件。比如，第一结算数据为10660分，预设值为10000，那么第一结算数据大于预设值，因此认为第一应用数据满足校验条件。此时，服务器将进行复盘校验，也就是同样根据随机参数、初始化数据以及客户端上传的操作信息生成对应的第二应用数据。

304、若第一应用数据与第二应用数据不一致，则确定客户端为恶意客户端。

本实施例中，如果服务器检测得到第一应用数据与第二应用数据不一致，则服务器可以判断得到该客户端为恶意客户端，恶意客户端通常包含外挂或者其他的恶意程序。

本发明实施例中，提供了一种恶意程序检测的方法，首先服务器向客户端发送随机参数以及初始化数据，然后接收客户端发送的第一应用数据，其中，第一应用数据为客户端根据随机参数、初始化数据以及操作信息生成的，若第一应用数据满足校验条件，则服务器根据随机参数、初始化数据以及操作信息生成第二应用数据，若第一应用数据与第二应用数据不一致，则服务器确定客户端为恶意客户端。通过上述方式，服务器采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

可选地，在上述图3对应的实施例的基础上，本发明实施例提供的恶意程序检测方法第一个可选实施例中，向客户端发送目标交互式应用的随机参数以及初始化数据之前，还可以包括：

获取随机参数，其中，随机参数用于初始化逻辑库；

采用随机参数对逻辑库进行初始化操作，并获取初始化数据，其中，初始化数据用于确定目标交互式应用的开局数据。

本实施例中，服务器在向客户端发送随机参数与初始化数据之前，还需预先获取随机参数，其中，该随机参数可以用户服务器初始化逻辑库，逻辑库中存储有大量的随机函数，服务器采用随机参数对逻辑库做初始化操作。在目标交互式应用中，使用初始化数据和随机参数，就能够确定目标交互式应用的开局。例如，在每局游戏中，使用指定关卡对应的棋盘数据(即初始化数据)和随机种子(即随机参数)。

在项目中业务会快速迭代更新，这会导致客户端会加入新的玩法逻辑，甚至修改原有逻辑。客户端把核心逻辑抽象出一套独立的库，项目变更时，都由客户端来维护。服务器不用关心逻辑库的具体实现，减少了服务器维护的成本。逻辑变更时，服务器只需同步最新的逻辑库，直接调用逻辑库。独立逻辑库的方式，可以真正实现了服务独立。

需要说明的是，逻辑库代码是用C++语言实现的，在不同的平台会编译生成相应的库。例如在安卓(Android)客户端会编译生成so类型库，苹果公司的移动操作系统(iphoneoperation system，IOS)客户端会编译生成.a类型库，而在Linux服务器端会编译生成so类型库。

其次，本发明实施例中，服务器向客户端发送目标交互式应用的随机参数以及初始化数据之前，还需要获取随机参数，其中，随机参数用于初始化逻辑库，服务器采用随机参数对逻辑库进行初始化操作，并获取初始化数据，其中，初始化数据用于确定目标交互式应用的开局数据。通过上述方式，服务器可以预先获取随机参数以及初始化数据，从而为方案实现提供了可行的方式，以此提升了方案的实用性。

可选地，在上述图3或图3对应的第一个实施例的基础上，本发明实施例提供的恶意程序检测方法第二个可选实施例中，接收客户端发送的第一应用数据之后，还可以包括：

获取第一应用数据中携带的第一结算数据，其中，第一应用数据还携带待校验数据；

根据第一应用数据中携带的待校验数据，确定第二结算数据；

若第一结算数据与第二结算数据一致，确定第一应用数据满足校验条件。

本实施例中，服务器在接收客户端发送的第一应用数据之后，首先获取第一应用数据中所携带的第一结算数据，其中，第一应用数据中除了携带第一结算数据，还可以携带待校验数据。然后进一步根据待校验数据，确定第二结算数据。如果第一结算数据与第二结算数据一致，确定第一应用数据满足校验条件。

具体地，服务器在判断第一应用数据是否满足校验条件时，应该考虑到客户端当前的第一结算数据是否有误。这个检测过程可以称为“弱校验”。第一应用数据包含第一结算数据以及待校验数据，以“天天爱消除”这款游戏为例，那么第一结算数据可以为用户的最终得分，待校验数据可以是游戏过程中的各个得分项目，如“三消个数”(连续三个相同图案消除)，“四消个数”(连续四个相同图案消除)，特殊棋子消除个数等。服务器运用与客户端一致的计算逻辑，根据待校验数据计算客户端对应的第二结算数据，如果第一结算数据与第二结算数据一致，说明服务器模拟客户端得到的结算数据，与客户端自身计算得到的结算数据一致，那么“弱校验”通过，也就可以确定第一应用数据满足校验条件。

其次，本发明实施例中，服务器在接收客户端发送的第一应用数据之后，还可以获取第一应用数据中携带的第一结算数据，其中，第一应用数据还携带待校验数据，然后服务器根据第一应用数据中携带的待校验数据，确定第二结算数据，若第一结算数据与第二结算数据一致，确定第一应用数据满足校验条件。通过上述方式，介绍服务器如何利用客户端发送的第一应用数据进行校验，即采用第一应用数据中携带的待校验数据来模拟客户端的操作，并得到第二结算数据，以此提升校验的可靠性和可行性。

可选地，在上述图3、图3对应的第一或第二个实施例的基础上，本发明实施例提供的恶意程序检测方法第三个可选实施例中，根据第一应用数据中携带的待校验数据，确定第二结算数据，可以包括：

采用分值系数、待校验数据和预置附加分值计算第二结算数据。

本实施例中，将介绍服务器进行“弱校验”的方法，具体地，可以采用如下公式进行计算：

F＝a×n+h； (1)

F表示第二结算数据，也就是所需计算的结果。a表示分值系数，例如可以设置为0.8，n则是待校验数据，例如“三消个数”等，而h表示预置附加分值，即预先确定的一个固定值，例如3.5。

需要说明的是，在实际应用中，待校验数据可以包含多个参数，这样的话，每个参数也应该对应相应的分值系数。即：

F＝a×n1+b×n2+c×n3+h； (2)

服务器通过客户端上报一系列关键数据，不仅是最终的得分等数据，以“天天爱消除”这款游戏为例，关键数据包含上报最终得分、三消个数、四消个数、特殊棋子消除个数以及游戏时长等数据。在服务器端，运用一套公式对关键数据来校验最终的数据。

其中，F为最终的得分数据，即第二结算数据，n1、n2以及n3分别为三消、四消以及特殊棋子消除个数，a、b以及c为对应的消除得分系数，h为其他额外的得分。服务器弱校验可以有效避免客户端修改单一上报数据，例如最终得分。

再次，本发明实施例中，在服务器采用复盘强校验的方法之前，还可以采用弱校验对客户端是否存在恶意文件进行验证。通过上述方式，可以进一步提升植入恶意文件的难度，从而提升方案的安全性。

可选地，在上述图3、图3对应的第一至第三个实施例中任一项的基础上，本发明实施例提供的恶意程序检测方法第四个可选实施例中，获取第一应用数据中携带的第一结算数据，可以包括：

在主进程中获取第一应用数据中携带的第一结算数据，其中，主进程对应至少一个校验进程；

根据随机参数、初始化数据以及操作信息生成第二应用数据之前，还可以包括：

轮询至少一个校验进程，并获取目标校验进程；

根据随机参数、初始化数据以及操作信息生成第二应用数据，可以包括：

在目标校验进程中，根据随机参数、初始化数据以及操作信息生成第二应用数据。

本实施例中，服务器在主进程中获取第一应用数据中携带的第一结算数据，一个主进程可以对应至少一个校验进程，然后服务器轮询这至少一个校验进程，并从中获取到一个目标校验进程，最后在目标校验进程中生成对应的第二应用数据。

具体地，请参阅图4，图4为本发明实施例中异步校验的架构图，如图所示，在服务器侧，复盘强校验相对比较耗时，单局校验平均耗时4号码左右。在校验的同时为了不阻塞其他请求逻辑，服务器可以把复盘强校验逻辑独立于主进程，服务器主进程采用异步非阻塞的方式调用校验进程，如图4所示，在图4中服务器主进程与校验进程之间关系为一对多的关系。这种架构允许同一时刻，后台同时进行多关复盘强校验，提高校验的效率。实际环境中，主进程与校验进程部署在同一机器上面，且一个主进程对应四个校验进程。

再次，本发明实施例中，服务器具体可以在主进程中获取第一应用数据中携带的第一结算数据，其中，主进程对应至少一个校验进程，通过轮询至少一个校验进程获取目标校验进程，在目标校验进程中，根据随机参数、初始化数据以及操作信息生成第二应用数据。通过上述方式，在同一时刻，允许服务器后台同时进行多个关卡的复盘强校验，以此提高校验的效率。

可选地，在上述图3、图3对应的第一至第四个实施例中任一项的基础上，本发明实施例提供的恶意程序检测方法第五个可选实施例中，接收客户端发送的第一应用数据之后，还可以包括：

获取客户端所对应的客户端版本；

根据客户端版本从校验规则集合中确定校验规则，其中，校验规则用于指示应用数据的生成方式，客户端版本与校验规则具有对应关系；

根据随机参数、初始化数据以及操作信息生成第二应用数据，可以包括：

根据随机参数与初始化数据确定目标交互式应用的开局模式，其中，开局模式用于确定客户端的初始化应用界面；

接收客户端发送的操作信息，其中，操作信息为客户端根据用户对初始化应用界面的操作而生成的；

按照校验规则对操作信息进行处理，并得到第二应用数据。

本实施例中，服务器接收客户端发送的第一应用数据之后，还可以根据客户端所对应的客户端版本来选择相应的校验规则，校验规则用于指示应用数据的生成方式，客户端版本与校验规则具有对应关系。例如，客户端版本为v10.2.89.1时，对应的校验规则为根据操作信息确定操作步数，然后将操作步数与随机参数相乘后加上初始化数据，最后得到第二应用数据。而客户端版本为v10.2.89.2时，对应的校验规则为根据操作信息确定操作时间，然后将操作时间与随机参数相乘后加上初始化数据，最后得到第二应用数据。

具体地，服务器首先根据随机参数与初始化数据确定目标交互式应用的开局模式，开局模式用于确定客户端的初始化应用界面，即初始化的棋局数据。然后服务器接收客户端发送的操作信息，其中，操作信息为客户端根据用户对初始化应用界面的操作而生成的，例如根据用户的操作步数和/或操作时间等生成的。最后按照校验规则可以得到第二应用数据。

请参阅图5，图5为本发明实施例中多版本校验的架构图，真实环境中，客户端会存在多个版本，且每个版本的逻辑库不一致。因此，服务器为了兼容多个版本的客户端，校验进程运行时也需要加载多版本的逻辑库。校验进程采用的方式是动态加载so库，通过dlopen函数或dlsym函数显示调用。校验进程会通过客户端的版本号，来选择相应的逻辑库来校验，其中，校验进程采用动态加载so库优点如下：

一、可以解决多版本逻辑库中相同符号的冲突。

二、新增消除库版本，服务器不用修改老版本，加快了服务器整体的编译速度。

进一步地，本发明实施例中，介绍了服务器如何根据客户端版本进行多版本校验的方式，即服务在接收客户端发送的第一应用数据之后，先获取客户端所对应的客户端版本，然后服务器根据客户端版本从校验规则集合中确定校验规则，再根据随机参数与初始化数据确定目标交互式应用的开局模式，服务器接收客户端发送的操作信息，按照校验规则对操作信息进行处理，并得到第二应用数据。通过上述方式，使得服务器可以根据不同的客户端版本分别进行相应的校验操作，有利于提升校验的准确性，减少因不同客户端版本之间的差异而导致的计算方式存在差别。

上述实施例是从服务器的角度对本发明中恶意程序检测的方法进行介绍，下面将以客户端的角度对本发明中恶意程序检测的方法进行介绍，请参阅图6，本发明实施例中恶意程序检测的方法一个实施例包括：

401、接收服务器发送的随机参数以及初始化数据；

本实施例中，客户端接收服务器发送的随机参数和初始化数据，该目标交互式应用具体可以为游戏，为了便于介绍，将以“天天爱消除”这款游戏为例进行介绍。随机参数即为“随机种子”，即服务器为客户端随机分配的一个数据，初始化数据为服务器给客户端下发的关卡数据。

402、根据随机参数、初始化数据以及操作信息生成第一应用数据，操作信息是对目标交互式应用进行操作所得到的；

本实施例中，客户端根据服务器下发的随机参数、初始化数据以及操作信息生成的，操作信息即为用户采用客户端对目标交互式应用进行操作时生成的，也可以认为是终端设备与目标交互式应用进行交互时生成的，具体包含操作序列(顺序)和操作内容等。

第一应用数据中携带有第一结算数据，第一结算数据可以理解为目标交互式应用的最终得分。

403、向服务器发送第一应用数据，以使服务器在第一应用数据满足校验条件时，根据随机参数、初始化数据以及操作信息生成第二应用数据，其中，若第一应用数据与第二应用数据不一致，则确定客户端为恶意客户端。

本实施例中，客户端向服务器发送第一应用数据，如果第一应用数据中的第一结算数据大于或等于预设值，则认为第一应用数据满足校验条件。此时，服务器将进行复盘校验，也就是同样根据随机参数、初始化数据以及客户端上传的操作信息生成对应的第二应用数据。

如果服务器检测得到第一应用数据与第二应用数据不一致，则服务器可以判断得到该客户端为恶意客户端，恶意客户端通常包含外挂或者其他的恶意程序。

本发明实施例中，提供了一种恶意程序检测的方法，首先客户端接收服务器发送的随机参数以及初始化数据，然后根据随机参数、初始化数据以及操作信息生成第一应用数据，操作信息为客户端根据用户对目标交互式应用的操作所得到的，最后向服务器发送第一应用数据，以使服务器在第一应用数据满足校验条件时，根据随机参数、初始化数据以及操作信息生成第二应用数据，其中，若第一应用数据与第二应用数据不一致，则确定客户端为恶意客户端。通过上述方式，服务器采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

可选地，在上述图6对应的实施例的基础上，本发明实施例提供的恶意程序检测方法第一个可选实施例中，根据随机参数、初始化数据以及操作信息生成第一应用数据之前，还可以包括：

获取客户端版本；

根据客户端版本从校验规则集合中确定校验规则，其中，校验规则用于指示应用数据的生成方式，客户端版本与校验规则具有对应关系；

根据所述随机参数、初始化数据以及操作信息生成第一应用数据，可以包括：

根据随机参数与初始化数据确定初始化应用界面；

接收用户触发的操作，并根据是操作生成对应的操作信息，其中，操作信息为根据用户对所述初始化应用界面的操作而生成的；

按照校验规则对操作信息进行处理，并得到第一应用数据。

本实施例中，客户端还可以进行多版本客户端校验。首先客户端需要获取客户端版本，然后根据客户端版本，从后台数据库中存储的校验规则集合中确定校验规则。其中，校验规则用于指示应用数据的生成方式，客户端版本与校验规则具有对应关系，例如，客户端版本为v10.2.89.1时，对应的校验规则为根据操作信息确定操作步数，然后将操作步数与随机参数相乘后加上初始化数据，最后得到第一应用数据。而客户端版本为v10.2.89.2时，对应的校验规则为根据操作信息确定操作时间，然后将操作时间与随机参数相乘后加上初始化数据，最后得到第一应用数据。

类似地，服务器会根据相应的逻辑计算第二应用数据，此处不做赘述。

请参阅图7，图7为本发明实施例中客户端与服务器调用逻辑库的一个关系示意图，如图所示，客户端与服务器运行完全一致的逻辑，即两者在相同的初始情况下(包括相同的初始数据以及相同的随机参数)，运行相同的操作，得到结果的结果一致。以“天天爱消除”为例，可以独立出了一套平台无关的逻辑库，该逻辑库能被客户端和服务器调用。图7中客户端每次操作需要四个步骤，具体是客户端调用逻辑库，逻辑库产生动画数据，客户端从逻辑库中获取动画数据以及客户端播放动画数据。而服务器调用的时候，不需要动画显示，因此忽略了动画数据，只有一个步骤。

为了便于说明，请参阅图8，图8为本发明实施例中客户端校验的架构图，如图所示，图中服务器主进程收到客户端的结算数据后，首先会判断客户端这关是否成功通关，仅当成功通关时，才会进行之后的校验。之后的校验包括弱校验和异步复盘强校验，弱校验是简单校验客户端上报的数据是否有误，若弱校验失败，会终止后面的复盘强校验，并给客户端返回结算失败。弱校验存在的意义是，弱校验是瞬时的，耗费时间可以忽略不计，而复盘强校验比较耗时。弱校验能挡掉部分外挂，节省后面的计算资源。由于主校验与校验进程是一对多的关系，为了均匀分配计算资源，主进程通过轮询的方式选择一个校验进程。

其次，本发明实施例中，客户端根据随机参数、初始化数据以及操作信息生成第一应用数据之前，还可以获取客户端版本，并根据客户端版本从校验规则集合中确定校验规则。通过上述方式，客户端可以根据具体的版本及其对应的校验规则来确定应用数据的生成方式，从而提升方案的可行性和可操作性。客户端根据随机参数与初始化数据确定初始化应用界面，然后接收用户触发的操作，并根据是操作生成对应的操作信息。通过上述方式，用户能够通过客户端的初始化应用界面进行相应的操作，以此用户操作的便利性和灵活性。

为便于理解，下面可以以一个具体应用场景对本发明中恶意程序检测的过程进行详细描述，具体为：

请参阅图9，图9为本发明实施例中目标交互式应用的一个界面示意图，如图所示，该目标交互式应用具体可以为“天天爱消除”这款游戏，游戏中包含了关键数据，如剩余步数、得分以及怪物血量等，如果这些关键数据被恶意篡改，则会很大程度上影响游戏的公平性。于是服务器需要采用“弱校验”以及“复盘强校验”来尽可能地克服这些问题。

请参阅图10，图10为本发明实施例中目标交互式应用的另一个界面示意图，如图所示，服务器端复盘强校验的方式已经在“天天爱消除”游戏中成功运用，“天天爱消除”推出全新的关卡模式。关卡模式是不限制时间的，需要在指定的步数内到达过关条件才算过关。图10则是“天天爱消除”关卡模式中其中一关的过关条件图。

请参阅图11，图11为本发明实施例中目标交互式应用的另一个界面示意图，如图所示，服务器的复盘强校验，能有效防止玩家在关卡模式中的各种作弊行为。客户端在体验一关游戏结束后，会把关键数据上报给服务器，服务器会作复盘强校验。当出现校验失败时，服务器会取消玩家在这关的收益，并进行处罚。图11则为校验失败时客户端的界面展示。

目前在“天天爱消除”游戏中，每天基于复盘强校验的总局数超过了五千万局，校验成功率达到了99.9995％。该技术方案有效防止了各种外挂，保障了游戏的公平性，熟知一款好的游戏会因游戏的公平性而毁于外挂，复盘强校验也有效保障了厂商的收益。

下面对本发明中的服务器进行详细描述，请参阅图12，图12为本发明实施例中服务器一个实施例示意图，服务器50包括：

发送模块501，用于向客户端发送目标交互式应用的随机参数以及初始化数据；

接收模块502，用于接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述发送模块501发送的所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

生成模块503，用于若所述接收模块502接收的所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

第一确定模块504，用于若所述接收模块502接收的所述第一应用数据与所述生成模块503生成的所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本实施例中，发送模块501向客户端发送目标交互式应用的随机参数以及初始化数据；接收模块502，用于接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述发送模块501发送的所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的，若所述接收模块502接收的所述第一应用数据满足校验条件，则生成模块503根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，若所述接收模块502接收的所述第一应用数据与所述生成模块503生成的所述第二应用数据不一致，则第一确定模块504确定所述客户端为恶意客户端。

本发明实施例中，提供了一种服务器，首先该服务器向客户端发送随机参数以及初始化数据，然后接收客户端发送的第一应用数据，其中，第一应用数据为客户端根据随机参数、初始化数据以及操作信息生成的，若第一应用数据满足校验条件，则服务器根据随机参数、初始化数据以及操作信息生成第二应用数据，若第一应用数据与第二应用数据不一致，则服务器确定客户端为恶意客户端。通过上述方式，服务器采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

可选地，在上述图12对应的实施例的基础上，请参阅图13，本发明实施例提供的服务器另一实施例中，所述服务器50还包括：

第一获取模块505，用于所述发送模块501向客户端发送目标交互式应用的随机参数以及初始化数据之前，获取所述随机参数，其中，所述随机参数用于初始化逻辑库；

第二获取模块506，用于采用所述第一获取模块505获取的所述随机参数对所述逻辑库进行初始化操作，并获取所述初始化数据，其中，所述初始化数据用于确定所述目标交互式应用的开局数据。

其次，本发明实施例中，服务器向客户端发送目标交互式应用的随机参数以及初始化数据之前，还需要获取随机参数，其中，随机参数用于初始化逻辑库，服务器采用随机参数对逻辑库进行初始化操作，并获取初始化数据，其中，初始化数据用于确定目标交互式应用的开局数据。通过上述方式，服务器可以预先获取随机参数以及初始化数据，从而为方案实现提供了可行的方式，以此提升了方案的实用性。

可选地，在上述图12对应的实施例的基础上，请参阅图14，本发明实施例提供的服务器另一实施例中，所述服务器50还包括：

第三获取模块507，用于所述接收模块502接收所述客户端发送的第一应用数据之后，获取所述第一应用数据中携带的第一结算数据，其中，所述第一应用数据还携带待校验数据；

第二确定模块508，用于根据所述第三获取模块507获取的所述第一应用数据中携带的所述待校验数据，确定第二结算数据；

第三确定模块509，用于若所述第三获取模块508获取的所述第一结算数据与所述第二确定模块确定的所述第二结算数据一致，所述确定所述第一应用数据满足所述校验条件。

其次，本发明实施例中，服务器在接收客户端发送的第一应用数据之后，还可以获取第一应用数据中携带的第一结算数据，其中，第一应用数据还携带待校验数据，然后服务器根据第一应用数据中携带的待校验数据，确定第二结算数据，若第一结算数据与第二结算数据一致，确定第一应用数据满足校验条件。通过上述方式，介绍服务器如何利用客户端发送的第一应用数据进行校验，即采用第一应用数据中携带的待校验数据来模拟客户端的操作，并得到第二结算数据，以此提升校验的可靠性和可行性。

可选地，在上述图14对应的实施例的基础上，请参阅图15，本发明实施例提供的服务器另一实施例中，

所述第二确定模块508包括：

计算单元5081，用于采用分值系数、所述待校验数据和预置附加分值计算所述第二结算数据。

再次，本发明实施例中，在服务器采用复盘强校验的方法之前，还可以采用弱校验对客户端是否存在恶意文件进行验证。通过上述方式，可以进一步提升植入恶意文件的难度，从而提升方案的安全性。

可选地，在上述图14对应的实施例的基础上，请参阅图16，本发明实施例提供的服务器另一实施例中，

所述第三获取模块507包括：

获取单元5071，用于在主进程中获取所述第一应用数据中携带的第一结算数据，其中，所述主进程对应至少一个校验进程；

所述服务器50还包括：

第四获取模块509A，用于所述生成模块503根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据之前，轮询至少一个校验进程，并获取目标校验进程；

所述生成模块503包括：

生成单元5031，用于在所述目标校验进程中，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据。

再次，本发明实施例中，服务器具体可以在主进程中获取第一应用数据中携带的第一结算数据，其中，主进程对应至少一个校验进程，通过轮询至少一个校验进程获取目标校验进程，在目标校验进程中，根据随机参数、初始化数据以及操作信息生成第二应用数据。通过上述方式，在同一时刻，允许服务器后台同时进行多个关卡的复盘强校验，以此提高校验的效率。

可选地，在上述图12至图16中任一项对应的实施例的基础上，请参阅图17，本发明实施例提供的服务器另一实施例中，所述服务器50还包括：

第五获取模块509B，用于所述接收模块502接收所述客户端发送的第一应用数据之后，获取所述客户端所对应的客户端版本；

第四确定模块509C，用于根据所述第五获取模块509B获取的所述客户端版本从校验规则集合中确定校验规则，其中，所述校验规则用于指示应用数据的生成方式，所述客户端版本与所述校验规则具有对应关系；

所述生成模块503包括：

确定单元5032，用于根据所述随机参数与所述初始化数据确定所述目标交互式应用的开局模式，其中，所述开局模式用于确定所述客户端的初始化应用界面；

接收单元5033，用于接收所述客户端发送的操作信息，其中，所述操作信息为所述客户端根据用户对所述初始化应用界面的操作而生成的；

处理单元5034，用于按照所述校验规则对所述接收单元5033接收的所述操作信息进行处理，并得到所述第二应用数据。

进一步地，本发明实施例中，介绍了服务器如何根据客户端版本进行多版本校验的方式，即服务在接收客户端发送的第一应用数据之后，先获取客户端所对应的客户端版本，然后服务器根据客户端版本从校验规则集合中确定校验规则，再根据随机参数与初始化数据确定目标交互式应用的开局模式，服务器接收客户端发送的操作信息，按照校验规则对操作信息进行处理，并得到第二应用数据。通过上述方式，使得服务器可以根据不同的客户端版本分别进行相应的校验操作，有利于提升校验的准确性，减少因不同客户端版本之间的差异而导致的计算方式存在差别。

下面对本发明中的客户端进行详细描述，请参阅图18，图18为本发明实施例中客户端一个实施例示意图，客户端60包括：

接收模块601，用于接收服务器发送的随机参数以及初始化数据；

生成模块602，用于根据所述接收模块601接收的所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息是对所述目标交互式应用进行操作所得到的；

发送模块603，用于向所述服务器发送所述生成模块602生成的所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本实施例中，接收模块601接收服务器发送的随机参数以及初始化数据，生成模块602根据所述接收模块601接收的所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息是对所述目标交互式应用进行操作所得到的，发送模块603向所述服务器发送所述生成模块602生成的所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

本发明实施例中，提供了一种客户端，首先该客户端接收服务器发送的随机参数以及初始化数据，然后根据随机参数、初始化数据以及操作信息生成第一应用数据，操作信息为客户端根据用户对目标交互式应用的操作所得到的，最后向服务器发送第一应用数据，以使服务器在第一应用数据满足校验条件时，根据随机参数、初始化数据以及操作信息生成第二应用数据，其中，若第一应用数据与第二应用数据不一致，则确定客户端为恶意客户端。通过上述方式，服务器采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

可选地，在上述图18对应的实施例的基础上，请参阅图19，本发明实施例提供的服务器另一实施例中，所述客户端60还包括：

获取模块604，用于所述生成模块602根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据之前，获取客户端版本；

确定模块605，用于根据所述获取模块604获取的所述客户端版本从校验规则集合中确定校验规则，其中，所述校验规则用于指示应用数据的生成方式，所述客户端版本与所述校验规则具有对应关系；

所述生成模块602包括：

确定单元6021，用于根据所述随机参数与所述初始化数据确定初始化应用界面；

接收单元6022，用于接收用户触发的操作，并根据是操作生成对应的操作信息，其中，所述操作信息为根据所述用户对所述确定单元6021确定的所述初始化应用界面的操作而生成的；

处理单元6023，用于按照所述校验规则对所述接收单元6022接收的所述操作信息进行处理，并得到所述第一应用数据。

其次，本发明实施例中，客户端根据随机参数、初始化数据以及操作信息生成第一应用数据之前，还可以获取客户端版本，并根据客户端版本从校验规则集合中确定校验规则。通过上述方式，客户端可以根据具体的版本及其对应的校验规则来确定应用数据的生成方式，从而提升方案的可行性和可操作性。客户端根据随机参数与初始化数据确定初始化应用界面，然后接收用户触发的操作，并根据是操作生成对应的操作信息。通过上述方式，用户能够通过客户端的初始化应用界面进行相应的操作，以此用户操作的便利性和灵活性。

图20是本发明实施例提供的一种服务器结构示意图，该服务器700可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(central processingunits，CPU)722(例如，一个或一个以上处理器)和存储器732，一个或一个以上存储应用程序742或数据744的存储介质730(例如一个或一个以上海量存储设备)。其中，存储器732和存储介质730可以是短暂存储或持久存储。存储在存储介质730的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器722可以设置为与存储介质730通信，在服务器700上执行存储介质730中的一系列指令操作。

服务器700还可以包括一个或一个以上电源726，一个或一个以上有线或无线网络接口750，一个或一个以上输入输出接口758，和/或，一个或一个以上操作系统741，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM等等。

上述实施例中由服务器所执行的步骤可以基于该图20所示的服务器结构。

其中，CPU 722用于执行如下步骤：

向客户端发送目标交互式应用的随机参数以及初始化数据；

接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

若所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

可选地，CPU 722还用于执行如下步骤：

获取所述随机参数，其中，所述随机参数用于初始化逻辑库；

采用所述随机参数对所述逻辑库进行初始化操作，并获取所述初始化数据，其中，所述初始化数据用于确定所述目标交互式应用的开局数据。

可选地，CPU 722还用于执行如下步骤：

获取所述第一应用数据中携带的第一结算数据，其中，所述第一应用数据还携带待校验数据；

根据所述第一应用数据中携带的所述待校验数据，确定第二结算数据；

若所述第一结算数据与所述第二结算数据一致，确定所述第一应用数据满足所述校验条件。

可选地，CPU 722具体用于执行如下步骤：

按照如下公式计算所述第二结算数据：

F＝a×n+h；

其中，所述F表示所述第二结算数据，所述a表示分值系数，所述n表示所述待校验数据，所述h表示预置附加分值。

可选地，CPU 722具体用于执行如下步骤：

在主进程中获取所述第一应用数据中携带的第一结算数据，其中，所述主进程对应至少一个校验进程。

CPU 722还用于执行如下步骤：

轮询至少一个校验进程，并获取目标校验进程。

CPU 722具体用于执行如下步骤：

在所述目标校验进程中，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据。

可选地，CPU 722还用于执行如下步骤：

获取所述客户端所对应的客户端版本；

根据所述客户端版本从校验规则集合中确定校验规则，其中，所述校验规则用于指示应用数据的生成方式，所述客户端版本与所述校验规则具有对应关系。

CPU 722具体用于执行如下步骤：

根据所述随机参数与所述初始化数据确定所述目标交互式应用的开局模式，其中，所述开局模式用于确定所述客户端的初始化应用界面；

接收所述客户端发送的操作信息，其中，所述操作信息为所述客户端根据用户对所述初始化应用界面的操作而生成的。

本发明实施例还提供了另一种客户端，如图20所示，为了便于说明，仅示出了与本发明实施例相关的部分，具体技术细节未揭示的，请参照本发明实施例方法部分。该客户端可以为包括手机、平板电脑、个人数字助理(Personal Digital Assistant，PDA)、销售终端(Point of Sales，POS)、车载电脑等任意终端设备，以终端为手机为例：

图20示出的是与本发明实施例提供的客户端相关的手机的部分结构的框图。参考图20，手机包括：射频(Radio Frequency，RF)电路810、存储器820、输入单元830、显示单元840、传感器850、音频电路860、无线保真(wireless fidelity，WiFi)模块870、处理器880、以及电源890等部件。本领域技术人员可以理解，图20中示出的手机结构并不构成对手机的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图20对手机的各个构成部件进行具体的介绍：

RF电路810可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，给处理器880处理；另外，将设计上行的数据发送给基站。通常，RF电路810包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器(Low NoiseAmplifier，LNA)、双工器等。此外，RF电路810还可以通过无线通信与网络和其他设备通信。上述无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统(GlobalSystem of Mobile communication，GSM)、通用分组无线服务(General Packet RadioService，GPRS)、码分多址(Code Division Multiple Access，CDMA)、宽带码分多址(Wideband Code Division Multiple Access,WCDMA)、长期演进(Long Term Evolution，LTE)、电子邮件、短消息服务(Short Messaging Service，SMS)等。

存储器820可用于存储软件程序以及模块，处理器880通过运行存储在存储器820的软件程序以及模块，从而执行手机的各种功能应用以及数据处理。存储器820可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器820可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

输入单元830可用于接收输入的数字或字符信息，以及产生与手机的用户设置以及功能控制有关的键信号输入。具体地，输入单元830可包括触控面板831以及其他输入设备832。触控面板831，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板831上或在触控面板831附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触控面板831可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器880，并能接收处理器880发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板831。除了触控面板831，输入单元830还可以包括其他输入设备832。具体地，其他输入设备832可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元840可用于显示由用户输入的信息或提供给用户的信息以及手机的各种菜单。显示单元840可包括显示面板841，可选的，可以采用液晶显示器(Liquid CrystalDisplay，LCD)、有机发光二极管(Organic Light-Emitting Diode，OLED)等形式来配置显示面板841。进一步的，触控面板831可覆盖显示面板841，当触控面板831检测到在其上或附近的触摸操作后，传送给处理器880以确定触摸事件的类型，随后处理器880根据触摸事件的类型在显示面板841上提供相应的视觉输出。虽然在图20中，触控面板831与显示面板841是作为两个独立的部件来实现手机的输入和输入功能，但是在某些实施例中，可以将触控面板831与显示面板841集成而实现手机的输入和输出功能。

手机还可包括至少一种传感器850，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板841的亮度，接近传感器可在手机移动到耳边时，关闭显示面板841和/或背光。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于手机还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路860、扬声器861，传声器862可提供用户与手机之间的音频接口。音频电路860可将接收到的音频数据转换后的电信号，传输到扬声器861，由扬声器861转换为声音信号输出；另一方面，传声器862将收集的声音信号转换为电信号，由音频电路860接收后转换为音频数据，再将音频数据输出处理器880处理后，经RF电路810以发送给比如另一手机，或者将音频数据输出至存储器820以便进一步处理。

WiFi属于短距离无线传输技术，手机通过WiFi模块870可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图20示出了WiFi模块870，但是可以理解的是，其并不属于手机的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

处理器880是手机的控制中心，利用各种接口和线路连接整个手机的各个部分，通过运行或执行存储在存储器820内的软件程序和/或模块，以及调用存储在存储器820内的数据，执行手机的各种功能和处理数据，从而对手机进行整体监控。可选的，处理器880可包括一个或多个处理单元；可选的，处理器880可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器880中。

手机还包括给各个部件供电的电源890(比如电池)，可选的，电源可以通过电源管理系统与处理器880逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。

尽管未示出，手机还可以包括摄像头、蓝牙模块等，在此不再赘述。

在本发明实施例中，该终端所包括的处理器880还具有以下功能：

接收服务器发送的随机参数以及初始化数据；

根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息是对所述目标交互式应用进行操作所得到的；

向所述服务器发送所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

可选地，处理器880还用于执行如下步骤：

获取客户端版本；

根据所述客户端版本从校验规则集合中确定校验规则，其中，所述校验规则用于指示应用数据的生成方式，所述客户端版本与所述校验规则具有对应关系。

处理器880具体用于执行如下步骤：

根据所述随机参数与所述初始化数据确定初始化应用界面；

接收用户触发的操作，并根据是操作生成对应的操作信息，其中，所述操作信息为根据所述用户对所述初始化应用界面的操作而生成的；

按照所述校验规则对所述操作信息进行处理，并得到所述第一应用数据。

请参阅图22，图22为本发明实施例中恶意程序检测系统一个实施例示意图，所述系统包括：服务器901及客户端902；

本实施例中，服务器901向客户端902发送目标交互式应用的随机参数以及初始化数据，客户端902根据随机参数、初始化数据以及操作信息生成第一应用数据，操作信息为客户端902根据用户对目标交互式应用的操作所得到的，客户端902向服务器901发送第一应用数据，若第一应用数据满足校验条件，则服务器901根据随机参数、初始化数据以及操作信息生成第二应用数据，若第一应用数据与第二应用数据不一致，则服务器901确定客户端902为恶意客户端。

本发明实施例中，提供了一种恶意程序检测系统。服务器可以采用复盘强校验的手段完整复现客户端的逻辑，在服务器侧采用相同的初始数据模拟客户端的操作，并得到模拟后的结果，如果模拟得到的结果与客户端实际得到的结果不一致，则会将该客户端确定为恶意客户端，以此提升恶意程序检测的可靠性，从而全面有效地打击恶意程序。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (15)

1.一种恶意程序检测的方法，其特征在于，包括：

向客户端发送目标交互式应用的随机参数以及初始化数据；

接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

若所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

2.根据权利要求1所述的方法，其特征在于，所述向客户端发送目标交互式应用的随机参数以及初始化数据之前，所述方法还包括：

获取所述随机参数，其中，所述随机参数用于初始化逻辑库；

采用所述随机参数对所述逻辑库进行初始化操作，并获取所述初始化数据，其中，所述初始化数据用于确定所述目标交互式应用的开局数据。

3.根据权利要求1所述的方法，其特征在于，所述接收所述客户端发送的第一应用数据之后，所述方法还包括：

获取所述第一应用数据中携带的第一结算数据，其中，所述第一应用数据还携带待校验数据；

根据所述第一应用数据中携带的所述待校验数据，确定第二结算数据；

若所述第一结算数据与所述第二结算数据一致，确定所述第一应用数据满足所述校验条件。

4.根据权利要求3所述的方法，其特征在于，所述根据所述第一应用数据中携带的所述待校验数据，确定第二结算数据，包括：

采用分值系数、所述待校验数据和预置附加分值计算所述第二结算数据。

5.根据权利要求3所述的方法，其特征在于，所述获取所述第一应用数据中携带的第一结算数据，包括：

在主进程中获取所述第一应用数据中携带的第一结算数据，其中，所述主进程对应至少一个校验进程；

所述根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据之前，所述方法还包括：

轮询至少一个校验进程，并获取目标校验进程；

所述根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，包括：

在所述目标校验进程中，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述接收所述客户端发送的第一应用数据之后，所述方法还包括：

获取所述客户端所对应的客户端版本；

根据所述客户端版本从校验规则集合中确定校验规则，其中，所述校验规则用于指示应用数据的生成方式，所述客户端版本与所述校验规则具有对应关系；

所述根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，包括：

根据所述随机参数与所述初始化数据确定所述目标交互式应用的开局模式，其中，所述开局模式用于确定所述客户端的初始化应用界面；

接收所述客户端发送的操作信息，其中，所述操作信息为所述客户端根据用户对所述初始化应用界面的操作而生成的；

按照所述校验规则对所述操作信息进行处理，并得到所述第二应用数据。

7.一种恶意程序检测的方法，其特征在于，包括：

接收服务器发送的随机参数以及初始化数据；

根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息是对所述目标交互式应用进行操作所得到的；

向所述服务器发送所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

8.根据权利要求7所述的方法，其特征在于，所述根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据之前，所述方法还包括：

获取客户端版本；

根据所述客户端版本从校验规则集合中确定校验规则，其中，所述校验规则用于指示应用数据的生成方式，所述客户端版本与所述校验规则具有对应关系；

所述根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，包括：

根据所述随机参数与所述初始化数据确定初始化应用界面；

接收用户触发的操作，并根据是操作生成对应的操作信息，其中，所述操作信息为根据所述用户对所述初始化应用界面的操作而生成的；

按照所述校验规则对所述操作信息进行处理，并得到所述第一应用数据。

9.一种服务器，其特征在于，包括：

发送模块，用于向客户端发送目标交互式应用的随机参数以及初始化数据；

接收模块，用于接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述发送模块发送的所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

生成模块，用于若所述接收模块接收的所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

第一确定模块，用于若所述接收模块接收的所述第一应用数据与所述生成模块生成的所述第二应用数据不一致，则确定所述客户端为恶意客户端。

10.一种客户端，其特征在于，包括：

接收模块，用于接收服务器发送的随机参数以及初始化数据；

生成模块，用于根据所述接收模块接收的所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息为客户端根据用户对所述目标交互式应用的操作所得到的；

发送模块，用于向所述服务器发送所述生成模块生成的所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端。

11.一种服务器，其特征在于，包括：存储器、收发器、处理器以及总线系统；

其中，所述存储器用于存储程序；

所述处理器用于执行所述存储器中的程序，包括如下步骤：

控制所述收发器向客户端发送目标交互式应用的随机参数以及初始化数据；

控制所述收发器接收所述客户端发送的第一应用数据，其中，所述第一应用数据为所述客户端根据所述随机参数、所述初始化数据以及操作信息生成的，所述操作信息是对所述目标交互式应用进行操作所得到的；

若所述第一应用数据满足校验条件，则根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端；

所述总线系统用于连接所述存储器以及所述处理器，以使所述存储器以及所述处理器进行通信。

12.一种客户端，其特征在于，包括：存储器、收发器、处理器以及总线系统；

其中，所述存储器用于存储程序；

所述处理器用于执行所述存储器中的程序，包括如下步骤：

接收服务器发送的随机参数以及初始化数据；

根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息是对所述目标交互式应用进行操作所得到的；

向所述服务器发送所述第一应用数据，以使所述服务器在所述第一应用数据满足校验条件时，根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据，其中，若所述第一应用数据与所述第二应用数据不一致，则确定所述客户端为恶意客户端；

所述总线系统用于连接所述存储器以及所述处理器，以使所述存储器以及所述处理器进行通信。

13.一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行如权利要求1-6所述的方法。

14.一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行如权利要求7-8所述的方法。

15.一种恶意程序检测系统，其特征在于，所述恶意程序检测系统包括服务器以及客户端；

所述服务器向客户端发送目标交互式应用的随机参数以及初始化数据；

所述客户端根据所述随机参数、所述初始化数据以及操作信息生成第一应用数据，所述操作信息是对所述目标交互式应用进行操作所得到的；

所述客户端向所述服务器发送所述第一应用数据；

若所述第一应用数据满足校验条件，则所述服务器根据所述随机参数、所述初始化数据以及所述操作信息生成第二应用数据；

若所述第一应用数据与所述第二应用数据不一致，则所述服务器确定所述客户端为恶意客户端。