CN109120594A - 流量劫持检测方法及装置 - Google Patents

Abstract

本发明提供了一种流量劫持检测方法及装置，所述方法包括：接收配置平台针对目标应用下发的应用市场参数；选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；将所述目标应用的来源信息与所述参考来源信息不一致，判断所述目标应用是否被劫持。解决了现有技术中无法校验应用市场的下载包的问题，可以通过预先配置的来源信息对从应用市场下载的数据包进行校验，且只下载数据包的签名数据，从而节约流量。

Description

流量劫持检测方法及装置

技术领域

本发明实施例涉及网络技术领域，尤其涉及一种流量劫持检测方法及装置。

背景技术

在网络技术领域，客户端向服务器发送数据请求，以获取到数据。通常情况下，返回的数据需要进行数据校验，以确定该数据是否被拦截，即：被替换为非用户请求的数据。

现有技术中，一种数据采集测试方法用于进行数据校验，主要步骤包括：首先，接收上传的参数信息，其中，所述参数信息为应用运行时针对各采集参数采集得到的；然后，从所述参数信息中查找校验参数对应的校验信息；最后，对所述校验信息进行分析，确定劫持校验结果。

可以得出，上传的参数信息为用户对软件应用的使用信息，无法校验应用市场的下载包。

发明内容

本发明提供一种流量劫持检测方法及装置，以解决现有技术中的上述问题。

根据本发明的第一方面，提供了一种流量劫持检测方法，所述方法包括：

接收配置平台针对目标应用下发的应用市场参数；

选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；

从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；

将所述目标应用的来源信息与所述参考来源信息进行比较，则判断所述目标应用是否被劫持。

可选地，在上述确定所述目标应用被劫持的步骤之后，还包括：

若所述目标应用被劫持，则将所述目标应用的劫持信息上报至劫持检测服务器，所述劫持信息包括：所述目标应用所在客户端的位置信息、运营商信息、网络信息。

可选地，上述应用市场参数包括：签名区的起始位置和长度，上述从所述下载地址中下载所述目标应用的签名数据的步骤，包括：

根据所述签名区的起始位置和长度确定所述签名区的结束位置；

从所述下载地址中下载所述起始位置和结束位置之间的数据，得到所述目标应用的签名数据。

可选地，上述配置平台下发的应用市场参数通过如下步骤获取：

捕获下载有数据包的参考应用；

获取所述参考应用的参考来源信息和下载地址，以及，从所述数据包中提取签名区的起始位置和长度，得到所述参考应用的应用市场参数，并保存至所述配置平台。

根据本发明的第二方面，提供了一种流量劫持检测装置，所述装置包括：

应用市场参数接收模块，用于接收配置平台针对目标应用下发的应用市场参数；

目标应用参数提取模块，用于选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；

签名数据下载模块，用于从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；

劫持检测模块，用于将所述目标应用的来源信息与所述参考来源信息进行比较，则判断所述目标应用是否被劫持。

可选地，上述装置还包括：

劫持上报模块，用于若所述目标应用被劫持，则将所述目标应用的劫持信息上报至劫持检测服务器，所述劫持信息包括：所述目标应用所在客户端的位置信息、运营商信息、网络信息。

可选地，上述应用市场参数包括：签名区的起始位置和长度，上述签名数据下载模块，包括：

签名区位置获取子模块，用于根据所述签名区的起始位置和长度确定所述签名区的结束位置；

签名数据下载子模块，用于从所述下载地址中下载所述起始位置和结束位置之间的数据，得到所述目标应用的签名数据。

根据本发明的第三方面，提供了一种电子设备，包括：

处理器、存储器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述程序时实现前述的方法。

根据本发明的第四方面，提供了一种可读存储介质，当所述存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行前述的方法。

本发明实施例提供了一种流量劫持检测方法及装置，所述包括：接收配置平台针对目标应用下发的应用市场参数；选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。解决了现有技术中无法校验应用市场的下载包的问题，可以通过预先配置的来源信息对从应用市场下载的数据包进行校验，且只下载数据包的签名数据，从而节约流量。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的一种流量劫持检测方法的具体步骤流程图；

图2是本发明实施例二提供的一种流量劫持检测方法的具体步骤流程图；

图3是本发明实施例三提供的一种流量劫持检测装置的结构图；

图4是本发明实施例四提供的一种流量劫持检测装置的结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

参照图1，其示出了本发明实施例一提供的一种流量劫持检测方法的具体步骤流程图。

步骤101，接收配置平台针对目标应用下发的应用市场参数。

本发明实施例适用于流量劫持检测系统，该系统包括：客户端、以及安装于客户端的目标应用、配置平台、数据抓取服务器。

其中，配置平台用于存储应用市场参数及其他配置数据，配置平台可以与目标应用所在的客户端进行通信。

客户端用于通过目标应用进行流量劫持检测。本发明实施例以客户端侧进行详细说明。

数据抓取服务器用于从各应用市场中抓取下载数据包，确定正确的下载地址，并获取下载包的应用市场参数并保存至配置平台。

应用市场参数包括：目标应用的参考来源信息、签名区的起始位置、签名区的长度、目标应用对应各目标应用市场的下载地址。

在实际应用中，当用户打开目标应用时，会触发配置平台下发目标应用的应用市场参数。可以理解，在实际应用中，还可以通过用户对目标应用的其他操作触发，本发明实施例对其不加以限制。

在本发明实施例中，目标应用选取活跃用书数量高、覆盖范围广的应用。

步骤102，选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址。

具体地，可以随机选取一个目标应用市场进行检测。可以理解，目标应用市场不一定为用户安装的应用市场。

在实际应用中，当配置平台针对目标应用下发应用市场参数时包含了多个应用的参考来源信息，则需要根据应用标识从中获取目标应用的参考来源信息及对应所述目标应用市场的下载地址。

可以理解，参考来源信息为目标应用的正确来源信息。来源信息为应用的渠道信息。

步骤103，从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息。

可以理解，签名数据保存在目标应用的数据包的签名区。

签名数据包括来源信息，还可以包括其他控制信息。

步骤104，将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。

在本发明实施例中，若来源信息与参考来源信息不一致，则代表目标应用的信息被替换，即目标应用被劫持；若来源信息与参考来源信息一致，则代表目标应用的信息未被替换，即目标应用未被劫持。

对于未被劫持的应用下载的数据是用户需要的，而被劫持的应用下载的数据非用户需要的。

对于被劫持的目标应用，可以拒绝为其付费，从而避免其他应用骗取流量费用。

综上所述，本发明实施例提供了一种流量劫持检测方法，所述方法包括：接收配置平台针对目标应用下发的应用市场参数；选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。解决了现有技术中无法校验应用市场的下载包的问题，可以通过预先配置的来源信息对从应用市场下载的数据包进行校验，且只下载数据包的签名数据，从而节约流量。

实施例二

参照图2，其示出了本发明实施例二提供的一种流量劫持检测方法的具体步骤流程图。

步骤201，捕获下载有数据包的参考应用。

步骤201和202从劫持检测服务器侧进行撰写。

例如，可以监控各应用市场，并随机抓取数据包。

可以理解，参考应用的数目越大，相当于劫持检测数据库越大，越有助于进行劫持检测。

步骤202，获取所述参考应用的参考来源信息和下载地址，以及，从所述数据包中提取签名区的起始位置和长度，得到所述参考应用的应用市场参数，并保存至所述配置平台。

在实际应用中，应用在从应用市场上下载数据包时，可以获取到下载地址和来源信息。

对于安卓系统，安卓系统提供了工具直接可以从数据包中提取签名区的起始位置和长度。

具体地，在保存时需要将应用标识作为主键，从而可以根据应用标识获取对应的应用市场参数。

可以理解，劫持检测服务器与配置平台可以通过无线网络连接，也可以通过有线网络连接。

步骤203，接收配置平台针对目标应用下发的应用市场参数。

该步骤可以参照步骤101的详细说明，在此不再赘述。

步骤204，选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址。

该步骤可以参照步骤102的详细说明，在此不再赘述。

步骤205，根据所述签名区的起始位置和长度确定所述签名区的结束位置。

具体地，结束位置为签名区的起始位置与长度之和。

步骤206，从所述下载地址中下载所述起始位置和结束位置之间的数据，得到所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息。

可以理解，签名数据中除了来源信息还可以包括其他信息，需要从签名数据中识别出来源信息。

具体地，可以根据格式、类型等信息识别。在实际应用中，可以直接调用工具识别来源信息。

步骤207，将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。

该步骤可以参照步骤104的详细说明，在此不再赘述。

步骤208，若所述目标应用被劫持，则将所述目标应用的劫持信息上报至劫持检测服务器，所述劫持信息包括：所述目标应用所在客户端的位置信息、运营商信息、网络信息。

其中，位置信息可以包括但不限于：经纬度信息、国家、城市等。

劫持检测服务器接收到劫持信息之后，记录在日志里。从而维护人员可以根据位置信息、运营商信息、网络信息进行分析，得到劫持报告。

综上所述，本发明实施例提供了一种流量劫持检测方法，所述方法包括：接收配置平台针对目标应用下发的应用市场参数；选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。解决了现有技术中无法校验应用市场的下载包的问题，可以通过预先配置的来源信息对从应用市场下载的数据包进行校验，且只下载数据包的签名数据，从而节约流量。此外，还可以将劫持信息上报，以帮助维护人员进行综合分析，有助于解决问题。

实施例三

参照图3，其示出了本发明实施例三提供的一种流量劫持检测装置的结构图，具体如下。

应用市场参数接收模块301，用于接收配置平台针对目标应用下发的应用市场参数。

目标应用参数提取模块302，用于选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址。

签名数据下载模块303，用于从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息。

劫持检测模块304，用于将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。

综上所述，本发明实施例提供了一种流量劫持检测装置，所述装置包括：应用市场参数接收模块，用于接收配置平台针对目标应用下发的应用市场参数；目标应用参数提取模块，用于选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；签名数据下载模块，用于从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；劫持检测模块，用于将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。解决了现有技术中无法校验应用市场的下载包的问题，可以通过预先配置的来源信息对从应用市场下载的数据包进行校验，且只下载数据包的签名数据，从而节约流量。

实施例三为方法实施例一对应的装置实施例，详细信息可以参照实施例一的详细说明，在此不再赘述。

实施例四

参照图4，其示出了本发明实施例四提供的一种流量劫持检测装置的结构图，具体如下。

应用市场参数接收模块401，用于接收配置平台针对目标应用下发的应用市场参数。

目标应用参数提取模块402，用于选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址。

签名数据下载模块403，用于从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息。可选地，在本发明实施例中，上述所述签名数据下载模块503，包括：

签名区位置获取子模块4031，用于根据所述签名区的起始位置和长度确定所述签名区的结束位置。

签名数据下载子模块4032，用于从所述下载地址中下载所述起始位置和结束位置之间的数据，得到所述目标应用的签名数据。

劫持检测模块404，用于将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。

劫持上报模块405，用于若所述目标应用被劫持，则将所述目标应用的劫持信息上报至劫持检测服务器，所述劫持信息包括：所述目标应用所在客户端的位置信息、运营商信息、网络信息。

综上所述，本发明实施例提供了一种流量劫持检测装置，所述装置包括：应用市场参数接收模块，用于接收配置平台针对目标应用下发的应用市场参数；目标应用参数提取模块，用于选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；签名数据下载模块，用于从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；劫持检测模块，用于将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。解决了现有技术中无法校验应用市场的下载包的问题，可以通过预先配置的来源信息对从应用市场下载的数据包进行校验，且只下载数据包的签名数据，从而节约流量。此外，还可以将劫持信息上报，以帮助维护人员进行综合分析，有助于解决问题。

实施例四为方法实施例二对应的装置实施例，详细信息可以参照实施例二的详细说明，在此不再赘述。

本发明实施例还提供了一种电子设备，包括：处理器、存储器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述程序时实现前述的方法。

本发明实施例还提供了一种可读存储介质，当所述存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行前述的方法。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的流量劫持检测设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (9)

1.一种流量劫持检测装置，其特征在于，所述装置包括：

应用市场参数接收模块，用于接收配置平台针对目标应用下发的应用市场参数；

目标应用参数提取模块，用于选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；

签名数据下载模块，用于从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；

劫持检测模块，用于将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。

2.根据权利要求1所述的装置，其特征在于，所述装置还包括：

劫持上报模块，用于若所述目标应用被劫持，则将所述目标应用的劫持信息上报至劫持检测服务器，所述劫持信息包括：所述目标应用所在客户端的位置信息、运营商信息、网络信息。

3.根据权利要求1所述的装置，其特征在于，所述应用市场参数包括：签名区的起始位置和长度，所述签名数据下载模块，包括：

签名区位置获取子模块，用于根据所述签名区的起始位置和长度确定所述签名区的结束位置；

签名数据下载子模块，用于从所述下载地址中下载所述起始位置和结束位置之间的数据，得到所述目标应用的签名数据。

4.一种流量劫持检测方法，其特征在于，所述方法包括：

接收配置平台针对目标应用下发的应用市场参数；

选取目标应用市场，并从所述应用市场参数中提取所述目标应用的参考来源信息及对应所述目标应用市场的下载地址；

从所述下载地址中下载所述目标应用的签名数据，所述签名数据包括所述目标应用的来源信息；

将所述目标应用的来源信息与所述参考来源信息进行比较，判断所述目标应用是否被劫持。

5.根据权利要求4所述的方法，其特征在于，在所述判断所述目标应用是否被劫持的步骤之后，还包括：

若所述目标应用被劫持，则将所述目标应用的劫持信息上报至劫持检测服务器，所述劫持信息包括：所述目标应用所在客户端的位置信息、运营商信息、网络信息。

6.根据权利要求4所述的方法，其特征在于，所述应用市场参数包括：签名区的起始位置和长度，所述从所述下载地址中下载所述目标应用的签名数据的步骤，包括：

根据所述签名区的起始位置和长度确定所述签名区的结束位置；

从所述下载地址中下载所述起始位置和结束位置之间的数据，得到所述目标应用的签名数据。

7.根据权利要求4所述的方法，其特征在于，所述配置平台下发的应用市场参数通过如下步骤获取：

捕获下载有数据包的参考应用；

获取所述参考应用的参考来源信息和下载地址，以及，从所述数据包中提取签名区的起始位置和长度，得到所述参考应用的应用市场参数，并保存至所述配置平台。

8.一种电子设备，其特征在于，包括：

处理器、存储器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求4-7中一个或多个所述的方法。

9.一种可读存储介质，其特征在于，当所述存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行如方法权利要求4-7中一个或多个所述的方法。