CN109472137A

CN109472137A - 非法操作的检测方法及装置

Info

Publication number: CN109472137A
Application number: CN201811287797.2A
Authority: CN
Inventors: 许超
Original assignee: Beijing Yushanzhi Information Technology Co Ltd
Current assignee: Beijing Yushanzhi Information Technology Co Ltd
Priority date: 2018-10-31
Filing date: 2018-10-31
Publication date: 2019-03-15

Abstract

本发明实施例公开了一种非法操作的检测方法及装置，涉及安全技术领域，主要目的在于解决现有技术中当智能设备使用时，难以界定用户是否进行非法操作的问题。本发明实施例主要技术方案为：检测是否存在预设操作行为，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为；若是，则确定存在非法操作，并记录。本发明实施例主要用于对智能设备使用过程中非法操作进行检测。

Description

非法操作的检测方法及装置

技术领域

本发明实施例涉及安全技术领域，尤其涉及一种非法操作的检测的方法及装置。

背景技术

随着技术的不断进步，智能设备已经逐步普及。在智能设备的使用过程中，用户会对智能设备系统内的相关配置文件进行修改，其中，在进行修改时有些操作行为会影响到系统本身的稳定性，例如，修改系统的底层文件，或者对系统内部的磁盘分区进行非法修改等行为。

通常情况下，由于用户在进行智能设备的操作过程中，一旦设备出现问题时，例如设备无法开机的情况，往往需要由设备厂商进行维修。而设备出现问题的原因是否是由用户进行了上述非法操作所导致，则基于用户和厂商的立场的不同所无法确定，因此，当设备存在故障时，存在难以界定用户使用智能设备的过程中是否进行了非法操作行为的问题。

发明内容

有鉴于此，本发明实施例提供一种非法操作的检测方法及装置，主要目的在于实现一种能够对智能设备使用过程中的非法操作进行监控和记录的功能。

为了达到上述目的，本发明实施例主要提供如下技术方案：

第一方面，本发明实施例提供了一种非法操作的检测方法，该方法包括：

检测是否存在预设操作行为，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为；

若是，则确定存在非法操作，并记录。

可选的，在所述检测是否存在预设操作行为之前，所述方法还包括：

接收预设程序白名单，所述预设程序白名单中包含允许进行以root权限进行操作的程序；

所述检测是否存在预设操作行为包括：

根据所述预设程序白名单判断以root权限进行的操作行为对应的程序是否存在于所述程序白名单中；

若否，则确定存在未经允许的以root权限进行的操作行为。

可选的，所述检测是否存在预设操作行为包括：

检测预设存储分区是否存在修改操作，所述预设存储分区包括boot、system、vendor以及oem；

若是，则确定存在remount操作行为。

可选的，所述确定存在非法操作，并记录包括：

当确定存在非法操作时，记录所述非法操作并存储在本地的预定区域中；

和/或，

当确定存在非法操作时，记录所述非法操作并上传至预设服务器中。

第二方面，本发明实施例还提供了一种非法操作的检测装置，该装置包括：

检测单元，用于检测是否存在预设操作行为，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为；

确定单元，用于若检测存在预设操作行为，则确定存在非法操作，并记录。

可选的，所述装置还包括：

接收单元，用于接收预设程序白名单，所述预设程序白名单中包含允许进行以root权限进行操作的程序；

所述检测单元，包括：

判断模块，用于根据所述预设程序白名单判断以root权限进行的操作行为对应的程序是否存在于所述程序白名单中；

确定模块，用于若判断以root权限进行的操作行为对应的程序未存在于所述程序白名单中，则确定存在未经允许的以root权限进行的操作行为。

可选的，包括：

检测模块，用于检测预设存储分区是否存在修改操作，所述预设存储分区包括boot、system、vendor以及oem；

确定模块，还用于若检测预设存储分区存在修改操作，则确定存在remount操作行为。

可选的，所述确定单元包括：

存储模块，用于当确定存在非法操作时，记录所述非法操作并存储在本地的预定区域中；

上传模块，用于当确定存在非法操作时，记录所述非法操作并上传至预设服务器中。

本发明实施例提供的一种非法操作的检测方法及装置，对于现有技术中在智能设备使用时，难以界定用户是否进行非法操作的问题，本发明实施例能够通过检测是否存在预设操作行为，其中，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为，并在检测到时进行确定并记录，从而实现了对智能设备中出现非法操作时的实时监控功能，从而解决了智能设备使用过程中难以界定用户是否进行非法操作的问题，为后续厂商在进行维护时提供了凭据。

上述说明仅是本发明实施例技术方案的概述，为了能够更清楚了解本发明实施例的技术手段，而可依照说明书的内容予以实施，并且为了让本发明实施例的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明实施例的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明实施例的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的一种非法操作的检测方法流程图；

图2示出了本发明实施例提供的另一种非法操作的检测方法流程图；

图3示出了本发明实施例提供的一种非法操作的检测装置的组成框图；

图4示出了本发明实施例提供的另一种非法操作的检测装置的组成框图；

图5示出了本发明实施例提供的一种电子设备的结构框图。

具体实施方式

下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。

本发明实施例提供一种非法操作的检测方法，如图1所示，所述方法包括：

101、检测是否存在预设操作行为。

其中，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为。在本发明实施例中，非法操作可以理解为用户所进行的不符合厂商所设置的智能设备使用规范的行为。

由于智能设备的逐步普及，在智能设备的使用过程中，用户会进行很多不同的操作行为，而其中的一些操作行为可能会对设备的系统内的配置文件或底层文件进行修改，而这些修改可能会导致系统异常、甚至系统崩溃等情况的发生，继而使得智能设备出现故障。因此，为了规范用户的操作，设备厂商一般都会为智能设备设置一些使用的规范，以提示用户哪些行为是不符合操作规范的非法操作，以避免出现因用户的非法操作可能带来的设备故障问题。

为了避免当设备出现故障时，出现难以界定是否是由于用户进行了设备厂商所不允许的非法操作行为，在本发明实施例中，可以根据本步骤所述的方法，在设备中对设备内的操作行为进行检测，以判断是否存在预设操作行为，其中，该预设操作行为即符合非法操作特征的行为，这样，能够在用户进行了非法操作时，及时的发现该操作行为，从而实现对智能设备的中非法操作行为的检测。在本步骤中，所述预设操作行为可以是未经允许的以超级管理员权限进行的操作行为，或者是对系统特定文件或程序进行修改的行为，例如，未经允许的以root权限进行的操作行为，或者remount操作行为。在此，对于符合非法操作特征的行为并不做限定，可根据设备厂商的实际需要进行选取和设置。

进一步的，在本发明实施例中，对于执行本发明实施例所述的方法的主体可以是通过设置于智能设备系统内的预设进程来进行，当然还可以设置一专用程序来执行，在此并不做限定，可以根据实际需要进行设置。但需要说明的是，为了确保检测结果的准确性，避免漏检的情况，上述进程或程序需要确保在设备启动的同时进行开启，这样则可以确保当用户开启设备后，能够对用户在智能设备中进行的全部的操作行为进行检测。，继而避免遗漏，提高检测结果的准确性。

102、若检测到存在预设操作行为，则确定存在非法操作，并记录。

经前述步骤101的检测后，当检测到存在预设操作行为时，基于预设操作行为是符合非法操行特征的行为，因此，在本发明实施例中，可以根据本步骤所述的方法，确定智能设备在当前的使用过程中存在非法操作，并且，为了后续对设备出现故障后维护的凭证，还需要对该非法操作进行记录。

此外，在记录的过程中，可以预先在智能设备的存储区域中单独开辟一个用于存储该记录的区域，该区域仅能由设备厂商进行查询。当然，为了确保数据的准确性，还可以在记录上述非法操作时，同时将该记录上传至预设的服务器中，以确保当智能设备的存储区域中记录缺失时进行查询。

本发明实施例提供的一种非法操作的检测方法，对于现有技术中在智能设备使用时，难以界定用户是否进行非法操作的问题，本发明实施例能够通过检测是否存在预设操作行为，其中，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为，并在检测到时进行确定并记录，从而实现了对智能设备中出现非法操作时的实时监控功能，从而解决了智能设备使用过程中难以界定用户是否进行非法操作的问题，为后续厂商在进行维护时提供了凭据。

以下为了更加详细地说明，本发明实施例提供了另一种非法操作的检测方法，具体如图2所示，该方法包括：

201、检测是否存在预设操作行为。

其中，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为。基于设备厂商对于非法操作行为设定的不同，其具体的检测过程也存在区别，在本发明实施例中，选取与root操作行为以及remount操作行为作为示例。

其中，root是一种存在于UNIX系统，如AIX、BSD等。和类UNIX系统中的唯一的超级用户，其具有系统中所有的权限，如启动或停止一个进程，删除或增加用户，增加或者禁用硬件等等。由于root用户是系统中唯一的超级管理员，它具有等同于操作系统的权限。一些需要root权限的应用，譬如广告阻挡，是需要root权限的。然而问题在于root权限能够对整个系统内大部分文件进行修改、删掉等操作，极易导致系统毁坏的问题，从而使得系统无法再次使用。因此，使用root权限带来的不当的操作较为危险，可以导致设备的系统崩溃、出现死机的情况，严重的甚至导致设备无法开机的情况。所以，基于设备的稳定性以及后续维护的考虑，在Unix、Linux及Android中，除非特殊情况，设备商场一般情况下都不推荐用户使用root权限进行操作。

具体的，则本步骤可以包括：判断是否存在未经允许的以root权限进行的操作行为。其中，在判断是否存在未经允许的以root权限进行的操作行为之前，还可以接收预设程序白名单，该预设程序白名单中包含允许进行以root权限进行操作的程序。然后，在判断过程中则可以根据所述预设程序白名单判断以root权限进行的操作行为对应的程序是否存在于所述程序白名单中。若否，则确定存在未经允许的以root权限进行的操作行为。这样，通过接收预设程序白名单，并根据该程序白名单检测是否存在该白名单外的程序进行了以root权限进行的操作，从而能够确保检测结果的准确性。同时，由于该程序白名单能够进行程序的添加和删除，从而能够可以确保检测方式更为灵活和准确。

另外，在本步骤中还可以对remount操作行为进行检测。其中，在系统中，对于系统中的存储分区boot、system、vendor以及oem，都是不能被修改的，当上述分区被修改时，则说明用户对智能设备进行了非法操作。因此，本步骤在判断是否存在remount操作行为是还可以包括：检测预设存储分区是否存在修改操作，所述预设存储分区包括boot、system、vendor以及oem；若是，则确定存在remount操作行为。进一步的，由于修改上述存储分区的前提是进行remount操作，即mount为RW模式，因此，实际上可以通过检测以RW模式进行mount操作时，其操作对象是否为上述几个存储分区即可。如若mount操作对象为上述几个分区，则可以确定用户正在进行remount操作，即对系统内本应禁止修改的磁盘分区进行了修改操作，从而确定用户正在对智能设备进行非法操作。这样，通过对检测预设存储分区是否存在修改操作，并在检测到存在修改操作时确定存在非法操作，能够确保系统中的存储分区boot、system、vendor以及oem被修改时，能够发现对应的非法操作，从而确保检测到的remount行为的准确性。

需要说明的是，在本发明实施例中，对于上述检测过程可以包含检测root操作或remount操作中任一种，可以包括同时检测是否存在这两种操作行为，在此并不做限定，可以根据实际情况选取。

由于，根据本步骤所述的方法，通过对智能设备的root操作和remount操作进行检测，能够确保检测出影响系统稳定性或可能导致设备故障的非法操作，继而为后续界定用户使智能设备时是否进行了非法操作的提供了判断依据。

202、若检测到存在预设操作行为，则确定存在非法操作，并记录。

经前述步骤201的检测，当检测到存在预设操作行为时，例如，root行为或remount行为时，则可以确定用户在使用该智能设备时确实进行了设备厂商所不允许的非法操作行为，由于上述操作行为可能导致后续设备出现故障的情况，因此，为了便于后续对用户操作行为进行界定，在本发明实施例中可以依照本步骤所述的方法，确定检测到的该预设操作行为为非法操作，并进行记录。

具体的，当确定存在非法操作后，本步骤还可以包括：当确定存在非法操作时，记录所述非法操作并存储在本地的预定区域中。或者，当确定存在非法操作时，记录所述非法操作并上传至预设服务器中。其中，为了避免用户对记录进行修改，还可以将给预定区域设置为仅能读取的区域，或者为隐藏区域，以避免用户后续对非法操作的记录进行篡改的情况。当然，为了确保所记录的数据的准确性，在可以在将该非法操作存储在本地的预定区域的同时还进行上传，这样，则可以确保当智能设备的存储区域损坏时，能够从预设服务器中获取到相应的记录，从而对用户操作行为是否存在非法行为进行判断。

由此，当确定存在非法操作时，通过记录所述非法操作并存储在本地的预定区域中，能够确保将用户执行过的非法操作进行记录并存储的功能，并且，当确定存在非法操作时，通过记录所述非法操作并上传至预设服务器中，能够避免当本地的预定区域损坏时导致记录丢失的问题。从而为后续对用户操作行为是否存在非法行为的判断提供了保障。

进一步的，作为对上述图1、图2所示方法的实现，本发明实施例提供了一种非法操作的检测装置。该装置实施例与前述方法实施例对应，为便于阅读，本装置实施例不再对前述方法实施例中的细节内容进行逐一赘述，但应当明确，本实施例中的装置能够对应实现前述方法实施例中的全部内容。具体如图3所示，该装置包括：

检测单元31，可以用于检测是否存在预设操作行为，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为；

确定单元32，可以用于若检测单元31检测到存在预设操作行为，则确定存在非法操作，并记录。

进一步的，如图4所示，所述装置还包括：

接收单元33，可以用于接收预设程序白名单，以便检测单元31根据所述预设程序白名单检测，所述预设程序白名单中包含允许进行以root权限进行操作的程序；

所述检测单元31，包括：

判断模块311，可以用于根据所述预设程序白名单判断以root权限进行的操作行为对应的程序是否存在于所述程序白名单中；

确定模块312，可以用于若判断模块311判断以root权限进行的操作行为对应的程序未存在于所述程序白名单中，则确定存在未经允许的以root权限进行的操作行为。

进一步的，如图4所示，所述检测单元31，包括：

检测模块313，可以用于检测预设存储分区是否存在修改操作，所述预设存储分区包括boot、system、vendor以及oem；

确定模块312，还可以用于若检测模块313检测预设存储分区存在修改操作，则确定存在remount操作行为。

进一步的，如图4所示，所述确定单元32包括：

存储模块321，可以用于当确定存在非法操作时，记录所述非法操作并存储在本地的预定区域中；

上传模块322，可以用于当确定存在非法操作时，记录所述非法操作并上传至预设服务器中。

由于本实施例所介绍的非法操作的检测装置为可以执行本发明实施例中的非法操作的检测方法的装置，故而基于本发明实施例中所介绍的非法操作的检测方法，本领域所属技术人员能够了解本实施例的非法操作的检测装置的具体实施方式以及其各种变化形式，所以在此对于该非法操作的检测装置如何实现本发明实施例中的非法操作的检测方法不再详细介绍。只要本领域所属技术人员实施本发明实施例中非法操作的检测方法所采用的装置，都属于本申请所欲保护的范围。

同时，通过对智能设备的root操作和remount操作进行检测，能够确保检测出影响系统稳定性或可能导致设备故障的非法操作，继而为后续界定用户使智能设备时是否进行了非法操作的提供了判断依据。进一步的，通过接收预设程序白名单，并根据该程序白名单检测是否存在该白名单外的程序进行了以root权限进行的操作，从而能够确保检测结果的准确性。同时，由于该程序白名单能够进行程序的添加和删除，从而能够可以确保检测方式更为灵活和准确。并且，通过对检测预设存储分区是否存在修改操作，并在检测到存在修改操作时确定存在非法操作，能够确保系统中的存储分区boot、system、vendor以及oem被修改时，能够发现对应的非法操作，从而确保检测到的remount行为的准确性。此外，当确定存在非法操作时，通过记录所述非法操作并存储在本地的预定区域中，能够确保将用户执行过的非法操作进行记录并存储的功能，并且，当确定存在非法操作时，通过记录所述非法操作并上传至预设服务器中，能够避免当本地的预定区域损坏时导致记录丢失的问题。从而为后续对用户操作行为是否存在非法行为的判断提供了保障。

所述非法操作的检测装置包括处理器和存储器，上述检测单元及确定单元等均作为程序单元存储在存储器中，由处理器执行存储在存储器中的上述程序单元来实现相应的功能。

处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来实现在智能设备使用过程中对非法操作进行监控和记录的功能。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

本发明实施例提供了一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行上述实施例所述的非法操作的检测方法。

本发明实施例提供了一种电子设备，如图5所示，包括：

至少一个处理器41；

以及与所述处理器41连接的至少一个存储器42、总线43；其中，

所述处理器41、存储器42通过所述总线43完成相互间的通信；

所述处理器41用于调用所述存储器42中的程序指令，以执行以下步骤：

若是，则确定存在非法操作，并记录。

进一步的，在所述检测是否存在预设操作行为之前，所述方法还包括：

所述检测是否存在预设操作行为包括：

若否，则确定存在未经允许的以root权限进行的操作行为。

进一步的，所述检测是否存在预设操作行为包括：

若是，则确定存在remount操作行为。

进一步的，所述确定存在非法操作，并记录包括：

和/或，

当确定存在非法操作时，记录所述非法操作并上传至预设服务器中。本发明实施例中的电子设备可以是PC、服务器等。

本申请还提供了一种计算机程序产品，当在数据处理设备上执行时，适于执行初始化有如下方法步骤的程序代码：检测是否存在预设操作行为，所述预设操作行为包括未经允许的以root权限进行的操作行为以及remount操作行为；若是，则确定存在非法操作，并记录。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims

1.一种非法操作的检测方法，其特征在于，包括：

若是，则确定存在非法操作，并记录。

2.根据权利要求1所述的方法，其特征在于，在所述检测是否存在预设操作行为之前，所述方法还包括：

所述检测是否存在预设操作行为包括：

若否，则确定存在未经允许的以root权限进行的操作行为。

3.根据权利要求1所述的方法，其特征在于，所述检测是否存在预设操作行为包括：

若是，则确定存在remount操作行为。

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述确定存在非法操作，并记录包括：

和/或，

5.一种非法操作的检测装置，其特征在于，所述装置包括：

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

所述检测单元，包括：

7.根据权利要求5所述的装置，其特征在于，所述检测单元，包括：

8.根据权利要求5-7中任一项所述的装置，其特征在于，所述确定单元包括：

9.一种电子设备，其特征在于，包括：

至少一个处理器；

以及与所述处理器连接的至少一个存储器、总线；其中，

所述处理器、存储器通过所述总线完成相互间的通信；

所述处理器用于调用所述存储器中的程序指令，以执行权利要求1至权利要求4中任一项所述的非法操作的检测方法。

10.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行权利要求1至权利要求4中任一项所述的非法操作的检测方法。