WO2013079010A1

WO2013079010A1 - 应用程序运行中的处理方法和装置

Info

Publication number: WO2013079010A1
Application number: PCT/CN2012/085579
Authority: WO
Inventors: 陆兆华
Original assignee: 腾讯科技（深圳）有限公司
Priority date: 2011-11-29
Filing date: 2012-11-29
Publication date: 2013-06-06
Also published as: BR112013029061A2; KR20130135952A; CN103136472B; CN103136472A; US20140013429A1

Abstract

本发明公开了一种应用程序运行中的处理方法和装置，属于移动终端领域。该方法包括：当目标应用程序启动时，确定所述目标应用程序的目标系统调用；当接收到所述目标系统调用的参数时，暂停所述目标系统调用；根据所述参数取消或继续所述目标系统调用。该装置包括：确定模块、暂停模块和处理模块。本发明实施例能够在可疑行为实施之前中断该行为，而无需结束应用程序的运行，监控的实时性强，应用范围广泛，能够更彻底、更广泛地监控可疑应用程序，保护敏感应用程序。

Description

应用程序运行中的处理方法和装置

技术领域

本发明涉及移动终端领域，特别涉及一种应用程序运行中的处理方法和装置。

背景技术

随着移动终端的发展，由于多个厂商激烈竞争和充分的普及，出现多种病毒、木马、恶意程序等，于是杀毒厂商也纷纷推出智能终端上的杀毒软件。以网络监控为例，移动终端安全软件通行的做法是当监测到有可疑应用程序上网，就会拦截或者询问拦截，拦截的方法是把联网程序的进程结束掉。

技术问题

在对现有技术进行分析后，发明人发现现有技术至少具有如下缺点：现有技术中，询问拦截时可疑软件仍然可以继续上网，如果终端用户在很长的一段时间后才确定拦截，可疑软件可能已经使用了超出终端用户预期的流量，或者利用网络进行了非法活动或者对终端用户扣费的功能。而拦截的做法通常是直接结束程序，但是有可能终端用户仍然对可疑软件其它部分感兴趣，这种简单结束程序的方法有可能造成对终端用户不便。

技术解决方案

本发明实施例提供了一种应用程序运行中的处理方法和装置。所述技术方案如下：

一种应用程序运行中的处理方法，包括：

将预设可疑程序或任意一个应用程序确定为目标应用程序；

当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用。

一种应用程序运行中的处理方法，包括：

根据所述参数取消或继续所述目标系统调用。

一种应用程序处理装置，包括：

确定模块，用于当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

暂停模块，用于当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

处理模块，用于根据所述参数取消或继续所述目标系统调用。

有益效果

本发明实施例提供的应用程序运行中的处理方法和装置，通过当目标应用程序启动时，确定所述目标应用程序的目标系统调用；当接收到所述目标系统调用的参数时，暂停所述目标系统调用；根据所述参数取消或继续所述目标系统调用。采用本发明的技术方案，能够在可疑行为实施之前中断该行为，而无需结束应用程序的运行，监控的实时性强，应用范围广泛，能够更彻底、更广泛地监控可疑应用程序，保护敏感应用程序。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种应用程序运行中的处理方法的流程图；

图2是本发明实施例提供的一种应用程序运行中的处理方法的流程图；

图3是本发明的应用程序运行中的处理方法用于防隐私窃取时的流程图；

图4是本发明实施例提供的一种应用程序处理装置的结构示意图。

本发明的最佳实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

图1是本发明实施例提供的一种应用程序运行中的处理方法的流程图。该实施例的执行主体为移动终端，该移动终端具体可以是手机或者平板电脑等。参见图1，该实施例包括：

101、当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

102、当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

103、根据所述参数取消或继续所述目标系统调用。

可选地，根据所述参数取消或继续所述目标系统调用，具体包括：

判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用；

或，

将所述参数报告给终端用户，当接收到所述终端用户的同意指令，则继续所述目标系统调用，当接收到所述终端用户的取消指令，则取消所述目标系统调用。

可选地，当目标应用程序启动时，确定所述目标应用程序的目标系统调用，之前包括：

将预设可疑程序或任意一个非系统应用程序确定为所述目标应用程序。

可选地，将预设可疑程序或任意一个应用程序确定为所述目标应用程序包括：

当安装应用程序时，对所述应用程序的目标系统调用的参数进行分析，将具有调用隐私信息或隐私事件的操作权限的参数的应用程序确定为所述目标应用程序。

可选地，所述隐私事件包括调用摄像头、调用全球定位系统模块、调用基站定位用户位置功能、打开第三方通话、拔打电话、接听电话、打开电话录音、访问通讯录、访问通话记录、访问短消息记录、拦截短消息、静默安装其他程序、自动连网传输数据或者开机自启动中一种或者多种；

所述隐私信息包括联系人信息、通讯信息、相片信息或者视频信息中的一种或者多种。

可选地，当目标应用程序启动时，确定所述目标应用程序的目标系统调用，具体包括：

当所述目标应用程序启动时，判断所述目标应用程序中是否包括预设调用中的任一种，如果是，则将所述目标应用程序中所包含的预设调用确定为目标系统调用。

可选地，当所述目标系统调用的功能为发送短信时，所述参数为短信内容或目的号码；

当所述目标系统调用的功能为所述目标应用程序进行网络连接时，所述参数为连接的目的网络；

当所述目标系统调用的功能为对目标应用程序进行修改时，所述参数为修改的操作方或被操作方。

本实施例提供的方法，能够在可疑行为实施之前中断该行为，而无需结束应用程序的运行，监控的实时性强，应用范围广泛，能够更彻底、更广泛地监控可疑应用程序，保护敏感应用程序。

图2是本发明实施例提供的一种应用程序运行中的处理方法的流程图。该实施例的执行主体为移动终端，参见图2，该实施例包括：

201、将预设可疑程序或任意一个应用程序确定为目标应用程序；

其中，预设可疑程序为对移动终端可能造成非预期的不良影响或有疑似行为（如调用隐私信息或隐私事件）的终端应用程序。这些行为（包括隐私事件）包括但不限于：无提示、非软件应有（声称和暗示）特性和用户使用时不希望的发短信扣费、发送蓝牙信息、删改文件、调用摄像头、调用全球定位系统模块、调用基站定位用户位置功能、打开第三方通话、拔打电话、接听电话、打开电话录音、访问通讯录、访问通话记录、访问短消息记录、拦截短消息、静默安装卸载其他程序、自动连网传输数据或者开机自启动等行为。其中隐私信息包括但不限于：联系人信息、通讯信息、相片信息或者视频信息。该预设可疑程序可以由技术人员预设，或由移动终端用户进行设置或修改，本发明实施例不做具体限定。

当然这里可在安装应用程序时，对应用程序的目标系统调用的参数进行分析，将具有上述调用隐私信息或隐私事件的操作权限的参数的应用程序确定为预设可疑程序。

鉴于Android和Symbian等智能终端时有刷ROM（Read-Only Memory，只读内存）现象（可能是厂商或运营商定制手机、卖家故意、用户指定等情况），有的ROM内置了具有可疑行为的系统程序（甚至可能是假冒的），这种情况下可根据需要进行监控任意一个应用程序的干预，因此，需要对终端任意一个应用程序进行监控，即对任何已经启动或者正在启动的程序都实施干预。

需要说明的是，对于一个移动终端来说，可以确定一个或一个以上的目标应用程序，并分别对每个确定的目标应用程序执行后续步骤。

202、当目标应用程序启动时，确定该目标应用程序的目标系统调用；

当目标应用程序启动时，根据移动终端的预设调用，判断该目标应用程序是否包括预设调用中的任一种，如果是，则将该目标应用程序中所包含的预设调用确定为目标系统调用。

其中，预设调用可以由技术人员设置，本领域技术人员可以获知，每个调用都有不同的功能，该预设调用是指具有造成非预期的不良影响或有疑似行为的功能的调用。这些行为包括但不限于：无提示和非软件应有（声称和暗示）特性的发短信扣费、使用网络、发送蓝牙信息、删改文件、静默卸载软件、访问用户通信薄、访问用户存储信息等行为。

203、当接收到该目标系统调用的参数时，暂停该目标系统调用；

当移动终端接收到该目标系统调用的参数时，说明该目标系统调用将要实施，则暂停该目标系统应用。因此只要监控获知该目标系统调用将要实施，即暂停该目标系统调用。

具体地，当目标系统调用的功能为发送短信时，该参数为短信内容或目的号码，病毒性短信内容或某些目的号码可能造成移动终端传播不法内容或被扣费。

当目标系统调用的功能为目标应用程序进行网络连接时，该参数为连接的目的网络的信息，当连接的目的网络为cmwrap网络或某些扣费网络时，可能造成移动终端被扣费。

当目标系统调用的功能为对目标应用程序进行修改时，该参数为修改的操作方或被操作方的信息，一旦目标应用程序被恶意修改，可能造成该目标应用程序崩溃，影响用户的正常使用。

204、将该参数报告给终端用户；

将参数报告给终端用户，使得终端用户可以根据该参数，确定继续或取消该目标系统调用，在实际场景中，在将参数报告给终端用户时，可对该参数进行处理，确定参数所对应的具体行为，其参数与具体行为的对应关系为移动终端已知，并将该参数对应的具体行为报告给终端用户。优选地，终端可为终端用户提供包含选项的界面，该界面至少包含同意和取消选项，则当终端用户选择继续该目标系统调用时，点击同意选项，当终端用户选择取消目标系统调用时，点击取消选项。

205、当所述终端用户选择继续所述目标系统调用时，则继续所述目标系统调用；

当终端用户认为该目标系统调用的参数或具体行为不属于可疑行为或终端用户对该目标系统调用感兴趣时，终端用户选择继续该目标系统调用，则取消该目标系统调用的暂停状态，并继续该目标系统调用。

206、当所述终端用户选择取消所述目标系统调用时，则取消所述目标系统调用。

当终端用户认为该目标系统调用的参数或具体行为属于可疑行为或终端用户对该目标系统调用不感兴趣时，终端用户选择取消该目标系统调用，则取消该目标系统调用的暂停状态，并取消该目标系统调用。

在另一实施例中，该步骤203-206可以替换为以下步骤：判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用。在该实施例中，不涉及到终端用户对参数的判断，而是通过预设可疑参数对目标系统调用的参数进行。其中，预设可疑参数为可疑行为的参考值或参考值范围，可以由技术人员设置。

在实际场景中，上述步骤203-206是通过在系统调用的动态库中注入预设函数，并对目标系统调用指向的地址进行替换实现的，其中，预设函数具有步骤203-206的功能。具体地，当确定了目标系统调用后，将预设函数注入目标应用程序，该预设函数与目标系统调用的函数签名及调用约定一致，当接收到目标系统调用的函数时，通过API （Application Programming Interface应用程序接口） Hook修改目标应用程序IAT（Import Address Table，入口地址表），将目标系统调用指向的地址替换为预设函数注入的地址。其中，在将预设函数注入目标应用程序时，对于不同的操作系统，可以通过不同的方法，如安卓系统Android为利用ptrace函数，塞班系统Symbian为写逻辑驱动程序ldd。API Hook是指把应用程序的IAT中的系统调用替换（挂钩/注入）成自定义调用的方法，函数签名(Function Signature)是指函数的参数数据类型的顺序及返回的数据类型，调用约定(Calling Convention)是指函数如何传递参数及返回结果的规则。

本实施例提供的方法，能够在可疑行为实施之前中断该行为，而无需结束应用程序的运行，监控的实时性强，应用范围广泛，能够更彻底、更广泛地监控可疑应用程序，保护可能被可疑软件所攻击的终端（手机）软件，包括但不限于系统软件、竞争对手程序。这些攻击行为包括但不限于对目标软件不允许使用网、不允许发送信息、结束运行、删除、卸载、限制访问系统资源。进一步地，通过API Hook可以抢在其它不用此法的监控系统先拦截到，可以实施以前无法拦截到的行为，比如结束进程、删除、卸载、通过底层API发送短信等等。

图3是本发明的应用程序运行中的处理方法用于防隐私窃取时的流程图。本发明的应用程序运行中的处理方法可很好的应用于防止应用程序进行隐私窃取，其中的隐私信息或隐私事件如上述实施例所述。本优选实施例的应用程序运行中的处理方法包括：

步骤301：当应用程序安装时，对该应用程序进行预处理，其中，对该应用程序进行预处理包括但不限于对该应用程序进行病毒扫描处理；

具体地，对该应用程序进行病毒扫描处理包括：

将应用程序与预存储的恶意程序库内的特征进行匹配；

当应用程序与恶意程序库内的特征相匹配时，提示应用程序为恶意程序并警告用户禁止对该应用程序的安装，终止对应用程序的安装，操作结束；

当应用程序无法与恶意程序库内的特征相匹配时，执行步骤302的操作。

步骤302：对应用程序的目标系统调用的参数进行分析，并确定该应用程序是否具有调用隐私信息或隐私事件的操作权限的参数；

当应用程序具有隐私信息或者隐私事件的操作权限的参数时，执行步骤303；

当应用程序不具有隐私信息或者隐私事件的操作权限的参数时，继续对应用程序的安装直到应用程序安装完毕；

具体地，对所述应用程序的操作权限的参数进行分析，并确定所述应用程序是否具有调用隐私信息或者隐私事件的操作权限的参数包括：

获取应用程序的操作权限列表；

对应用程序的操作权限列表进行分析，当操作权限列表中存在调用隐私信息或者隐私事件的操作权限时，则判定该应用程序具有调用隐私信息或者隐私事件的操作权限的参数。

步骤303：确定应用程序所调用隐私信息或者隐私事件的操作许可状态，其中，隐私信息或者隐私事件的操作许可状态包括禁止或者允许；

具体地，确定应用程序所调用隐私信息或者隐私事件的操作许可状态包括：

向用户提供防隐私窃取安装模式，防隐私窃取安装模式提供隐私信息或者隐私事件的操作许可状态供用户来选择隐私信息或者隐私事件的操作许可状态；

接收并记录用户返回的所选择的隐私信息或者隐私事件的操作许可状态。

本步骤在具体实现时的操作流程如下：

对应用程序的目标系统调用的参数进行分析，一旦发现该应用程序具有调用隐私信息或者隐私事件的操作权限的参数时，向用户发送询问消息，其中，询问消息用于通知用户应用程序具有隐私信息或者隐私事件的操作权限并询问用户是否对隐私信息或者隐私事件的操作权限进行设置；

同时，向用户提供隐私信息或者隐私事件的操作许可状态的防隐私窃取安装模式，该防隐私窃取安装模式的默认模式为所提供的隐私信息或者隐私事件的操作许可状态均为禁止；

用户可以将部分或全部该防隐私窃取安装模式所提供的操作许可状态为禁止的隐私信息或者隐私事件的禁止状态取消，使操作许可状态原本为禁止状态的隐私信息或者隐私事件的操作许可状态变为允许；

接收并保存用户返回的所选择的隐私信息或者隐私事件的操作许可状态，之后，继续该应用程序的安装直到该应用程序安装完毕。

步骤304：当运行应用程序时，根据该应用程序所调用隐私信息或者隐私事件的操作许可状态来确定是否允许该应用程序对隐私信息或者隐私事件进行调用，

如果操作许可状态为禁止状态，则禁止应用程序对隐私信息或者隐私事件进行调用；当然这里也可由终端用户选择是否进行调用。

如果操作许可状态为允许状态，则允许应用程序对隐私信息或者隐私事件进行调用。

另外，需要说明的是，本发明实施例中，允许对所记录的应用程序所调用的隐私信息或者隐私事件的操作许可状态进行修改。

通过当安装应用程序时，对应用程序的操作权限进行分析，并确定应用程序是否具有调用隐私信息或者隐私事件的操作权限的参数，当应用程序具有隐私信息或者隐私事件的操作权限的参数时，确定隐私信息或者隐私事件的操作许可状态，当运行应用程序时，根据操作许可状态或终端用户来确定是否允许应用程序对隐私信息或者隐私事件进行调用的技术方案的实现，主动防御应用程序对隐私的窃取行为，且能补充扫描防御中在没有发现隐私窃取恶意程序的情况时的缺陷；另外，本技术方案在应用程序的安装时就确定了隐私信息或者隐私事件的操作许可状态，且该确定方式是打包式的、傻瓜式的，不需要用户有一定的专业知识，降低了用户操作的难度。

图4是本发明实施例提供的一种应用程序处理装置的结构示意图。参见图4，该装置包括：

确定模块401，用于当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

暂停模块402，用于当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

处理模块403，用于根据所述参数取消或继续所述目标系统调用。

可选地，所述处理模块403至少包括下列任一单元：

第一处理单元，用于判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用；

第二处理单元，用于将所述参数报告给终端用户，当接收到所述终端用户的同意指令，则继续所述目标系统调用，当接收到所述终端用户的取消指令，则取消所述目标系统调用。

可选地，所述装置还包括：

目标应用程序确定模块404，用于将预设可疑程序或任意一个应用程序确定为所述目标应用程序。

可选地，目标应用程序确定模块404具体用于，当安装应用程序时，对所述应用程序的目标系统调用的参数进行分析，将具有调用隐私信息或隐私事件的操作权限的参数的应用程序确定为所述目标应用程序。

其中所述隐私事件包括调用摄像头、调用全球定位系统模块、调用基站定位用户位置功能、打开第三方通话、拔打电话、接听电话、打开电话录音、访问通讯录、访问通话记录、访问短消息记录、拦截短消息、静默安装其他程序、自动连网传输数据或者开机自启动中一种或者多种；

可选地，所述确定模块401具体用于当所述目标应用程序启动时，判断所述目标应用程序中是否包括预设调用中的任一种，如果是，则将所述目标应用程序中所包含的预设调用确定为目标系统调用。

当所述目标系统调用的功能为所述目标应用程序进行网络连接时，所述参数为连接的目的网络的信息；

当所述目标系统调用的功能为对目标应用程序进行修改时，所述参数为修改的操作方或被操作方的信息。

本实施例提供的装置，与方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

本发明的实施方式

工业实用性

序列表自由内容

Claims

一种应用程序运行中的处理方法，其包括：

将预设可疑程序或任意一个应用程序确定为目标应用程序；

当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用。
一种应用程序运行中的处理方法，其包括：

当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

根据所述参数取消或继续所述目标系统调用。
根据权利要求2所述的方法，其中根据所述参数取消或继续所述目标系统调用，具体包括：

判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用；

或，

将所述参数报告给终端用户，当所述终端用户选择继续所述目标系统调用时，则继续所述目标系统调用，当所述终端用户选择取消所述目标系统调用时，则取消所述目标系统调用。
根据权利要求2所述的方法，其中当目标应用程序启动时，确定所述目标应用程序的目标系统调用，之前包括：

将预设可疑程序或任意一个应用程序确定为所述目标应用程序。
根据权利要求4所述的方法，其中所述将预设可疑程序或任意一个应用程序确定为所述目标应用程序包括：

当安装应用程序时，对所述应用程序的目标系统调用的参数进行分析，将具有调用隐私信息或隐私事件的操作权限的参数的应用程序确定为所述目标应用程序。
根据权利要求5所述的方法，其中所述隐私事件包括调用摄像头、调用全球定位系统模块、调用基站定位用户位置功能、打开第三方通话、拔打电话、接听电话、打开电话录音、访问通讯录、访问通话记录、访问短消息记录、拦截短消息、静默安装其他程序、自动连网传输数据或者开机自启动中一种或者多种；

所述隐私信息包括联系人信息、通讯信息、相片信息或者视频信息中的一种或者多种。
根据权利要求2所述的方法，其中当目标应用程序启动时，确定所述目标应用程序的目标系统调用，具体包括：

当所述目标应用程序启动时，判断所述目标应用程序中是否包括预设调用中的任一种，如果是，则将所述目标应用程序中所包含的预设调用确定为目标系统调用。
根据权利要求2任一项所述的方法，其中当所述目标系统调用的功能为发送短信时，所述参数为短信内容或目的号码；

当所述目标系统调用的功能为目标应用程序进行网络连接时，所述参数为连接的目的网络的信息；

当所述目标系统调用的功能为对目标应用程序进行修改时，所述参数为修改的操作方或被操作方的信息。
一种应用程序处理装置，其包括：

确定模块，用于当目标应用程序启动时，确定所述目标应用程序的目标系统调用；

暂停模块，用于当接收到所述目标系统调用的参数时，暂停所述目标系统调用；

处理模块，用于根据所述参数取消或继续所述目标系统调用。
根据权利要求9所述的处理装置，其中所述处理模块至少包括下列任一单元：

第一处理单元，用于判断所述参数是否为预设可疑参数，如果是，则取消所述目标系统调用，如果否，则继续所述目标系统调用；

第二处理单元，用于将所述参数报告给终端用户，当接收到所述终端用户的同意指令，则继续所述目标系统调用，当接收到所述终端用户的取消指令，则取消所述目标系统调用。
根据权利要求9所述的处理装置，其中所述装置还包括：

目标应用程序确定模块，用于将预设可疑程序或任意一个应用程序确定为所述目标应用程序。
根据权利要求11所述的处理装置，其中所述目标应用程序确定模块具体用于，当安装应用程序时，对所述应用程序的目标系统调用的参数进行分析，将具有调用隐私信息或隐私事件的操作权限的参数的应用程序确定为所述目标应用程序。
根据权利要求12所述的处理装置，其中所述隐私事件包括调用摄像头、调用全球定位系统模块、调用基站定位用户位置功能、打开第三方通话、拔打电话、接听电话、打开电话录音、访问通讯录、访问通话记录、访问短消息记录、拦截短消息、静默安装其他程序、自动连网传输数据或者开机自启动中一种或者多种；

所述隐私信息包括联系人信息、通讯信息、相片信息或者视频信息中的一种或者多种。
根据权利要求9所述的处理装置，其中所述确定模块具体用于当所述目标应用程序启动时，判断所述目标应用程序中是否包括预设调用中的任一种，如果是，则将所述目标应用程序中所包含的预设调用确定为目标系统调用。
根据权利要求9任一项所述的处理装置，其中当所述目标系统调用的功能为发送短信时，所述参数为短信内容或目的号码；

当所述目标系统调用的功能为所述目标应用程序进行网络连接时，所述参数为连接的目的网络的信息；

当所述目标系统调用的功能为对目标应用程序进行修改时，所述参数为修改的操作方或被操作方的信息。