[發明專利]一種應用程序的行為監測方法和系統

在審

• 申請號: 201410201140.5
• 申請日: 2014-05-13
• 公開（公告）號: CN105095741A
• 公開（公告）日: 2015-11-25
• 發明（設計）人: 李常坤
• 申請（專利權）人: 北京奇虎測騰科技有限公司;北京奇虎科技有限公司;北京奇虎測騰安全技術有限公司
• 主分類號: G06F21/50
• 分類號: G06F21/50
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 蘭淑鐸

1.一種應用程序的行為監測方法，其特征在于，所述方法應用于虛擬機中，所述方法包括：

判斷應用程序的當前行為是否是待監測行為；

當確定所述當前行為是待監測行為時，確定所述待監測行為對應的重配置方法結構體；其中，所述重配置方法結構體為對所述待監測行為的原始方法結構體進行重配置后的方法結構體，所述重配置方法結構體中包括：用于指示記錄函數對應的調用接口的位置的分發函數；所述記錄函數用于記錄所述待監測行為的信息；

根據所述分發函數獲取所述記錄函數對應的調用接口，通過所述記錄函數對應的調用接口調用所述記錄函數，并通過所述記錄函數記錄所述待監測行為的行為信息；

根據記錄的待監測行為的行為信息確定所述應用程序的安全性。

2.如權利要求1所述的方法，其特征在于，所述對所述待監測行為的原始方法結構體進行重配置，包括：

獲取所述待監測行為對應的原始方法結構體；

將所述原始方法結構體的屬性修改為設定屬性；其中，所述設定屬性用于指示執行所述分發函數；

將所述原始方法結構體成員的指針替換為所述分發函數；其中，所述指針用于指示執行所述待監測行為的原始調用函數的接口的位置；

備份所述原始方法結構體。

3.如權利要求2所述的方法，其特征在于，所述判斷應用程序的當前行為是否是待監測行為，包括：

獲取所述當前行為對應的方法結構體的屬性；

根據所述當前行為對應的方法結構體的屬性判斷所述當前行為是否是待監測行為；其中，當所述當前行為的方法結構體的屬性是所述設定屬性時，確定所述當前行為是待監測行為。

4.如權利要求2或3所述的方法，其特征在于，所述將所述原始方法結構體的屬性修改為設定屬性，包括：

將所述原始方法結構體的屬性修改為native屬性。

5.如權利要求1所述的方法，其特征在于，在所述根據所述分發函數獲取所述記錄函數對應的調用接口的步驟之前，所述方法還包括：

獲取分發參數，所述分發參數用于指示所述行為信息的類型；

其中，所述獲取分發參數包括：

遍歷args參數，獲取所述待監測行為對應的args參數；

將所述待監測行為對應的args參數添加到數組中，將所述數組作為所述分發參數。

6.如權利要求3所述的方法，其特征在于，在所述記錄所述待監測行為的行為信息的步驟之后，所述方法還包括：

當所述行為信息記錄完成之后，從備份內存中獲取備份的原始方法結構體；

根據所述原始方法結構體中的指針獲取所述待監測行為對應的原始調用函數的接口，通過所述原始調用函數的接口調用所述待監測行為對應的原始調用函數，以完成所述待監測行為的執行。

7.如權利要求1所述的方法，其特征在于，所述根據記錄的待監測行為的行為信息確定所述應用程序的安全性，包括：

將記錄的待監測行為的行為信息作為所述應用程序的行為信息輸出；

根據輸出的行為信息判斷所述應用程序的行為是否是風險行為；若是，則確定所述應用程序是風險應用程序；否則，確定所述應用程序是安全應用程序；

其中，所述風險行為包括：讀取用戶隱私信息，和/或篡改用戶資料信息，和/或竊取賬號密碼信息，和/或惡意撥打電話。

8.如權利要求1所述的方法，其特征在于，所述虛擬機包括：Dalvik虛擬機。

9.如權利要求1所述的方法，其特征在于，所述方法使用種子進程執行。

10.一種應用程序的行為監測系統，其特征在于，所述系統應用于虛擬機中，所述系統包括：

第一判斷模塊，用于判斷應用程序的當前行為是否是待監測行為；

第一確定模塊，用于在定所述當前行為是待監測行為時，確定所述待監測行為對應的重配置方法結構體；其中，所述重配置方法結構體為對所述待監測行為的原始方法結構體進行重配置后的方法結構體，所述重配置方法結構體中包括：用于指示記錄函數對應的調用接口的位置的分發函數；所述記錄函數用于記錄所述待監測行為的信息；

記錄模塊，用于根據所述分發函數獲取所述記錄函數對應的調用接口，通過所述記錄函數對應的調用接口調用所述記錄函數，并通過所述記錄函數記錄所述待監測行為的行為信息；

第二確定模塊，用于根據記錄的待監測行為的行為信息確定所述應用程序的安全性。