[發(fā)明專利]移動(dòng)應(yīng)用程序異常行為檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201610003798.4
• 申請(qǐng)日: 2016-01-04
• 公開(kāi)（公告）號(hào): CN105528295B
• 公開(kāi)（公告）日: 2018-12-14
• 發(fā)明（設(shè)計(jì)）人: 毛劍;崔鍵;王瑞瓏;陳岳;王培人;劉建偉;伍前紅
• 申請(qǐng)（專利權(quán)）人: 北京航空航天大學(xué)
• 主分類號(hào): G06F11/36
• 分類號(hào): G06F11/36
• 代理公司: 北京清亦華知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11201
• 代理人: 張大威

1.一種移動(dòng)應(yīng)用程序異常行為檢測(cè)方法，其特征在于，包括以下步驟：

運(yùn)行移動(dòng)應(yīng)用程序；

提取與所述移動(dòng)應(yīng)用程序相關(guān)的函數(shù)調(diào)用棧信息和行為事件信息，其中，對(duì)所述移動(dòng)應(yīng)用程序的JavaScript函數(shù)進(jìn)行改寫，以獲取所述移動(dòng)應(yīng)用程序當(dāng)前正在執(zhí)行的函數(shù)調(diào)用棧信息，所述函數(shù)調(diào)用棧信息包括JavaScript函數(shù)的函數(shù)名、行列號(hào)、與所述JavaScript函數(shù)相關(guān)的觸發(fā)條件以及進(jìn)入、離開(kāi)函數(shù)的信息；

監(jiān)測(cè)所述移動(dòng)應(yīng)用程序的運(yùn)行環(huán)境，以提取所述移動(dòng)應(yīng)用程序的行為事件信息；

將所述函數(shù)調(diào)用棧信息和行為事件信息寫入行為日志；

根據(jù)所述行為日志為所述移動(dòng)應(yīng)用程序創(chuàng)建待測(cè)行為模型；

根據(jù)預(yù)存的行為模型庫(kù)對(duì)所述待測(cè)行為模型進(jìn)行異常行為檢測(cè)，以判斷所述移動(dòng)應(yīng)用程序是否存在異常行為。

2.根據(jù)權(quán)利要求1所述的移動(dòng)應(yīng)用程序異常行為檢測(cè)方法，其特征在于，所述移動(dòng)應(yīng)用程序?yàn)镠TML5移動(dòng)應(yīng)用程序。

3.根據(jù)權(quán)利要求1所述的移動(dòng)應(yīng)用程序異常行為檢測(cè)方法，其特征在于，有限狀態(tài)自動(dòng)機(jī)為函數(shù)級(jí)的有限狀態(tài)自動(dòng)機(jī)，所述函數(shù)級(jí)的有限狀態(tài)自動(dòng)機(jī)表示為：

M＝(S,Σ,δ,s₀,F)，

其中，所述S為一個(gè)有限的、非空狀態(tài)集合，sid是移動(dòng)應(yīng)用程序狀態(tài)標(biāo)識(shí)符，sattr為移動(dòng)應(yīng)用程序狀態(tài)的屬性；所述Σ是所述有限狀態(tài)自動(dòng)機(jī)的輸入的集合，取值為字符串，σ表示某一個(gè)導(dǎo)致?tīng)顟B(tài)轉(zhuǎn)換的事件，Φ∈Σ時(shí)表示輸入的字符串為空；δ是一個(gè)狀態(tài)轉(zhuǎn)換函數(shù)：δ：S×Σ→S，如果s_a和s_b∈S，σ∈Σ，s_b＝δ(s_a，σ)，則表示由狀態(tài)s_a轉(zhuǎn)換到狀態(tài)s_b的輸入為σ；s₀∈S表示初始狀態(tài)；F是M的終止?fàn)顟B(tài)集合，F(xiàn)∈S。

4.根據(jù)權(quán)利要求1所述的移動(dòng)應(yīng)用程序異常行為檢測(cè)方法，其特征在于，還包括：創(chuàng)建所述預(yù)存的行為模型庫(kù)，具體包括：

判斷是否為首次執(zhí)行所述移動(dòng)應(yīng)用程序；

如果是，則將首次執(zhí)行所述移動(dòng)應(yīng)用程序時(shí)創(chuàng)建的所述行為模型添加到所述行為模型庫(kù)中。

5.一種移動(dòng)應(yīng)用程序異常行為檢測(cè)系統(tǒng)，其特征在于，包括：

提取模塊，所述提取模塊包括動(dòng)態(tài)改寫模塊和行為事件提取模塊，所述動(dòng)態(tài)改寫模塊用于在移動(dòng)應(yīng)用程序運(yùn)行時(shí)，提取與所述移動(dòng)應(yīng)用程序相關(guān)的函數(shù)調(diào)用棧信息，所述行為事件提取模塊用于提取與所述移動(dòng)應(yīng)用程序相關(guān)的行為事件信息，所述提取模塊還用于將所述函數(shù)調(diào)用棧信息和行為事件信息寫入行為日志，其中，所述提取模塊對(duì)所述移動(dòng)應(yīng)用程序的JavaScript函數(shù)進(jìn)行改寫，以獲取所述移動(dòng)應(yīng)用程序當(dāng)前正在執(zhí)行的函數(shù)調(diào)用棧信息，所述函數(shù)調(diào)用棧信息包括JavaScript函數(shù)的函數(shù)名、行列號(hào)、與所述JavaScript函數(shù)相關(guān)的觸發(fā)條件以及進(jìn)入、離開(kāi)函數(shù)的信息；

行為模型生成模塊，用于根據(jù)所述行為日志為所述移動(dòng)應(yīng)用程序創(chuàng)建待測(cè)行為模型；

異常行為檢測(cè)模塊，用于根據(jù)預(yù)存的行為模型庫(kù)對(duì)所述待測(cè)行為模型進(jìn)行異常行為檢測(cè)，以判斷所述移動(dòng)應(yīng)用程序是否存在異常行為。

6.根據(jù)權(quán)利要求5所述的移動(dòng)應(yīng)用程序異常行為檢測(cè)系統(tǒng)，其特征在于，有限狀態(tài)自動(dòng)機(jī)為函數(shù)級(jí)的有限狀態(tài)自動(dòng)機(jī)，所述函數(shù)級(jí)的有限狀態(tài)自動(dòng)機(jī)表示為：

M＝(S,Σ,δ,s₀,F)，

其中，所述S為一個(gè)有限的、非空狀態(tài)集合，sid是移動(dòng)應(yīng)用程序狀態(tài)標(biāo)識(shí)符，sattr為移動(dòng)應(yīng)用程序狀態(tài)的屬性；所述Σ是所述有限狀態(tài)自動(dòng)機(jī)的輸入的集合，取值為字符串，σ表示某一個(gè)導(dǎo)致?tīng)顟B(tài)轉(zhuǎn)換的事件，Φ∈Σ時(shí)表示輸入的字符串為空；δ是一個(gè)狀態(tài)轉(zhuǎn)換函數(shù)：δ：S×Σ→S，如果s_a和s_b∈S，σ∈Σ，s_b＝δ(s_a，σ)，則表示由狀態(tài)s_a轉(zhuǎn)換到狀態(tài)s_b的輸入為σ；s₀∈S表示初始狀態(tài)；F是M的終止?fàn)顟B(tài)集合，F(xiàn)∈S。

7.根據(jù)權(quán)利要求5所述的移動(dòng)應(yīng)用程序異常行為檢測(cè)系統(tǒng)，其特征在于，還包括：預(yù)存行為模型庫(kù)模塊，用于創(chuàng)建所述預(yù)存的行為模型庫(kù)，具體包括：判斷是否為首次執(zhí)行所述移動(dòng)應(yīng)用程序，如果是，則將首次執(zhí)行所述移動(dòng)應(yīng)用程序時(shí)創(chuàng)建的所述行為模型添加到所述行為模型庫(kù)中。