[發明專利]安卓應用查殼方法和裝置

有效

• 申請號: 202010513695.9
• 申請日: 2020-06-08
• 公開（公告）號: CN113836528B
• 公開（公告）日: 2023-10-13
• 發明（設計）人: 殷銘;聞劍峰;陸廣鋮
• 申請（專利權）人: 中國電信股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 中國貿促會專利商標事務所有限公司 11038
• 代理人: 劉劍波

本公開提供一種安卓應用查殼方法和裝置。安卓應用查殼裝置提取安卓應用程序包的靜態特征；啟動安卓應用程序包，以獲取安卓應用程序包的動態特征；將靜態特征與預設的靜態特征庫進行匹配，以分別獲取靜態特征相對于每一種加殼方式的指示函數值；將動態特征與預設的動態特征庫進行匹配，以分別獲取動態特征相對于每一種加殼方式的指示函數值；針對每種加殼方式，計算指示函數值的加權和；判斷最大的加權和是否大于預設門限；在最大的加權和大于預設門限的情況下，將最大的加權所對應的加殼方式作為安卓應用程序包的加殼方式。本公開能夠快速且以非侵入的方式實現查殼，并提高查殼準確率。

技術領域

本公開涉及安全領域，特別涉及一種安卓應用查殼方法和裝置。

背景技術

安卓系統作為當今世界上主流的手機操作系統之一，大量的開發者為這個平臺貢獻了不計其數的應用。為了保護自己的應用不被破解，很多應用開發者會選擇對APK(Android application package，安卓應用程序包)文件進行加殼。但是這其中不乏惡意應用開發者為了防止自己開發的惡意應用被查殺，也會選擇對APK進行加殼處理。由于市面上充斥著大量的加殼工具，所以惡意開發者對APK進行加殼的成本很低，造成了惡意應用的加殼率大大高于普通應用。如果需要對這些惡意應用進行詳細地分析，必然需要對它們進行脫殼處理。針對不同的殼通常需要使用對應的脫殼方法進行脫殼，所以脫殼首先就是要做到準確識別殼類型。

在相關技術中，主要包括靜態和動態兩類查殼方法。靜態查殼方法包括利用分析文件二進制特征的PEID工具、匹配SO文件名的PKID工具等。動態查殼方法是通過鉤子函數hook捕獲應用的殼程序啟動和應用正式啟動之間的系統函數和非系統函數，并將捕獲到的系統函數和非系統函數與本地特征庫進行匹配以進行殼的識別。

發明內容

發明人注意到，在靜態查殼方法中，二進制特征匹配會由于修改特征碼的方式而被混淆，從而導致檢出率低。僅匹配SO文件名的方式很容易產生誤判。在動態查殼方法中，由于需要通過鉤子函數hook捕獲每個函數的侵入式方式可能會導致程序運行異常，并且這種做法本身就比較復雜，通常需要設備的管理權限。

據此，本公開提供一種結合靜態特征和動態特征的安卓應用查殼方案，能夠快速且以非侵入的方式實現查殼，并提高查殼準確率。

根據本公開實施例的第一方面，提供一種安卓應用查殼方法，包括：提取安卓應用程序包的靜態特征；啟動所述安卓應用程序包，以獲取所述安卓應用程序包的動態特征；將所述靜態特征與預設的靜態特征庫進行匹配，以分別獲取所述靜態特征相對于每一種加殼方式的指示函數值；將所述動態特征與預設的動態特征庫進行匹配，以分別獲取所述動態特征相對于每一種加殼方式的指示函數值；針對每種加殼方式，計算指示函數值的加權和；判斷最大的加權和是否大于預設門限；在所述最大的加權和大于所述預設門限的情況下，將所述最大的加權所對應的加殼方式作為所述安卓應用程序包的加殼方式。

在一些實施例中，所述安卓應用程序包的靜態特征包括所述安卓應用程序包的靜態文件特征，所述安卓應用程序包中的清單文件的入口地址特征，以及所述安卓應用程序包中的可執行文件被反編譯后所生成的smali文件中的特征函數中的至少一項。

在一些實施例中，所述靜態文件特征包括目錄名或文件名中的至少一項。

在一些實施例中，所述獲取所述安卓應用程序包的動態特征包括：通過分析系統日志，獲取所述安卓應用程序包的動態特征，所述動態特征包括所述安卓應用程序包中各函數的調用頻度和各函數之間的調用關系中的至少一項。

在一些實施例中，在所述最大的加權和不大于所述預設門限的情況下，確定所述安卓應用程序包的加殼方式未知。