一种手机应用篡改识别系统、方法及装置

暂无

一种手机应用篡改识别系统、方法及装置\n技术领域\n[0001]本发明涉及移动安全领域，尤其涉及一种手机应用篡改识别系统和方法、装置。\n背景技术\n[0002]随着移动互联网的高速发展，移动互联网的终端设备的处理能力和功能不断的增强，移动互联网应用进行高速发展的一个时期。目前Android系统上，已经出现了 100多万不同的应用，给人们提供了极大的便利。而由于盗版，破解和篡改捆绑的技术的不断出现，大量的应用被篡改，破解之后被放在网上传播，不仅仅给应用的使用者带来安全隐患和问题，而且还严重损害了开发者的利益，同时大部分破解和篡改的应用都是恶意应用或是会给用户的移动设备带来其他安全隐患的风险应用。\n发明内容\n[0003]基于上述问题，本发明提出了一种手机应用篡改识别系统，应用采集模块来负责应用(手机应用程序)采集，收取手机上的应用，通过进行应用分析和处理模块的分析和处理，将应用对应的信息存储在数据库。应用篡改发现模块根据证书状态库对应用进行篡改发现和识别。最后可以由警告通知和输出模块输出所有识别出的被篡改应用的结果信息。\n[0004]相应的，本发明还提出了一种手机应用篡改识别方法，包括:\n[0005]对所有手机应用程序进行静态分析和识别处理，获取所述应用程序的各项信息；\n[0006]对名称相同而hash值不同的应用程序文件的各项信息进行汇聚，然后对所述手机应用程序的各项信息集合与基准信息集合中包含的各项信息集合进行差异比对；\n[0007]若所述安全状态为非白的应用程序文件的各项信息的集合的信息都包含在基准信息集合中，则判断所述应用程序没有被篡改;否则判断所述应用程序文件被篡改。\n[0008]相应的，本发明还提供了一种手机应用篡改识别装置，包括分析单元，比对单元和提示单元，可携带基准信息集合数据库用于本地系统，可用于手机客户端和云端服务器。\n[0009]本发明的有益效果是:\n[0010]本发明基于大量对白名单手机应用程序提取应用信息特征集合后，能够快速对未知手机应用程序是否被篡改进行有效识别。并且，在判别是否篡改的过程中，还能出现更多安全状态为白的应用，继而可以用于提取基准集合信息。如此不断循环和更替，篡改应用的识别则逐步更为精准。\n附图说明\n[0011]为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。\n[0012]图1为本发明手机应用篡改识别系统结构示意图；\n[0013]图2为本发明手机应用篡改识别方法流程图；\n[0014]图3为本发明手机应用篡改识别装置结构示意图。\n具体实施方式\n[0015]为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。\n[0016]如图1所示，本发明的手机应用篡改识别系统结构示意图，包括:\n[0017] 101、应用采集模块\n[0018]采集来源可以是各种来源，包括应用商店上报，网络设备采集，蜘蛛爬虫爬取，或者用户上报，等。\n[0019] 102、应用分析和处理模块\n[0020]应用分析和处理模块102可以采用各种自动化的静态分析方法，通过对应用文件进行自动化的静态分析和识别处理，计算出，Hash，安装包的名称，版本，证书使用者，证书颁发者，证书公钥，应用的权限，应用的注册代码申明，应用所包含的广告件，应用中可执行文件代码的所有系统函数符号集合，应用中可执行文件的所有用户申明的函数的符号集合，应用中所有函数的代码片段Hash信息。另外，还包括应用程序的安全状态，白、黑、未知三种状态，对于安全文件设置状态为白，有威胁文件设置为黑，本发明主要针对未知安全状态的应用程序进行篡改识别。\n[0021] 103、应用篡改发现模块\n[0022] 应用篡改发现模块103按应用包名进行汇聚，对同包名的所有不同Hash的应用文件的各列的信息进行汇聚，对应用安全状态为白的应用的信息进行聚合，形成一个用于异常发现的基准信息集合，这个大集合中，包含权限集合，注册代码申明集合，广告集合，系统函数符号集合，用户定义符号集合，代码hash集合，构成了一个大集合。\n[0023]应用篡改识别模块103还用于遍历其它安全状态为非白的应用，进行对每个属性的集合的差异比对，对单列和所有列的差异比对可以采用各种差异比对，匹配识别的算法，包括聚类，分类算法，各种人工智能算法，统计算法，模糊识别算法等等。若发现出现差异，某列的集合中出现信息差异，则判定为发现篡改，若包含，则判定为未发现篡改。\n[0024]进一步，可以将判断为没有被篡改的应用程序可进一步经过检测分析处理如果无威胁则可将安全状态设为白，则此应用程序的各项信息可继续被基准信息集合使用对未知应用程序的识别做贡献；\n[0025]如图2所示，为本发明手机应用篡改识别方法流程图，包括:\n[0026] S201、对所有手机应用程序进行静态分析和识别处理，获取所述应用程序的各项信息；\n[0027] S202、对名称相同而hash值不同的应用程序文件的各项信息进行汇聚；\n[0028] S203、对所有安全状态为白的应用程序的各项信息进行聚合得到的所述基准信息集合；\n[0029] S204、遍历安全状态为非白的手机应用程序的各项信息集合，与基准信息集合中包含的各项信息集合进行差异比对；\n[0030]若所述安全状态为非白的应用程序文件的各项信息的集合的信息都包含在基准信息集合中，则判断所述应用程序没有被篡改;否则判断所述应用程序文件被篡改。\n[0031]对名称相同而hash值不同的应用程序文件的各项信息进行汇聚之后还包括，\n[0032]步骤S204之后还包括S205:输出所有识别出的被篡改的应用程序的结果信息。\n[0033]步骤S204之后还包括:将判断为没有被篡改的应用程序可进一步经过检测分析处理如果无威胁则可将安全状态设为白。\n[0034]如图3所示，显示了本发明一种手机应用篡改识别装置，包括:\n[0035]分析单元301，用于对手机中的应用程序进行静态分析和识别处理，获取所述应用程序的各项信息；\n[0036]比对单元302，用于对所述各项信息进行汇聚形成各项信息集合，与基准信息集合数据库中包含的各项信息集合进行差异比对;若所述应用程序文件的各项信息的集合的信息都包含在基准信息集合中，则判断所述应用程序没有被篡改；否则判断所述应用程序文件被篡改;所述基准信息集合数据库中包含安全状态为白的应用程序的各项信息集合；\n[0037]提示单元303，反馈所述被篡改应用程序中的不包含在基准信息集合中的差异信息。\n[0038]本装置除了将所有单元放置于本地系统之外，还有变形的实现方式，将所述基准信息集合数据库存储于云端服务器，所述比对单元将所述各项信息进行汇聚形成各项信息集合并上传到云端，与基准信息集合数据库中包含的各项信息集合进行差异比对。\n[0039]虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。