CN102236764B - 用于Android***的抵御桌面信息攻击的方法和监控*** - Google Patents

Abstract

本发明公开了一种用于Android***的抵御桌面信息攻击的方法和监控***，该方法包括：备份步骤，对存储桌面信息数据的数据库进行备份；数据监控步骤，进行监控以判断操作是否为疑似恶意攻击；判断步骤，当判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，结果处理步骤，当判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复。本发明的抵御桌面信息攻击的方法和监控***能够在第三方应用程序试图修改移动智能终端操作***的桌面图标等信息进行的不合理修改时进行提示预警，并在***开启的情况下能够主动抵御攻击并对已造成的恶意攻击进行恢复。

Description

用于Android***的抵御桌面信息攻击的方法和监控***

技术领域

本发明涉及智能终端***安全领域，具体涉及一种在Android***上的抵御桌面图标攻击的方法和监控***。

背景技术

随着信息技术的不断发展，尤其是近来各种移动智能终端的快速增长，对移动智能终端操作***的稳定性及安全性要求越来越高。

Android(商标)***是当今较为流行的移动智能终端操作***之一，是由OHA(Open Handset Alliance，开放手机联盟)合作开发的基于Linux内核的开源的移动智能终端操作***。本***采用软件叠层(Software Stack，又名软件堆层)架构，主要由以下几部分组成：底层是由Linux2.6提供的核心***服务，隐藏具体硬件细节，为上层统一提供服务；核心库和依赖于Linux底层的Dalvik虚拟机(Google公司开发的Java虚拟机)构成的AndroidRuntime；C/C++库的集合为上层提供相应服务；最上层为***框架层和应用层，由Java语言编写。

Android***是一个真正意义上为移动智能终端提供的开放和完整的操作***平台，既支持用户多渠道软件安装和使用，又为开发者免费提供操作***技术核心功能细节。Android***的完全开源性使其开发环境与传统移动终端***相比有着更大的灵活性和便捷性，但是与此同时，该***内也存在不少的安全隐患。

从2006年底至2007年初几个月时间，一种名为“熊猫烧香”(又名“武汉男生”)的病毒造成国内百万级个人计算机用户感染，造成50亿以上的直接经济损失。而此病毒原版的特征就是使电脑中的可执行文件会更改为“熊猫烧香”图案。

而类似“熊猫烧香”的病毒同样可能感染Android***。目前市场上已发布具备修改桌面个性化定制功能的软件发布。而此种软件的恶意使用就极可能导致桌面信息被恶意攻击。

在现有技术中，还没有一种有效方法来实现在Android***中对桌面信息的恶意攻击进行检测和防范。

发明内容

本发明要解决的技术问题是为了在Android手机***平台的源码不进行修改的情况下，提供一种桌面信息恶意攻击的抵御方法和***，它利用Android操作平台的数据监控模块，实现对于桌面信息数据是否被第三方应用程序恶意攻击进行检测并处理。

为了解决上述技术问题，本发明提供了一种在Android***上抵御桌面信息攻击的方法，其特征在于，包括：备份步骤，对所述Android***用来存储桌面信息数据的数据库进行备份；数据监控步骤，进行监控以判断对所述桌面信息数据进行修改的操作是否为疑似恶意攻击；判断步骤，当所述数据监控步骤判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，或者根据用户基于检测到疑似恶意攻击的提示所作出的确认信息来判断所述操作是否为恶意攻击；结果处理步骤，当所述判断步骤判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复。

优选地，所述数据监控步骤中，若所述操作的时间间隔低于预设时间，则判断所述操作是疑似恶意攻击。

优选地，所述判断步骤中，通过如下方式计算所述重复修改次数：将对图标名称数据和/或图标图像数据进行修改的修改操作进行记录，将修改操作的重复记录次数作为与该修改操作对应的重复修改次数。

优选地，若在所述判断步骤中判断为所述操作是恶意攻击时，提示用户检测到恶意攻击。

优选地，所述桌面数据信息包括桌面图标名称和桌面图标图像。

优选地，通过所述Android操作***的***类中提供的registerContentObserver()接口进行连接，对其中的onChange()函数进行方法覆盖，以进行所述备份及所述监控。

优选地，设置监控开关，通过所述监控开关来开启/关闭对桌面信息的监控。

本发明还提供了一种适用于Android***的抵御桌面信息攻击的监控***，其特征在于，包括：数据监控模块，用于对所述Android***用来存储桌面信息数据的数据库进行备份，进行监控以判断对所述桌面信息数据进行修改的操作是否为疑似恶意攻击；操作识别模块，用于当所述数据监控模块判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，或者由用户根据关于检测到疑似恶意攻击的提示来判断所述操作是否为恶意攻击；结果处理模块，用于当所述判断步骤判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复。

优选地，还包括：用户接口模块，用于发送开启监控桌面信息的请求到所述数据监控模块、以及用于发送关闭监控***信号到所述监控关闭模块；监控关闭模块，用于根据所述用户接口模块发送的关闭监控***信号，使得所述监控***停止运行。

优选地，在所述数据监控模块对存储桌面信息数据的数据库进行备份时，通过Android操作***的***类中提供的registerContentObserver()接口进行连接，对其中的onChange()函数进行方法覆盖以实现监控。

与现有技术相比，本发明具有以下优点：

本发明利用Android移动智能终端操作***中监控桌面信息的接口，在第三方应用程序试图修改移动智能终端操作***的桌面图标等信息进行的不合理修改时进行提示预警，并在***开启的情况下能够主动抵御攻击并对已造成的恶意攻击进行恢复。

此外，在第三方应用程序进行桌面信息的合法修改时能够实时地保存状态信息，这样能够为桌面信息提供安全可靠的备份数据，从而为恶意攻击发生时的恢复提供合理依据。在***关闭的情况下，对***桌面信息的修改不造成任何影响。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1是基于实施例一的在Android***上的抵御桌面信息攻击的方法的流程示意图；

图2是桌面信息数据存储文件中的表结构；

图3是基于实施例二的在Android***上的抵御桌面信息攻击的监控***的结构示意图。

图4是基于实施例二的在Android***上的抵御桌面信息攻击的监控***另一优选结构示意图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。需要说明的是，只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

另外，在附图的流程图示出的步骤可以在诸如一组可执行指令的智能移动终端中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

第一实施例

图1示出根据本实施例在Android***上的抵御桌面信息攻击的方法的流程示意图，下面参考图1来说明本实施例的各步骤。

步骤110：对Android操作***用来存储桌面信息数据的第一数据库进行备份。

优选地，在备份之前，执行初始化步骤：接受开启监控桌面信息的请求，连接监控组件和存储桌面信息的***数据库，注册监控组件。

Android***中的桌面信息数据存储在android.Launcher***级应用的数据库(下文称第一数据库)的favorite表中，在这一表中存储有桌面图标的位置、类型，图标源等字段信息。在接收到打开监控桌面信息的请求时，开启监控开关，优选地，将存储文件中的“开启/关闭***操作位”(Flag)置为1。存储文件中的表结构如图2所示，同时，进行数据监控的初始化，在存储空间建立新的空白的桌面信息数据库(下文称第二数据库)，该存储空间可以是本地存储器或外部扩展存储器，该第二数据库的数据库表字段与第一数据库中favorite表的字段基本相同，并在存储结构的“前次操作时间”(preTime)字段初始化为存储当前时间值。在连接第二数据库时，可以通过Android操作***的***类中提供的registerContentObserver()接口进行连接；并对其中的onChange()函数进行方法覆盖(重载)，以实现用以实现本实施例方法的监控接口。本操作需要获取应用层程序对第一数据库的操作权限，设置第一数据库的通用资源标志符URI以及use_permission(Android使用权限)。

步骤120，进行监控以判断对桌面信息数据进行修改的操作是否为疑似恶意攻击。

优选地，当存在使所述桌面信息数据发生更改的操作时，判断所述操作的时间间隔是否低于一个预设时间，若低于所述预设时间，则判断所述操作为疑似恶意攻击。

当第三方应用对桌面信息数据进行操作时，会调用change()函数。此时程序中实现的onChange()函数将监控到变更信息。程序将获取***操作时间，并将此时间与存储文件中的前次操作时间(通过SharedPreferences.Editor类中连接存储文件)进行对比，如果两个时间之间的差值低于合理时间(例如3ms)，则将该对桌面信息数据进行修改的操作判断为疑似恶意攻击，并在***中发送疑似恶意攻击信号。

优选地，可以由用户直接来进行疑似恶意攻击的判断，例如：提示用户检测到疑似恶意攻击，当用户根据已经掌握的信息或知识、有理由怀疑当前操作存在恶意攻击的可能时，可以直接由用户通过操作界面来发送疑似恶意攻击信号。

优选地，可以通过判断当前操作涉及的应用程序是否为不信任程序来判断是否为疑似恶意攻击。例如，判断应用程序的类型或名称是否处于不信任列表中。

步骤130：当数据监控步骤将该对桌面信息数据进行修改的操作判断为疑似恶意攻击时，根据该操作对该桌面信息数据的重复修改次数来判断该操作是否为恶意攻击，或者由用户根据关于检测到疑似恶意攻击的提示来判断该操作是否为恶意攻击。

用户主动对桌面图标进行的修改操作同样会对第一数据库进行更改，但根据用户的手动更改，会有一定的时间间隔，本实施例就根据这一原理提出了疑似恶意操作的判断，在不符合合理时间间隔的第一数据库操作的情况下就认为是第三方应用做出的更新操作。将此种更新操作作为恶意操作的前提，之后通过判断该操作是否为是桌面图标或图标名称等项目的重复修改，来识别该操作是否为恶意攻击。

接收到疑似恶意攻击信息后，***对在一定时间内的第一数据库更新的操作次数进行记录(如在1分钟内进行的5次操作)，对判定为非用户主动进行的第一数据库操作修改，对第一数据库中的title(图标名称)和icon(图标图像)数据进行记录，若记录项重复，判断该操作为第三方软件进行的恶意攻击，通过对话框或者通知等形式提示用户；对话框提示时将重复更新的图标图像及图标名称一同呈现到用户界面上。

优选地，可以由用户直接来进行是否为恶意攻击的判断：当接收到疑似恶意攻击的信息后，可以对用户进行提示，用户可以根据已经掌握的信息或知识，直接由用户通过操作界面来判断该操作是否为恶意攻击。

步骤140：当步骤130中判断为该操作是恶意攻击时，根据第二数据库中备份的信息对桌面信息数据进行恢复，优选地，可在预定时间内禁止对桌面信息数据进行更改。

第二数据库中备份的信息一般为恶意攻击之前的一个安全状态，因此对桌面信息数据进行恢复也就是将恶意攻击造成的结果恢复至前一个安全状态，并对接下来一段时间内禁止对桌面信息数据进行更改，当该操作为合法操作时，保存***当前的状态以允许桌面信息数据的更改。

具体的，接收到是否为恶意攻击的判断结果后，根据结果的不同对操作分为两种处理方式：

若为恶意攻击，则根据程序在外部存储空间内的第二数据库，对第一数据库中的favorite表进行覆盖操作：先将第一数据库全部清空，之后将第二数据库中的数据全部***，***方式可以利用Android***提供的接口：SQLitedatabase.insert，或通过执行sql语句；同时，需要将存储结构中的flag字段置为0，待操作完成后再次开启监控***，以防止造成监控***的无限循环。而对于favorite表中icon字段信息由于其数据结构的特殊性，需要通过bitmap对象重新转储后***，并将存储文件清空，重新对其初始化后对preTime字段的数据更新为本次操作数据的时间，设置监控开关为开启状态，开启监控第一数据库(Flag置为1)。在此之后的一段时间内(比如10分钟内)禁止对第一数据库的修改操作。

若判断为可合法操作，则执行第一数据库操作的相关的删除和***操作，在此之后对第二数据库进行重新备份：先将第二数据库清空，之后将第一数据库中的数据全部写入第二数据库中。对存储结构的操作与判断为恶意操作时相同。

优选地，还包括关闭监控***的步骤，释放监控组件和存储桌面信息的第一数据库的连接，注销***中的监控桌面信息的监控组件。本步骤允许了用户进行自主监控，以提供部分用户对***图标或名称统一的需求。接收到关闭监控***信号，***将监控开关设置为关闭，优选地，将存储文件中的Flag字段设置为0。

实施例二

图3示出根据本实施例在Android***上的抵御桌面信息攻击的监控***的结构示意图，下面参考图3来说明本实施例的各部分组成。

数据监控模块，用于对所述Android***用来存储桌面信息数据的数据库进行备份，进行监控以判断对所述桌面信息数据进行修改的操作是否为疑似恶意攻击。优选地，该模块也可以设置为，由用户直接来进行疑似恶意攻击的判断，例如：用户根据已经掌握的信息或知识，有理由怀疑当前操作存在恶意攻击的可能，可以直接由用户通过操作界面来发送疑似恶意攻击信号。优选地，该模块也可以设置为，通过判断当前操作涉及的应用程序为不信任程序来发出疑似恶意攻击信号，例如，判断应用程序的类型或名称是否处于不信任列表中。

操作识别模块，操作识别模块，用于当所述数据监控模块判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，或者由用户根据关于检测到疑似恶意攻击的提示来判断所述操作是否为恶意攻击。优选地，该模块也可以设置为，由用户直接来进行是否为恶意攻击的判断：当接收到疑似恶意攻击的信息后，可以对用户进行提示，用户可以根据已经掌握的信息或知识，直接由用户通过操作界面来判断该操作是否为恶意攻击。

结果处理模块，用于当所述判断步骤判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复，优选地，在预定时间内禁止对桌面信息数据进行更改。

优选地，如图4所示，本实施例的监控***还可以包括以下模块：

用户接口模块，用于发送开启监控桌面信息的请求到数据监控模块和发送关闭监控***信号到所述监控关闭模块，通过控制监控开关的开启或关闭来实现监控的开启或关闭，优选地，通过存储文件中的“开启/关闭***操作位”(Flag)设置为1或0来实现。

监控关闭模块，用于根据用户接口模块发送的关闭监控***信号，释放监控组件与***数据库之间的连接，注销监控桌面信息的监控组件。接收到关闭监控***信号，***将监控开关设置为关闭，优选地，将存储文件中的Flag字段设置为0。

本发明基于嵌入式操作***Android1.5作为***软件开发平台，按照设计思路进行了***模拟攻击实验，实验表明本发明能够抵御对桌面信息的攻击，并提示用户。

本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的移动智能终端装置来实现，它们可以集中在单个的移动智能终端装置上，或者分布在多个移动智能终端装置所组成的网络上，可选地，它们可以用移动智能终端装置可执行的程序代码(例如移动智能终端的操作***)来实现，从而，可以将它们存储在存储装置中由移动智能终端装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

虽然本发明所揭露的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (9)

1.一种用于Android***的抵御桌面信息攻击的方法，其特征在于，包括：

备份步骤，对所述Android***用来存储桌面信息数据的数据库进行备份；

数据监控步骤，进行监控以判断对所述桌面信息数据进行修改的操作是否为疑似恶意攻击，其中，若所述操作的时间间隔低于预设时间，则判断为所述操作是疑似恶意攻击；

判断步骤，当所述数据监控步骤判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，或者根据用户基于检测到疑似恶意攻击的提示所作出的确认信息来判断所述操作是否为恶意攻击；

结果处理步骤，当所述判断步骤判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复。

2.根据权利要求1所述的方法，其特征在于，

所述判断步骤中，通过如下方式计算所述重复修改次数：将对图标名称数据和/或图标图像数据进行修改的修改操作进行记录，将修改操作的重复记录次数作为与该修改操作对应的重复修改次数。

3.根据权利要求2所述的方法，其特征在于，

若在所述判断步骤中判断为所述操作是恶意攻击时，提示用户检测到恶意攻击。

4.根据权利要求1至2任一项所述的方法，其特征在于，所述桌面数据信息包括桌面图标名称和桌面图标图像。

5.根据权利要求1至3任一项所述的方法，其特征在于，

通过所述Android***的***类中提供的registerContentObserver()接口进行连接，对其中的onChange()函数进行覆盖，以进行所述备份及所述监控。

6.根据权利要求1至4任一项所述的方法，其特征在于，

设置监控开关，通过所述监控开关来开启/关闭对桌面信息的监控。

7.一种用于Android***的抵御桌面信息攻击的监控***，其特征在于，包括：

数据监控模块，用于对所述Android***用来存储桌面信息数据的数据库进行备份，进行监控以判断对所述桌面信息数据进行修改的操作是否为疑似恶意攻击，其中，若所述操作的时间间隔低于预设时间，则判断为所述操作是疑似恶意攻击；

操作识别模块，用于当所述数据监控模块判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，或者由用户根据关于检测到疑似恶意攻击的提示来判断所述操作是否为恶意攻击；

结果处理模块，用于当所述操作识别模块判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复。

8.根据权利要求7所述的监控***，其特征在于，还包括用户接口模块和监控关闭模块：

用户接口模块，用于发送开启监控桌面信息的请求到所述数据监控模块、以及用于发送关闭监控***信号到所述监控关闭模块；

监控关闭模块，用于根据所述用户接口模块发送的关闭监控***信号，使得所述监控***停止运行。

9.根据权利要求8或7所述的监控***，其特征在于，

在所述数据监控模块对存储桌面信息数据的数据库进行备份时，通过Android***的***类中提供的registerContentObserver()接口进行连接，对其中的onChange()函数进行方法覆盖以实现监控。

Images