CN103268444B - 一种基于插件加载的android恶意代码检测***及方法 - Google Patents

Abstract

本发明提供了一种基于插件加载的android恶意代码检测***及方法，包括：插件升级服务器存储恶意代码检测插件库，并获取更新请求，通过判断更新请求中的版本号与最新版本号生成插件更新包，并返回插件更新包获取的URL；移动终端恶意代码检测模块向插件升级服务器发送更新请求，并接收插件更新包获取的URL，获取插件更新包，遍历本地插件缓存文件夹获取所有插件；根据插件类型，选择插件调用接口，调用插件进行恶意代码检测。本发明的方法及***，利用了dexclassloader功能，实现了通过第三方dex文件，对恶意代码检测能力的扩展和更新。

Description

一种基于插件加载的android恶意代码检测***及方法

技术领域

本发明涉及移动终端恶意代码检测领域，特别涉及一种基于插件加载的android恶意代码检测***及方法。

背景技术

现有Android手机上的反病毒软件，通常都采用升级病毒库的方式来进行恶意代码检测和识别能力的提升，并提供对新出现的恶意代码进行检测和处理的能力。

从现有的Android手机上的反病毒软件本身在进行升级时和扩展恶意代码检测功能时，有如下的几种方法：一、通过更新病毒库来达到相应的效果；二、通过重新更新和安装apk来实现反病毒模块的更新和达到相应的效果。上述的两种升级方法，方法一无法对恶意代码检测模块和程序本身进行有效的更新和扩展，而方法二则需要消耗极高的代价，需要对整个安全应用程序进行更新和再次安装来达到更新的效果。

发明内容

本发明提供了一种基于插件加载的android恶意代码检测***及方法，通过调用插件，来进行恶意代码的检测，能够及时对恶意代码检测能力进行扩展，解决了现有需要更新整个应用程序才能够扩展检测能力的问题。

一种基于插件加载的android恶意代码检测***，包括：插件升级服务器和移动终端恶意代码检测模块；

所述插件升级服务器包括：

存储模块，用于存储恶意代码检测插件库；

通信模块，用于获取移动终端恶意代码检测模块的更新请求，并返回插件更新包的URL；

插件生成模块，用户判断更新请求中的版本号与最新版本号是否相同，如果是则结束更新，否则根据版本差异，生成插件更新包；

移动终端恶意代码检测模块包括：

更新模块，用于向插件升级服务器发送更新请求，并判断是否收到插件更新包获取的URL，如果是，获取插件更新包，否则直接执行检测模块；

检测模块，用于遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

所述的***中，所述恶意代码插件库中至少包括：插件版本号、插件名、插件文件存储地址和插件类型。

一种基于插件加载的android恶意代码检测方法，适用于上述***，包括：

插件升级服务器存储恶意代码检测插件库，并获取更新请求，判断更新请求中的版本号与最新版本号是否相同，如果是，则结束更新，否则生成插件更新包，并返回插件更新包获取的URL；

移动终端恶意代码检测模块向插件升级服务器发送更新请求，并判断是否收到插件更新包获取的URL，如果是，获取插件更新包，并遍历本地插件缓存文件夹获取所有插件，否则直接遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；

根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

所述的方法中，所述恶意代码检测插件库中至少包括：插件版本号、插件名、插件文件存储地址和插件类型。

一种基于插件加载的android恶意代码检测方法，适用于上述***中的移动终端恶意代码检测模块，包括：

移动终端恶意代码检测模块向插件升级服务器发送更新请求；

判断是否收到插件更新包获取的URL，如果是，获取插件更新包，并遍历本地插件缓存文件夹获取所有插件，否则直接遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；

根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

本发明的方法利用了android平台上的dexclassloader的功能，可以实现对dex文件进行加载，并导出其中定义的类和函数来达到调用非APK中的第三方dex函数的功能，因此本发明的***及方法，通过dex插件调用，实现了在恶意代码检测过程中，对恶意代码检测能力的扩展和更新。不仅实现了灵活和低成本的反病毒检测能力的扩展，还可以通过检测插件，实现细粒度的病毒检测和专杀功能。

本发明提供了一种基于插件加载的android恶意代码检测***及方法，包括：插件升级服务器存储恶意代码检测插件库，并获取更新请求，通过判断更新请求中的版本号与最新版本号生成插件更新包，并返回插件更新包获取的URL；移动终端恶意代码检测模块向插件升级服务器发送更新请求，并接收插件更新包获取的URL，获取插件更新包，遍历本地插件缓存文件夹获取所有插件；根据插件类型，选择插件调用接口，调用插件进行恶意代码检测。本发明的方法及***，利用了dexclassloader功能，实现了通过第三方dex文件，对恶意代码检测能力的扩展和更新。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种基于插件加载的android恶意代码检测***结构示意图；

图2为本发明一种基于插件加载的android恶意代码检测方法中插件服务器流程图；

图3为本发明一种基于插件加载的android恶意代码检测方法中移动终端恶意代码检测模块流程图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。

本发明提供了一种基于插件加载的android恶意代码检测***及方法，通过调用插件，来进行恶意代码的检测，能够及时对恶意代码检测能力进行扩展，解决了现有需要更新整个应用程序才能够扩展检测能力的问题。

一种基于插件加载的android恶意代码检测***，如图1所示，包括：插件升级服务器101和移动终端恶意代码检测模块102；

所述插件升级服务器101包括：

存储模块101-1，用于存储恶意代码检测插件库；

通信模块101-2，用于获取移动终端恶意代码检测模块的更新请求，并返回插件更新包的URL；

插件生成模块101-3，用户判断更新请求中的版本号与最新版本号是否相同，如果是则结束更新，否则根据版本差异，生成插件更新包；

移动终端恶意代码检测模块102包括：

更新模块102-1，用于向插件升级服务器发送更新请求，并判断是否收到插件更新包获取的URL，如果是，获取插件更新包，否则直接执行检测模块；

检测模块102-2，用于遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

所述的***中，所述恶意代码插件库中至少包括：插件版本号、插件名、插件文件存储地址和插件类型。

一种基于插件加载的android恶意代码检测方法，适用于权利要求1所述***，包括：

插件升级服务器流程图如图2所示：

S201：插件升级服务器存储恶意代码检测插件库，并获取更新请求；

S202：判断更新请求中的版本号与最新版本号是否相同，如果是，则结束更新，否则执行S203；

S203：生成插件更新包，并返回插件更新包获取的URL。

移动终端恶意代码检测模块流程图如图3所示：

S301：移动终端恶意代码检测模块向插件升级服务器发送更新请求；

S302：判断是否收到插件更新包获取的URL，如果是，则执行S303，否则执行S304；

S303：获取插件更新包；

S304：遍历本地插件缓存文件夹获取所有插件；

S305：根据插件类型，选择插件调用接口，调用插件进行恶意代码检测。

所述的方法中，所述恶意代码检测插件库中至少包括：插件版本号、插件名、插件文件存储地址和插件类型。

对恶意代码检测插件库可定义为：

struct

{

char*plugversion;

char*plugname;

char*plugfilepath;

intplugtype;

}MalDetectPlug;

struct

{

MalDetectPlug*iPlugArray;

intiPlugArrayLen;

char*iLatestPlugversion;

}MalDetectPlugDatabase；

其中MalDetectPlugDatabase为恶意代码检测插件库，MalDetectPlug为每个插件的信息，plugversion为当前插件版本号，plugname为当前插件名称，plugfilepath为当前插件文件的存储地址，plugtype为插件类型，所述插件类型至少包括

所述的方法中，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载。

所述的方法中，所述的插件类型至少包括检测型和专杀处置型。

检测型插件用于进行恶意代码检测，专杀处置型用于实现对特定恶意代码的清除和处置。通过Android官方提供的开发环境来进行编译和生成。对于检测型的插件需要调用onScanFile的接口，并反馈检出结果信息，对专杀处置型的插件，需要调用onKillFile接口，并反馈处置结果状态。

一种基于插件加载的android恶意代码检测方法，适用于上述***中的移动终端恶意代码检测模块，包括：

移动终端恶意代码检测模块向插件升级服务器发送更新请求；

判断是否收到插件更新包获取的URL，如果是，获取插件更新包，并遍历本地插件缓存文件夹获取所有插件，否则直接遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；

根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

本发明的方法利用了android平台上的dexclassloader的功能，可以实现对dex文件进行加载，并导出其中定义的类和函数来达到调用非APK中的第三方dex函数的功能，因此本发明的***及方法，通过dex插件调用，实现了在恶意代码检测过程中，对恶意代码检测能力的扩展和更新。不仅实现了灵活和低成本的反病毒检测能力的扩展，还可以通过检测插件，实现细粒度的病毒检测和专杀功能。

本发明提供了一种基于插件加载的android恶意代码检测***及方法，包括：插件升级服务器存储恶意代码检测插件库，并获取更新请求，通过判断更新请求中的版本号与最新版本号生成插件更新包，并返回插件更新包获取的URL；移动终端恶意代码检测模块向插件升级服务器发送更新请求，并接收插件更新包获取的URL，获取插件更新包，遍历本地插件缓存文件夹获取所有插件；根据插件类型，选择插件调用接口，调用插件进行恶意代码检测。本发明的方法及***，利用了dexclassloader功能，实现了通过第三方dex文件，对恶意代码检测能力的扩展和更新。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于***实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims (5)

1.一种基于插件加载的android恶意代码检测***，其特征在于，包括：插件升级服务器和移动终端恶意代码检测模块；

所述插件升级服务器包括：

存储模块，用于存储恶意代码检测插件库；

通信模块，用于获取移动终端恶意代码检测模块的更新请求，并返回插件更新包的URL；

插件生成模块，用户判断更新请求中的版本号与最新版本号是否相同，如果是则结束更新，否则根据版本差异，将需要更新的插件生成插件更新包；

移动终端恶意代码检测模块包括：

更新模块，用于向插件升级服务器发送更新请求，并判断是否收到插件更新包获取的URL，如果是，则获取插件更新包，否则直接执行检测模块；

检测模块，用于遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

2.如权利要求1所述的***，其特征在于，所述恶意代码插件库中至少包括：插件版本号、插件名、插件文件存储地址和插件类型。

3.一种基于插件加载的android恶意代码检测方法，适用于权利要求1所述***，其特征在于，包括：

插件升级服务器存储恶意代码检测插件库，并获取更新请求，判断更新请求中的版本号与最新版本号是否相同，如果是，则结束更新，否则生成插件更新包，并返回插件更新包获取的URL；

移动终端恶意代码检测模块向插件升级服务器发送更新请求，并判断是否收到插件更新包获取的URL，如果是，获取插件更新包，并遍历本地插件缓存文件夹获取所有插件，否则直接遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；

根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。

4.如权利要求3所述的方法，其特征在于，所述恶意代码检测插件库中至少包括：插件版本号、插件名、插件文件存储地址和插件类型。

5.一种基于插件加载的android恶意代码检测方法，适用于权利要求1所述***中的移动终端恶意代码检测模块，其特征在于，包括：

移动终端恶意代码检测模块向插件升级服务器发送更新请求；

判断是否收到插件更新包获取的URL，如果是，获取插件更新包，并遍历本地插件缓存文件夹获取所有插件，否则直接遍历本地插件缓存文件夹获取所有插件，所述的插件为dex格式文件，通过android平台上的dexclassloader功能实现对dex文件的加载；

根据插件类型，选择插件调用接口，调用插件进行恶意代码检测，所述的插件类型至少包括检测型和专杀处置型。