CN105099991A

CN105099991A - 在移动终端中抓取网络数据包的方法及装置

Info

Publication number: CN105099991A
Application number: CN201410175709.5A
Authority: CN
Inventors: 陈杰
Original assignee: Beijing Qihoo Technology Co Ltd; Qizhi Software Beijing Co Ltd
Current assignee: Beijing Qihoo Technology Co Ltd
Priority date: 2014-04-28
Filing date: 2014-04-28
Publication date: 2015-11-25
Anticipated expiration: 2034-04-28
Also published as: CN105099991B; WO2015165375A1

Abstract

本发明公开了一种在移动终端中抓取网络数据包的方法及装置，其中所述方法包括：通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；其中，所述用于发送网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要发送网络数据时，均需调用该函数；当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包。通过该方法可以有效的提取应用程序所发送的网络数据，对于多种程序都具有广泛的适用性。

Description

在移动终端中抓取网络数据包的方法及装置

技术领域

本发明涉及移动终端技术领域，具体涉及在移动终端中抓取网络数据包的方法及装置。

背景技术

为了便于应用，大多移动终端设备中会搭载相对大型的操作***，操作***负责管理移动终端设备的软硬件资源，控制其他程序的运行，并为其他程序的运行提供服务和支持。在操作***之上用户可以安装各种功能丰富的软件应用，这些软件应用涉及到人们工作娱乐等等方面。在用户安装的软件应用中，不乏对运行环境要求较高的应用，诸如网络银行，一旦敏感的用户信息被恶意程序盗取，就可能会给用户带来损失；另外还有一些应用，可能会处于某种原因，在用户不知情的情况下，将终端设备中的一些用户数据上传到自己的服务器，等等。因此在移动终端设备上，还常常需要采取一定的安全措施，其中，在移动终端上对应用程序收发的数据包进行监控，并对收发的数据包进行安全性分析判断，在发现其中包含用户的敏感数据时，进行拦截或者向用户进行提示，便是其中的一种措施。在此过程中，如何抓取到应用收发的数据包是一个关键的问题。

对于一些使用http等传统的传输协议进行数据传输的情况而言，一般直接监控应用自身的收发数据事件，即可抓取到其收发的数据包。但是，对于https等传输协议而言，由于在传输数据包的过程中对数据包进行加密处理，因此，采用传统的方式对应用的收发事件进行监控时，抓取到的数据包往往是无法直接进行分析操作的。为此，现有技术中出现了一些网络数据监控工具，这些工具在抓取https数据包时，一般需要模拟成应用的客户端，如果应用或网站需要对数据进行加密，还需要提前获取和安装应用或者网站的证书，然后利用获取到的证书与服务器端进行通信，从中抓取到应用上传或者接收到的数据包。

这种方式虽然能够抓取到https数据包，但是往往只能针对特定的应用，例如某监控工具只能够对一款浏览器软件实现数据收发监控，对于层出不穷的移动终端应用，这种数据收发的监控工具或方式缺乏普遍的适用性，无法满足数据安全的需求。此外，对于建立在加密的安全连接上的收据收发，这种抓取数据包的方式还需要在终端设备上安装对应的安全证书，才能够实现有效的安全监控，在无法获取安全证书的情况下，这种技术手段则仍然无法实现对移动终端所收发的数据包进行有效的抓取。

因此，如何更方便有效地抓取移动终端设备上收发的数据包，是迫切需要本领域技术人员解决的技术问题。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的在移动终端中抓取网络数据包的方法和相应的在移动终端中抓取网络数据包的装置。

依据本发明的一个方面，提供了在移动终端中抓取网络数据包的方法，包括：

通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；其中，所述用于发送网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要发送网络数据时，均需调用该函数；

当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包。

可选地，所述从该事件中提取的待发送的数据包为应用程序执行加密操作前的数据包。

可选地，当所述操作***为iOS***时，所述用于发送网络数据的函数包括sslread函数。

可选地，还包括：

对提取到的待发送数据包进行合法性分析；

如果判定出所述数据包中包括用户敏感数据，则进行拦截或者向用户发送提示信息。

可选地，还包括：

通过钩挂移动终端设备中用于接收网络数据的函数，对移动终端设备中应用程序的接收网络数据的事件进行监控；其中，所述用于接收网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要接收网络数据时，均需调用该函数；

当监控到所述接收网络数据的事件时，对该接收网络数据的事件进行拦截，并从该事件中提取接收到的数据包。

可选地，所述从该事件中提取的接收到的数据包为应用执行解密操作后的数据包。

可选地，当所述操作***为iOS***时，所述用于接收网络数据的函数包括sslwrite函数。

根据本发明的另一方面，提供了在移动终端中抓取网络数据包的装置，包括：

监控单元，用于通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；其中，所述用于发送网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要发送网络数据时，均需调用该函数；

数据提取单元，用于当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包。

可选地，还包括

数据分析单元，用于对提取到的待发送数据包进行合法性分析；

数据拦截单元，用于如果判定出所述数据包中包括用户敏感数据，则进行拦截或者向用户发送提示信息。

根据本发明的在移动终端中抓取网络数据包的方法，可以通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；进而，当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包，从应用程序发送网络数据的事件中可以有效的提取应用程序所发送的数据，并且，由于应用程序在发送网络数据时，常常需要调用收监控的统一的接口函数，从而本方法相对于现有技术，对于多种程序都具有广泛的适用性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的在移动终端中抓取网络数据包的方法的流程图；以及，

图2示出了根据本发明一个实施例的在移动终端中抓取网络数据包的装置的示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

请参看图1，为根据发明一个实施例的在移动终端中抓取网络数据包的方法的流程图，如图所示，该在移动终端中抓取网络数据包的方法包括以下步骤：

S110：通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；其中，所述用于发送网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要发送网络数据时，均需调用该函数；

在移动终端设备中，通常安装了相对复杂的操作***，为上层的应用程序提供支持。移动终端设备中的应用程序如果需要连接网络并通过网络收发数据，通常需要调用操作***提供的接口。首先可以通过钩挂移动终端设备中用于收发网络数据的函数，对移动终端设备中应用程序收发网络数据的事件进行监控。通常，移动终端设备本地的应用程序要发送数据到特定的网络地址，需要调用移动终端设备中用于发送网络数据的函数，同样，在一些恶意程序需要发送用户的敏感数据时，也需要调用移动终端设备中的用于发送网络数据的函数，将本地的数据发送出去。因此，在本发明实施例提供的方法中，主要可以通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控，来获知应用程序发送网络数据的事件。

其中，用于用于发送网络数据的函数包括移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要发送网络数据时，均需调用的函数。例如，在苹果公司生产的移动终端设备中，所安装的操作***为iOS，在iOS操作***中，应用程序如果需要发起加密连接，并向外发送数据时，需要调用iOS操作***中提供的sslread函数。此时，可以通过钩挂搭载iOS操作***的移动终端设备中的该函数，实现对其中运行的应用程序的发送网络数据的事件的监控。

此外，恶意应用程序还可以通过接收网络数据，实现接收黑客指令，下载恶意程序等恶意行为，因此除了监控对恶意应用程序发送本地敏感数据外，，在本发明实施例提供的方法中，除了监控可能上传本地数据的发送网络数据的函数的调用事件，还可以对本地应用程序接收网络数据的事件进行监控，具体实现时，可以通过钩挂移动终端设备中用于接收网络数据的函数，对移动终端设备中应用程序的接收网络数据的事件进行监控；其中，用于接收网络数据的函数包括移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要接收网络数据时，均需调用该函数。例如搭载iOS操作***的移动终端中，本地应用程序如果需要接受网络数据，需要调用sslwrite函数，可以通过钩挂该函数，实现对移动终端设备中应用程序的接收网络数据的事件的监控。

S120：当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包。

当监控到本地应用程序触发的发送网络数据的事件后，可以拦截应用程序发送的网络数据，进一步的，可以从该事件中提取出待发送到数据包，对应用程序发送的数据进行分析，确定其安全性，或者确定其是否为用户的敏感数据。如前所述，在移动终端设备上的应用程序发送数据时，可以是基于加密连接的加密传输，要实现对这种数据传输中的数据捕获，如果不具备相应的解密手段，比如解密密钥或者证书，就很难实现进一步的数据分析，此时就需要在监控到移动终端设备中应用程序的发送网络数据的事件时，在应用程序对其所要发送到数据进行加密前，从函数调用事件中提取到待发送的未加密的数据包。具体实现时，可以利用钩挂机制，对应用程序所调用的操作***的发送接口函数进行钩挂，这样，在应用程序调用操作***的发送接口函数时，就可以在应用程序调用发送数据的***接口函数时，获取应用程序向***函数传送的参数，在参数中有代表应用程序所要发送或接收的数据的函数参数，可以将此函数参数提取出来，从而实现对应用程序所要发送的数据包的获取。并且在这个过程中，所获取到的代表发送/接收数据的函数参数，是未经过加密的数据，便于实现后续的数据安全性分析。

如前所述，应用程序的恶意行为，除了发送用户的敏感数据，还可以有接收黑客指令，下载恶意程序等恶意行为，因此，还可以对应用程序接收网络数据的事件进行监控，以及对事件中应用程序所接收的数据包进行获取。具体的实现方式也可以是利用钩挂机制，对应用程序所调用的操作***的接收接口函数进行钩挂。在数据包被加密的情况下，在提取数据时，可以在执行解密操作后再提取其中的数据，对应的，从接收网络数据的事件中提取的数据包为应用执行解密操作后的数据包。

例如在iOS操作***中可以分别对应用程序收发数据时调用的接口函数，sslread以及sslwrite进行钩挂，实现钩挂的函数原型可以如下：

MSHookFunction((void*)SSLWrite,(void*)_hook_SSLWrite,(void**)&_real_SSLWrite)；

MSHookFunction((void*)SSLRead,(void*)_hook_SSLRead,(void**)&_real_SSLRead)；

通过实现上述钩挂函数，可以在钩挂函数的代码中获取应用程序所要收发的数据。

在实现了对应用程序发送以及接收网络数据的事件的监控，以及对所有收发的数据包的获取后，可以进一步的对提取到的待发送数据包，或者待接收的数据包进行合法性分析；如果判定发送数据包中包括用户敏感数据，或者接收到数据为远程操控的恶意指令，或者下载恶意程序等行为等等，则进行拦截或者向用户发送提示信息，以提醒用户采取进一步的安全措施。

以上对本发明实施例提供的在移动终端中抓取网络数据包的方法进行了详细的介绍，通过该方法，可以通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；进而，当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包，从应用程序发送网络数据的事件中可以有效的提取应用程序所发送的数据，并且，由于应用程序在发送网络数据时，常常需要调用收监控的统一的接口函数，从而本方法相对于现有技术具有更加广泛的适用性。

与本发明实施例提供的在移动终端中抓取网络数据包的方法相对应，还提供了在移动终端中抓取网络数据包的装置，请参看图2，为根据本发明一个实施例的在移动终端中抓取网络数据包的装置的示意图，如图所示，该装置可以包括：

监控单元210，用于通过钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控；其中，用于发送网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要发送网络数据时，均需调用该函数；

数据提取单元220，用于当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包。

其中，从发送网络数据的事件中提取的待发送的数据包可以是应用程序执行加密操作前的数据包。当移动终端设备所搭载的操作***为iOS***时，所钩挂的函数可以是用于发送网络数据的sslread函数。

在另一种实现方式下，该在移动终端中抓取网络数据包的装置还可以包括：

当用于获取移动终端中应用程序接收的数据时，监控单元210还可以用于，通过钩挂移动终端设备中用于接收网络数据的函数，对移动终端设备中应用程序的接收网络数据的事件进行监控；其中，用于接收网络数据的函数为移动终端设备的操作***提供的统一的接口函数，移动终端设备中安装的各个应用在需要接收网络数据时，均需调用该函数；

当监控到接收网络数据的事件时，对该接收网络数据的事件进行拦截，并从该事件中提取接收到的数据包。

其中，如果是基于加密连接的数据传输，对应的从接收数据的事件中提取的接收到的数据包为应用执行解密操作后的数据包。当移动终端设备所搭载的操作***为iOS***时，所钩挂的数据接收函数可以是用于接收网络数据的sslwrite函数。

以上对本发明实施例提供的在移动终端中抓取网络数据包的装置进行了介绍，通过该装置，可以利用钩挂移动终端设备中用于发送网络数据的函数，对移动终端设备中应用程序的发送网络数据的事件进行监控。进而，当监控到所述发送网络数据的事件时，对该发送网络数据的事件进行拦截，并从该事件中提取待发送的数据包，从应用程序发送网络数据的事件中可以有效的提取应用程序所发送的数据，并且，由于应用程序在发送网络数据时，常常需要调用收监控的统一的接口函数，相对于现有技术具有更加广泛的适用性。

在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述，构造这类***所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的在移动终端中抓取网络数据包的装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本申请可以应用于计算机***/服务器，其可与众多其它通用或专用计算***环境或配置一起操作。适于与计算机***/服务器一起使用的众所周知的计算***、环境和/或配置的例子包括但不限于：个人计算机***、服务器计算机***、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的***、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机***﹑大型计算机***和包括上述任何***的分布式云计算技术环境，等等。

计算机***/服务器可以在由计算机***执行的计算机***可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机***/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算***存储介质上。

本发明还提供了A1、一种在移动终端中抓取网络数据包的方法，包括：

A2、如A1所述的方法，所述从该事件中提取的待发送的数据包为应用程序执行加密操作前的数据包。

A3、如A1所述的方法，当所述操作***为iOS***时，所述用于发送网络数据的函数包括sslread函数。

A4、如A1至A3任一项所述的方法，还包括：

对提取到的待发送数据包进行合法性分析；

A5、如A1至A3任一项所述的方法，还包括：

A6、如A5所述的方法，所述从该事件中提取的接收到的数据包为应用执行解密操作后的数据包。

A7、如A5所述的方法，当所述操作***为iOS***时，所述用于接收网络数据的函数包括sslwrite函数。

B8、一种在移动终端中抓取网络数据包的装置，包括：

B9、如B8所述的装置，所述从该事件中提取的待发送的数据包为应用程序执行加密操作前的数据包。

B10、如B8所述的装置，当所述操作***为iOS***时，所述用于发送网络数据的函数包括sslread函数。

B11、如B8至B10任一项所述的装置，还包括

B12、如B8至B10任一项所述的装置，所述监控单元还用于：

所述数据提取单元还用于：当监控到所述接收网络数据的事件时，对该接收网络数据的事件进行拦截，并从该事件中提取接收到的数据包。

B13、如B12所述的装置，所述从该事件中提取的接收到的数据包为应用执行解密操作后的数据包。

B14、如B12所述的装置，当所述操作***为iOS***时，所述用于接收网络数据的函数包括sslwrite函数。

Claims

1.一种在移动终端中抓取网络数据包的方法，包括：

2.如权利要求1所述的方法，所述从该事件中提取的待发送的数据包为应用程序执行加密操作前的数据包。

3.如权利要求1所述的方法，当所述操作***为iOS***时，所述用于发送网络数据的函数包括sslread函数。

4.如权利要求1至3任一项所述的方法，还包括：

对提取到的待发送数据包进行合法性分析；

5.如权利要求1至3任一项所述的方法，还包括：

6.如权利要求5所述的方法，所述从该事件中提取的接收到的数据包为应用执行解密操作后的数据包。

7.如权利要求5所述的方法，当所述操作***为iOS***时，所述用于接收网络数据的函数包括sslwrite函数。

8.一种在移动终端中抓取网络数据包的装置，包括：

9.如权利要求8所述的装置，所述从该事件中提取的待发送的数据包为应用程序执行加密操作前的数据包。

10.如权利要求8所述的装置，当所述操作***为iOS***时，所述用于发送网络数据的函数包括sslread函数。