CN113805894A - 一种异常apk的识别方法、电子设备及可读存储介质 - Google Patents

Abstract

本发明公开了一种异常APK的识别方法、电子设备及可读存储介质，方法包括如下步骤：通过目标APK对于的语法树中提取目标列表，并与样本列表进行对比，当目标列表的层级数与样本列表的层级数一致时，得到编辑距离生成目标APK文件的相似度T，当目标列表的层级数与样本列表的层级数不一致时，需要对无法一一对应的层级进行设定编辑距离和编辑距离对应的权重值，进而基于设定的编辑距离和计算得到的编辑距离生成目标APK文件的相似度T，判断出目标APK是否为异常APK，本发明能够通过静态解析得到APK对应的代码包达到识别异常APK，避免异常APK的遗漏，同时，根据目标列表和样本列表之间层级数对应的的编辑距离，提高了识别异常APK的准确性和用户的使用安全性。

Description

一种异常APK的识别方法、电子设备及可读存储介质

技术领域

本发明涉及APK文件技术领域，特别涉及一种异常APK的识别方法、电子设备及可读存储介质。

背景技术

目前，安卓平台中针对安卓安装包(AndroidPackage，简称APK)具有很多的类型，其中异常类型的APK会对于用户产生负面效果，例如，泄漏用户信息或者***异常插件等。

在现有的技术中，对于设备安装的APK列表中，无法判断某些APK属于异常类型的APK，会导致用户在使用设备过程中进行安装，对于用户产生负面效果，同时也会因APK会因APK自身的加密等方法无法识别出属于异常类型，进而，也对于用户产生负面效果，影响到用户的使用安全。

发明内容

为了解决现有技术的问题，通过目标APK对于的语法树中提取目标列表，并与样本列表进行对比，当目标列表的层级数与样本列表的层级数一致时，得到编辑距离生成目标APK文件的相似度T，当目标列表的层级数与样本列表的层级数不一致时，需要对无法一一对应的层级的编辑距离和编辑距离对应的权重值进行设定，进而基于设定的编辑距离和计算得到的编辑距离生成目标APK文件的相似度T，判断出目标APK是否为异常APK，能够通过静态解析得到APK的代码包，并基于代码包中信息判断是否为异常APK，实现对APK的识别，避免无法识别而导致的异常APK确定，目标列表的层级数和样本列表的层级数中每层的编辑距离，提高了识别异常APK的准确性和用户的使用安全性；本发明实施例提供了一种异常APK的识别方法、电子设备及可读存储介质。所述技术方案如下：

一方面，一种异常APK的识别方法，所述方法包括如下步骤：

S101、获取目标APK对应的目标列表A＝(A₁，A₂，A₃，……，A_m)，其中，A_i是指目标语法树的第i个层级对应的目标字符串，i＝1……m，m为目标语法树的层级数；

S103、根据A和样本APK列表C＝(C₁，C₂，……，C_r)，得到相似度列表T，C_g是指第g个样本APK，g＝1……r，r为样本APK数量，其中，S103还包括如下步骤：

S1031、获取C_g对应的样本列表B＝(B₁，B₂，B₃，……，B_n)，其中，B_j是指样本语法树的第i个层级对应的样本字符串，j＝1……n，n为样本语法树的层级数；

S1033、将m与n进行对比，得到目标编辑距离列表L＝(L₁，L₂，L₃，……，L_x)，具体如下步骤：

当m＜n时，遍历A和B得到第一编辑距离Li且***至L中，L_i是指A_i变换成相同层级的B_i的距离；

将L_x至L_m均设置为第一固定值且***至L中，其中x＝n；

当m＝n时，遍历A和B得到第二编辑距离L_z且***至L中，L_z是指A_z变换成相同层级的B_z的距离，z＝1……x，x＝m＝n；

当m＞n时，遍历A和B得到第三编辑距离L_j且***至L中，L_i是指A_j变换成相同层级的B_j的距离；

将L_x至L_n均设置为第二固定值且***至L中，其中x＝m；

S1035、基于L，得到目标相似度T_g；

S105、遍历T且当任一T_g≥预设的相似度阈值时，确定所述目标APK为异常APK。

另一方面，一种电子设备，包括处理器和存储器，所述存储器中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由所述处理器加载并执行以实现如上述任一项所述异常APK的识别方法。

另一方面，一种计算机可读存储介质，所述计算机可读存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现如上述任一项所述异常APK的识别方法。

本发明提供的一种异常APK的识别方法、电子设备及可读存储介质，具有如下技术效果：

本发明通过APK进行反编译得到目标文件，并对目标文件进行处理得到目标文件的语法树，在目标文件的语法树中提获取目标列表，同理在样本数据库中得到样本列表，当目标列表的层级和样本列表的层级一致时计算得到相同层级对应的编辑距离和目标APK对应的相似度，当目标列表的层级和样本列表的层级不一致时，将相同层级的目标列表中代码包名集与样本列表中代码包名集进行对比，得到该层级的编辑距离和编辑距离列表，同时需要对无法一一对应的层级的编辑距离和编辑距离对应的权重值进行设定，进而基于全部的编辑距离和编辑距离对应的权重值，生成目标APK对应的相似度，进而确定目标APK是否为异常APK；可见，发明的技术方案中目标列表每层的代码包名集与相同层级的所述样本列表中代码包名集进行对比，避免加密APK无法识别，影响到异常APK确定，同时，通过相同层级的目标列表中每层的代码包名集和所述样本列表中代码包名集进行对比，得到的编辑距离和对应的权重值，能够提高异常APK的确定，进而保证了用户的使用安全性，而对于无法一一对应的层级采用设定值，完善确定标APK文件的相似度的编辑距离，提高计算相似度的准确性，进而提高异常APK的确定，保证了用户的使用安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种异常APK的识别方法的流程示意图；

图2是本发明实施例提供的S103步骤的流程示意图

图3是本发明实施例提供的目标列表的确定的流程示意图；

图4是本发明另一个实施例提供的一种异常APK的识别方法的流程示意。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或服务器不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

结合图1、图2和图3所示，本实施例一提供了一种异常APK的识别方法，所述方法包括如下步骤：

S101、获取目标列表A＝(A₁，A₂，A₃，……，A_m)，其中，A_i是指目标语法树的第i个层级对应的目标字符串，i＝1……m，m为目标语法树的层级数；其中，所述目标字符串为一个或者多个目标文件名称组合，所述目标文件名称为一段非中文字符串。

具体地，所述方法还包括如下方法得到A：

S201、对目标APK进行反编译处理，得到目标代码包，所述目标代码包包括多个目标文件；

S203、将所述目标代码包输入至语法树软件中，得到目标语法树，所述目标语法树是指以树状形式表示目标文件之间的引用关系的语法结构；

S205、由所述目标语法树的根节点至所述目标语法树的叶子节点对所述目标语法树进行遍历，得到A_i对应的目标文件列表(A_i1，A_i2，A_i3，……，A_ip)，A_iq是在第q个节点对应的目标文件名称，q＝1……p，p为节点数量；

S207、将A_i1至A_ip按照排列顺序进行合并处理，得到A_i且将A_i***A中。

具体的，所述目标文件是指含有编辑代码的文件。

具体地，所述A_i对应的目标文件列表按照预设的排列规则进行排列，优先地，所述预设的排列规则为英文字母的排序规则，例如，A_iq对应的首字母的排序值＞A_ip+1对应的首字母的排序值，或者A_ix对应的首字母的排序值＝A_iq+1对应的首字母的排序值时，确定A_iq对应的次字母的排序值是否＞A_iq+1对应的次字母的排序值，依次类推，能够便于相同层级中A_i和B_i进行对比计算出A_i对应的编辑距离，有利于确定目标APK是否与样本APK同源，进而对目标APK进行标记。

具体地，本领域技术人员可以采取任一方法对目标APK进行反编译处理，反编译过程在此不再赘述；优先地，对目标APK进行反编译处理采用为python反编译软件，能够便于得到具备名称的文件。

优先地，所述语法树软件为ANTLR软件，ANTLR软件为根据用户定义的语法规则将输入的文本处理为可视化的语法树的软件。

进一步为了有利于计算目标APK对应的相似度，通过目标语法树结构进而获取目标APK和样本APK之间的对比特征，一方面有利于计算目标APK的相似度，提高计算相似度的准确性，进而确定目标APK是否为异常APK；另一方面，对于确定目标APK是否与样本APK同源时避免其他因素的干扰，影响到判断结果。

S103、根据A和样本APK列表C＝(C₁，C₂，……，C_r)，得到相似度列表T，C_g是指第g个样本APK，g＝1……r，r为样本APK数量；其中，S103还包括如下步骤：

S1031、获取C_g对应的样本列表B＝(B₁，B₂，B₃，……，B_n)，其中，B_j是指样本语法树的第i个层级对应的样本字符串，j＝1……n，n为样本语法树的层级数；

S1033、将m与n进行对比，得到目标编辑距离列表L＝(L₁，L₂，L₃，……，L_x)，具体如下步骤：

当m＜n时，遍历A和B得到第一编辑距离L_i且***至L中，L_i是指A_i变换成相同层级的B_i的距离；

将L_x至L_m均设置为第一固定值且***至L中，其中x＝n；

当m＝n时，遍历A和B得到第二编辑距离Lz且***至L中，L_z是指A_z变换成相同层级的B_z的距离，z＝1……x，x＝m＝n；

当m＞n时，遍历A和B得到第三编辑距离L_j且***至L中，L_j是指A_j变换成相同层级的B_j的距离；

将L_x至L_n均设置为第二固定值且***至L中，其中x＝m；

S1035、基于L，得到目标相似度T_g；

具体地，B采用与S101中A相同的方法进行获取，在此不再赘述。

具体地，B对应的样本APK是指标记异常标识的APK，能够有利于与目标APK进行对比，才能确定目标APK是否为异常APK。

具体地，Bi对应的样本文件列表(B_i1，B_i2，B_i3，……，B_ip)与所述A_i对应的目标文件列表采取相同的排列规则进行排序，在此不再赘述。

具体地，L_i还符合如下条件：

B_ix是指A_ix对应的样本文件名称，F()为编辑距离函数

在一些实施例中，L_i还符合如下条件：

L_i＝F(A_i，B_i)，其中，F()为编辑距离函数，能够简化计算过程，提高了计算效率且未影响到相似度的计算。

进一步地，利用L_i能够反映出A_i到B_i之间的差异程度，进而可以根据L_i确定出A_i与B_i的相似度，避免其他因素的干扰，能够有利于识别异常APK。

具体地，m和n均为不小于3的整数。

具体地，所述第一固定值小于所述第二固定值，可以理解为：在L_x至L_n中，由于任一目标编辑距离对应的所述目标语法树的层级无叶子节点，即A的该层级无目标信息，无法计算相同层级的编辑距离，导致因缺少对应层级的编辑距离影响相似度的计算，因此对目标语法树的该层级对应的编辑距离设定为第一固定值，优先地所述第一固定值为1，能够避免因缺少对应层级的编辑距离导致相似度的计算，进而影响到目标APK的判断；同理，所述第二固定值为100，能够避免因缺少对应层级的编辑距离导致相似度的计算，进而影响到目标APK的判断。

在一个具体的实施例中，L_j和L_z与L_i符合相同条件，在此不再赘述。

S105、遍历T且当任一T_g≥预设的相似度阈值时，确定所述目标APK为异常APK。

在一个具体实施例中，T_g基于根据L和L对应的权重列表W＝(W₁，W₂，W₃，……，W_x)进行确定；

具体地，当m＜n时，T_g符合如下条件：

其中，W_i为L_i对应的权重值。

具体地，当m＝n时，T_g符合如下条件：

其中，W_z为L_z对应的权重值。

当m＞n时，T_g符合如下条件：

其中，W_j为L_j对应的权重值。

具体地，W₁≥W₂≥W₃≥……≥W_x且当m＜n时x＝n，或当m＞n时x＝m；优选地，W₁＞W₂＞W₃＞……＞W_x，能够根据目标语法树或者样本语法中层级自上向下的顺序，不断增加权重值的比例，能够相对于全部权重值一致的情况，提高了计算目标APK与样本APK的相似度的准确性，避免将统一的权重值，有利于确定目标APK是否与样本APK同源，进而对目标APK进行标记。

具体地，所述预设的相似度阈值可以根据目标语法树的层级数量或者样本语法树的层级数量进行调整，即当m＜n时根据样本语法树的层级数量进行调整且当m＞n时根据目标语法树的层级数量进行调整，例如，层级数量越多，将所述预设的相似度阈值进行增加；能够避免层级数的影响，有利于确定目标APK是否与样本APK同源，识别出目标APK。

在一个具体的实施例中，如图4所示，所述方法还包括如下：S107，遍历T且确定出T中最大目标相似度对应的样本APK，以使得在所述目标APK上标记所述样本APK对应的异常标识且存储至所述样本APK对应的样本数据库中，能够增加样本数据库的数量，有利于其他目标APK进行对比，保证了确定目标APK的准确性，避免异常APK的遗漏，影响到用户的使用安全。

本实施例一提供了一种异常APK的识别方法，一方面，当目标列表的层级和样本列表的层级一致时计算得到相同层级对应的编辑距离和目标APK对应的相似度，进而确定目标APK是否为异常APK，同时，针对目标APK对应的目标语法树的层级与样本APK对应的样本语法树的层级不等的情况，能够避免出现两种层级不一致影响相似度计算准确性，提高了识别异常APK的准确性，保证了用户使用的安全性，另一方面能够避免对于加密APK无法确定是否为异常APK，导致异常APK的遗漏；同时，对于只需要通过APK反编译后的文件进行确定是否为异常APK，简化了识别异常APK的过程，也避免其他因素的干扰，影响到识别异常APK的准确性，提高了识别异常APK的准确性，保证了用户使用的安全性。

实施例二

实施例二与实施例的区别在于：W₁＞W₂＞……＞W_s≥K且所述W_s+1……W_m＝K，优先地，K＝1，经过大量实验能够证实当目标APK和样本APK具有相同的前三层级即S＝3，目标APK和样本APK相似度的概率较大，一方面能够简化目标APK和样本APK之间的计算过程，提高了计算目标APK与样本APK的相似度的准确性；另一方面，也避免将统一的权重值，有利于确定目标APK是否与样本APK同源，进而对目标APK进行标记。

具体地，本实施例其他步骤与实施例一中S101至S107一致，在此不再赘述。

本发明的实施例还提供了一种电子设备，包括处理器和存储器，所述存储器中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由所述处理器加载并执行以实现如上述的异常APK的识别方法。

本发明实施例的计算机设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MiD和UMPC设备等，例如tPad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、***总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子装置。

本发明的实施例还提供了一种计算机可读存储介质，所述存储介质可设置于电子设备之中以保存用于实现方法实施例中一种异常APK的识别方法相关的至少一条指令或至少一段程序，该至少一条指令或该至少一段程序由该处理器加载并执行以实现上述方法实施例提供的异常APK的识别方法。

可选地，在本实施例中，上述存储介质可以位于计算机网络的多个网络服务器中的至少一个网络服务器。可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种异常APK的识别方法，其特征在于，所述方法包括如下步骤：

S101、获取目标APK对应的目标列表A＝(A₁，A₂，A₃，……，A_m)，其中，A_i是指目标语法树的第i个层级对应的目标字符串，i＝1……m，m为目标语法树的层级数；

S103、根据A和样本APK列表C＝(C₁，C₂，……，C_r)，得到相似度列表T，C_g是指第g个样本APK，g＝1……r，r为样本APK数量，其中，S103还包括如下步骤：

S1031、获取C_g对应的样本列表B＝(B₁，B₂，B₃，……，B_n)，其中，B_j是指样本语法树的第i个层级对应的样本字符串，j＝1……n，n为样本语法树的层级数；

S1033、将m与n进行对比，得到目标编辑距离列表L＝(L₁，L₂，L₃，……，L_x)，具体如下步骤：

当m＜n时，遍历A和B得到第一编辑距离Li且***至L中，L_i是指A_i变换成相同层级的B_i的距离；

将L_x至L_m均设置为第一固定值且***至L中，其中x＝n；

当m＝n时，遍历A和B得到第二编辑距离L_z且***至L中，L_z是指A_z变换成相同层级的B_z的距离，z＝1……x，x＝m＝n；

当m＞n时，遍历A和B得到第三编辑距离L_j且***至L中，L_i是指A_j变换成相同层级的B_j的距离；

将L_x至L_n均设置为第二固定值且***至L中，其中x＝m；

S1035、基于L，得到目标相似度T_g；

S105、遍历T且当任一T_g≥预设的相似度阈值时，确定所述目标APK为异常APK。

2.根据权利要求1所述的一种异常APK的识别方法，其特征在于，所述目标字符串为一个或者多个目标文件名称组合，所述目标文件名称为一段非中文字符串。

3.根据权利要求1所述的一种异常APK的识别方法，其特征在于，所述方法还包括如下方法得到A：

S201、对目标APK进行反编译处理，得到目标代码包，所述目标代码包包括多个目标文件；

S203、将所述目标代码包输入至语法树软件中，得到目标语法树，所述目标语法树是指以树状形式表示目标文件之间的引用关系的语法结构；

S205、由所述目标语法树的根节点至所述目标语法树的叶子节点对所述目标语法树进行遍历，得到A_i对应的目标文件列表(A_i1，A_i2，A_i3，……，A_ip)，A_iq是在第q个节点对应的目标文件名称，q＝1……p，p为节点数量；

S207、将A_i1至A_ip按照排列顺序进行合并处理，得到A_i且将A_i***A中。

4.根据权利要求3所述的一种异常APK的识别方法，其特征在于，所述目标文件是指含有编辑代码的文件。

5.根据权利要求1所述的一种异常APK的识别方法，其特征在于，m和n均为不小于3的整数。

6.根据权利要求1所述的一种异常APK的识别方法，其特征在于，所述样本APK是指标记异常标识的APK。

7.根据权利要求1所述的一种异常APK的识别方法，其特征在于，所述第一固定值小于所述第二固定值。

8.根据权利要求1所述的一种异常APK的识别方法，其特征在于，所述方法还包括如下：

S107，遍历T且确定出T中最大目标相似度对应的样本APK，以使得在所述目标APK上标记所述样本APK对应的异常标识且存储至所述样本APK对应的样本数据库中。

9.一种电子设备，其特征在于，包括处理器和存储器，所述存储器中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由所述处理器加载并执行以实现如权利要求1～8中任一项所述的异常APK的识别方法。

10.一种计算机可读存储介质，所述计算机可读存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现如权利要求1～8任一项所述的异常APK的识别方法。

Images