WO2016015680A1 - 移动终端输入窗口的安全检测方法和安全检测装置 - Google Patents

移动终端输入窗口的安全检测方法和安全检测装置 Download PDF

Info

Publication number
WO2016015680A1
WO2016015680A1 PCT/CN2015/085802 CN2015085802W WO2016015680A1 WO 2016015680 A1 WO2016015680 A1 WO 2016015680A1 CN 2015085802 W CN2015085802 W CN 2015085802W WO 2016015680 A1 WO2016015680 A1 WO 2016015680A1
Authority
WO
WIPO (PCT)
Prior art keywords
window
feature information
security
mobile terminal
feature
Prior art date
Application number
PCT/CN2015/085802
Other languages
English (en)
French (fr)
Inventor
孟齐源
高祎玮
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Publication of WO2016015680A1 publication Critical patent/WO2016015680A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities

Definitions

  • the present invention relates to the field of Internet security, and in particular to a security detection method and a security detection apparatus for an input window of a mobile terminal.
  • the information security of mobile terminals involves the confidentiality of user information, the security of user funds and the security of payment information.
  • a common method is to use a static or dynamic feature of a mobile application software to match a preset feature database to identify a mobile application software for detection. It is a blacklist or a whitelist, where the whitelist refers to the list of normal applications that have been verified, and the blacklist refers to the list that has been confirmed as a malicious application.
  • the update speed of the existing preset feature library cannot meet the detection requirements of the newly appearing application, thereby causing some mobile applications that cannot be discriminated, thereby failing to achieve real-time effective protection of the mobile.
  • the purpose of the terminal's information security is to use a static or dynamic feature of a mobile application software to match a preset feature database to identify a mobile application software for detection. It is a blacklist or a whitelist, where the whitelist refers to the list of normal applications that have been verified, and the blacklist refers to the list that has been confirmed as a malicious application.
  • the present invention has been made in order to provide a security detecting apparatus for a mobile terminal input window that overcomes the above problems or at least partially solves the above problems, and a security detecting method of a corresponding mobile terminal input window.
  • a further object of the present invention is to make it possible to determine whether there is a security risk of stealing user information through the display window, and to ensure user information security.
  • Another further object of the present invention is to make full use of various elements of the display window for judgment to ensure the accuracy of the detection.
  • a security detection method based on a mobile terminal interface window comprises: determining a window to be inspected on the display interface of the mobile terminal; extracting feature information of at least one element in the window to be inspected; and performing feature matching on the feature information using the preset feature information database
  • the element matching result is determined; the security type of the to-be-checked window is determined according to the element matching result, wherein the feature information library pre-stores element feature information of the payment class software class window and/or element feature information of the window of the malicious sample.
  • a security detecting apparatus for a mobile terminal input window.
  • the security detecting device includes an interface monitoring module, and is adapted to determine that a window to be inspected is generated on the display interface of the mobile terminal; the feature information extracting module is adapted to extract feature information of at least one element in the window to be inspected; Feature matching is performed on the feature information in the preset feature information library, and the matching result of the element is obtained, and the security type of the to-be-checked window is determined according to the element matching result, wherein the feature information library pre-stores the elements of the payment-type software class window. Feature information and/or element feature information of a window of a malicious sample.
  • a computer program comprising computer readable code that, when executed on a computing device, causes the computing device to perform the above-described mobile terminal interface window based security Detection method.
  • a computer readable medium wherein the computer program described above is stored.
  • the security detection method of the input window of the mobile terminal of the present invention uses the to-be-checked window appearing on the display interface to perform matching of the window element features to determine whether the window to be inspected is disguised as a display window of the security application software, thereby preventing malicious programs from camouflaging through the window.
  • the method intercepts user information and improves user information security.
  • the security detection method of the input window of the mobile terminal of the present invention can be detected by using white sample feature matching and black sample feature matching, and can determine that the to-be-checked window is a security window, and can also determine that the to-be-checked window is a malicious window. Improve the accuracy of security testing.
  • FIG. 1 is a schematic block diagram of a security detecting apparatus of a mobile terminal input window according to an embodiment of the present invention
  • FIG. 2 is a diagram showing an application environment of a security detecting apparatus of a mobile terminal input window according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a security detection method based on a mobile terminal interface window according to an embodiment of the present invention
  • FIG. 4 is an optional flowchart of a security detection method based on a mobile terminal interface window according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of a to-be-checked window in a security detection method based on a mobile terminal interface window according to an embodiment of the present invention
  • FIG. 6 is a block diagram schematically showing a computing device for performing a mobile terminal interface window based security detection method in accordance with the present invention
  • Fig. 7 schematically shows a storage unit for holding or carrying program code implementing a mobile terminal interface window based security detection method according to the present invention.
  • the security detecting device 100 of the mobile terminal input window may generally include: an interface monitoring module 110, a feature information extracting module 120, and a feature matching module 130, and the components may be based on the function and environment of the security detecting device 100 of the mobile terminal input window.
  • Flexible configuration in some preferred embodiments, more functions can be achieved by adding components, and different technical effects are achieved.
  • the setting process scanning module 140 and the security prompt module 150 can also be added.
  • the feature matching module 130 is further added.
  • An optional structure includes a white sample matching sub-module 132, a black sample matching sub-module 134, and an information uploading sub-module 136.
  • the interface monitoring module 110 may be adapted to determine that a window to be inspected is generated on the display interface of the mobile terminal, and an optional process is to detect a process change in the mobile terminal. The determination process generates a new window on the mobile terminal display interface. Detecting processes in the mobile terminal can utilize the main defense technology to inject into the system process to obtain the process generation window.
  • the interface monitoring module 110 may use a window with an input box as a window to be inspected.
  • the feature information extraction module 120 extracts feature information of at least one element in the to-be-checked window.
  • the element of the element to-be-checked window of the general display window includes at least one of the following: an input box, a title bar, a label, a menu, an operation button, correspondingly, a feature.
  • the feature information extracted by the information extraction module 120 may include one or more of text content, location information, link address, and element type of the above elements.
  • the feature matching module 130 may perform feature matching on the feature information in the preset feature information library to obtain a matching result of the element, and determine a security type of the to-be-checked window according to the element matching result.
  • the feature information base pre-stores the feature information of the element of the payment class software class window and/or the element feature information of the window of the malicious sample.
  • the element feature information of the payment class software window pre-stored by the feature information library includes: payment type software
  • the element feature information of the login window, the element feature information of the account binding window of the payment software, and the element feature information of the payment window of the payment class software are used to match the feature information of the element of the payment class software class window as a white sample.
  • the element feature information of the window of the malicious sample may extract the feature of the element of the window of the reported malicious sample as the matching basis of the black sample.
  • the white sample matching sub-module 132 may extract the payment keyword included in the text content of the element in the to-be-checked window, determine the corresponding payment-type software according to the payment keyword, and select the feature information and the feature information library of the element of the to-be-checked window. The window element feature information of the corresponding payment software is compared. If the comparison result is consistent, the window to be checked is determined to be a security window.
  • the security detecting apparatus 100 of the mobile terminal input window of the present embodiment can perform normal operations without any intervention by the user.
  • the black sample matching sub-module 134 may match the feature information of the to-be-detected window with the element feature information of the window of the malicious sample in the feature information library, and if a match occurs, determine that the to-be-checked window is a malicious window. For malicious windows, if the user enters account information and other content, it may be intercepted, resulting in information leakage, so Report to the user and take the necessary action. For example, the prompt information corresponding to the security type is output on the mobile terminal display interface by the security prompt module 150.
  • the above information matching process may be performed on the terminal side, or may be matched in the cloud by using cloud technology.
  • the information uploading sub-module 136 is used to upload the feature information to the security analysis server, and the preset feature information preset in the security analysis server is utilized.
  • the library performs the process of matching the above information.
  • a specific configuration manner is that a database is preset on the terminal side and the network side for feature matching of window elements to be applicable to different usage environments.
  • the process scanning module 140 may perform a security scan on the process of generating the window to determine the sample type of the process; the scan result of the feature information extraction module 130 in the process scan module is any that the process does not belong to a known security process or a known dangerous process.
  • the step of extracting the feature information of at least one element in the window is performed. That is to say, the filtering is first performed by means of process detection, and the step of performing feature matching of the window elements is performed only when the process detection cannot determine the security.
  • the security detecting apparatus 100 of the mobile terminal input window of the present embodiment may be disposed in various types of mobile terminals 10, such as a smart phone. , tablets, handheld computers, etc.
  • the mobile terminal 10 can be operated in an operating system such as Android.
  • the security detecting device 100 of the mobile terminal input window of the embodiment determines the window to be inspected on the display interface of the mobile terminal by using the process of the above operating system, and uses the preset.
  • the feature information library in which the window element feature is saved in the mobile terminal performs feature matching.
  • the above-mentioned feature information database is sent by the security analysis server 30 through the mobile network 20.
  • the security detection device 100 of the mobile terminal input window can also upload the feature information of the extracted elements of the to-be-detected window through the mobile network 20, by security.
  • the analysis server 30 presets a feature information library in which the window element feature is stored in the mobile terminal to perform feature matching, and delivers the matching result to the mobile terminal 10, and prompts the malicious window.
  • FIG. 3 is a schematic diagram of a security detection method based on a mobile terminal interface window according to an embodiment of the present invention. As shown in the figure, the security detection method based on a mobile terminal interface window includes the following steps:
  • Step S302 determining that a window to be inspected appears on the display interface of the mobile terminal
  • Step S304 extracting feature information of at least one element in the to-be-checked window
  • Step S306 performing feature matching on the feature information by using a preset feature information database to obtain an element matching result
  • Step S308 determining a security type of the to-be-checked window according to the element matching result.
  • step S302 may determine that a window to be detected appears by detecting a process change in the mobile terminal, and specifically, detecting a process change in the mobile terminal to determine that the process generates a new window on the display interface of the mobile terminal.
  • the process of detecting the process in the mobile terminal can be injected into the system process by using the main defense technology to obtain the process generation window.
  • One technical problem to be solved by the present embodiment is to prevent account information or support input by the user.
  • the payment information is intercepted, so the above-mentioned to-be-checked window may be specifically a window with an input box, especially if the type of the input box is a password box.
  • the text in the title bar of the newly appeared window includes the following keywords: "fast payment”, “Alipay payment”, “WeChat payment”, “mobile payment”, “mobile banking”, etc., the window needs to be used as The window to be checked.
  • the element of the element to be inspected window of the general display window includes at least one of the following: an input box, a title bar, a label, a menu, an operation button, and the feature information extracted in step S304 may include text content, location information, link address, and element of the above element.
  • an input box a title bar, a label, a menu, an operation button
  • the feature information extracted in step S304 may include text content, location information, link address, and element of the above element.
  • the feature information library used in step S306 pre-stores element feature information of the payment class software class window and/or element feature information of the window of the malicious sample, that is, both the security window and the danger window can be identified, and the check window is non-black. That is, the white detection measurement.
  • step S306 may include performing any one or both of the matching methods of white sample feature matching and black sample feature matching on the feature information.
  • the element feature information of the payment type software window pre-stored by the feature information database includes the following: element feature information of the login window of the payment type software, element feature information of the account binding window of the payment type software, and a payment window of the payment type software. Elemental feature information.
  • the process of performing white sample feature matching in step S306 may be: extracting a payment keyword included in the text content of the element in the to-be-checked window, determining a corresponding payment type software according to the payment keyword; and selecting feature information and characteristics of the element of the to-be-checked window The window element feature information of the corresponding payment software in the information base is compared. If the comparison result is consistent, it is determined that the to-be-checked window is a security window.
  • a specific example is that the text in the title bar of the window is “WeChat Payment”, and the element feature of the window is matched with the element feature of the payment interface in the WeChat client. If the matching is successful, the window to be checked can be confirmed as WeChat payment. Window, otherwise the window to be inspected can be considered as a malicious window or needs further testing.
  • Step S306 Performing a black sample feature matching on the feature information includes: matching feature information of the to-be-detected window with element feature information of a window of the malicious sample in the feature information database, and if a match occurs, determining that the to-be-checked window is malicious window.
  • the prompt information corresponding to the security type may be output on the display interface of the mobile terminal to remind the user.
  • the malicious window can also be processed, for example, the window is blocked, the input box is grayed out in an uninputable state, and the user is prevented from performing an operation. If the user's reminder information is ignored, the window is restored. .
  • the security detection method of the input window of the mobile terminal of the present embodiment can also upload the feature information to the security analysis server and receive the certificate sent by the security analysis server, in addition to performing the black and white sample feature matching using the feature information library preset on the mobile terminal. Feature matching results, so that the big data on the network side is used for matching, and the obtained result is more accurate.
  • the virus detection system of the mobile terminal may also be used to detect the sample of the process, for example, a security scan of the process of generating the window to determine the sample type of the process; when the process is not a known security process or a known danger When any of the processes is performed, then step S304 is performed. That is to say, the filtering is first performed by means of process detection, and the step of performing feature matching of the window elements is performed only when the process detection cannot determine the security.
  • FIG. 4 is an optional flowchart of a method for detecting security based on a mobile terminal interface window according to an embodiment of the present invention, where the process includes:
  • Step S402 determining to generate a new pending window on the display interface of the mobile terminal
  • Step S404 using the virus master defense software of the mobile terminal to determine whether the process of generating the window is a known security process, if the window is allowed to operate normally, if not, perform step S406;
  • Step S406 using the virus main prevention software of the mobile terminal to determine whether the process of generating the window is a known malicious process, if the user is prompted for security, and performing corresponding security operations (such as ending the process, deleting the file, putting the quarantine area, etc.) If no, it indicates that the process security cannot be determined, and the subsequent window element feature matching is required;
  • Step S408 it is determined whether the newly generated window has an input box, and if it is indicated that the window is only a content display window, the detection may not be performed;
  • Step S410 determining that the window is a window to be inspected
  • step S412 the feature of the window element is extracted, and specifically includes the following contents: text content, location information, link address, element, and the like of the input box, the title bar, the label, the menu, the operation button, and the like.
  • Step S414 using the features of the white sample window element to perform matching, if the matching is successful, if the window is allowed to run normally;
  • Step S416 using the features of the black sample window element to perform matching, if the matching is unsuccessful, the element feature may be uploaded to the security analysis server for further analysis;
  • Step S418, prompting the window security risk, and performing security precautions on the window for example, shielding the window, graying the input box to be in an uninputable state, and the like, preventing the user from performing operations and leaking personal information.
  • the above prompt window can prompt the security risks of the window, and can also provide operation options to the user, such as uninstalling related applications, uploading security detection results, ignoring prompts, etc., so that the user can judge and perform corresponding operations.
  • determining the similarity degree of the interface of the client for example, when the dialog box pops up, the feature of the element in the dialog box (category of the prompt box, title bar) can be determined. For example, if the title bar prompts Taobao Alipay to log in, there is no suggestion box in the interface bar, is it a password box.
  • the feature string of the element After extracting the feature string of the element, it can be identified according to the input box and the text in the interface, and a decision model is established to determine whether it is a payment or other financial interface (for example, a login box similar to Taobao and WeChat, whether it is WeChat Alipay binds the interface of the bank card).
  • a payment or other financial interface for example, a login box similar to Taobao and WeChat, whether it is WeChat Alipay binds the interface of the bank card.
  • the elements of the extraction window can be performed in a script-like language, combined with the determination rules to determine the shape of the frame of the Android system display interface, and the signature of the existing package name is compared with the existing one.
  • the identification of the security detection method based on the interface window of the mobile terminal in this embodiment can make up for the shortcoming that the update speed cannot meet the requirements.
  • FIG. 5 is a schematic diagram of a to-be-checked window based on a security detection method of a mobile terminal interface window according to an embodiment of the present invention.
  • the main defense engine first determines to generate the window.
  • the security type of the client of the window for example, matching the package name and the permission information feature. If the window belongs to a white sample, the window can be made to run normally. If the window belongs to a black sample, the user needs to be reminded of the security risk and provide corresponding Security options (such as prompt uninstallation, blocking the popup of the application, etc.), if the client's security type cannot be determined, extract the title bar, label, and input box type. In the title bar of Figure 5, please enter the payment.
  • Password and the amount and bank card information also appear in the label.
  • the characteristics (position, link address, text) of the above elements and the black and white window elements in the feature library are required.
  • Matching features if it is determined that the features are known secure payment windows, allowing the window to function properly, if it is determined that the features match the features of the black sample masquerading as a payment window, then the risk is indicated on the window display interface, and Set the input box to be unreadable before the user can proceed further. Thereby, the account information input by the user is prevented from being intercepted and the loss is caused.
  • the security detection method based on the mobile terminal interface window of the present embodiment utilizes the to-be-checked window appearing on the display interface to perform matching of the window element features, thereby preventing the malicious program from intercepting the user information through the window masquerading method, thereby improving user information security.
  • modules in the devices of the embodiments can be adaptively changed and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of the features disclosed in the specification, including the accompanying claims, the abstract and the drawings, and any such disclosure may be employed in any combination.
  • the method or all of the processes or units of the device are combined.
  • Each of the feature information disclosed in the specification (including the accompanying claims, the abstract, and the drawings) may be replaced by alternative feature information providing the same, equivalent, or similar purpose, unless otherwise explicitly stated.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some or some of the components of a mobile terminal interface window based security detection device in accordance with an embodiment of the present invention or All features.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • FIG. 6 illustrates a computing device that can implement a mobile terminal interface window based security detection method in accordance with the present invention.
  • the computing device conventionally includes a processor 610 and a computer program product or computer readable medium in the form of a memory 620.
  • the memory 620 may be an electronic memory such as a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM.
  • Memory 620 has a memory space 630 for program code 631 for performing any of the method steps described above.
  • storage space 630 for program code may include various program code 631 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • Such computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks.
  • Such a computer program product is typically a portable or fixed storage unit as described with reference to FIG.
  • the storage unit may have storage segments, storage spaces, and the like that are similarly arranged to memory 620 in the computing device of FIG.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 631', ie, code readable by a processor, such as 610, that when executed by a computing device causes the computing device to perform each of the methods described above step.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • User Interface Of Digital Computer (AREA)
  • Telephone Function (AREA)

Abstract

一种移动终端输入窗口的安全检测方法和安全检测装置。其中基于移动终端界面窗口的安全检测方法包括：确定移动终端显示界面上出现待检窗口（S302）；提取待检窗口中至少一个元素的特征信息（S304）；使用预置的特征信息库对特征信息进行特征匹配，得到元素匹配结果（S306）；根据元素匹配结果确定待检窗口的安全类型，其中特征信息库预先保存有支付类软件类窗口的元素特征信息和/或恶意样本的窗口的元素特征信息。该方法和装置能够利用显示界面上出现的待检窗口进行窗口元素特征的匹配，防止出现恶意程序通过窗口伪装方法截取用户信息情况，提高了用户信息安全。

Description

移动终端输入窗口的安全检测方法和安全检测装置 技术领域
本发明涉及互联网安全领域，特别是涉及一种移动终端输入窗口的安全检测方法和安全检测装置。
背景技术
随着网络技术和电子商务的发展，在移动终端上进行网购和电子支付越来越普及，然而移动终端的信息安全成为了影响移动终端网购和电子支付发展的重要阻碍。
移动终端的信息安全涉及用户信息的保密、用户资金和支付信息的安全等问题，目前存在一些恶意应用程序，通过盗取终端数据或伪装成正规网购客户端或支付客户端的页面骗取用户信息的方式，骗取用户的银行或支付账号信息进行金融诈骗，导致用户遭受损失。
针对以上问题，现有技术中出现了多种针对移动应用软件的扫描方法，常用的方法是使用移动应用软件的静态或者动态特征，与预置的特征库进行匹配，判别进行检测的移动应用软件属于黑名单或者白名单，其中白名单是指已经进过验证的正常应用软件列表，而黑名单是指已经确认为恶意应用程序的列表。然而由于当前移动应用软件的变化速度很快，现有预置特征库的更新速度不能满足新出现的应用程序的检测要求，从而导致出现一些无法判别类型的移动应用，从而不能达到实时有效保护移动终端的信息安全的目的。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的移动终端输入窗口的安全检测装置和相应的移动终端输入窗口的安全检测方法。本发明一个进一步的目的是要使得通过显示窗口确定是否存在窃取用户信息的安全隐患，保证用户信息安全。
本发明另一个进一步的目的是要充分利用显示窗口的各种元素进行判断，确保检测的准确性。
依据本发明的一个方面，提供了一种基于移动终端界面窗口的安全检测方法。该基于移动终端界面窗口的安全检测方法包括：确定移动终端显示界面上出现待检窗口；提取待检窗口中至少一个元素的特征信息；使用预置的特征信息库对特征信息进行特征匹配，得到元素匹配结果；根据元素匹配结果确定待检窗口的安全类型，其中特征信息库预先保存有支付类软件类窗口的元素特征信息和/或恶意样本的窗口的元素特征信息。
根据本发明的另一方面，提供了移动终端输入窗口的安全检测装置。该安全检测装置包括界面监测模块，适于确定移动终端显示界面上生成出现待检窗口；特征信息提取模块，适于提取待检窗口中至少一个元素的特征信息；特征匹配模块，适 于使用预置的特征信息库中对特征信息进行特征匹配，得到元素的匹配结果，并根据元素匹配结果确定待检窗口的安全类型，其中特征信息库预先保存有支付类软件类窗口的元素的特征信息和/或恶意样本的窗口的元素特征信息。
根据本发明的又一个方面，提供了一种计算机程序，其包括计算机可读代码，当所述计算机可读代码在计算设备上运行时，导致所述计算设备执行上述基于移动终端界面窗口的安全检测方法。
根据本发明的再一个方面，提供了一种计算机可读介质，其中存储了上述的计算机程序。
本发明的移动终端输入窗口的安全检测方法利用显示界面上出现的待检窗口进行窗口元素特征的匹配，以判别待检窗口是否伪装成安全应用软件的显示窗口，从而防止出现恶意程序通过窗口伪装方法截取用户信息情况，提高了用户信息安全。
进一步地，本发明的移动终端输入窗口的安全检测方法，可以采用白样本特征匹配和黑样本特征匹配的方式进行检测，既可以确定待检窗口为安全窗口，也可以确定待检窗口为恶意窗口，提高了安全检测的准确性。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1是根据本发明一个实施例的移动终端输入窗口的安全检测装置的示意框图；
图2是根据本发明一个实施例的移动终端输入窗口的安全检测装置的应用环境图；
图3是根据本发明一个实施例的基于移动终端界面窗口的安全检测方法的示意图；
图4是根据本发明一个实施例的基于移动终端界面窗口的安全检测方法的一种可选流程图；
图5是根据本发明一个实施例的基于移动终端界面窗口的安全检测方法的中一个待检窗口的示意图；
图6示意性地示出了用于执行根据本发明的基于移动终端界面窗口的安全检测方法的计算设备的框图；以及
图7示意性地示出了用于保持或者携带实现根据本发明的基于移动终端界面窗口的安全检测方法的程序代码的存储单元。
具体实施方式
在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述，构造这类***所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
图1是根据本发明一个实施例的移动终端输入窗口的安全检测装置100的示意框图。该移动终端输入窗口的安全检测装置100一般性地可包括：界面监测模块110、特征信息提取模块120、特征匹配模块130，这些部件可以根据移动终端输入窗口的安全检测装置100的功能和使用环境进行灵活配置，在一些优选的实施例中可以通过增加部件，实现更多的功能已达到不同的技术效果，例如，还可以增加设置进程扫描模块140和安全提示模块150，另外，特征匹配模块130的一种可选结构为包括白样本匹配子模块132、黑样本匹配子模块134、信息上传子模块136。
在本实施例的移动终端输入窗口的安全检测装置100中，界面监测模块110可以适于确定移动终端显示界面上生成出现待检窗口，其一种可选的流程为检测移动终端中的进程变化；确定进程在移动终端显示界面上生成新窗口。检测移动终端中的进程可以利用主防技术，注入***进程内部，获取进程生成窗口的情况。优选地，界面监测模块110可以将带有输入框的窗口作为待检窗口。
特征信息提取模块120提取待检窗口中至少一个元素的特征信息，一般显示窗口的元素待检窗口的元素包括以下至少一项：输入框、标题栏、标签、菜单、操作按钮，对应地，特征信息提取模块120提取的特征信息可以包括以上元素的文本内容、位置信息、链接地址、元素类型中的一项或多项。
特征匹配模块130可以使用预置的特征信息库中对特征信息进行特征匹配，得到元素的匹配结果，并根据元素匹配结果确定待检窗口的安全类型。以上特征信息库预先保存有支付类软件类窗口的元素的特征信息和/或恶意样本的窗口的元素特征信息，例如特征信息库预先保存的支付类软件窗口的元素特征信息包括：支付类软件的登录窗口的元素特征信息、支付类软件的账号绑定窗口的元素特征信息、支付类软件的支付窗口的元素特征信息，以将支付类软件类窗口的元素的特征信息作为白样本的匹配依据。恶意样本的窗口的元素特征信息可以提取上报的恶意样本的窗口的元素的特征作为黑样本的匹配依据。
具体地，白样本匹配子模块132可以提取待检窗口中元素的文本内容包含的支付关键词，根据支付关键词确定出对应的支付类软件；将待检窗口的元素的特征信息与特征信息库中对应的支付类软件的窗口元素特征信息进行比对，若比对结果为一致，确定待检窗口为安全窗口。对于安全窗口，本实施例的移动终端输入窗口的安全检测装置100可以不做任何干预，以由用户进行正常操作。
黑样本匹配子模块134可以将待检窗口的特征信息与特征信息库中恶意样本的窗口的元素特征信息进行匹配，若出现匹配，确定待检窗口为恶意窗口。对于恶意窗口，如果用户在其中输入账号信息等内容有可能被截取，导致信息泄露，因此需 要向用户报告，并采取必要的措施。例如通过安全提示模块150在移动终端显示界面上输出与安全类型对应的提示信息。进一步地，还可以采取其他方式进行安全防范，例如将恶意窗口的输入框设置为不可输入，以避免用户在不知情的情况下进行输入，仅在用户忽略提示信息的情况下，回复输入框的输入功能。
以上信息匹配过程可以在终端侧进行，也可以利用云端技术在云端进行匹配，例如利用信息上传子模块136将特征信息上传至安全分析服务器，利用预置于安全分析服务器中的预置的特征信息库进行以上信息匹配的过程。一种具体的配置方式为，在终端侧和网络侧分别预置数据库以用于窗口元素的特征匹配，以适用于不同的使用环境。
进程扫描模块140可以对生成窗口的进程进行安全扫描，以确定进程的样本类型；特征信息提取模块130在进程扫描模块的扫描结果为在进程不属于已知安全进程或已知危险进程中的任一种时，才执行提取窗口中至少一个元素的特征信息的步骤。也就是说，首先使用进程检测的方式进行筛选，仅在进程检测不能确定安全性时，执行在进行窗口元素的特征匹配的步骤。
图2是根据本发明一个实施例的移动终端输入窗口的安全检测装置100的应用环境图，本实施例的移动终端输入窗口的安全检测装置100可以设置于各类移动终端10中，例如智能手机、平板电脑、掌上电脑等中。这些移动终端10可以运行于安卓等操作***中，本实施例的移动终端输入窗口的安全检测装置100利用对以上操作***的进程主防确定移动终端显示界面上出现待检窗口，并使用预置于移动终端中保存有窗口元素特征的特征信息库进行特征匹配。以上特征信息库由安全分析服务器30通过移动网络20进行下发，另外，移动终端输入窗口的安全检测装置100还可以将提取出的待检窗口的元素的特征信息通过移动网络20上传，由安全分析服务器30预置于移动终端中保存有窗口元素特征的特征信息库进行特征匹配，并将匹配结果下发给移动终端10，并对恶意窗口进行提示。
本发明实施例还提供了一种基于移动终端界面窗口的安全检测方法，该基于移动终端界面窗口的安全检测方法可以由以上实施例介绍的任意一种基于移动终端界面窗口的安全检测装置来执行，以提高移动终端的信息安全性。图3是根据本发明一个实施例的基于移动终端界面窗口的安全检测方法的示意图，如图所示，该基于移动终端界面窗口的安全检测方法包括以下步骤：
步骤S302，确定移动终端显示界面上出现待检窗口；
步骤S304，提取待检窗口中至少一个元素的特征信息；
步骤S306，使用预置的特征信息库对特征信息进行特征匹配，得到元素匹配结果；
步骤S308，根据元素匹配结果确定待检窗口的安全类型。
在以上步骤中，步骤S302可以通过检测移动终端中进程变化确定出现待检窗口，具体可以检测移动终端中进程变化以确定进程在移动终端显示界面上生成新窗口。检测移动终端中进程可以利用主防技术，注入***进程内部，获取进程生成窗口的情况。由于本实施例所要解决的一个技术问题为防止用户输入的账户信息或支 付信息被截取，因此以上待检窗口可以具体是带有输入框的窗口，特别是该输入框的类型为密码框的情况下。又例如新出现的窗口的标题栏中的文字包括有以下关键词：“快捷支付”、“支付宝支付”、“微信支付”、“移动支付”、“手机银行”等，则需要将该窗口作为待检窗口。
一般显示窗口的元素待检窗口的元素包括以下至少一项：输入框、标题栏、标签、菜单、操作按钮，步骤S304提取的特征信息可以包括以上元素的文本内容、位置信息、链接地址、元素类型中的一项或多项。
步骤S306使用的特征信息库预先保存有支付类软件类窗口的元素特征信息和/或恶意样本的窗口的元素特征信息，也就是既可以识别安全窗口也可以识别危险窗口，对待检窗口采取非黑即白的检测测量。
相应地，步骤S306可以包括对特征信息进行白样本特征匹配和黑样本特征匹配两种匹配方式中的任一种或全部两种。
例如，特征信息库预先保存的支付类软件窗口的元素特征信息包括以下内容：支付类软件的登录窗口的元素特征信息、支付类软件的账号绑定窗口的元素特征信息、支付类软件的支付窗口的元素特征信息。步骤S306进行白样本特征匹配的流程可以为：提取待检窗口中元素的文本内容包含的支付关键词，根据支付关键词确定出对应的支付类软件；将待检窗口的元素的特征信息与特征信息库中对应的支付类软件的窗口元素特征信息进行比对，若比对结果为一致，确定待检窗口为安全窗口。一个具体的实例为窗口的标题栏中文字为“微信支付”，将该窗口的元素特征与微信客户端中支付界面的元素特征进行匹配，若匹配成功，就可以确认该待检窗口为微信支付窗口，否则就可以认为该待检窗口为恶意窗口或者需要进行进一步检测。
步骤S306对特征信息进行黑样本特征匹配的一种流程为包括：将待检窗口的特征信息与特征信息库中恶意样本的窗口的元素特征信息进行匹配，若出现匹配，确定待检窗口为恶意窗口。对于恶意窗口，在步骤S308之后还可以在移动终端显示界面上输出与安全类型对应的提示信息，以提醒用户。另外，在出现恶意窗口的情况下，还可以对恶意窗口进行处理，例如屏蔽窗口，将输入框置灰处于不可输入状态等，防止用户进行操作，如果用户的提醒信息进行忽略操作，则恢复窗口。
除了利用移动终端上预置的特征信息库进行黑白样本特征匹配之外，本实施例的移动终端输入窗口的安全检测方法还可以将特征信息上传至安全分析服务器，并接收安全分析服务器下发的特征匹配结果，从而利用网络侧的大数据进行匹配，得到的结果更加准确。
在步骤304之前，还可以利用移动端的病毒查杀***对进程的样本进行检测，例如对生成窗口的进程进行安全扫描，以确定进程的样本类型；在进程不属于已知安全进程或已知危险进程中的任一种时，然后执行步骤S304。也就是说，首先使用进程检测的方式进行筛选，仅在进程检测不能确定安全性时，执行在进行窗口元素的特征匹配的步骤。
图4是根据本发明一个实施例的基于移动终端界面窗口的安全检测方法的一种可选流程图，该流程包括：
步骤S402，确定移动终端显示界面上生成新的待检窗口
步骤S404，使用移动终端的病毒主防软件判断生成窗口的进程是否为已知的安全进程，若是允许窗口正常运行，若否执行步骤S406；
步骤S406，使用移动终端的病毒主防软件判断生成窗口的进程是否为已知的恶意进程，若是向用户进行安全提示，并执行相应安全操作(例如结束进程、删除文件、放入隔离区等)，若否，说明无法确定进程安全性，需要进行后续窗口元素特征匹配；
步骤S408，判断新生成的窗口是否存在输入框，若否说明该窗口仅为内容显示窗口，可不进行检测；
步骤S410，确定窗口为待检窗口；
步骤S412，提取窗口元素的特征，具体可以包括以下内容：输入框、标题栏、标签、菜单、操作按钮等元素各自的文本内容、位置信息、链接地址、元素等。
步骤S414，使用白样本窗口元素的特征进行匹配，若匹配成功，若是允许窗口正常运行；
步骤S416，使用黑样本窗口元素的特征进行匹配，若匹配不成功，可以将元素特征上传至安全分析服务器进行进一步分析；
步骤S418，提示窗口安全风险，并对窗口进行安全防范操作，例如将屏蔽窗口，将输入框置灰以处于不可输入状态等，防止用户进行操作，泄露个人信息。以上提示窗口中可以提示出窗口的安全隐患，还可以向用户提供操作选项，例如卸载相关应用、上传安全检测结果、忽略提示等，以便用户自行判断并进行相应操作。
执行本发明以上实施例的基于移动终端界面窗口的安全检测方法，判断客户端的界面的类似程度，例如对话框弹出时，可以对对话框里的元素(提示框的类别、标题栏)进行特征判别，比如标题栏是否提示淘宝支付宝登陆，界面栏有没有某种形式的提示框，是不是密码框。又例如在提取出元素的特征串后，可以根据界面里的输入框和文字进行识别，建立类似于判定模型，判定是否是支付或其他金融界面(例如类似于淘宝、微信的登录框，是否是微信支付宝绑定银行卡的界面)。
对于安卓***终端，例如安卓智能手机，提取窗口的元素可以利用类似脚本的语言进行，结合其判定规则进行判定，形成安卓***显示界面的弹框的判定模型，相对于现有对判断包名签名的识别，本实施例的基于移动终端界面窗口的安全检测方法可以弥补其更新速度不能满足要求的不足。
图5是根据本发明一个实施例的基于移动终端界面窗口的安全检测方法的中一个待检窗口的示意图，在确定界面上上出现图5所示的窗口后，首先由主防引擎判断生成该窗口的客户端的安全类型(例如对包名、权限信息特征匹配)，如果该窗口属于白样本，则可以使该窗口正常运行，如果该窗口属于黑样本，则需要提醒用户安全风险，并提供相应安全措施选项(例如提示卸载，对该应用的弹窗进行拦截等)，如果无法确定客户端的安全类型，提取标题栏、标签和输入框的类型，在图5中的标题栏出现“请输入支付密码”，而且标签中也出现金额和银行卡信息，此时需要将以上这些元素的特征(位置、链接地址、文本)与特征库中的黑白窗口元素 的特征进行匹配，如果确定这些特征是已知的安全支付窗口，则允许窗口正常运行，如果确定这些特征与伪装成支付窗口的黑样本的特征匹配，则在窗口展示界面上提示风险，并在用户进行进一步操作前，将输入框设置为不可输入。从而防止用户输入的账户信息被截取导致损失。
使用本实施例的基于移动终端界面窗口的安全检测方法利用显示界面上出现的待检窗口进行窗口元素特征的匹配，防止出现恶意程序通过窗口伪装方法截取用户信息情况，提高了用户信息安全。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征信息有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征信息更多的特征信息。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征信息。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征信息和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征信息以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征信息可以由提供相同、等同或相似目的的替代特征信息来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征信息而不是其它特征信息，但是不同实施例的特征信息的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的基于移动终端界面窗口的安全检测装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
例如，图6示出了可以实现根据本发明的基于移动终端界面窗口的安全检测方法的计算设备。该计算设备传统上包括处理器610和以存储器620形式的计算机程序产品或者计算机可读介质。存储器620可以是诸如闪存、EEPROM(电可擦除可编程只读存储器)、EPROM、硬盘或者ROM之类的电子存储器。存储器620具有用于执行上述方法中的任何方法步骤的程序代码631的存储空间630。例如，用于程序代码的存储空间630可以包括分别用于实现上面的方法中的各种步骤的各个程序代码631。这些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一个或者多个计算机程序产品中。这些计算机程序产品包括诸如硬盘，紧致盘(CD)、存储卡或者软盘之类的程序代码载体。这样的计算机程序产品通常为如参考图7所述的便携式或者固定存储单元。该存储单元可以具有与图6的计算设备中的存储器620类似布置的存储段、存储空间等。程序代码可以例如以适当形式进行压缩。通常，存储单元包括计算机可读代码631’，即可以由例如诸如610之类的处理器读取的代码，这些代码当由计算设备运行时，导致该计算设备执行上面所描述的方法中的各个步骤。
本文中所称的“一个实施例”、“实施例”或者“一个或者多个实施例”意味着，结合实施例描述的特定特征、结构或者特性包括在本发明的至少一个实施例中。此外，请注意，这里“在一个实施例中”的词语例子不一定全指同一个实施例。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
至此，本领域技术人员应认识到，虽然本文已详尽示出和描述了本发明的多个示例性实施例，但是，在不脱离本发明精神和范围的情况下，仍可根据本发明公开的内容直接确定或推导出符合本发明原理的许多其他变型或修改。因此，本发明的范围应被理解和认定为覆盖了所有这些其他变型或修改。
此外，还应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims (20)

  1. 一种基于移动终端界面窗口的安全检测方法，包括：
    确定移动终端显示界面上出现待检窗口；
    提取所述待检窗口中至少一个元素的特征信息；
    使用预置的特征信息库对所述特征信息进行特征匹配，得到元素匹配结果；
    根据元素匹配结果确定所述待检窗口的安全类型，其中所述特征信息库预先保存有支付类软件类窗口的元素特征信息和/或恶意样本的窗口的元素特征信息。
  2. 根据权利要求1所述的方法，其中，确定移动终端显示界面上出现待检窗口包括：
    检测所述移动终端中的进程变化；
    确定所述进程在移动终端显示界面上生成新窗口。
  3. 根据权利要求1所述的方法，其中，使用预置的特征信息库中对所述特征信息进行特征匹配包括：
    对所述特征信息进行白样本特征匹配和/或黑样本特征匹配。
  4. 根据权利要求3所述的方法，其中，对所述特征信息进行白样本特征匹配包括：
    提取所述待检窗口中元素的文本内容包含的支付关键词，
    根据所述支付关键词确定出对应的支付类软件；
    将所述待检窗口的元素的特征信息与所述特征信息库中所述对应的支付类软件的窗口元素特征信息进行比对，若比对结果为一致，确定所述待检窗口为安全窗口。
  5. 根据权利要求4所述的方法，其中，所述特征信息库预先保存的所述支付类软件窗口的元素特征信息包括：所述支付类软件的登录窗口的元素特征信息、所述支付类软件的账号绑定窗口的元素特征信息、所述支付类软件的支付窗口的元素特征信息。
  6. 根据权利要求3所述的方法，其中，对所述特征信息进行黑样本特征匹配包括：
    将所述待检窗口的特征信息与所述特征信息库中恶意样本的窗口的元素特征信息进行匹配，若出现匹配，确定所述待检窗口为恶意窗口。
  7. 根据权利要求1至6中任一项所述的方法，其中，
    所述待检窗口的元素包括以下至少一项：输入框、标题栏、标签、菜单、操作按钮；
    提取所述待检窗口中至少一个元素的特征信息包括：提取所述元素的文本内容、位置信息、链接地址、元素类型中的一项或多项。
  8. 根据权利要求1至7中任一项所述的方法，其中，
    所述预置的特征信息库预置于安全分析服务器中，
    在对所述特征信息进行特征匹配之前还包括：将所述特征信息上传至所述安全分析服务器。
  9. 根据权利要求1至8任一项中所述的方法，其中，在提取所述窗口中至少一个元素的特征信息之前还包括：
    对生成所述窗口的进程进行安全扫描，以确定所述进程的样本类型；
    在所述进程不属于已知安全进程或已知危险进程中的任一种时，执行提取所述窗口中至少一个元素的特征信息的步骤。
  10. 根据权利要求1至9任一项中所述的方法，其中，在确定所述待检窗口的安全类型之后还包括：
    在所述移动终端显示界面上输出与所述安全类型对应的提示信息。
  11. 一种移动终端输入窗口的安全检测装置，包括：
    界面监测模块，适于确定移动终端显示界面上生成出现待检窗口；
    特征信息提取模块，适于提取所述待检窗口中至少一个元素的特征信息；
    特征匹配模块，适于使用预置的特征信息库中对所述特征信息进行特征匹配，得到元素的匹配结果，并根据元素匹配结果确定所述待检窗口的安全类型，其中所述特征信息库预先保存有支付类软件类窗口的元素的特征信息和/或恶意样本的窗口的元素特征信息。
  12. 根据权利要求11所述的装置，其中，所述界面监测模块还适于：
    检测所述移动终端中的进程变化；
    确定所述进程在移动终端显示界面上生成新窗口。
  13. 根据权利要求11所述的装置，其中，所述特征匹配模块包括：
    白样本匹配子模块，适于：提取所述待检窗口中元素的文本内容包含的支付关键词，根据所述支付关键词确定出对应的支付类软件；将所述待检窗口的元素的特征信息与所述特征信息库中所述对应的支付类软件的窗口元素特征信息进行比对，若比对结果为一致，确定所述待检窗口为安全窗口，和/或
    黑样本匹配子模块，适于：将所述待检窗口的特征信息与所述特征信息库中恶意样本的窗口的元素特征信息进行匹配，若出现匹配，确定所述待检窗口为恶意窗口。
  14. 根据权利要求13所述的装置，其中，所述特征信息库预先保存的所述支付类软件窗口的元素特征信息包括：所述支付类软件的登录窗口的元素特征信息、所述支付类软件的账号绑定窗口的元素特征信息、所述支付类软件的支付窗口的元素特征信息。
  15. 根据权利要求11至14中任一项所述的装置，其中，
    所述待检窗口的元素包括以下至少一项：输入框、标题栏、标签、菜单、操作按钮；
    提取所述待检窗口中至少一个元素的特征信息包括：提取所述元素的文本内容、位置信息、链接地址、元素类型中的一项或多项。
  16. 根据权利要求11至15中任一项所述的装置，其中，所述特征匹配模块包括：
    信息上传子模块，适于将所述特征信息上传至安全分析服务器，所述预置的特 征信息库预置于所述安全分析服务器中。
  17. 根据权利要求11至16任一项中所述的装置，其中，还包括：
    进程扫描模块，适于对生成所述窗口的进程进行安全扫描，以确定所述进程的样本类型；
    所述特征信息提取模块还适于：在所述进程扫描模块的扫描结果为在所述进程不属于已知安全进程或已知危险进程中的任一种时，执行提取所述窗口中至少一个元素的特征信息的步骤。
  18. 根据权利要求11至17任一项中所述的装置，其中，还包括：
    安全提示模块，适于在所述移动终端显示界面上输出与所述安全类型对应的提示信息。
  19. 一种计算机程序，包括计算机可读代码，当所述计算机可读代码在计算设备上运行时，导致所述计算设备执行根据权利要求1-10中的任一个所述的基于移动终端界面窗口的安全检测方法。
  20. 一种计算机可读介质，其中存储了如权利要求19所述的计算机程序。
PCT/CN2015/085802 2014-08-01 2015-07-31 移动终端输入窗口的安全检测方法和安全检测装置 WO2016015680A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410377593.3A CN104182687B (zh) 2014-08-01 2014-08-01 移动终端输入窗口的安全检测方法和安全检测装置
CN201410377593.3 2014-08-01

Publications (1)

Publication Number Publication Date
WO2016015680A1 true WO2016015680A1 (zh) 2016-02-04

Family

ID=51963719

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/085802 WO2016015680A1 (zh) 2014-08-01 2015-07-31 移动终端输入窗口的安全检测方法和安全检测装置

Country Status (2)

Country Link
CN (1) CN104182687B (zh)
WO (1) WO2016015680A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10565368B2 (en) 2015-07-21 2020-02-18 Samsung Electronics Co., Ltd. Electronic device and method of controlling same
CN112084501A (zh) * 2020-09-18 2020-12-15 珠海豹趣科技有限公司 一种恶意程序的检测方法、装置、电子设备及存储介质
CN116051868A (zh) * 2023-03-31 2023-05-02 山东大学 一种面向windows***的界面元素识别方法

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104182687B (zh) * 2014-08-01 2016-10-05 北京奇虎科技有限公司 移动终端输入窗口的安全检测方法和安全检测装置
CN104881319B (zh) * 2015-05-14 2018-07-27 北京奇虎科技有限公司 一种跨进程的数据处理方法和装置
CN107153790A (zh) * 2016-03-04 2017-09-12 北京众思铭信息技术有限公司 移动终端安全防护方法、装置及移动终端
CN105930720A (zh) * 2016-05-05 2016-09-07 北京元心科技有限公司 一种实现与设备安全人机交互的方法和***
CN107562474A (zh) * 2017-08-29 2018-01-09 努比亚技术有限公司 一种应用程序的界面过滤方法、终端及计算机可读存储介质
CN108133137B (zh) * 2017-12-13 2021-11-23 北京奇虎科技有限公司 智能终端中的界面安全性检测方法和装置
CN108108618B (zh) * 2017-12-28 2021-05-25 中国信息通信研究院 伪造攻击的应用界面检测方法及装置
CN109302338B (zh) * 2018-08-31 2022-04-19 南昌努比亚技术有限公司 智能风险提示方法、移动终端及计算机可读存储介质
CN110018957B (zh) * 2019-02-14 2024-04-09 创新先进技术有限公司 一种资损核对脚本检测方法及装置
CN109992472A (zh) * 2019-02-25 2019-07-09 努比亚技术有限公司 一种界面监测方法、终端及计算机可读存储介质
CN110309647B (zh) * 2019-06-28 2022-02-25 北京乐蜜科技有限责任公司 针对应用程序的处理方法、装置、电子设备及存储介质
CN111949356A (zh) * 2020-08-17 2020-11-17 联想(北京)有限公司 弹窗处理方法、装置及电子设备
CN112905890A (zh) * 2021-03-04 2021-06-04 深信服科技股份有限公司 一种待拦截窗口识别方法、装置、设备及存储介质

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102592067A (zh) * 2011-01-17 2012-07-18 腾讯科技（深圳）有限公司 一种网页识别方法、装置及***
CN102622553A (zh) * 2012-04-24 2012-08-01 腾讯科技（深圳）有限公司 检测网页安全的方法及装置
CN102737183A (zh) * 2012-06-12 2012-10-17 腾讯科技（深圳）有限公司 网页安全访问的方法及装置
US8468597B1 (en) * 2008-12-30 2013-06-18 Uab Research Foundation System and method for identifying a phishing website
CN103390128A (zh) * 2013-08-01 2013-11-13 贝壳网际（北京）安全技术有限公司 页面的标注方法、装置与终端设备
CN103795703A (zh) * 2011-04-18 2014-05-14 北京奇虎科技有限公司 一种保证用户网络安全性的方法及客户端
CN103825866A (zh) * 2012-11-19 2014-05-28 腾讯科技（深圳）有限公司 一种登录安全检测方法和装置
CN104021339A (zh) * 2014-06-10 2014-09-03 北京奇虎科技有限公司 移动终端的安全支付方法及装置
CN104021467A (zh) * 2014-06-12 2014-09-03 北京奇虎科技有限公司 保护移动终端支付安全的方法和装置以及移动终端
CN104134143A (zh) * 2014-07-15 2014-11-05 北京奇虎科技有限公司 移动支付安全的保护方法、装置及云服务器
CN104182687A (zh) * 2014-08-01 2014-12-03 北京奇虎科技有限公司 移动终端输入窗口的安全检测方法和安全检测装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8631330B1 (en) * 2009-08-16 2014-01-14 Bitdefender IPR Management Ltd. Security application graphical user interface customization systems and methods
CN102968590B (zh) * 2012-10-23 2015-08-05 北京奇虎科技有限公司 弹窗抑制方法和***
CN103368957B (zh) * 2013-07-04 2017-03-15 北京奇虎科技有限公司 对网页访问行为进行处理的方法及***、客户端、服务器

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8468597B1 (en) * 2008-12-30 2013-06-18 Uab Research Foundation System and method for identifying a phishing website
CN102592067A (zh) * 2011-01-17 2012-07-18 腾讯科技（深圳）有限公司 一种网页识别方法、装置及***
CN103795703A (zh) * 2011-04-18 2014-05-14 北京奇虎科技有限公司 一种保证用户网络安全性的方法及客户端
CN102622553A (zh) * 2012-04-24 2012-08-01 腾讯科技（深圳）有限公司 检测网页安全的方法及装置
CN102737183A (zh) * 2012-06-12 2012-10-17 腾讯科技（深圳）有限公司 网页安全访问的方法及装置
CN103825866A (zh) * 2012-11-19 2014-05-28 腾讯科技（深圳）有限公司 一种登录安全检测方法和装置
CN103390128A (zh) * 2013-08-01 2013-11-13 贝壳网际（北京）安全技术有限公司 页面的标注方法、装置与终端设备
CN104021339A (zh) * 2014-06-10 2014-09-03 北京奇虎科技有限公司 移动终端的安全支付方法及装置
CN104021467A (zh) * 2014-06-12 2014-09-03 北京奇虎科技有限公司 保护移动终端支付安全的方法和装置以及移动终端
CN104134143A (zh) * 2014-07-15 2014-11-05 北京奇虎科技有限公司 移动支付安全的保护方法、装置及云服务器
CN104182687A (zh) * 2014-08-01 2014-12-03 北京奇虎科技有限公司 移动终端输入窗口的安全检测方法和安全检测装置

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10565368B2 (en) 2015-07-21 2020-02-18 Samsung Electronics Co., Ltd. Electronic device and method of controlling same
CN112084501A (zh) * 2020-09-18 2020-12-15 珠海豹趣科技有限公司 一种恶意程序的检测方法、装置、电子设备及存储介质
CN116051868A (zh) * 2023-03-31 2023-05-02 山东大学 一种面向windows***的界面元素识别方法

Also Published As

Publication number Publication date
CN104182687B (zh) 2016-10-05
CN104182687A (zh) 2014-12-03

Similar Documents

Publication Publication Date Title
WO2016015680A1 (zh) 移动终端输入窗口的安全检测方法和安全检测装置
US10805346B2 (en) Phishing attack detection
ES2808954T3 (es) Procedimiento y dispositivo para su uso en la gestión de riesgos de información de aplicación
WO2015188788A1 (zh) 保护移动终端支付安全的方法、装置以及移动终端
US10986103B2 (en) Signal tokens indicative of malware
US9798981B2 (en) Determining malware based on signal tokens
CN108763951B (zh) 一种数据的保护方法及装置
US9516056B2 (en) Detecting a malware process
WO2019153857A1 (zh) 一种数字钱包资产保护方法、装置、电子设备及存储介质
WO2014121714A1 (zh) 一种通知栏消息的处理方法、装置和***
CN107005543A (zh) 用于防止未经授权的网络入侵的***和方法
US20220030029A1 (en) Phishing Protection Methods and Systems
CN105930726B (zh) 一种恶意操作行为的处理方法及用户终端
WO2017036345A1 (zh) 一种信息输入方法和装置
US11809556B2 (en) System and method for detecting a malicious file
TWI697860B (zh) 資訊分享方法、裝置和電子設備
WO2016095671A1 (zh) 一种应用程序的消息处理方法和装置
WO2015188728A1 (zh) 移动支付安全的保护方法、装置及云服务器
CN111695113B (zh) 终端软件安装合规性检测方法、装置和计算机设备
TWI668592B (zh) Method for automatically determining the malicious degree of Android App by using multiple dimensions
CN113591111B (zh) 音频数据处理方法及装置、计算机可读存储介质、终端
RU2727932C1 (ru) Способ и система выявления вредоносных файлов с помощью генерирования объявлений на торговых онлайн платформах
US20230065787A1 (en) Detection of phishing websites using machine learning
CN113158186A (zh) 一种Android恶意软件静态检测方法
CN116432182A (zh) 防止应用程序弹窗的方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15826661

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15826661

Country of ref document: EP

Kind code of ref document: A1