[发明专利]一种基于OpCode的android恶意代码检测方法及系统

权利要求书

1.一种基于OpCode的android恶意代码检测方法，其特征在于，包括：

对dex文件格式解析，识别dex文件中的结构体，扫描各结构体中的类和函数，记录函数对应OpCode代码段内容；

对得到的OpCode代码段内容进行反汇编，获取有API调用或数据赋值行为的OpCode代码段的OP段数据及index段对应数据；

计算OP段数据的特征码，并标记特征类型为CF类型，和/或OP段数据及index段对应数据的特征码，并标记特征类型为CDF类型，将计算得到的特征码与恶意代码段特征库中的特征码匹配，若任一特征码匹配成功，且特征类型一致，则输出恶意代码名称；所述恶意代码特征库为已知恶意代码的特征集合，所述恶意代码特征库中至少包括：特征类型、特征码、特征码长度及对应的恶意代码名称。

2.如权利要求1所述的方法，其特征在于，所述的特征码为OP段数据和/或OP段数据及index段对应数据的哈希值。

3.如权利要求1所述的方法，其特征在于，对dex文件格式解析，识别dex文件中的结构体，扫描各结构体中的类和函数，记录函数对应OpCode代码段内容具体为：

解析dex文件头信息，识别所有结构体；

按类遍历class_defs结构体，及各类中的函数，构建类信息数组，每个数组数据节点分别保存类名、类中函数个数及类中函数信息数组，每个函数信息数组节点分别保存函数名、函数原型、函数对应OpCode代码段及代码段长度。

4.如权利要求1或3所述的方法，其特征在于，所述的对得到的OpCode代码段内容进行反汇编，获取有API调用或数据赋值行为的OpCode代码段的OP段数据及index段对应数据流为：判断OpCode代码段中OP段数据，若OP段数据符合预设数值范围，则获取当前OpCode代码段中index段对应数据，并记录OP段数据及index段对应数据，并存储在对应函数信息数组中。

5.如权利要求4所述的方法，其特征在于，计算OP段数据的特征码并标记为CF类型，和/或OP段数据及index段对应数据的特征码并标记为CDF类型为：遍历全部类信息数组中各函数信息数组中记录的OP段数据及index段对应数据，按照预设拼接条件拼接OP段数据，并计算特征码，和/或按照预设拼接条件拼接OP段数据及index段对应数据，并计算特征码。

6.如权利要求5所述的方法，其特征在于，预设拼接条件至少包括：按函数拼接或按类拼接。

7.一种基于OpCode的android恶意代码检测系统，其特征在于，包括：

格式解析模块，用于对dex文件格式解析，识别dex文件中的结构体，扫描各结构体中的类和函数，记录函数对应OpCode代码段内容；

反汇编模块，用于对得到的OpCode代码段内容进行反汇编，获取有API调用或数据赋值行为的OpCode代码段的OP段数据及index段对应数据；

计算模块，用于计算OP段数据的特征码，并标记特征类型为CF类型，和/或OP段数据及index段对应数据的特征码，并标记特征类型为CDF类型，将计算得到的特征码与恶意代码段特征库中的特征码匹配，若任一特征码匹配成功，且特征类型一致，则输出恶意代码名称；所述恶意代码特征库为已知恶意代码的特征集合，所述恶意代码特征库中至少包括：特征类型、特征码、特征码长度及对应的恶意代码名称。

8.如权利要求7所述的系统，其特征在于，所述的特征码为OP段数据和/或OP段数据及index段对应数据的哈希值。

9.如权利要求7所述的系统，其特征在于，格式解析模块对dex文件格式解析，识别dex文件中的结构体，扫描各结构体中的类和函数，记录函数对应OpCode代码段内容具体为：

解析dex文件头信息，识别所有结构体；

按类遍历class_defs结构体，及各类中的函数，构建类信息数组，每个数组数据节点分别保存类名、类中函数个数及类中函数信息数组，每个函数信息数组节点分别保存函数名、函数原型、函数对应OpCode代码段及代码段长度。