[发明专利]一种基于OpCode的android恶意代码检测方法及系统

说明书

技术领域

本发明涉及移动终端恶意代码检测领域，特别涉及一种基于OpCode的android恶意代码检测方法及系统。

背景技术

随着移动互联网的发展和智能手机的大范围使用，恶意代码对智能手机的系统安全及信息安全的威胁也日益增加。恶意代码层出不穷，虽然各种恶意代码的检测技术也在不断的发展，但是总是在检测效率和有效性上还有很大的提升空间。一方面，手机恶意代码主要是通过嵌入正常手机应用软件的方式，来诱骗用户下载安装，其欺骗隐藏技术使得普通用户往往很难察觉，另一方面，手机往往缺乏合格的信息保护机制。

目前安全厂商都在积极探索研究手机恶意代码的检测方法。对于手机恶意代码的检测，目前主要有以下几种方法和策略。

第一种方法是通过直接对软件安装包APK文件进行解压缩，对其中的完整数据进行读取并计算出完整文件数据的特征值，然后将该特征值作为特征对手机恶意代码进行检测。缺点在于抗变化和抗混淆能力很差。由于是对安装包的完整文件数据进行HASH校验计算，那么当安装包中的某一个文件发生任意字节的变化时，会导致整个文件的特征值发生变化，进而导致手机恶意代码无法被检出。

第二种方法是通过对软件安装包中的部分数据进行特征值检测，是将软件安装包中的特定偏移位置和特定长度的数据进行特征值计算，然后将该特征值作为特征对手机恶意代码进行检测。但是由于是对软件安装包的特定部分的数据来进行特征值计算，比如可以通过获取APK安装包中尾部的文件列表信息节、APK安装包中相关的文件名称或路径信息来计算特征值并进行检测。但是安装包中往往存在多个文件，文件在软件安装包中的存储顺序，结构信息和路径信息都是会产生变化的，因此本方法对文件名混淆和文件名变化不具备抵抗能力。

现在还有一种方法就是利用手机安装包中的可执行文件Dex中data部分来进行代码检测。其中，data部分中记录的是Dex的所有二进制代码，称为opcode代码。由于Dex中的data部分是由各种函数的代码片段离散构成，不具有连续性。其在每次编译和生成都会发生变化，因此采用data的片段的检测也难以达到较好的检测目的。

发明内容

本发明提供一种基于OpCode的android恶意代码检测方法及系统，解决了现有技术中由于文件信息变化导致无法检测出恶意代码的问题，具有更准确的检测效果。

一种基于OpCode的android恶意代码检测方法，包括：

对dex文件格式解析，识别dex文件中的结构体，扫描各结构体中的类和函数，记录函数对应OpCode代码段内容；

对得到的OpCode代码段内容进行反汇编，获取有API调用或数据赋值行为的OpCode代码段的OP段数据及index段对应数据；

计算OP段数据的特征码，并标记特征类型为CF类型，和/或OP段数据及index段对应数据的特征码，并标记特征类型为CDF类型，将计算得到的特征码与恶意代码段特征库中的特征码匹配，若任一特征码匹配成功，且特征类型一致，则输出恶意代码名称；所述恶意代码特征库为已知恶意代码的特征集合，所述恶意代码特征库中至少包括：特征类型、特征码、特征码长度及对应的恶意代码名称。

所述的方法中，所述的特征码为OP段数据和/或OP段数据及index段对应数据的哈希值。

所述的方法中，对dex文件格式解析，识别dex文件中的结构体，扫描各结构体中的类和函数，记录函数对应OpCode代码段内容具体为：

解析dex文件头信息，识别所有结构体；

按类遍历class_defs结构体及各类中的函数，构建类信息数组，每个数组数据节点分别保存类名、类中函数个数及类中函数信息数组，每个函数信息数组节点分别保存函数名、函数原型、函数对应OpCode代码段及代码段长度。

所述的方法中，所述的对得到的OpCode代码段内容进行反汇编，获取有API调用或数据赋值行为的OpCode代码段的OP段数据及index段对应数据流为：判断OpCode代码段中OP段数据，若OP段数据符合预设数值范围，则获取当前OpCode代码段中index段对应数据，并记录OP段数据及index段对应数据，并存储在对应函数信息数组中。