[发明专利]基于完整性验证的Android权限提升攻击安全防御方法和装置

权利要求书

1.一种基于完整性验证的Android权限提升攻击安全防御方法，其特征在于，包括：

实时检测应用程序是否正在执行与敏感内核函数相关的系统调用；

对系统调用要执行的敏感内核函数进行完整性验证；

检测所述敏感内核函数相对应的内核函数指针的准确性和可靠性；

判断所述内核函数指针所指向的内存区域是否存在具备权限提升攻击特征的指令；

对检测到的应用程序权限提升攻击行为进行告警和拦截。

2.根据权利要求1所述的方法，其特征在于，所述对系统调用要执行的敏感内核函数进行完整性验证包括：

获取敏感内核函数对应的内核函数指针，然后进行空值判断；

如果内核函数指针为空，则通过完整性验证，允许直接执行内核函数，访问硬件设备；

否则，将内核函数指针作为参数，检测该内核函数指针的准确性和可靠性，实现完整性验证。

3.根据权利要求1所述的方法，其特征在于，所述检测敏感内核函数相对应的内核函数指针的准确性和可靠性包括：

按照攻击特征库进行匹配，判断该内核函数指针所指向的内存区域是否存在具备权限提升攻击特征的指令，并将判断结果返回。

4.根据权利要求3所述的方法，其特征在于，所述判断该内核函数指针所指向的内存区域是否存在具备权限提升攻击特征的指令包括：

如果内核函数指针指向了用户空间，说明该指针遭遇非法篡改，应用程序存在权限提升攻击行为；或

如果内核函数指针指向了堆内存空间，说明该指针遭遇非法篡改，应用程序存在权限提升攻击行为；或

如果内核函数指针指向的内存区域包含修改进程权限证书的指令，应用程序存在权限提升攻击行为。

5.根据权利要求3所述的方法，其特征在于，还包括：新的权限提升攻击行为出现时，提取新的攻击特征，添加到特征库中更新攻击特征库。

6.一种基于完整性验证的Android权限提升攻击安全防御装置，其特征在于，包括：

系统调用实时监测单元，用于实时检测应用程序是否正在执行与敏感内核函数相关的系统调用；

完整性验证单元，对系统调用要执行的敏感内核函数进行完整性验证；

攻击检测单元，用于检测敏感内核函数相对应的内核函数指针的准确性和可靠性；判断该内核函数指针所指向的内存区域是否存在具备权限提升攻击特征的指令；

告警与拦截单元，用于对检测到的应用程序权限提升攻击行为进行告警和拦截。

7.根据权利要求6所述的方法，其特征在于，所述完整性验证单元包括：

空值验证模块，用于获取敏感内核函数对应的内核函数指针，然后进行空值判断；

如果内核函数指针为空，则通过完整性验证，允许直接执行内核函数，访问硬件设备；

否则，将内核函数指针作为参数，检测该内核函数指针的准确性和可靠性，实现完整性验证。

8.根据权利要求6所述的方法，其特征在于，所述攻击检测单元，包括：

特征匹配单元，用于按照攻击特征库进行匹配，判断该内核函数指针所指向的内存区域是否存在具备权限提升攻击特征的指令，并将判断结果返回。

9.根据权利要求8所述的方法，其特征在于，所述特征匹配单元包括：

权限提升攻击特征判断单元，用于，

在内核函数指针指向了用户空间时，判定应用程序存在权限提升攻击行为；或

在内核函数指针指向了堆内存空间时，判定应用程序存在权限提升攻击行为；或

在内核函数指针指向的内存区域包含修改进程权限证书的指令时，判定应用程序存在权限提升攻击行为。

10.根据权利要求6所述的方法，其特征在于，还包括：攻击特征库更新单元，用于在新的权限提升攻击行为出现时，提取新的攻击特征，添加到特征库中更新攻击特征库。