[发明专利]一种基于内核的应用程序获取超级权限行为检测方法与系统

说明书

本发明提供一种基于内核的应用程序获取超级权限行为检测方法，其步骤为：1)采集待检测安卓应用运行中产生的内核系统调用日志；2)通过日志，判断待检测安卓应用是否已获取超级权限，如果成立则继续执行，否则结束分析；3)通过日志，分析系统调用呈现的顺序关系、频度关系以及参数的特殊赋值情况，与4个CVE特征比对，分析出待检测安卓应用使用的获取超级权限方法。

技术领域

本发明属于信息安全技术领域，涉及获取超级权限的行动识别，特别涉及一种基于内核的应用程序获取超级权限行为检测方法与系统。

背景技术

随着移动通信技术的迅速发展，智能手机的使用用户越来越多，且人均每天花费在智能终端设备上的时间也与日俱增。据不完全统计，人均每天使用智能终端设备时间超过两小时，而其中安卓操作系统占有全球移动智能终端设备系统86.2％的份额。因此，安卓操作系统的使用群体的规模极其巨大，而且越来越多的用户开始在智能终端设备上完成支付、自拍等涉及经济利益和个人隐私的行为，其蕴含的信息量和价值也是众所周知，操作系统安全一直是智能终端设备使用者最关注的事情，手机支付漏洞、手机远程定位、手机信息泄露等问题屡见不鲜。安卓操作系统成为最易受到攻击的操作系统，近年仅曝光出的可以进行信息泄露的漏洞都超过百个，近三百个可以提升权限的漏洞。受影响群体之广难以估计，但就目前为止，能够较好检测和防御操作系统攻击的方法，是基于内核漏洞的识别以及补丁修复的方法。同时，操作系统漏洞的挖掘和防御一般是基于黑客的人工挖掘和漏洞发掘系统的暴力发掘以及操作系统的提供者的补丁修复。

综上所述，对于当前诸多基于安卓操作系统漏洞攻击的问题，一种解决方法是基于内核日志对内核进行监控，一旦有非法操作便进行报警和防护。目前已经有一些方法来对安卓操作系统的攻击行动进行识别的方法了。其中一类是人工判断根据攻击者所采用的漏洞。因为安卓操作系统的漏洞的复杂性，以及攻击者采用的攻击手段的复杂和迷惑性，难以自动的判断。这种人工识别标定的方法有很大的局限性：基于人工经验标定攻击者采用的操作系统漏洞方法：依赖标定者的经验，需要耗费大量的人力才能从海量的内核变化中找到特征，需要耗费大量的时间难以广泛的。

发明内容

为了克服上述现有技术的缺点，本发明的目的在于提供一种基于内核的应用程序获取超级权限行为检测方法与系统，使用的主要方法是UID的判断和/system/目录的监控，可以自动分析内核日志，省去了大量的人力成本，有较高的分析速度；同时提出了根据内核日志对攻击者使用的漏洞进行判断的方法，具有准确率高、分析速度快等优势。

为了实现上述目的，本发明采用的技术方案是：

一种基于内核的应用程序获取超级权限行为检测方法，包括如下步骤：

1)采集待检测安卓应用程序运行中产生的内核系统调用日志；

2)通过内核系统调用日志，判断系统是否已被获取超级权限，如果是则继续执行，否则结束分析；

3)将内核系统调用日志与CVE漏洞的特征比对，分析出该安卓应用使用的获取超级权限方法。

所述内核系统调用日志是由经过特定修改的安卓系统产生的，该待检测应用程序使用的系统调用记录包括：系统调用时间戳、系统调用的进程UID、系统调用名、系统调用参数、系统调用返回值。

所述的“特定修改的安卓系统”指的是修改安卓系统的内核，使其能够监控所有系统调用，并输出所述的内核系统调用日志。

所述判断系统是否已被获取超级权限是通过UID检测或系统目录检测实现的：

所述UID检测指，遍历日志，若发现存在UID为0的记录，则判断系统已被获取超级权限；

所述系统目录检测指，遍历日志，若发现存在对/system目录进行写入操作的记录，则判断系统已被获取超级权限。