[发明专利]一种基于安卓系统的设备的动态病毒检测方法和装置

权利要求书

1.一种基于安卓系统的设备的动态病毒检测方法，其特征在于，包括以下步骤：

获取需要进行病毒检测的正在运行的目标进程；

将所述目标进程所加载的动态库中指定的原始API函数重定向为拦截程序中的API函数；

检测所述目标进程的可疑行为。

2.根据权利要求1的方法，其特征在于，还包括：

将引导程序写入到所述目标进程的内存中，通过所述引导程序来启动一拦截程序实现所述原始API函数的重定向。

3.根据权利要求2的方法，其特征在于：所述通过所述引导程序来启动一拦截程序实现所述原始API函数的重定向的步骤包括：

在所述目标进程空间中分配一块指定的内存，并置为可读写可执行；

将所述拦截程序编译的动态库加载到所述目标进程空间中；

调用所述拦截程序的入口函数来启动所述重定向。

4.根据权利要求3的方法，其特征在于：

所述引导程序通过获取所述目标进程空间动态库的内存分配函数地址来在所述目标进程空间中分配所述指定的内存。

5.根据权利要求2所述的方法，其特征在于：在所述将引导程序写入到所述目标进程的内存中的步骤之前，还包括：

调试所述目标进程；

保存所述目标进程运行环境；

在所述目标进程中分配一段内存空间为可读写。

6.根据权利要求1所述的方法，其特征在于：所述重定向过程包括：

利用目标进程空间中dlopen函数打开所述目标进程空间指定的动态库，枚举动态库函数表，获取该动态库的指定的API函数地址；

利用目标进程空间中dlopen函数打开拦截程序的动态库，获取所述API函数地址对应的新API函数地址；

去掉所述指定的动态库所在的内存写保护；

将所述获取的API函数地址替换为所述新API函数地址。

7.根据权利要求2所述的方法，其特征在于：通过PC将所述引导程序和拦截程序注入到所述设备中，并启动所述引导程序。

8.根据权利要求7所述的方法，其特征在于：所述PC通过安卓调试连接桥将所述引导程序和拦截程序注入到所述设备中。

9.根据权利要求7或8所述的方法，其特征在于：所述通过PC将所述引导程序和拦截程序注入到所述设备中的步骤，包括：

配置目标进程名称；

配置目标动态库路径；

配置拦截程序入口函数；

将用于所述设备的所述引导程序和拦截程序推送到所述设备。

10.根据权利要求2所述的方法，其特征在于：所述引导程序为可执行程序，所述拦截程序为动态库。

11.根据权利要求1所述的方法，其特征在于还包括，检测到所述目标进程的可疑行为后，通知用户对该可疑行为进行处理。

12.根据权利要求11所述的方法，其特征在于，检测到所述目标进程的可疑行为后，将该可疑行为记录到权限管理表，用户根据该权限管理表对该可疑行为进行处理。

13.一种基于安卓系统的设备的动态病毒检测装置，其特征在于，包括以下单元：

获取单元，用于获取需要进行病毒检测的正在运行的目标进程；

重定向单元，用于将所述目标进程所加载的动态库中指定的原始API函数重定向为拦截程序中的API函数；

检测单元，用于检测所述目标进程的可疑行为。

14.根据权利要求13的装置，其特征在于，还包括：

引导单元，用于将引导程序写入到所述目标进程的内存中，通过所述引导程序来启动一拦截程序实现所述原始API函数的重定向。

15.根据权利要求14的装置，其特征在于：所述引导单元包括：

内存分配单元，用于在所述目标进程空间中分配一块指定的内存，并置为可读写可执行；

动态库加载单元，用于将所述拦截程序编译的动态库加载到所述目标进程空间中；

入口函数启动单元，用于调用所述拦截程序的入口函数来启动所述重定向。