[发明专利]基于hook的iOS系统关键行为检测装置和方法

权利要求书

1.一种基于hook的苹果操作系统iOS关键行为检测装置，其特征在于：所述装置是通过hook关键行为的应用程序编程接口API(Application Programming Interface)实时捕获iOS系统的关键行为，用于监控苹果终端iOS系统的设定关键行为，获取与该设定关键行为相关的信息，并在服务端实时展示给用户，或者保存为结果报表，以供用户进行审核与评估；该装置是由分别设置在iOS终端层的行为追踪模块，以及位于PC设备层、顺序连接的用户接口模块、安全风险报告模块和行为分析模块共四个部件组成；其中：

行为追踪模块，用于实时检测设定苹果终端iOS系统的设定关键行为：先接收由行为分析模块的通信单元发来的开始检测信号，并由该行为追踪模块中的hook单元实时捕获设定苹果终端iOS系统的设定关键行为API，获取这些API的参数和返回值，再按照设定格式封装这些信息后，通过网络套接字socket通信将已封装的信息返回给行为分析模块进行处理；

用户接口模块，负责与用户交互信息：一方面接受用户检测iOS系统设定关键行为的请求，然后给行为分析模块发送开始信号和待检测的设定关键行为类型；另一方面接收安全风险报告模块返回的iOS系统设定关键行为信息，并向用户展示；

行为分析模块，用于接收并解析来自苹果终端传送来的设定关键行为信息：该模块的通信单元接收到来自用户接口模块的检测类型后，就将开始检测信号发送给行为追踪模块，并将接收到的行为追踪模块的返回信息，转发给数据分析单元处理；数据分析单元先对接收到的返回信息进行“解封装”处理，得到处理结果后，将该处理结果传送给安全分析单元进行后续分析后，再转发给安全风险报告模块；

安全风险报告模块，负责根据行为分析模块的分析处理结果，将发现的iOS系统设定关键行为信息整合成一张包括xml和html设定格式的结果报表，存储在本地，以供用户审核与分析；同时将发现的iOS系统设定关键行为信息传送给用户接口模块，以供展示给用户。

2.根据权利要求1所述的装置，其特征在于：所述装置支持检测的iOS系统的设定关键行为包括：电话、短信、网络连接、通讯录访问，相册访问，地理位置访问，蓝牙状态。

3.根据权利要求2所述的装置，其特征在于：所述设定关键行为中的信息内容是：电话信息是通话双方号码、状态和通话时长，短信信息是短信收发双方号码及其短信内容，网络连接信息是网页地址URL(Uniform Resource Locator)字段和连接时间，地理位置信息是访问地理位置的应用名称和访问时间，通讯录访问信息是访问通讯录的应用名称和访问时间，相册访问信息是访问相册的应用名称和访问时间，蓝牙状态信息是蓝牙是否改变状态或改变蓝牙状态的应用、以及其改变时间。

4.一种基于hook的iOS系统关键行为检测装置的检测方法，其特征在于：所述方法包括下列操作步骤：

步骤1，PC终端层设置检测参数和检测范围：用户在PC终端设置需要检测的苹果终端的ip地址与端口号及其关键行为后，该检测装置开始启动工作；

步骤2，iOS终端层的行为追踪模块利用hook技术检测和提取各个敏感的应用程序编程接口API(Application Programming Interface)的参数和返回值，发送给PC设备层的行为分析模块；

步骤3，PC设备层的行为分析模块接收到各个敏感API的参数和返回值后，进行分类处理分析；

步骤4，行为分析模块中的安全分析单元完成关键行为的安全分析后，将分析结果传送给安全风险报告模块，并存储于设定格式的本地文件中；同时将分析结果传送给用户接口模块，根据不同的关键行为，分别展示在不同的界面上。

5.根据权利要求4所述的方法，其特征在于：所述步骤1中、设置需要检测的该苹果终端的iOS系统关键行为包括：电话、短信、网络连接、通讯录访问，相册访问，地理位置访问和蓝牙状态；其中，电话信息是通话双方号码、状态和通话时长，短信信息是短信收发双方号码及其短信内容，网络连接信息是网页地址URL(UniformResourceLocator)字段和连接时间，地理位置信息是访问地理位置的应用名称和访问时间，通讯录访问信息是访问通讯录的应用名称和访问时间，相册访问信息是访问相册的应用名称和访问时间，蓝牙状态信息是蓝牙是否改变状态或改变蓝牙状态的应用、以及其改变时间。