[发明专利]基于hook的iOS系统关键行为检测装置和方法

摘要

一种基于hook的苹果操作系统iOS关键行为检测装置和方法，该检测装置是通过hook关键行为的应用程序编程接口API实时捕获iOS系统的关键行为，用于监控苹果终端iOS系统的设定关键行为，获取与该关键行为相关的信息，并在服务端实时展示给用户，或者保存为结果报表，以供用户进行审核与评估；该装置是由分别设置在iOS终端层的行为追踪模块，以及位于PC设备层、顺序连接的用户接口模块、安全风险报告模块和行为分析模块共四个部件组成的。本发明检测装置的创新优点是系统关键行为检测的实时性和全面性，能够检测多种系统关键行为，还具有很好的扩充能力，既支持多操作系统，又能提供多种不同的检测报告，方便查阅和分析。

主权项

一种基于hook的苹果操作系统iOS关键行为检测装置，其特征在于：所述装置是通过hook关键行为的应用程序编程接口API(Application Programming Interface)实时捕获iOS系统的关键行为，用于监控苹果终端iOS系统的设定关键行为，获取与该设定关键行为相关的信息，并在服务端实时展示给用户，或者保存为结果报表，以供用户进行审核与评估；该装置是由分别设置在iOS终端层的行为追踪模块，以及位于PC设备层、顺序连接的用户接口模块、安全风险报告模块和行为分析模块共四个部件组成；其中：行为追踪模块，用于实时检测设定苹果终端iOS系统的设定关键行为：先接收由行为分析模块的通信单元发来的开始检测信号，并由该行为追踪模块中的hook单元实时捕获设定苹果终端iOS系统的设定关键行为API，获取这些API的参数和返回值，再按照设定格式封装这些信息后，通过网络套接字socket通信将已封装的信息返回给行为分析模块进行处理；用户接口模块，负责与用户交互信息：一方面接受用户检测iOS系统设定关键行为的请求，然后给行为分析模块发送开始信号和待检测的设定关键行为类型；另一方面接收安全风险报告模块返回的iOS系统设定关键行为信息，并向用户展示；行为分析模块，用于接收并解析来自苹果终端传送来的设定关键行为信息：该模块的通信单元接收到来自用户接口模块的检测类型后，就将开始检测信号发送给行为追踪模块，并将接收到的行为追踪模块的返回信息，转发给数据分析单元处理；数据分析单元先对接收到的返回信息进行“解封装”处理，得到处理结果后，将该处理结果传送给安全分析单元进行后续分析后，再转发给安全风险报告模块；安全风险报告模块，负责根据行为分析模块的分析处理结果，将发现的iOS系统设定关键行为信息整合成一张包括xml和html设定格式的结果报表，存储在本地，以供用户审核与分析；同时将发现的iOS系统设定关键行为信息传送给用户接口模块，以供展示给用户。