用于Android系统的抵御桌面信息攻击的方法和监控系统

摘要

本发明公开了一种用于Android系统的抵御桌面信息攻击的方法和监控系统，该方法包括：备份步骤，对存储桌面信息数据的数据库进行备份；数据监控步骤，进行监控以判断操作是否为疑似恶意攻击；判断步骤，当判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来判断所述操作是否为恶意攻击，结果处理步骤，当判断为所述操作是恶意攻击时，根据所述备份对桌面信息数据进行恢复。本发明的抵御桌面信息攻击的方法和监控系统能够在第三方应用程序试图修改移动智能终端操作系统的桌面图标等信息进行的不合理修改时进行提示预警，并在系统开启的情况下能够主动抵御攻击并对已造成的恶意攻击进行恢复。

说明书

技术领域

本发明涉及智能终端系统安全领域，具体涉及一种在Android系统上的 抵御桌面图标攻击的方法和监控系统。

背景技术

随着信息技术的不断发展，尤其是近来各种移动智能终端的快速增 长，对移动智能终端操作系统的稳定性及安全性要求越来越高。

Android(商标)系统是当今较为流行的移动智能终端操作系统之一，是 由OHA(Open Handset Alliance，开放手机联盟)合作开发的基于Linux内 核的开源的移动智能终端操作系统。本系统采用软件叠层(Software Stack， 又名软件堆层)架构，主要由以下几部分组成：底层是由Linux2.6提供的核 心系统服务，隐藏具体硬件细节，为上层统一提供服务；核心库和依赖于 Linux底层的Dalvik虚拟机(Google公司开发的Java虚拟机)构成的Android  Runtime；C/C++库的集合为上层提供相应服务；最上层为系统框架层和应 用层，由Java语言编写。

Android系统是一个真正意义上为移动智能终端提供的开放和完整的操 作系统平台，既支持用户多渠道软件安装和使用，又为开发者免费提供操 作系统技术核心功能细节。Android系统的完全开源性使其开发环境与传统 移动终端系统相比有着更大的灵活性和便捷性，但是与此同时，该系统内 也存在不少的安全隐患。

从2006年底至2007年初几个月时间，一种名为“熊猫烧香”(又名 “武汉男生”)的病毒造成国内百万级个人计算机用户感染，造成50亿以 上的直接经济损失。而此病毒原版的特征就是使电脑中的可执行文件会更 改为“熊猫烧香”图案。

而类似“熊猫烧香”的病毒同样可能感染Android系统。目前市场上已 发布具备修改桌面个性化定制功能的软件发布。而此种软件的恶意使用就 极可能导致桌面信息被恶意攻击。

在现有技术中，还没有一种有效方法来实现在Android系统中对桌面信 息的恶意攻击进行检测和防范。

发明内容

本发明要解决的技术问题是为了在Android手机系统平台的源码不进行 修改的情况下，提供一种桌面信息恶意攻击的抵御方法和系统，它利用 Android操作平台的数据监控模块，实现对于桌面信息数据是否被第三方应 用程序恶意攻击进行检测并处理。

为了解决上述技术问题，本发明提供了一种在Android系统上抵御桌面 信息攻击的方法，其特征在于，包括：备份步骤，对所述Android系统用来 存储桌面信息数据的数据库进行备份；数据监控步骤，进行监控以判断对 所述桌面信息数据进行修改的操作是否为疑似恶意攻击；判断步骤，当所 述数据监控步骤判断为所述操作是疑似恶意攻击时，根据所述操作对桌面 信息数据的重复修改次数来判断所述操作是否为恶意攻击，或者根据用户 基于检测到疑似恶意攻击的提示所作出的确认信息来判断所述操作是否为 恶意攻击；结果处理步骤，当所述判断步骤判断为所述操作是恶意攻击 时，根据所述备份对桌面信息数据进行恢复。

优选地，所述数据监控步骤中，若所述操作的时间间隔低于预设时 间，则判断所述操作是疑似恶意攻击。

优选地，所述判断步骤中，通过如下方式计算所述重复修改次数：将 对图标名称数据和/或图标图像数据进行修改的修改操作进行记录，将修改 操作的重复记录次数作为与该修改操作对应的重复修改次数。

优选地，若在所述判断步骤中判断为所述操作是恶意攻击时，提示用 户检测到恶意攻击。

优选地，所述桌面数据信息包括桌面图标名称和桌面图标图像。

优选地，通过所述Android操作系统的系统类中提供的 registerContentObserver()接口进行连接，对其中的onChange()函数进行方法 覆盖，以进行所述备份及所述监控。

优选地，设置监控开关，通过所述监控开关来开启/关闭对桌面信息的 监控。

本发明还提供了一种适用于Android系统的抵御桌面信息攻击的监控系 统，其特征在于，包括：数据监控模块，用于对所述Android系统用来存储 桌面信息数据的数据库进行备份，进行监控以判断对所述桌面信息数据进 行修改的操作是否为疑似恶意攻击；操作识别模块，用于当所述数据监控 模块判断为所述操作是疑似恶意攻击时，根据所述操作对桌面信息数据的 重复修改次数来判断所述操作是否为恶意攻击，或者由用户根据关于检测 到疑似恶意攻击的提示来判断所述操作是否为恶意攻击；结果处理模块， 用于当所述判断步骤判断为所述操作是恶意攻击时，根据所述备份对桌面 信息数据进行恢复。

优选地，还包括：用户接口模块，用于发送开启监控桌面信息的请求 到所述数据监控模块、以及用于发送关闭监控系统信号到所述监控关闭模 块；监控关闭模块，用于根据所述用户接口模块发送的关闭监控系统信 号，使得所述监控系统停止运行。

优选地，在所述数据监控模块对存储桌面信息数据的数据库进行备份 时，通过Android操作系统的系统类中提供的registerContentObserver()接口 进行连接，对其中的onChange()函数进行方法覆盖以实现监控。

与现有技术相比，本发明具有以下优点：

本发明利用Android移动智能终端操作系统中监控桌面信息的接口，在 第三方应用程序试图修改移动智能终端操作系统的桌面图标等信息进行的 不合理修改时进行提示预警，并在系统开启的情况下能够主动抵御攻击并 对已造成的恶意攻击进行恢复。

此外，在第三方应用程序进行桌面信息的合法修改时能够实时地保存 状态信息，这样能够为桌面信息提供安全可靠的备份数据，从而为恶意攻 击发生时的恢复提供合理依据。在系统关闭的情况下，对系统桌面信息的 修改不造成任何影响。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从 说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其 他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现 和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与 本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图 中：

图1是基于实施例一的在Android系统上的抵御桌面信息攻击的方法的 流程示意图；

图2是桌面信息数据存储文件中的表结构；

图3是基于实施例二的在Android系统上的抵御桌面信息攻击的监控系 统的结构示意图。

图4是基于实施例二的在Android系统上的抵御桌面信息攻击的监控系 统另一优选结构示意图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发 明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分 理解并据以实施。需要说明的是，只要不构成冲突，本发明中的各个实施 例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发 明的保护范围之内。

另外，在附图的流程图示出的步骤可以在诸如一组可执行指令的智能 移动终端中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情 况下，可以以不同于此处的顺序执行所示出或描述的步骤。

第一实施例

图1示出根据本实施例在Android系统上的抵御桌面信息攻击的方法的 流程示意图，下面参考图1来说明本实施例的各步骤。

步骤110：对Android操作系统用来存储桌面信息数据的第一数据库进 行备份。

优选地，在备份之前，执行初始化步骤：接受开启监控桌面信息的请 求，连接监控组件和存储桌面信息的系统数据库，注册监控组件。

Android系统中的桌面信息数据存储在android.Launcher系统级应用的数 据库(下文称第一数据库)的favorite表中，在这一表中存储有桌面图标的 位置、类型，图标源等字段信息。在接收到打开监控桌面信息的请求时， 开启监控开关，优选地，将存储文件中的“开启/关闭系统操作位”(Flag) 置为1。存储文件中的表结构如图2所示，同时，进行数据监控的初始化， 在存储空间建立新的空白的桌面信息数据库(下文称第二数据库)，该存储 空间可以是本地存储器或外部扩展存储器，该第二数据库的数据库表字段 与第一数据库中favorite表的字段基本相同，并在存储结构的“前次操作时 间”(preTime)字段初始化为存储当前时间值。在连接第二数据库时，可以 通过Android操作系统的系统类中提供的registerContentObserver()接口进行 连接；并对其中的onChange()函数进行方法覆盖(重载)，以实现用以实现 本实施例方法的监控接口。本操作需要获取应用层程序对第一数据库的操 作权限，设置第一数据库的通用资源标志符URI以及use_permission (Android使用权限)。

步骤120，进行监控以判断对桌面信息数据进行修改的操作是否为疑似 恶意攻击。

优选地，当存在使所述桌面信息数据发生更改的操作时，判断所述操 作的时间间隔是否低于一个预设时间，若低于所述预设时间，则判断所述 操作为疑似恶意攻击。

当第三方应用对桌面信息数据进行操作时，会调用change()函数。此时 程序中实现的onChange()函数将监控到变更信息。程序将获取系统操作时 间，并将此时间与存储文件中的前次操作时间(通过SharedPreferences.Editor 类中连接存储文件)进行对比，如果两个时间之间的差值低于合理时间(例如 3ms)，则将该对桌面信息数据进行修改的操作判断为疑似恶意攻击，并在 系统中发送疑似恶意攻击信号。

优选地，可以由用户直接来进行疑似恶意攻击的判断，例如：提示用 户检测到疑似恶意攻击，当用户根据已经掌握的信息或知识、有理由怀疑 当前操作存在恶意攻击的可能时，可以直接由用户通过操作界面来发送疑 似恶意攻击信号。

优选地，可以通过判断当前操作涉及的应用程序是否为不信任程序来 判断是否为疑似恶意攻击。例如，判断应用程序的类型或名称是否处于不 信任列表中。

步骤130：当数据监控步骤将该对桌面信息数据进行修改的操作判断为 疑似恶意攻击时，根据该操作对该桌面信息数据的重复修改次数来判断该 操作是否为恶意攻击，或者由用户根据关于检测到疑似恶意攻击的提示来 判断该操作是否为恶意攻击。

用户主动对桌面图标进行的修改操作同样会对第一数据库进行更改， 但根据用户的手动更改，会有一定的时间间隔，本实施例就根据这一原理 提出了疑似恶意操作的判断，在不符合合理时间间隔的第一数据库操作的 情况下就认为是第三方应用做出的更新操作。将此种更新操作作为恶意操 作的前提，之后通过判断该操作是否为是桌面图标或图标名称等项目的重 复修改，来识别该操作是否为恶意攻击。

接收到疑似恶意攻击信息后，系统对在一定时间内的第一数据库更新 的操作次数进行记录(如在1分钟内进行的5次操作)，对判定为非用户主 动进行的第一数据库操作修改，对第一数据库中的title(图标名称)和icon (图标图像)数据进行记录，若记录项重复，判断该操作为第三方软件进行 的恶意攻击，通过对话框或者通知等形式提示用户；对话框提示时将重复 更新的图标图像及图标名称一同呈现到用户界面上。

优选地，可以由用户直接来进行是否为恶意攻击的判断：当接收到疑 似恶意攻击的信息后，可以对用户进行提示，用户可以根据已经掌握的信 息或知识，直接由用户通过操作界面来判断该操作是否为恶意攻击。

步骤140：当步骤130中判断为该操作是恶意攻击时，根据第二数据库 中备份的信息对桌面信息数据进行恢复，优选地，可在预定时间内禁止对 桌面信息数据进行更改。

第二数据库中备份的信息一般为恶意攻击之前的一个安全状态，因此 对桌面信息数据进行恢复也就是将恶意攻击造成的结果恢复至前一个安全 状态，并对接下来一段时间内禁止对桌面信息数据进行更改，当该操作为 合法操作时，保存系统当前的状态以允许桌面信息数据的更改。

具体的，接收到是否为恶意攻击的判断结果后，根据结果的不同对操 作分为两种处理方式：

若为恶意攻击，则根据程序在外部存储空间内的第二数据库，对第一 数据库中的favorite表进行覆盖操作：先将第一数据库全部清空，之后将第 二数据库中的数据全部插入，插入方式可以利用Android系统提供的接口： SQLitedatabase.insert，或通过执行sql语句；同时，需要将存储结构中的flag 字段置为0，待操作完成后再次开启监控系统，以防止造成监控系统的无限 循环。而对于favorite表中icon字段信息由于其数据结构的特殊性，需要通 过bitmap对象重新转储后插入，并将存储文件清空，重新对其初始化后对 preTime字段的数据更新为本次操作数据的时间，设置监控开关为开启状 态，开启监控第一数据库(Flag置为1)。在此之后的一段时间内(比如10 分钟内)禁止对第一数据库的修改操作。

若判断为可合法操作，则执行第一数据库操作的相关的删除和插入操 作，在此之后对第二数据库进行重新备份：先将第二数据库清空，之后将 第一数据库中的数据全部写入第二数据库中。对存储结构的操作与判断为 恶意操作时相同。

优选地，还包括关闭监控系统的步骤，释放监控组件和存储桌面信息 的第一数据库的连接，注销系统中的监控桌面信息的监控组件。本步骤允 许了用户进行自主监控，以提供部分用户对系统图标或名称统一的需求。 接收到关闭监控系统信号，系统将监控开关设置为关闭，优选地，将存储 文件中的Flag字段设置为0。

实施例二

图3示出根据本实施例在Android系统上的抵御桌面信息攻击的监控系 统的结构示意图，下面参考图3来说明本实施例的各部分组成。

数据监控模块，用于对所述Android系统用来存储桌面信息数据的数据 库进行备份，进行监控以判断对所述桌面信息数据进行修改的操作是否为 疑似恶意攻击。优选地，该模块也可以设置为，由用户直接来进行疑似恶 意攻击的判断，例如：用户根据已经掌握的信息或知识，有理由怀疑当前 操作存在恶意攻击的可能，可以直接由用户通过操作界面来发送疑似恶意 攻击信号。优选地，该模块也可以设置为，通过判断当前操作涉及的应用 程序为不信任程序来发出疑似恶意攻击信号，例如，判断应用程序的类型 或名称是否处于不信任列表中。

操作识别模块，操作识别模块，用于当所述数据监控模块判断为所述 操作是疑似恶意攻击时，根据所述操作对桌面信息数据的重复修改次数来 判断所述操作是否为恶意攻击，或者由用户根据关于检测到疑似恶意攻击 的提示来判断所述操作是否为恶意攻击。优选地，该模块也可以设置为， 由用户直接来进行是否为恶意攻击的判断：当接收到疑似恶意攻击的信息 后，可以对用户进行提示，用户可以根据已经掌握的信息或知识，直接由 用户通过操作界面来判断该操作是否为恶意攻击。

结果处理模块，用于当所述判断步骤判断为所述操作是恶意攻击时， 根据所述备份对桌面信息数据进行恢复，优选地，在预定时间内禁止对桌 面信息数据进行更改。

优选地，如图4所示，本实施例的监控系统还可以包括以下模块：

用户接口模块，用于发送开启监控桌面信息的请求到数据监控模块和 发送关闭监控系统信号到所述监控关闭模块，通过控制监控开关的开启或 关闭来实现监控的开启或关闭，优选地，通过存储文件中的“开启/关闭系 统操作位”(Flag)设置为1或0来实现。

监控关闭模块，用于根据用户接口模块发送的关闭监控系统信号，释 放监控组件与系统数据库之间的连接，注销监控桌面信息的监控组件。接 收到关闭监控系统信号，系统将监控开关设置为关闭，优选地，将存储文 件中的Flag字段设置为0。

本发明基于嵌入式操作系统Android1.5作为系统软件开发平台，按照设 计思路进行了系统模拟攻击实验，实验表明本发明能够抵御对桌面信息的 攻击，并提示用户。

本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用 通用的移动智能终端装置来实现，它们可以集中在单个的移动智能终端装 置上，或者分布在多个移动智能终端装置所组成的网络上，可选地，它们 可以用移动智能终端装置可执行的程序代码(例如移动智能终端的操作系 统)来实现，从而，可以将它们存储在存储装置中由移动智能终端装置来执 行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块 或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定 的硬件和软件结合。

虽然本发明所揭露的实施方式如上，但所述的内容只是为了便于理解 本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领 域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在 实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围， 仍须以所附的权利要求书所界定的范围为准。