Android内核钩子的混合检测技术.pdfVIP

JournalofComputerApplications ISSN 1oo1—9081 2014一l1—10 计算机应用，2014，34(11)：3336—3339，3343 C0DEN JYIIDU http：／／www．joca．cn 文章编号：1001—9081(2014)11—3336—04 doi：10．11772／j．issn．1001—9081．2014．11．3336 Android内核钩子的混合检测技术 华保健 ，周艾亭 ，朱洪军 。 (1．中国科学技术大学 软件学院，江苏 苏州 215123； 2．中国科学技术大学 苏州研究院，江苏 苏州 215123) (}通信作者电子邮箱 ~hua@ustc．edu．an) 摘 要：针对Android平台上 内核级钩子检测的研究，提出了一种结合基于特征模式的静态检测技术和基于行为分 析的动态检测技术的Android内核钩子检测技术，这两种技术的结合能够检测基于修改系统调用表项的攻击和基于内 联钩子的攻击。为所提技术构建了软件原型系统并进行了实验评测，实验结果表明，提出的技术能够针对Android内核 钩作出精确检测，并且运行时间开销在7％以内，具有 良好运行效率，能够适用于Android内核钩子的混合。 关键词 ：Android；Linux；内核 ；检测系统；软件原型 中图分类号：TP301 文献标志码：A HybriddetectiontechniqueforAndroidkernelhook HUABaojian’。ZHOUAiting一．ZHUHongjun， (1．SchoolofSoftwareEngineering, 西e ofScienceandTechnologyofChina，SuzhouJiangsu215123，hCina； 2．SuzhouInstituteforAdvancedStudy,UniversityofScienceandTechnologyofChina，SuzhouJiangsu215123，China) Abstract：ToaddressthechallengeofAndroidkernelhookdetection，anew approachwasproposedtodetectAndroid kernelhooksby combiningstatictechnique based on characteristic pattern and dynamic techniquebased on behavioural analysis．Theattacksincludingmodifyingsystem calltablesandinlinehook could bedetectedbytheproposedapproach． Softwareprototypesandtestexperimentsweregiven．Theexperimentalresultsshow thattheproposedmethodiseffectiveand efficientindetectingAndroidkernelhooks，formostofthetestcases，thernntimeoverheadisbelow7％ ；anditissuitableto detectAndroidkernelhooks． Keywords：Android；Linux；kernel；detectionsystem；softwareprototype 术 ，安全性要求较高的场合需要更有效的方法和技术。 0 引言 2)现有安全扫描算法的实现是以时间、空问开销作为代 20