摩托罗拉携手中国移动发布intel inside新锋丽imt788.pdfVIP

弓的样本见法起作用。 雨1 川 序状态 。 捕获到所有经过路 由器的流最数据 ； 于机可 以提供运行样奉 的 环 极少数恶意代码只通过GPRS*I]3G联 境 ， iiL与移动通信网相连，主蛰缺 4．3 网络分析 网，导致尤法捕扶。 点足成本较高。目前 ，最为合适的分 为r捕获样本在运行期间产生的 析于机为Google的Nexuss型号于机 ， 网络数 ，需要蚶其抓包 。主耍工具是 4．4 行 为模}以 复原 是NexussA接使用Android源 Wireshark(前~S]{Etherea1),~llTcpdump。 多样本的恶意仃为只在一定条 6bis]以编译 Nexuss系统镜像 ， 仃修 W ireshark是一个网络封包分析软件 。 件下触发 。fIi 分析环境Ll1，这 条 改的源码可 以获得真贸的运行环境 ， 络封包分析软件的功能足截取网络封 件小一定能满足 。此时 螫对桐应 的 ” ll¨_IlJ以埘陔镜像做 自巾的修改，比 包 ，并 可能娃示出最为详细的网络封 条件进行模拟 AndroidSDK提供 的 女l1仃root权 限、f1『以修改扁动配 等 ， 包资料。Wireshark-li!要川于Tcpdump抓 alllA具町满足此需求 ，它位于 ／systenl／ 外，诸~HTaintDroid、AppFence等项 到的数 包分析 I作 。 bin}l录 下 ， 际 卜足基 于 ／sYstena／ 同均捉供 r川于Nexuss的源码 ，这 Tcpdump足 目前Android系统中比 fra111ework／am．jar执行cOm android． 分析上具呵以较人地提高分析速度。 较冉效的抓包软件，如果测试环境为 COmmands．an1．Am类 的代码 。aHi的可 除以上两种选择外，Android—x86 模拟 ，口J以使J1J自带的Tcpdump参 即时按需启动活动 (activity)、意 项 同也提供 r 于Intelx86处 的 数启动模拟器 ，该参数指定一个本地 (intent)、J。橘 (broadcast)等 ．． Androic1系统镜像 ．I1J以将其安装剑 文件路径 ，将模拟 运行梵Jj口『J产牛的 VirtI1alBox乖ljVMwareWorkStationi 所有 网络数据捕获到捐定的文件 ，该 团 结束语 样 的 拟机 巾．．仃研究称该项 口系统 文什为PCAP格式，可以使J]JWireshark 采 川动念 』{忿刊I结 的分机技 的扁动速度足 nulator中AvD 动速 或Libpcap解析．．使川模拟器抓包的优 术，利川现 1J J以 现州Android 度的1／4，速度远超过ARM版木模拟 点足不会捕获到本机其他进程产乍的 意廊J1J的允 分析 ，可以离效 、 器，fIIl怯I为人多应川住ARM上编 ， 网络数 ，缺点是 ：前先它埘真实手 地埘Android廊川进行 意行为柃 敝测 的应用种类有限。随着Intel的持 机尤效；另~bAndroid系统在开机时大 洲 ， 自动化怜测能 ／J还 要进一步 续投入支持及x86 台Android设备的摊 使J¨网络端 口传输调试信息等 ，因 f究 j亢 ，以适应 阳城lIl___【i益增人 r，未来Android—x86可能会成为 意 此椭获的PCAP数据包 中有火昂的无意 的恶意J~ZJlJ柃测 求。匝 应川分析的理想甲