[发明专利]程序的监控方法及其防御方法以及相关装置

权利要求书

1.一种程序的监控方法，其特征在于，包括以下步骤：

定位目标函数所执行的机器码；

写入跳转指令对目标函数进行挂钩；

分发hook函数给已注册的Java回调函数，并防止创建的临时变量被系统垃圾回收机制回收，所述防止创建的临时变量被系统垃圾回收机制回收具体指Java函数调Java函数和Java函数调Native函数两种情况，所述防止创建的临时变量被系统垃圾回收机制回收还包括对系统垃圾回收机制的内存整理操作进行规避，步骤如下：将hook函数创建的Java对象转成JNI对象之后将JNI对象传递给ART的接口函数进行解码，解码后获取JNI对象引用的hook函数创建的原Java对象；是否继续处理hook后的目标函数；

若不处理，则跳回目标函数的挂钩处；

若处理则不跳回，对目标函数执行相应处理。

2.根据权利要求1所述的一种程序的监控方法，其特征在于，所述挂钩操作采用inline hook的方式。

3.根据权利要求1所述的一种程序的监控方法，其特征在于，所述跳转指令具体为ARM指令。

4.根据权利要求1所述的一种程序的监控方法，其特征在于，所述ART接口函数为DecodeJObject(jobject obj)函数。

5.一种程序的监控装置，其特征在于，包括：

挂钩模块：用于定位目标函数所执行的机器码；

跳转模块：用于写入跳转指令对目标函数进行挂钩；

分发模块：用于分发hook函数给已注册的Java回调函数，并防止创建的临时变量被系统垃圾回收机制回收，所述防止创建的临时变量被系统垃圾回收机制回收具体指Java函数调Java函数和Java函数调Native函数，所述防止创建的临时变量被系统垃圾回收机制回收还包括对系统垃圾回收机制的内存整理操作进行规避，步骤如下：将hook函数创建的Java对象转成JNI对象之后将JNI对象传递给ART的接口函数进行解码，解码后获取JNI对象引用的hook函数创建的原Java对象；

判断模块：用于判断是否继续处理hook后的目标函数；

跳回模块：用于跳回目标函数的挂钩处；

处理模块：用于对目标函数执行相应处理。

6.根据权利要求5所述的一种程序的监控装置，其特征在于，所述挂钩模块采用inline hook的方式。

7.根据权利要求5所述的一种程序的监控装置，其特征在于，所述跳转模块执行的跳转指令为ARM指令。

8.根据权利要求5所述的一种程序的监控装置，其特征在于，所述ART接口函数为DecodeJObject(jobject obj)函数。

9.一种程序的防御方法，包括以下步骤：

向系统的服务进程注入so文件；

监控系统中应用程序的事件行为；

响应服务进程的指令，处理所述应用程序进程的事件行为，

其特征在于，上述监控步骤由权利要求1至4中任一所述的一种程序的监控方法执行。

10.一种程序的防御装置，包括：

注入模块：用于向系统的服务进程注入so文件；

监控模块：用于监控系统中应用程序的事件行为；

响应模块：用于响应服务进程的指令，处理所述应用程序进程的事件行为，

其特征在于，所述监控模块用于执行如权利要求1至4任一所述的一种程序的监控方法。