[发明专利]一种基于APK加壳软件动态行为的查壳方法

摘要

本发明公布了一种基于APK加壳软件动态行为的查壳方法，通过安卓系统的Hook函数，针对壳程序对系统函数和特征函数的调用进行动态行为监控，当被监控的函数被调用，则跳转到Hook函数进行记录，再通过特征比对得到相应的壳程序的类型；其中，通过Hook函数分别检测APK加壳软件对通用系统函数和特征函数的调用行为，构造得到加壳调用通用系统函数特征和加壳调用特征函数特征；再建立相应的特征库。查壳时，启动某一加壳的程序；通过Hook函数对加壳程序的函数调用进行动态行为监控，记录函数调用特征与特征库进行匹配，得出查壳结果。本发明可有效地对主流APK壳的类型进行检测，提高分析加壳恶意代码的准确性和效率。

主权项

一种基于APK加壳软件动态行为的查壳方法，所述查壳方法通过安卓系统的Hook函数，针对壳程序对系统函数和特征函数的调用进行动态行为监控，一旦被监控的函数被调用，则跳转到Hook函数中进行记录，再通过特征比对，得到加壳的程序相应的壳程序的类型；具体包括如下步骤：1)通过Hook函数对加壳软件的函数调用进行动态行为监控，分别检测APK加壳软件对通用系统函数和特征函数的调用行为，构造得到所述APK加壳软件的加壳函数调用特征，包括加壳调用通用系统函数特征和加壳调用特征函数特征；2)启动某一加壳的程序；3)针对步骤2)所述加壳的程序，通过Hook函数对加壳程序的函数调用进行动态行为监控，判断加壳程序调用的函数是否是特征函数；4)如果加壳程序调用的函数是特征函数，则将所述特征函数的名称与特征函数特征库中的加壳调用特征函数特征进行匹配，若找到特征匹配项，则输出相应的壳类型，结束操作；若未找到特征匹配项，则返回步骤3)，通过Hook函数继续监控被调用的函数；5)如果加壳程序调用的函数不是特征函数，记录所述被调用函数的函数调用序列和函数调用参数；返回步骤3)，通过Hook函数继续监控被调用的函数；6)所述APK加壳的程序(原程序)成功启动后，将步骤5)记录的函数调用序列和函数调用参数与步骤1)中的通用系统函数特征库中的加壳调用通用系统函数特征进行匹配，匹配成功则得出加壳软件的类型；匹配不成功则输出未知壳。