專利名稱：監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信安全領(lǐng)域，具體地涉及監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的方法和系統(tǒng)。
背景技術(shù)：
隨著智能手機(jī)和其他智能化移動(dòng)設(shè)備的普及，手機(jī)病毒也大量增加，例如手機(jī)木馬和手機(jī)蠕蟲等病毒將目標(biāo)鎖定為智能手機(jī)或移動(dòng)設(shè)備。手機(jī)病毒的威脅可以通過多種方式入侵移動(dòng)設(shè)備，例如短信息，彩信，無線網(wǎng)絡(luò)下載，WiFi或藍(lán)牙連接。主動(dòng)式的安全保護(hù)對于移動(dòng)設(shè)備而言日益重要。移動(dòng)設(shè)備中的惡意軟件可以造成很多嚴(yán)重的問題。例如手機(jī)病毒可以造成手機(jī)電 量的快速消耗，病毒還可能刪除用戶的重要商業(yè)信息甚至導(dǎo)致手機(jī)的特定功能失效。病毒除了可以禁止手機(jī)的正常功能，手機(jī)竊聽病毒還可以取得手機(jī)的控制權(quán)限，使手機(jī)變成一個(gè)移動(dòng)竊聽器。甚至可以打開攝像頭，拍攝照片并上傳至網(wǎng)絡(luò)。雖然病毒所采用的手段不斷的更新，但是病毒在移動(dòng)設(shè)備中發(fā)作時(shí)總是有跡可循的。例如，對系統(tǒng)有害的操作，如刪除，靜默安裝或后臺(tái)聯(lián)網(wǎng)等。針對病毒的這些特征，現(xiàn)有的殺毒軟件采取了一些措施來識(shí)別和清除病毒。這些措施可以總結(jié)為以下三個(gè)步驟
研究人員搜集病毒樣本，分析病毒的執(zhí)行流程，對病毒程序分類、取得病毒指紋并存入病毒庫；
定期掃描移動(dòng)設(shè)備，利用病毒庫中的病毒文件的指紋來核對病毒種類；
識(shí)別了特定的病毒后，刪除病毒程序或從被感染的程序中清除病毒痕跡。上述過程雖然可以識(shí)別已知的病毒或已知病毒的變種，但是對于未知病毒沒有效果。此類方法通常是事后行為，病毒感染后才能檢測、識(shí)別和清除。此類方法對于病毒的識(shí)別依賴于病毒庫中存儲(chǔ)的病毒簽名或指紋，對于病毒庫中沒有存儲(chǔ)的病毒沒有效果?；谏鲜鲈颍F(xiàn)有技術(shù)中的病毒查殺方法無法主動(dòng)識(shí)別未知病毒，僅僅依賴于已發(fā)作的病毒的樣本，無法有效的防范移動(dòng)設(shè)備的安全威脅。

發(fā)明內(nèi)容
本發(fā)明解決的技術(shù)問題是提供一種技術(shù)方案能夠主動(dòng)監(jiān)測軟件程序在移動(dòng)設(shè)備中的安裝過程和運(yùn)行過程，從而識(shí)別可能對移動(dòng)設(shè)備的安全構(gòu)成威脅的程序。根據(jù)本發(fā)明的一個(gè)方面，所采用的技術(shù)方案是提供一種監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的方法，包括以下步驟在移動(dòng)設(shè)備上安裝程序并記錄安裝信息，運(yùn)行安裝后的程序并記錄程序運(yùn)行信息，將安裝信息和運(yùn)行信息打包并發(fā)送至服務(wù)器端，以及服務(wù)器端對安裝信息和運(yùn)行信息進(jìn)行分析。根據(jù)本發(fā)明的一個(gè)方面，記錄安裝信息至少包括安裝包的結(jié)構(gòu)，安裝后生成程序名，程序識(shí)別代碼，文件名，文件路徑，文件大小和程序證書之一。根據(jù)本發(fā)明的一個(gè)方面，記錄安裝信息還包括計(jì)算安裝文件的散列計(jì)算值。
根據(jù)本發(fā)明的一個(gè)方面，記錄程序運(yùn)行信息至少包括記錄事件名稱，運(yùn)行時(shí)間，程序名稱，程序識(shí)別碼，調(diào)用的文件名稱，調(diào)用的文件識(shí)別碼之一。根據(jù)本發(fā)明的一個(gè)方面，記錄程序運(yùn)行信息還包括計(jì)算調(diào)用的文件的散列計(jì)算
值。 根據(jù)本發(fā)明的一個(gè)方面，記錄程序運(yùn)行信息還包括將程序所執(zhí)行的操作記錄編譯為事件記錄。根據(jù)本發(fā)明的一個(gè)方面，將多個(gè)程序的安裝信息和運(yùn)行信息分別編譯為數(shù)據(jù)報(bào)文后生成數(shù)據(jù)包。根據(jù)本發(fā)明的一個(gè)方面，所采用的技術(shù)方案是提供一種監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的系統(tǒng)，包括程序安裝監(jiān)測模塊，程序運(yùn)行監(jiān)測模塊，數(shù)據(jù)編譯模塊和數(shù)據(jù)發(fā)送模塊，程序安裝監(jiān)測模塊在移動(dòng)設(shè)備中實(shí)時(shí)運(yùn)行，記錄程序在移動(dòng)設(shè)備安裝的過程中產(chǎn)生的安裝信息，程序運(yùn)行監(jiān)測模塊在移動(dòng)設(shè)備中實(shí)時(shí)運(yùn)行，記錄程序在移動(dòng)設(shè)備運(yùn)行過程中產(chǎn)生的運(yùn)行信息，數(shù)據(jù)編譯模塊與程序安裝監(jiān)測模塊和程序運(yùn)行監(jiān)測模塊通信，數(shù)據(jù)編譯模塊讀取安裝信息和運(yùn)行信息，生成程序安裝報(bào)告和程序運(yùn)行報(bào)告，并將程序安裝報(bào)告和程序運(yùn)行報(bào)告打包；以及數(shù)據(jù)發(fā)送模塊與數(shù)據(jù)編譯模塊通信，數(shù)據(jù)發(fā)送模塊將含有程序安裝報(bào)告和程序運(yùn)行報(bào)告的數(shù)據(jù)包發(fā)送至服務(wù)器。本發(fā)明的有益效果在于，主動(dòng)分析軟件程序在移動(dòng)設(shè)備中的安裝過程和運(yùn)行過程，從而識(shí)別可能對移動(dòng)設(shè)備的安全構(gòu)成威脅的程序。本發(fā)明的有益效果還在于，對每個(gè)程序的安裝過程和運(yùn)行過程分別監(jiān)控，但是對多個(gè)程序的監(jiān)控記錄批量生成數(shù)據(jù)報(bào)文。


下面結(jié)合流程圖對本發(fā)明進(jìn)一步說明。圖I是本發(fā)明的監(jiān)測程序安裝和運(yùn)行的操作流程圖。圖2是本發(fā)明的程序運(yùn)行監(jiān)測流程的流程圖。圖3是本發(fā)明的多程序安裝和運(yùn)行監(jiān)測操作的流程圖。圖4是本發(fā)明的監(jiān)測程序安裝和運(yùn)行的系統(tǒng)示意圖。圖5是本發(fā)明的程序運(yùn)行監(jiān)測模塊的示意圖。
具體實(shí)施例方式本發(fā)明提供了一種監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法。通過監(jiān)控移動(dòng)設(shè)備中的程序安裝過程和程序運(yùn)行過程，主動(dòng)識(shí)別具有威脅的程序或病毒。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法。如流程圖I所示，在步驟S101，移動(dòng)設(shè)備安裝軟件程序。在不同的移動(dòng)設(shè)備操作系統(tǒng)平臺(tái)下，具體的安裝程序的格式可能不同。對應(yīng)于塞班操作系統(tǒng)平臺(tái)的安裝程序?yàn)镾IS或SISX文件，對應(yīng)于Android操作系統(tǒng)平臺(tái)的安裝程序?yàn)镹PK或APK文件，IOS操作系統(tǒng)平臺(tái)的安裝程序?yàn)閐eb, ipa和pxl文件。在步驟S103，程序安裝監(jiān)控模塊監(jiān)測軟件程序安裝過程。監(jiān)測安裝過程的包括獲取程序信息。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，以塞班系統(tǒng)為例，程序安裝監(jiān)控模塊需要調(diào)用操作系統(tǒng)的內(nèi)核模式，因?yàn)樵S多系統(tǒng)資源，例如安裝進(jìn)程的信息只有系統(tǒng)內(nèi)核才能訪問。通過Software Interrupt (軟中斷)相關(guān)API (應(yīng)用程序編程接口)讀取移動(dòng)設(shè)備系統(tǒng)內(nèi)存中安裝進(jìn)程相關(guān)的信息。具體而言，對應(yīng)于安裝成功的程序包的程序唯一標(biāo)識(shí)符，使用軟中斷函數(shù)獲得所有待監(jiān)測程序安裝包的屬性，如uid，名稱，發(fā)行者，版本號(hào)等等。以塞班系統(tǒng)的軟件程序Standard C++ library Common plugin為例，監(jiān)控模塊記錄該程序的如下信息，該應(yīng)用程序的WD (唯一標(biāo)識(shí)符，通常由一組一組8位字串組
成)-“200364e0”,該應(yīng)用程序的 名稱為 “Standard C++ library Common plugin”,該
應(yīng)用程序的版本號(hào)為“3. 23 (6) ”，該應(yīng)用程序的供應(yīng)商為“Nokia”，該安裝包隸屬關(guān)系——“main” (母安裝包),該安裝包的信任度,該安裝包的證書提供者“Beijing ShenzhouhaomiaoChemicals Product Sales Co. , Ltd. ”,證書發(fā)布“Symbian CA I” 以及該安裝包的散列計(jì)算值“PiZRyQjnwSOURcsRRtJ/eAkOhHE=”。根據(jù)本實(shí)施例，散列計(jì)算的算法采用SH-I算法，本領(lǐng)域普通技術(shù)人員可以理解的是，其他散列算法，如MD3或MD5同樣可以實(shí)現(xiàn)計(jì)算文件特征值的目的。在上述信息之外，程序安裝監(jiān)控模塊還記錄程序安裝后在移動(dòng)設(shè)備中復(fù)制/生成的文件。應(yīng)用上述例子，軟件程序Standard C++ library Common plugin安裝后在移動(dòng)設(shè)備中生成6個(gè)文件，6個(gè)文件的文件名以及其相應(yīng)的安裝路徑本別為
c:\System\Data\Dsez\Other\Init. inic:\System\Data\Dsez\Configue\pro3. sisxc:\sys\bin\200364E2. dllc:\resource\plugins\200364E2. rscc:\sys\bin\200364El. exec:\sys\bin\200364El. exe
在上述生成的文件中，200364E1. exe, 200364E1. exe是2個(gè)可執(zhí)行文件，200364E2.dll本身不能執(zhí)行，通過其他進(jìn)程加載可以執(zhí)行。針對安裝過程生成的可執(zhí)行文件，程序安裝監(jiān)控模塊還進(jìn)一步記錄可執(zhí)行文件的大小，可執(zhí)行文件的身份證明，安全標(biāo)識(shí)符，文件的散列計(jì)算值和文件能力代碼。以200364E2. dl I文件為例，該文件大小為“000003ec，，，唯一標(biāo)識(shí)符為“10009d8d”，安全標(biāo)識(shí)符為“200364e2”，散列計(jì)算值為“HVUxqB0zybmARBnYpkud2AU2sGc=” 以及文件能力代碼“l(fā)elb4”。在步驟S104，生成程序安裝報(bào)告。根據(jù)本實(shí)施例，所生成的程序安裝報(bào)告為XML格式，并且程序安裝報(bào)告以樹形格式記錄程序安裝信息。其中程序安裝報(bào)告的第一層記錄程序安裝包的信息，如應(yīng)用程序的身份證明，該應(yīng)用程序的名稱，該應(yīng)用程序的版本號(hào)，該應(yīng)用程序的供應(yīng)商，該安裝包隸屬關(guān)系，該安裝包的信任度，該安裝包的證書提供者，證書發(fā)布以及該安裝包的散列計(jì)算值。程序安裝報(bào)告的第二層記錄程序子安裝包的信息，如果該安裝包具有子安裝包。同樣，子安裝包的信息包括，安裝包的身份證明，應(yīng)用程序名稱，該安裝包隸屬關(guān)系，該安裝包的信任度，該安裝包的證書提供者，證書發(fā)布以及該安裝包的散列計(jì)算值。程序安裝報(bào)告的第三層記錄安裝過程所復(fù)制/生成的文件的信息。在步驟S102，移動(dòng)設(shè)備初次運(yùn)行新安裝的軟件程序。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，可以由操作人員在移動(dòng)設(shè)備的人機(jī)界面點(diǎn)擊軟件程序的圖標(biāo)初次運(yùn)行相應(yīng)的軟件程序?？蛇x的，軟件程序的初次運(yùn)行自安裝結(jié)束后自動(dòng)開始。
在步驟S105，程序運(yùn)行監(jiān)測模塊監(jiān)測移動(dòng)設(shè)備當(dāng)前運(yùn)行的軟件。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，以塞班系統(tǒng)為例，利用塞班系統(tǒng)所提供的RapaLsSession類，可以獲得系統(tǒng)中運(yùn)行的進(jìn)程的具體信息。如圖2所示，該過程具體包括如下流程。在步驟S201，創(chuàng)建系統(tǒng)內(nèi)核調(diào)用對象，例如RapaLsSession對象。在步驟S202,記錄系統(tǒng)當(dāng)前運(yùn)行的任務(wù)數(shù)目。在步驟S203，獲得全部運(yùn)行任務(wù)的初步信息。在步驟S204，遍歷系統(tǒng)所有的運(yùn)行任務(wù)。在步驟S205，獲取每一個(gè)任務(wù)的具體信息，包括任務(wù)的唯一標(biāo)識(shí)符，任務(wù)的進(jìn)程標(biāo)識(shí)符，任務(wù)進(jìn)程所占有的內(nèi)存大小信息，任務(wù)的運(yùn)行時(shí)間以及任務(wù)的具體操作，如讀取，復(fù)制或刪除等。在步驟S206，每獲得一個(gè)任務(wù)的具體信息，將其具體信息添加入列表，以便顯示。在步驟S207，刷新系統(tǒng)運(yùn)行任務(wù)信息，并在下一系統(tǒng)時(shí)刻遍歷系統(tǒng)所有的運(yùn)行任務(wù)。重復(fù)上述過程，即可得到系統(tǒng)中的任務(wù)在一個(gè)時(shí)間段內(nèi)的運(yùn)行記錄。除了系統(tǒng)中的進(jìn)程，某些exe程序作為獨(dú)立的應(yīng)用程序可單獨(dú)在移動(dòng)設(shè)備中運(yùn)行，采用上述步驟，對exe程序的運(yùn)行分別記錄。上述步驟描述了塞班系統(tǒng)平臺(tái)下的監(jiān)測實(shí)例，本領(lǐng)域普通技術(shù)人員可以理解，對應(yīng)于不同的操作系統(tǒng)平臺(tái)，為了實(shí)現(xiàn)本發(fā)明的目的，也可以用等效步驟替換上述步驟。如圖I所示，在步驟S104，用程序運(yùn)行監(jiān)測記錄生成程序運(yùn)行報(bào)告。根據(jù)本發(fā)明 的一個(gè)實(shí)施方式，程序運(yùn)行報(bào)告包括程序運(yùn)行所激發(fā)的具體事件的記錄，如刪除文件，靜默安裝或發(fā)送短信等。某些事件反映系統(tǒng)中多個(gè)線程的運(yùn)行，例如在塞班系統(tǒng)中打開記事本這一事件與以下兩個(gè)線程相關(guān)，Z:\sys\bin\Notepad. exe 和 Z:\sys\bin\NpdViewer. exe。此外，同一類別的事件在不同操作系統(tǒng)中相應(yīng)的線程或exe程序也有所不同。因此，本發(fā)明采用預(yù)定義的規(guī)則將線程或exe程序的運(yùn)行歸類為事件。以S103步驟安裝的Standard C++ library Common plugin程序?yàn)槔?，程序運(yùn)行報(bào)告包括以下內(nèi)容
事件名稱獲取手機(jī)識(shí)別碼日期2011年3月22日時(shí)間17:39:40
母安裝包名稱Standard C++ library Common plugin 母安裝包識(shí)別碼200364e0 線程名稱C:\sys\bin\200364E0. exe 線程識(shí)別碼586
線程程序散列計(jì)算值qHxc2aDDk+gk/Z2CgIKkT+0gHcM 執(zhí)行類型普通 事件名稱刪除文件
日期2011年3月22日 時(shí)間17:39:41
母安裝包名稱Standard C++ library Common plugin 母安裝包識(shí)別碼200364e0 線程名稱C:\sys\bin\200364E0. exe 線程識(shí)別碼586
線程程序散列計(jì)算值qHxc2aDDk+gk/Z2CgIKkT+0gHcM 執(zhí)行類型刪除服務(wù)根據(jù)本實(shí)施例，所生成的程序運(yùn)行報(bào)告為XML格式，并且報(bào)告文檔為二維結(jié)構(gòu)。其中程序安裝報(bào)告的第一維度方向按照事件發(fā)生的時(shí)間順序排列不同的事件以及相關(guān)信息。報(bào)告的第二維度方向按照程序的類別排列同一程序觸發(fā)的不同事件以及相關(guān)信息。在步驟S107，生成數(shù)據(jù)包。步驟S106和S104步驟分別生成的程序安裝報(bào)告和程序運(yùn)行報(bào)告被合并生成數(shù)據(jù)包?？蛇x的，程序安裝報(bào)告和程序運(yùn)行報(bào)告分別對應(yīng)一個(gè)XML文件，2個(gè)文件壓縮為一個(gè)數(shù)據(jù)包，采用ZIP形式或RAR形式的壓縮文件。在步驟S108，移動(dòng)設(shè)備將所生成的數(shù)據(jù)包通過無線網(wǎng)絡(luò)傳輸至服務(wù)器端。根據(jù)本實(shí)施例，通過無線WIFI連接到一個(gè)HTTP服務(wù)器，通過HTTP文件傳輸協(xié)議將文件上傳到HTTP服務(wù)器中。然后HTTP服務(wù)器通過啟動(dòng)一個(gè)后臺(tái)進(jìn)程對上傳的文件進(jìn)行分析，并將分析結(jié)果保存到數(shù)據(jù)庫，并且HTTP服務(wù)還會(huì)與病毒數(shù)據(jù)庫和分析數(shù)據(jù)庫對接，樣本分析完成后，病毒分析師可以通過一個(gè)WEB頁面看到分析結(jié)果，而且可以很方便的提交病毒特征以及生成病毒分析報(bào)告?？蛇x的，移動(dòng)設(shè)備可采用GPRS，CDMAlx或3G網(wǎng)絡(luò)上行傳輸數(shù)據(jù)包至通信基站，由基站轉(zhuǎn)發(fā)給數(shù)據(jù)處理服務(wù)器。服務(wù)器接收數(shù)據(jù)包后進(jìn)行進(jìn)一步數(shù)據(jù)解壓，分析等操作。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，本發(fā)明可批量監(jiān)測軟件程序的安裝和運(yùn)行。如圖3所示，在步驟S301，批量準(zhǔn)備待監(jiān)測軟件程序?？蛇x的，在塞班系統(tǒng)中，將待監(jiān)測SISX安裝包批量復(fù)制到指定的文件目錄下，例如C:\data目錄下保存。在步驟S302，獲取待安裝文件的信息，生成文件列表，例如，程序1，程序2，…，程序N。在步驟S303，按照文件列表順序，執(zhí)行安裝。在步驟S305，針對安裝成功的SISX程序包，獲取程序安裝的相應(yīng)信息?？蛇x的，該步驟包括首先獲取成功安裝的程序包的UID (唯一標(biāo)識(shí)符)，并將WD讀出后記錄到一個(gè)安裝結(jié)果列表中，利用安裝結(jié)果列表中的WD，獲取安裝包的相關(guān)信息?？蛇x的，使用軟中斷函數(shù)獲取安裝結(jié)果列表中的安裝包的屬性，如WD，名稱，發(fā)行者，版本號(hào)，生成文件名稱，路徑等?？蛇x的，該步驟還包括獲取安裝包的散列計(jì)算值，以及安裝后生成的文件的散列計(jì)算值。在步驟S306，生成程序安裝報(bào)告。程序安裝報(bào)告包括監(jiān)測模塊所監(jiān)測到的程序安裝信息，如WD，名稱，發(fā)行者，版本號(hào)，生成文件名稱，路徑，安裝包的散列計(jì)算值，以及安裝后生成文件的散列計(jì)算值等。在步驟S304，運(yùn)行安裝結(jié)果列表中所列出的安裝成功的軟件程序。在步驟S307，程序運(yùn)行監(jiān)測模塊監(jiān)測程序的運(yùn)行。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，監(jiān)測過程具體包括如下流程。創(chuàng)建RapaLsSession對象,記錄系統(tǒng)當(dāng)前運(yùn)行的任務(wù)數(shù)目，獲得全部運(yùn)行任務(wù)的初步信息，遍歷系統(tǒng)所有的運(yùn)行任務(wù)，獲取每一個(gè)任務(wù)的具體信息，包括任務(wù)的唯一標(biāo)識(shí)符，任務(wù)的線程標(biāo)識(shí)符，任務(wù)線程所占有的內(nèi)存大小信息，任務(wù)的運(yùn)行時(shí)間以及任務(wù)的具體操作，如讀取，復(fù)制或刪除等，每獲得一個(gè)任務(wù)的具體信息，將其具體信息添加入列表，刷新系統(tǒng)運(yùn)行任務(wù)信息，并在下一系統(tǒng)時(shí)刻遍歷系統(tǒng)所有的運(yùn)行任務(wù)?？蛇x的，程序運(yùn)行監(jiān)測模塊在預(yù)定義的時(shí)間段內(nèi)持續(xù)運(yùn)行，從而不僅記錄程序初次啟動(dòng)時(shí)觸發(fā)的事件，而且可記錄程序運(yùn)行一段時(shí)間內(nèi)觸發(fā)的事件。在步驟S308，生成程序運(yùn)行報(bào)告。數(shù)據(jù)編譯模塊讀取程序運(yùn)行信息，并生成程序運(yùn)行報(bào)告。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，數(shù)據(jù)編譯模塊讀取程序運(yùn)行的記錄，并將程序運(yùn)行所調(diào)用的線程記錄匯總為事件觸發(fā)記錄。、
在步驟S309，數(shù)據(jù)編譯模塊將程序安裝報(bào)告和程序運(yùn)行報(bào)告打包。在步驟S310，數(shù)據(jù)發(fā)送模塊將含有程序安裝報(bào)告和程序運(yùn)行報(bào)告的數(shù)據(jù)包發(fā)送至服務(wù)器。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，待監(jiān)測的程序被批量安裝，并且任意一個(gè)待監(jiān)測的程序安裝結(jié)束后就被啟動(dòng)運(yùn)行。當(dāng)多個(gè)程序被安裝和運(yùn)行時(shí)，安裝和運(yùn)行過程可以同時(shí)進(jìn)行，例如當(dāng)程序I安裝結(jié)束后，運(yùn)行程序1，同時(shí)也開始安裝程序2，程序I的運(yùn)行監(jiān)測過程可以與程序2的安裝監(jiān)測過程同時(shí)進(jìn)行。可選的，依據(jù)移動(dòng)設(shè)備操作系統(tǒng)的不同，例如有的操作系統(tǒng)支持多任務(wù)方式，而有的操作系統(tǒng)只支持單一任務(wù)方式，本發(fā)明的程序安裝和運(yùn)行的監(jiān)測可以同時(shí)監(jiān)測多個(gè)程序的安裝和運(yùn)行，或者受限于操作系統(tǒng)平臺(tái)而只能依次監(jiān)測各個(gè)程序的安裝和運(yùn)行。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，可批量監(jiān)測軟件程序的安裝和運(yùn)行的系統(tǒng)如圖4所示。監(jiān)測軟件程序安裝和運(yùn)行的系統(tǒng)400包括程序安裝監(jiān)測模塊401，程序運(yùn)行監(jiān)測模塊402，數(shù)據(jù)編譯模塊403和數(shù)據(jù)發(fā)送模塊404。程序安裝監(jiān)測模塊401在移動(dòng)設(shè)備中持續(xù)運(yùn) 行，記錄程序在移動(dòng)設(shè)備安裝的過程中產(chǎn)生的安裝信息。根據(jù)本實(shí)施方式，程序安裝監(jiān)測模塊401可以與移動(dòng)設(shè)備通信，獲得待安裝程序包的的屬性，如唯一標(biāo)識(shí)符，名稱，發(fā)行者，版本號(hào)等等。程序運(yùn)行監(jiān)測模塊402在移動(dòng)設(shè)備中持續(xù)運(yùn)行，記錄程序在移動(dòng)設(shè)備運(yùn)行過程中產(chǎn)生的運(yùn)行信息。根據(jù)本實(shí)施方式，程序運(yùn)行監(jiān)測模塊402可記錄包括程序運(yùn)行所激發(fā)的具體事件的記錄，如刪除文件，靜默安裝或發(fā)送短信等。程序運(yùn)行監(jiān)測模塊402還可監(jiān)測程序的相關(guān)信息，如母安裝包名稱、母安裝包識(shí)別碼、線程名稱、線程識(shí)別碼、線程程序散列計(jì)算值以及執(zhí)行類型等信息。根據(jù)本發(fā)明的一個(gè)實(shí)施方式，程序運(yùn)行監(jiān)測模塊402包括系統(tǒng)內(nèi)核調(diào)用模塊501，系統(tǒng)內(nèi)核調(diào)用模塊501可以與移動(dòng)設(shè)備的操作系統(tǒng)內(nèi)核通信，獲取運(yùn)行的程序調(diào)用內(nèi)核的記錄。程序運(yùn)行監(jiān)測模塊還包括任務(wù)記錄模塊502，任務(wù)記錄模塊502與系統(tǒng)內(nèi)核調(diào)用模塊501通信，讀取運(yùn)行的程序調(diào)用內(nèi)核的記錄，摘錄其中的運(yùn)行任務(wù)的數(shù)目，并保存記錄。程序運(yùn)行監(jiān)測模塊402還包括初步信息記錄模塊503，初步信息記錄模塊與系統(tǒng)內(nèi)核調(diào)用模塊501通信，并記錄全部任務(wù)的初步信息。程序運(yùn)行監(jiān)測模塊402還包括任務(wù)遍歷模塊504，任務(wù)遍歷模塊504與任務(wù)記錄模塊502和內(nèi)核調(diào)用模塊通信，任務(wù)遍歷模塊504讀取任務(wù)數(shù)目和初步信息的記錄，并使內(nèi)核調(diào)用模塊501遍歷所有的任務(wù)。程序運(yùn)行監(jiān)測模塊402還包括詳細(xì)信息記錄模塊505，詳細(xì)信息記錄模塊505與系統(tǒng)內(nèi)核調(diào)用模塊501通信，記錄每一個(gè)任務(wù)的詳細(xì)信息，例如，記錄任務(wù)的唯一標(biāo)識(shí)符，任務(wù)的進(jìn)程標(biāo)識(shí)符，任務(wù)進(jìn)程所占有的內(nèi)存大小信息，任務(wù)的運(yùn)行時(shí)間以及任務(wù)的具體操作，如讀取，復(fù)制或刪除等。程序運(yùn)行監(jiān)測模塊402還包括刷新模塊506，刷新模塊506與任務(wù)遍歷模塊504通信，當(dāng)全部任務(wù)的詳細(xì)信息記錄完成后，刷新模塊506觸發(fā)任務(wù)遍歷模塊504，再次遍歷全部任務(wù)。根據(jù)本發(fā)明的一個(gè)事實(shí)方式，刷新模塊506根據(jù)預(yù)定時(shí)間間隔觸發(fā)任務(wù)遍歷模塊504。如圖4所示，數(shù)據(jù)編譯模塊403與程序安裝監(jiān)測模塊401和程序運(yùn)行監(jiān)測模塊402通信。數(shù)據(jù)編譯模塊403從程序安裝監(jiān)測模塊401和程序運(yùn)行監(jiān)測模塊402分別讀取安裝信息和運(yùn)行信息，生成程序安裝報(bào)告和程序運(yùn)行報(bào)告，并將程序安裝報(bào)告和程序運(yùn)行報(bào)告打包。數(shù)據(jù)發(fā)送模塊404與數(shù)據(jù)編譯模塊403通信，數(shù)據(jù)發(fā)送模塊將含有程序安裝報(bào)告和程序運(yùn)行報(bào)告的數(shù)據(jù)包發(fā)送至服務(wù)器。
根據(jù)本發(fā)明的一個(gè)實(shí)施方式，系統(tǒng)400還包括待監(jiān)測安裝文件存儲(chǔ)器411，安裝文件信息讀取模塊412和批量安裝模塊413。待監(jiān)測安裝文件存儲(chǔ)器411可存儲(chǔ)許多待監(jiān)測的軟件安裝文件。安裝文件信息讀取模塊412與待監(jiān)測安裝文件存儲(chǔ)器411通信，并讀取待監(jiān)測安裝文件存儲(chǔ)器411中的全部安裝文件信息，生成程序列表。批量安裝模塊413與安裝文件信息讀取模塊412通信，并根據(jù)程序列表安裝軟件程序。為了說明本發(fā)明的目的，不可能在此陳述裝置或方法的每一個(gè)組合，但本領(lǐng)域的技術(shù)人員會(huì)意識(shí)到本發(fā)明尚可能有許多更進(jìn)一步的組合和 修改。因此，本發(fā)明意在涵蓋所有此類的變更、修正及變化，例如依據(jù)移動(dòng)設(shè)備操作系統(tǒng)的不同，例如有的操作系統(tǒng)支持多任務(wù)方式，而有的操作系統(tǒng)只支持單一任務(wù)方式，本發(fā)明的程序安裝和運(yùn)行的監(jiān)測可以同時(shí)監(jiān)測多個(gè)程序的安裝和運(yùn)行，或者受限于操作系統(tǒng)平臺(tái)而只能依次監(jiān)測各個(gè)程序的安裝和運(yùn)行。此外，雖然本發(fā)明某個(gè)特定的特征可能依據(jù)各種實(shí)現(xiàn)方式中的一種而被披露，這個(gè)特征可以與其它實(shí)施方式中的其它特征進(jìn)行結(jié)合。
權(quán)利要求
1.一種監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的方法，其特征在于包括以下步驟 在移動(dòng)設(shè)備上安裝程序，記錄安裝信息并生成程序安裝報(bào)告； 運(yùn)行安裝后的程序，記錄程序運(yùn)行信息并生成程序運(yùn)行報(bào)告； 將安裝報(bào)告和運(yùn)行報(bào)告打包并發(fā)送至服務(wù)器端；以及 服務(wù)器端對安裝信息和運(yùn)行信息進(jìn)行分析。
2.根據(jù)權(quán)利要求I所述的監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法，記錄安裝信息至少包括安裝包的結(jié)構(gòu)，安裝后生成程序名，程序識(shí)別代碼，文件名，文件路徑，文件大小和程序證書其中之一。
3.根據(jù)權(quán)利要求2所述的監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法，記錄安裝信息 還包括計(jì)算安裝文件的散列計(jì)算值。
4.根據(jù)權(quán)利要求I所述的監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法，記錄程序運(yùn)行信息至少包括記錄事件名稱，運(yùn)行時(shí)間，程序名稱，程序識(shí)別碼，調(diào)用的文件名稱，調(diào)用的文件識(shí)別碼其中之一。
5.根據(jù)權(quán)利要求4所述的監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法，記錄程序運(yùn)行信息還包括計(jì)算調(diào)用的文件的散列計(jì)算值。
6.根據(jù)權(quán)利要求4所述的監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法，記錄程序運(yùn)行信息還包括將程序所執(zhí)行的操作記錄編譯為事件記錄。
7.根據(jù)權(quán)利要求6所述的監(jiān)測移動(dòng)設(shè)備中程序安裝和進(jìn)程運(yùn)行的方法，將多個(gè)程序的安裝信息和運(yùn)行信息分別編譯為數(shù)據(jù)報(bào)文后生成數(shù)據(jù)包。
8.—種監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的系統(tǒng)，包括程序安裝監(jiān)測模塊，程序運(yùn)行監(jiān)測模塊，數(shù)據(jù)編譯模塊和數(shù)據(jù)發(fā)送模塊； 所述程序安裝監(jiān)測模塊在移動(dòng)設(shè)備中實(shí)時(shí)運(yùn)行，記錄程序在移動(dòng)設(shè)備安裝的過程中產(chǎn)生的安裝信息； 所述程序運(yùn)行監(jiān)測模塊在移動(dòng)設(shè)備中實(shí)時(shí)運(yùn)行，記錄程序在移動(dòng)設(shè)備運(yùn)行過程中產(chǎn)生的運(yùn)行信息； 所述數(shù)據(jù)編譯模塊與程序安裝監(jiān)測模塊和程序運(yùn)行監(jiān)測模塊通信，數(shù)據(jù)編譯模塊讀取安裝信息和運(yùn)行信息，生成程序安裝報(bào)告和程序運(yùn)行報(bào)告，并將程序安裝報(bào)告和程序運(yùn)行報(bào)告打包；以及 所述數(shù)據(jù)發(fā)送模塊與數(shù)據(jù)編譯模塊通信，數(shù)據(jù)發(fā)送模塊將含有程序安裝報(bào)告和程序運(yùn)行報(bào)告的數(shù)據(jù)包發(fā)送至服務(wù)器。
9.根據(jù)權(quán)利要求8的監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的系統(tǒng)，所述程序運(yùn)行監(jiān)測模塊將程序所執(zhí)行的操作記錄編譯為事件記錄。
10.根據(jù)權(quán)利要求8的監(jiān)測移動(dòng)設(shè)備中程序安裝和程序運(yùn)行的系統(tǒng)，所述數(shù)據(jù)編譯模塊將多個(gè)程序的安裝報(bào)告和運(yùn)行報(bào)告生成數(shù)據(jù)包。
全文摘要
本發(fā)明提供一種監(jiān)測移動(dòng)設(shè)備中程序安裝和運(yùn)行的方法和系統(tǒng)。該方法包括在移動(dòng)設(shè)備上安裝程序并記錄安裝信息，運(yùn)行安裝后的程序并記錄程序運(yùn)行信息，將安裝信息和運(yùn)行信息打包并發(fā)送至服務(wù)器端，服務(wù)器端對安裝信息和運(yùn)行信息進(jìn)行分析。本發(fā)明的有益效果在于，主動(dòng)發(fā)現(xiàn)病毒并且通過手機(jī)的全部的現(xiàn)實(shí)功能監(jiān)測病毒威脅。
文檔編號(hào)G06F21/00GK102789559SQ20111013248
公開日2012年11月21日 申請日期2011年5月20日 優(yōu)先權(quán)日2011年5月20日
發(fā)明者張揚(yáng), 施華國, 林宇, 鄒仕洪 申請人:北京網(wǎng)秦天下科技有限公司