肖榮 陸晉軍 馬思峻

摘要：隨著移動互聯(lián)網(wǎng)的飛速發(fā)展，移動辦公已經(jīng)成為政府、企業(yè)提供業(yè)務和服務的最主要的方式。本文研究了一種基于分層保護技術的移動應用安全保護方法，實現(xiàn)對移動應用的多層次的保護。

Abstract： With the rapid development of mobile Internet， mobile application has become the key way for the government and enterprises to provide business and services. In the paper， a method of mobile security protection based on multi-level protection is studied and realized.

關鍵詞：移動應用安全;惡意軟件;Hook;ASM;移動設備管理

Key words： mobile application security;malicious software;Hook;ASM;mobile device management

中圖分類號：TP316? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 文章編號：1006-4311（2020）21-0176-03

0? 引言

隨著移動互聯(lián)網(wǎng)的飛速發(fā)展，移動辦公日漸興起，智能手機、Pad等移動設備已經(jīng)成為企業(yè)業(yè)務承載和個人日常生活的最主要的載體。在移動設備中，存貯了企業(yè)辦公所需的郵件、數(shù)據(jù)、通信錄、照片、視頻等重要信息。頻繁的網(wǎng)絡交互以及使用第三方移動應用等，使得移動設備被入侵、被惡意應用程序竊取信息等風險越來越大，給企業(yè)、個人的信息安全帶來巨大的安全隱患。

企業(yè)移動辦公面臨的風險主要包括以下幾個方面：

1? 無法定位移動應用故障和性能問題

企業(yè)自有移動應用的來源主要包括自有開發(fā)和委托第三方開發(fā)。移動應用的開發(fā)因為技術能力的差異，經(jīng)常會面臨移動應用的開發(fā)的質(zhì)量問題，造成移動應用的閃退、無響應、耗電量高、流量開銷大等問題，甚至出現(xiàn)安全風險和隱患，從而導致用戶體驗下降，故障、性能和安全問題是企業(yè)自有移動應用面臨的主要問題。

2? 使用第三方移動應用帶來信息安全問題

移動應用的環(huán)境過于開放，使得在使用第三方的移動應用時，容易產(chǎn)生安全隱患，發(fā)生數(shù)據(jù)泄露。根據(jù)工信部發(fā)布的報告中[1]，多款APP涉嫌侵犯用戶的隱私，其中主要包括：私自啟用設備功能進行竊聽、非法訪問照片和通信錄、偷傳移動設備信息等問題。因此，需要對第三方移動應用的進行安全運行環(huán)境，限制第三方APP非授權訪問移動設備的通信錄、語音、攝像頭等功能，防止偷取、竊聽、篡改用戶的信息，保障移動環(huán)境下的企業(yè)移動辦公的安全[2]。

3? 移動設備丟失造成數(shù)據(jù)泄密問題

移動性、便攜性是移動辦公的最大優(yōu)勢，但同時也使移動設備存在丟失的風險。一旦包含敏感信息的政務、企業(yè)移動辦公的設備丟失，則可能造成信息泄露，并可能成為被攻擊的漏洞。

因此，對政務、企業(yè)的移動辦公的安全防護，重點在于保障移動應用安全、移動運行環(huán)境安全和移動設備安全。

3.1 基于Hook技術的安全運行環(huán)境

Hook技術是一種用于監(jiān)控Windows系統(tǒng)消息的技術。Hook技術能夠在功能函數(shù)執(zhí)行前，過濾一些關鍵函數(shù)調(diào)用，使得系統(tǒng)先執(zhí)行自己的掛鉤函數(shù)，從而達到監(jiān)控系統(tǒng)函數(shù)調(diào)用，改變被鉤函數(shù)功能的目的。

根據(jù)操作系統(tǒng)訪問權限的不同，Hook技術主要分為兩種不同的類型：內(nèi)核級Hook和用戶級Hook。其中，用戶級Hook工作在操作系統(tǒng)的用戶層，主要通過動態(tài)鏈接庫注入和導入地址表的方式進行Hook，即將動態(tài)鏈接庫注入到用戶空間進程，修改導入地址表，將截取的目標函數(shù)的地址修改為鉤子函數(shù)的地址進而達到Hook的目的。（圖1）

基于Android平臺Hook技術的研究主要集中在用戶級Hook。根據(jù)不同運行時體系結構，搜索目標函數(shù)在內(nèi)存中的入口地址，通過修改目標函數(shù)方法結構體中函數(shù)地址值，進行Dex Hook函數(shù)加載及函數(shù)Hook，完成運行時Hook過程。通過Hook技術實現(xiàn)對Android終端的安全保護，混合支持Android Dalvik和Android ART虛擬機[3]，實現(xiàn)智能終端的安全保護。通過動態(tài)獲取目標函數(shù)修改目標內(nèi)存塊的讀取權限，將該內(nèi)存塊存儲的目標函數(shù)入口地址替換成自定義函數(shù)地址，當應用調(diào)用目標函數(shù)時，最終會執(zhí)行自定義函數(shù)，自定義函數(shù)中加入了安全保護代碼，執(zhí)行結束后再跳轉(zhuǎn)到原有目標函數(shù)入口地址，從而實現(xiàn)將應用程序中的目標函數(shù)入口地址改變?yōu)殂^子函數(shù)的地址達到Hook的目的。

通過Hook技術，可以對需要使用的第三方應用進行防護，對于移動設備中重要的系統(tǒng)級調(diào)用進行保護，通過Hook對這些系統(tǒng)級調(diào)用進行加“殼”保護，使用自定義的函數(shù)，來進行授權、執(zhí)行、記錄等操作，可以禁止第三方應用私自調(diào)用這些功能和接口，并對每一次系統(tǒng)級調(diào)用進行記錄，從而防止第三方移動應用非法竊取移動設備上的用戶數(shù)據(jù)隱私，并保留可以進行系統(tǒng)安全審計和追溯的痕跡。

3.2 面向切面編程技術的移動應用監(jiān)控

基于字節(jié)碼增強方法，使用面向切面編程技術，對已有應用的Android源代碼進行預編譯處理，在應用編譯打包時，實現(xiàn)在不需要源代碼的情況下，給程序動態(tài)統(tǒng)一添加探針代碼，實現(xiàn)對已有的移動應用增加移動應用實時監(jiān)控能力，實現(xiàn)移動應用的業(yè)務邏輯和系統(tǒng)監(jiān)控保護服務的分離。

基于字節(jié)碼增強方法，通過java rewriter重寫jar包，匹配類名和方法名注入替換類和替換方法。具體如圖2。

在被監(jiān)測的移動應用側，在Java虛擬機中部署Agent代理，應用程序加載入JVM時，Agent使用Java字節(jié)碼操縱框架ASM修改加載入JVM的Class類，動態(tài)插入采集應用程序運行時各種事件和測量值的代碼，新增代碼執(zhí)行獲取各項數(shù)據(jù)后發(fā)送至監(jiān)控平臺側。

通過遵循ASM方法[4]，建立字節(jié)碼轉(zhuǎn)換適配器Class Visitor Factory，在Class Visitor Factory中創(chuàng)建類適配器Class Adapter，并在類適配器Class Adapter中創(chuàng)建類方法轉(zhuǎn)換工廠Method Visitor Factory，類方法轉(zhuǎn)換工廠中創(chuàng)建Method Visitor對象，Method Visitor對象實現(xiàn)on Method Enter方法，on Method Enter方法調(diào)用Invocation? Dispatcher類的invoke函數(shù)。

其中，上述java rewriter重寫jar包，具體如下：Invoke函數(shù)負責替換Android SDK和第三方類庫，使用Decorator模式按照順序替換應用管理、Activity（頁面）、異步任務、剪貼板、USB、藍牙等安全保護相關的類，對應的Class Visitor分別為Package Manager Class Visitor、Activity Class Visitor、Async Task Class Visitor、Clipboard Service Class Visitor、Device Manager Class Visitor、Location Manager Class Visitor，這些類使用ASM技術替換需要移動應用安全保護的類和方法，重寫jar包中包含配置文件說明原有方法和替換方法的對應關系和替換方式，Jvm加載原有類的方法時，根據(jù)方法名在配置文件進行查找，如果發(fā)現(xiàn)有替換的方法，就替換原有方法的字節(jié)碼，替換的字節(jié)碼中包含原有代碼的執(zhí)行邏輯和新增的安全保護代碼。

通過面向切面的編程技術，可以有效的監(jiān)控移動應用，對移動應用中的內(nèi)存、數(shù)據(jù)庫、線程以及特定的函數(shù)的使用情況，可以進行感知和分析，進而進行調(diào)用鏈分析。在移動應用出現(xiàn)問題的時候，可以進行相應的代碼段定位，從而實現(xiàn)移動應用的精確的故障診斷，可以有效的改善移動應用的質(zhì)量，提升移動應用的安全性。

3.3 移動應用分層安全保護框架

為了保證政務、企業(yè)移動辦公的移動應用安全、移動運行環(huán)境安全和移動設備安全?？梢詮牟僮飨到y(tǒng)內(nèi)核層、虛擬機層和應用層提供混合保護機制。在內(nèi)核層，進行內(nèi)核函數(shù)的交互控制;在JVM層，監(jiān)控移動應用的故障和性能;在應用層，基于MDM協(xié)議，對移動應用進行設備和應用的遠程管理。移動辦公安全的混合保護框架如圖3所示。

3.3.1 基于內(nèi)核層的保護

內(nèi)核層是移動應用最終通過與操作系統(tǒng)內(nèi)核的交互實現(xiàn)其功能，在內(nèi)核層，通過Hook技術，對重要的方法進行重構，從而可以構建移動辦公安全保護殼。通過Hook技術，實現(xiàn)移動應用與內(nèi)核層交互的調(diào)用方法保護，包括文件讀取、數(shù)據(jù)加密、網(wǎng)絡控制等功能。

通過Hook技術，還能在內(nèi)核層對移動設備的各種硬件驅(qū)動進行管理，如錄音、攝像頭、Wifi、藍牙、USB等，從內(nèi)核層安全實時的響應管理平臺下發(fā)的各種策略。

3.3.2 基于JVM的保護

在JVM層，通過字節(jié)碼增強方法，基于面向切面的編程技術，未移動應用加載探針，可以在虛擬機層面的函數(shù)方法上進行監(jiān)控，對移動應用進行實時數(shù)據(jù)的采集，及時準確發(fā)現(xiàn)移動應用的故障和性能，并進行精確定位問題代碼。

通過利用移動應用的監(jiān)控，對涉及的多級函數(shù)調(diào)用進行調(diào)用鏈分析，可以及時發(fā)現(xiàn)和預警移動應用存在的安全和性能問題。

3.3.3 基于應用層的保護

在應用層，基于MDM移動設備管理協(xié)議，可以對在使用層面對移動應用進行控制，通過移動應用的名單制管理，控制企業(yè)允許使用的各種應用，未得到授權的移動應用在移動設備上將被禁止運行，對非授權的移動應用，企業(yè)可以進行遠程靜默刪除。

此外，在應用層，可以遠程進行鎖屏、恢復出廠設置、更改密碼和數(shù)據(jù)擦除等，在設備丟失等情況下，保護終端設備的數(shù)據(jù)安全。

4? 結束語

隨著移動互聯(lián)網(wǎng)的飛速發(fā)展，移動辦公已經(jīng)成為政務、企業(yè)開展業(yè)務和服務的最主要的方式。隨身攜帶的設備、無處不在的網(wǎng)絡、不同來源的應用，使得政務、企業(yè)的關鍵業(yè)務和核心數(shù)據(jù)也必然將面臨更多的風險。通過對移動辦公進行分層混合保護管理，加強對企業(yè)自有移動應用的監(jiān)控、對第三方移動應用安全的使用限制、對設備上的數(shù)據(jù)安全有效的管理，實現(xiàn)對移動辦公的全方位、多層次的保護，具有十分重要的價值和社會效益。

參考文獻：

[1]關于侵害用戶權益行為的APP通報（2020年第一批）[EB/OL]. 2020-05-15.http：//www.miit.gov.cn/n1146290/n1146402/c7911974/content.html.

[2]徐震，張妍. 面向政務領域移動辦公的安全移動終端防護技術分析與研究[J].保密科學技術，2020（3）：7-11.

[3]侯留洋，羅森林，潘麗敏，張笈.融合多特征的Android 惡意軟件檢測方法[J].信息網(wǎng)絡安全，2020（1）：67-74.

[4]程龍，李冶.應用ASM修改JAVA字節(jié)碼[J].信息與電腦（理論版），2011（5）：124-126.