基于行为特征值序列匹配的Android恶意应用检测系统计算机分析

本文是一篇计算机论文，本文以行为特征值序列匹配的方法作为理论依据，实现了一个 C/S 检测系统。该系统分为客户端与服务器两个主要部分。客户端的是一个 Android 沙箱系统，该系统一共有远程注入模块，Hook 模块，动态检测模块，自动化模拟模块 4 个模块，用于监听并收集检测对象的在用户使用检测对象时产生的行为，并将收集到的行为排列组合为行为特征值序列，并将其上传到服务器端。而服务器端则有数据库模块，数据预处理模块，数据分析模块 3 个模块。在服务器端实现的功能为，从恶意样本中得到每种恶意行为类型对应的恶意行为特征值序列表，并且将此表中的恶意行为特征值序列与客户端上传到检测对象的行为特征值序列进行匹配比较，并将匹配结果输出打印，得到最终的检测结果。

1绪论


3  恶意软件检测方案设计…………………………..15
3.1  检测方案的设计思路…………………………...15
3.2  核心检测算法设计…………………………...17 
4  检测系统的实现……………………………..34
4.1  客户端的实现……………………...34
4.2  服务器端的实现………………………...40
5  实验评估………………………………..45
5.1  实验样本………………………………...45
5.2  实验环境……………………...46

5  实验评估

5.1  实验样本
实验样品主要有 2 个分为两个部分。第一部分是来自数据库中的应用样本表中的应用样品，该表中的实体是带有恶意行为的应用样品，此表中的应用来源主要有 2 种。第一种是从已经的其他应用样品数据库中存储，本文实验所用到的应用是来自 Arp[43]等人所收集的恶意应用样品，样本的数量为 5560 个 Android 恶意应用样本，而且对应每一个恶意样本，带标明了恶意软件家族的名字。对此5560 个应用进行家族统计后，可以得到每一种恶意行为种类（恶意家族）的数量。如表所示。
表 5-1 中是 5560 个样本统计出的所有恶意软件种类，此表涵盖的恶意应用种类属于比较全面。作为基础的恶意行为表。其中的 id 作为恶意行为表中的实体的 id 属性，实验中的恶意行为特征表中的所有基础的恶意行为的行为特征值序列皆由以上的应用样本利用最长子序列算法计算得出。

............................

6  总结与展望

6.1  论文总结
由于 Android 系统智能手机的普及，导致越来越多的 Android 的恶意应用的出现，对 Android 智能手机的使用者造成威胁，潜在损害其利益的风险。虽然现今有很多成熟的检测系统，但是 Android 恶意应用的反检测能力也越来越强，只利用静态检测已经无法准确地检测出恶意软件。