一种基于信号处理机制的反调试方法和装置与流程

本申请涉及计算机技术领域，尤其涉及一种基于信号处理机制的反调试方法和装置。

背景技术：

随着移动互联网产业的快速发展，移动应用程序呈井喷式爆发，其中，基于安卓系统开发的安卓应用程序也越来越多，为便于描述下文将安卓应用程序简称为应用程序。

由于安卓系统本身具有开源特性，应用程序非常容易遭受木马的侵袭和被盗版，应用程序正逐渐取代电脑端程序成为黑客攻击的主要对象。

现有技术中，应用程序攻击者可以利用调试器跟踪应用程序的运行，查看、修改应用程序的内存代码和数据，分析目标应用程序的程序逻辑，从而可以对应用程序进行攻击和破解。

技术实现要素：

本申请实施例提供一种基于信号处理机制的反调试方法，用于解决现有技术中应用程序攻击者可以利用调试器对目标应用进行攻击和破解的问题。

本申请实施例还提供一种基于信号处理机制的反调试装置，用于解决现有技术中应用程序攻击者可以利用调试器对目标应用进行攻击和破解的问题。

本申请实施例采用下述技术方案：

一种基于信号处理机制的反调试方法，包括：

通过应用程序的主进程创建监控进程；

通过所述监控进程捕获状态信号，所述状态信号中包含所述主进程的进程状态；

若确定所述状态信号中包含的进程状态是预设状态，则终止所述主进程，所述预设状态，为所述应用程序被外部进程调试或被外部进程试图调试的状态。

优选的，所述状态信号，由所述监控进程通过目标应用程序接口捕获。

优选的，所述目标应用程序接口，采用下述方式接收所述状态信号：

通过钩子函数获取操作系统发出的信号；

通过所述目标应用程序接口捕获所述信号中的所述状态信号。

优选的，在通过目标应用程序接口接收所述状态信号后，所述方法还包括：

通过预设的系统宏定义函数确定所述状态信号中包含的进程状态。

优选的，所述监控进程由所述应用程序的主进程通过fork()函数创建。

一种基于信号处理机制的反调试装置，包括：

进程创建单元，用于通过应用程序的主进程创建监控进程；

信号捕获单元，用于通过所述监控进程捕获状态信号，所述状态信号中包含所述主进程的进程状态；

进程终止单元，用于若确定所述状态信号中包含的进程状态是预设状态，则终止所述主进程，所述预设状态，为所述应用程序被外部进程调试或被外部进程试图调试的状态。

优选的，所述状态信号，由所述监控进程通过目标应用程序接口捕获。

优选的，所述目标应用程序接口，采用下述方式接收所述状态信号：

通过钩子函数获取操作系统发出的信号；

通过所述目标应用程序接口捕获所述信号中的所述状态信号。

优选的，在通过目标应用程序接口接收所述状态信号后，所装置还包括：

状态确定单元，用于通过预设的系统宏定义函数确定所述状态信号中包含的进程状态。

优选的，所述监控进程由所述应用程序的主进程通过fork()函数创建。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：

本申请中，由于能够通过应用程序的主进程创建监控进程，通过该监控进程捕获状态信号，该状态信号中包含应用程序主进程的进程状态，并在确定状态信号中包含的进程状态是预设状态时，即应用程序被外部进程调试或试图调试时，终止该主进程。这样当有其他外部进程调试或试图调试该应用程序的主进程时，便可以通过监控进程确定应用程序主进程的进程状态，进而终止应用程序的主进程，避免攻击者对该应用程序进程进行恶意攻击和破解。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的基于信号处理机制的反调试方法的实施流程示意图；

图2为本申请实施例提供的基于信号处理机制的反调试装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

如背景技术所述，由于安卓系统本身具有开源特性，安卓应用程序攻击者为获取安卓应用程序中包含的数据，往往会对安卓应用程序进行恶意攻击，安卓软件逆向技术也逐渐被这些攻击者恶意利用。在安卓软件逆向技术中，安卓调试技术是一个非常重要的组成部分，通过进行安卓应用程序的调试，可以得到安卓应用程序的运行流程，推断出安卓应用程序的基本原理，通常可以非常顺利且快速地绕过一些登录限制或功能限制，获取到一些用户的私密信息，具有较大的危害。

攻击者在对应用程序进行调试时，通常是对应用程序对应的进程进行调试，从广义上而言，进程是一个具有一定独立功能的程序关于某个数据集合的几次运行活动，它是操作系统动态执行的基本单元，在传统的操作系统中，进程既是基本的分配单元，也是基本的执行单元。由于每个进程都有自己的地址空间，通常包括文本区域(textregion)、数据区域(dataregion)和堆栈(stackregion)，其中，文本区域存储处理器执行的代码，数据区域存储变量和进程执行期间使用的动态分配的内存，堆栈区域存储着进程活动过程调用的指令和本地变量，因此一旦某个应用程序的进程被攻击者进行恶意攻击和破解，便能够获取该应用程序的关键信息和数据。

需要说明的是，本申请实施例中的调试可以是利用程序语言提供的调试功能、或者专门的调试工具来分析应用程序的行为。

为解决现有技术中应用程序攻击者可以利用调试器对目标应用进行恶意攻击和破解的问题，本申请实施例提供一种基于信号处理机制的反调试的方法，该方法的执行主体，但不限于手机、平板电脑、个人电脑(personalcomputer，pc)等能够被配置为执行本申请实施例提供的方法的应用程序中的至少一种，或者该方法的执行主体，还可以是实现本申请提供的通过基于信号处理机制的反调试方法的应用程序本身。为便于描述，下文以该方法的执行主体是应用程序为例，对该方法的实施方式进行介绍。可以理解，该方法的执行主体为应用程序只是一种示例性的说明，并不应理解为对该方法的限定。

本申请提供的基于信号处理机制的反调试方法的实现流程示意图如图1所示，包括下述步骤：

步骤11，通过应用程序的主进程创建监控进程；

本申请实施例中，主进程也可以称为父进程，通常可以是可以创建一个或多个子进程的进程。子进程是由另一进程所创建的进程，子进程继承了对应的父进程的大部分属性，如文件描述符。在linux系统中，子进程往往是系统调用fork()函数创建的产物。一个进程可能下属多个子进程，但最多只能有1个父进程，而若某一进程没有父进程，则可知该进程很可能由内核直接生成。

在实际应用中，进程不是凭空创建的，每个进程都是由其父进程衍生而来的，在linux系统中，父进程通常可以使用fork()、vfork()或clone()等进程创建函数来创建子进程。本申请实施例中，主进程可以通过fork()函数来创建监控进程。其中，fork()函数可以通过系统调用，创建一个与调用fork()函数的父进程几乎完全相同的子进程，换言之，一个父进程调用fork()函数后，系统首先会给将要创建的监控进程分配资源，比如存储数据和代码的空间，然后将调用fork()函数的父进程的所有值都复制到将要创建的监控进程中，只有少数值与父进程的值不同，即相当于克隆了一个与父进程本身相同的监控进程。

由于安卓系统没有禁止用于调试的系统调用，攻击者利用恶意程序在拿到root权限的情况下，可以使用应用程序接口(applicationprograminterface，api)对应用程序的进程的内存、寄存器进行修改，以达到执行shellcode、注入恶意模块的目的。在注入恶意模块后，恶意模块就可以动态地获取内存中的各种敏感信息，例如应用程序用户的用户名和密码等重要信息和数据，为了避免这些问题，可以通过执行以下步骤对应用程序主进程的进程状态进行监控，从而阻止其他外部进程对应用程序主进程进行调试操作。

步骤12，通过监控进程捕获状态信号，该状态信号中包含主进程的进程状态；

由于linux系统中的信号可以根据功能进行区分，而对应于不同功能的信号则可以通过与该功能对应的应用程序接口来捕获，监控进程捕获状态信号，则可以通过目标应用程序接口捕获该状态信号，具体可以先通过钩子函数获取操作系统发出的信号，再通过目标应用程序接口捕获获取到的信号中的状态信号。

其中，状态信号，由监控进程通过目标应用程序接口捕获，在实际应用中，可以通过waitpid()接口函数来捕获状态信号。waitpid()接口函数中的变量往往有参数pid、status和options，其中，pid为进程识别码，status为进程结束状态值，options为额外的选项。waitpid()会暂时停止目前进程的执行，直到有信号来到或进程结束。如果在调用waitpid()时，进程已经结束，则waitpid()会立即返回该进程结束的状态值。该进程的结束状态值会由参数status返回，该进程的进程识别码pid也会一起返回。如果不在意进程的结束状态值，则参数status可以设置为null。

参数pid为进程识别码，该进程识别码为被捕获进程的进程识别码，其数值意义可以定义为：当pid<-1时，则可以表明被捕获进程的进程识别码为pid绝对值的任何进程；当pid＝-1时，则可以表明被捕获进程为任何进程；当pid＝0时，则可以表明被捕获进程的进程组识别码与目前进程相同的任何进程；当pid>0时，则可以表明被捕获进程的进程识别码为pid的进程。

参数options提供了一些额外的选项来控制waitpid()，参数option可以为0或可以用"|"运算符把这些额外的选项连接起来使用，比如：ret＝waitpid(-1，null，wnohang|wuntraced)，其中，wnohang表明若pid指定的进程没有结束，则waitpid()函数返回0，不予以等待；若结束，则返回该进程的id。wuntraced表明若进程进入暂停状态，则马上返回，但进程的结束状态不予以理会。如果不想使用这个参数，也可以把options设为0，比如：ret＝waitpid(-1，null，0)。

钩子函数，是消息处理机制的一部分，通过钩子函数可以获取操作系统发出的信号，比如应用程序主进程或其他进程的状态信号。在linux系统中，每个进程都有自己的独立的进程空间，可以通过系统调用，将钩子函数注入系统的进程中，每当有特定的消息发出时，钩子函数便可以先获取该消息，即钩子函数先得到控制权，这时，钩子函数既可以加工处理该消息，也可以不做处理而继续传递该消息，还可以强制结束该消息的传输。本申请实施例中的目标应用程序接口利用钩子函数可以获取系统中进程的消息的这一特征，通过钩子函数获取操作系统中进程发出的信号，然后，再通过目标应用程序接口即waitpid()接口函数捕获获取到的信号中的状态信号。

在通过目标应用程序接口接收状态信号后，为确定该状态信号中是否包含应用程序主进程被调试的状态，还可以通过预设的系统宏定义函数确定所述状态信号中包含的进程状态。

其中，通过预设的系统宏定义函数确定状态信号中包含的进程状态，既可以通过wifexited(status)、wifsignaled(status)、wifstopped(status)等系统宏定义函数来确定状态信号中包含的进程状态，也可以通过wtermsig(status)、wstopsig(status)等系统宏定义函数来确定进程状态。具体而言，wifexited(status)函数可以在正常终止应用程序主进程返回的状态下执行，捕获应用程序主进程传送给exit或_exit参数的低八位作为进程状态；wifsignaled(status)函数可以在异常终止进程返回的状态下执行，捕获应用程序主进程终止的信号编号作为进程状态；wifstopped(status)函数可以在当前暂停应用程序主进程的返回的状态下执行，取应用程序主进程暂停的信号编号作为进程状态。而wtermsig(status)函数则可以用于捕获进程因信号而中止的信号代码，一般而言，会先通过调用wifsignaled(status)来判断后才使用此系统宏定义函数；wstopsig(status)函数用于捕获引发进程暂停的信号代码，一般而言，会先通过调用wifstopped(status)来判断后才使用此系统宏定义函数。

步骤13，若确定状态信号中包含的进程状态是预设状态，则终止主进程。

其中，预设状态为应用程序被外部进程调试或者被外部进程试图调试的状态，本申请实施例中的预设状态表明应用程序被外部进程调试，或者应用程序有可能被外部进程调试，具体而言，预设状态，可以是应用程序的进程处于非正常运行的状态，比如正在被外部进程调试的状态，或者被外部进程调试导致的停止状态，这两种状态都会为攻击者破解和攻击应用程序提供便利。

为避免其他外部进程对应用程序的主进程进行调试，以及应用程序主进程处于停止状态后，会被攻击者破解，进而获取用户输入的账号、密码等重要信息，本申请实施例在通过预设的系统宏定义函数确定状态信号中包含的进程状态是预设状态时，则终止应用程序主进程。

本申请中，由于能够通过应用程序的主进程创建监控进程，通过该监控进程捕获状态信号，该状态信号中包含应用程序主进程的进程状态，并在确定状态信号中包含的进程状态是预设状态时，即应用程序被外部进程调试或试图调试时，终止该主进程。这样当有其他外部进程调试或试图调试该应用程序的主进程时，便可以通过监控进程确定应用程序主进程的进程状态，进而终止应用程序的主进程，避免攻击者对该应用程序进程进行恶意攻击和破解。

为解决现有技术中安卓应用攻击者可以利用调试器跟踪目标应用的运行，对应用程序进行攻击和破解的问题，基于与上述基于信号处理机制的反调试方法相同的发明构思，本申请实施例还提供一种基于信号处理机制的反调试装置，如图2所示，包括：

进程创建单元21，用于通过应用程序的主进程创建监控进程；

信号捕获单元22，用于通过所述监控进程捕获状态信号，所述状态信号中包含所述主进程的进程状态；

进程终止单元23，用于若确定所述状态信号中包含的进程状态是预设状态，则终止所述主进程，所述预设状态，为所述应用程序被外部进程调试的状态或被外部进程试图调试的状态。

上述装置实施例的具体工作流程是，首先，进程创建单元21，通过应用程序的主进程创建监控进程，然后，信号捕获单元22，通过所述监控进程捕获状态信号，所述状态信号中包含所述主进程的进程状态，最后，进程终止单元23，若确定所述状态信号中包含的进程状态是预设状态，则终止所述主进程，这样，当有其他外部进程调试或试图调试该应用程序的进程时，便可以通过监控进程检测到这一进程状态，进而终止该应用程序的主进程，从而能够避免攻击者对该应用程序进程进行恶意攻击和破解。

在一种实施方式中，由于linux系统中的信号类别是按照功能划分的，所述信号捕获单元22，用于：

通过目标应用程序接口捕获状态信号。

在一种实施方式中，所述信号捕获单元22，具体用于：

通过钩子函数获取包含所述状态信号的信号；

通过所述目标应用程序接口捕获所述信号中的状态信号。

在一种实施方式中，在通过目标应用程序接口接收状态信号后，所述装置还包括：

状态确定单元24，用于通过预设的系统宏定义函数确定所述状态信号中包含的进程状态。

在一种实施方式中，所述进程创建单元21，具体用于：

通过fork()函数创建所述监控进程。

本申请中，由于能够通过应用程序的主进程创建监控进程，通过该监控进程捕获状态信号，该状态信号中包含应用程序主进程的进程状态，并在确定状态信号中包含的进程状态是预设状态时，即应用程序被外部进程调试或试图调试时，终止该主进程。这样当有其他外部进程调试或试图调试该应用程序的主进程时，便可以通过监控进程确定应用程序主进程的进程状态，进而终止应用程序的主进程，避免攻击者对该应用程序进程进行恶意攻击和破解。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(cpu)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(ram)和/或非易失性内存等形式，如只读存储器(rom)或闪存(flashram)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd-rom)、数字多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。