android平台上基于webkit引擎的安全浏览器的设计与实现,基于安卓WebKit引擎的安全浏览器的应用设计的制作方法...

本发明是一种移动智能端Web技术领域。

背景技术：

随着移动通信技术的发展，使用手机浏览器访问互联网已成为潮流和趋势, 移动终端设备，尤其是智能手机和平板电脑设备的性能和功能越来越强，使用群体越来越大，攻击者也逐渐盯上了这一新型用户群体。

技术实现要素：

安全浏览器客户端的设计与实现:

1.浏览器客户端的架构:浏览器系统结构共分为四层:

第一层为应用层，在此层面构建实现面向用户的应用;第二层为插件及第三方库;第三层为WebKit平台移植所需的接口层;第四层为平台和操作系统支持层，提供WebKit平台所需的软硬件资源;

根据移动终端用户一般的使用场景，对安全浏览器的功能进行了设计和模块划分，主要包含以下功能模块:书签管理、黑名单拦截报警、主页面、网页加载、下载管理、历史记录;

2.检查模块:URL检查模块是实现安全浏览服务的核心部分，此模块的功能和实现也相对比较复杂，主要有以下功能单元:

1) URL规范化处理:进行URL检查前需要先对URL进行规范化处理，转化成“主机名后缀/路径前缀”形式的表达式;规范化的处理过程如下 : ( 1)删除URL字符串中所有的“tab" (0x09), "C R "(0x0d),"LF" (0x0a)，注意对这些特殊符号转码而产生的“%0a"要保留;(2) URL尾部的锚标签需要被删除，比如“http://abc.com /#fra"需要被处理成"http://abc.com /;(3)对URL字符串反复进行解码，确保字符串中小再有十六进制字符; (4)规范化主机名字符串; (5)规范化路径字符串;(6)对经过上述步骤处理得到的字符串中包含的非常规字符(ASCII值小于32或大于127,“#”，“%”)进行URL-8转码;

规范化处理完成后，为了不漏掉任何潜在的恶意网址，还需要额外地枚举查询所有符合正则匹配条件的表达式;

2)对规范化URL进行MD5Hash计算:Hash散列计算是URL检查模块中进行黑名单匹配的判断标准，在应用中借助Java语言进行实现;

3)与本地数据库匹配:在URL查询的过程中可能有二次匹配的过程,客户端应用使用了开源项目greenDAO来实现在Android上的对SQLite数据库的DAO( Data A ccess 0 bjects)操作，从而进行数据库查询;

3.恶意网址处理模块:如果确认用户即将访问的目标网址URL位于黑名单数据库中，浏览器客户端就需要及时进行处理;一般情况下，为了提高用户体验，浏览器需要遵循用户的选择或偏好设置;因此，在本项目中浏览器首先查询用户的配置文件，判断用户对恶意网址处理的设置;如果用户没有进行配置，就在发生危险情况时，浏览器及时对用户发出警告;然后根据用户的选择进行下一步的处理，继续加载恶意网址或拦截恶意网址;

由于对恶意网址拦截与否直接关系到移动终端用户的信息安全，对警告信息的表述就至关重要，在浏览器应用中采取了目前FireFox浏览器、Chrome浏览器也采用的危险警告:“警告:可疑的钓鱼网站页面;当前页面可能是其它网站的仿冒站点，这通常被用来欺骗访问用户，并以此套取其个人隐私和财产信息;在此页面上输入任何个人信息都可能导致身份泄露或其它不可预料的信息滥用事件的发生。

分析移动终端钓鱼攻击技术:

1)钓鱼攻击者通过短信息(SMS)、彩信、电子邮件、WAP POSH消息等手段或者利用社交工程的手段将欺诈信息传递给用户的手机、平板电脑等移动设备;

2)用户收到并阅读移动智能设备上收到的带有欺诈性质的信息后，产生误解;

3)用户对欺骗信息做出错误反应，执行可能使自己掉入钓鱼陷阱的操作，比如点击电子邮件中的假冒网站、向钓鱼攻击者填写回复隐私信息等;

4)根据用户的反应，用户的移动终端向恶意站点发出相应的访问请求;

5)恶意站点服务器根据用户移动设备的访问请求，响应虚假钓鱼攻击内容;

6)用户移动设备收到恶意站点回馈的钓鱼信息，提示用户输入具有经济价值的隐私信息;

7)用户输入个人隐私信息,比如个人姓名、银行账户信息、购物网站账户信息，以及手机号码均属于具有经济价值的隐私信息;

8)用户的隐私信息回传给钓鱼网站服务器，甚至直接回传给攻击者;

9)攻击者获取用户隐私信息，从而获取商业利益并进行下一步的攻击，以获得更有价值的信息。