一种探测apk文件劫持行为的方法及系统与流程

本发明涉及文本词特征提取的技术领域，特别是一种探测apk文件劫持行为的方法及系统。

背景技术：

随着智能手机的普及，越来越多的软件供应商开发出多种软件供手机下载，并通过广告的方式进行宣传，引导客户通过浏览器下载应用。但是，很多用户通过浏览器下载应用准备安装时，手机弹出一个对话框，提示该应用“来源未知”，不是从“官方渠道”下载的，可能有病毒或者不安全因素，建议从“官方渠道”下载；又或者是，下载之后，系统提示有广告插件，标注为“有潜在风险”。在看到类似提示后，大多数用户会根据引导前往手机自带的应用市场下载该应用。在这个过程中，其实是手机应用商店利用自己权限的便利向应用商店内进行引流，增加应用商店的应用下载量，达到完成业绩，提高宣传和推广效果的目的。

引入到移动互联网广告推广业务中，用户在浏览器下载app的来源，将有可能是通过点击一则相关内容的广告，而该则广告的推广，是由应用开发者作为广告推广需求方（以下简称广告主）委托多个广告提供方（以下简称广告平台）为其分发广告到各个用户的手机终端，用户观看广告后，如果对其感兴趣，并有强烈意向了解该广告所表达的内容，则将会点击广告素材所在区域，根据移动互联网广告分发的逻辑，接下来将会发生文章开头描述的情况：用户会在浏览器下载一个应用，一般情况下，广告主会投放开始前在应用的终端文件（apk文件）中嵌入一个自定义的标记（channel_id），而广告主给到每家广告平台推广的apk包，其中的channel_id是不同且全局唯一的，这也就是说广告主可以通过观察不同channel_id的apk包的下载量，评判广告平台分发广告的效果。然而，手机应用商店将通过过量的提醒，和失真的引导将用户导流到手机应用商店中下载应用，而应用商店中的应用属于其商店上架的应用，apk文件内已经没有广告平台的channel_id，转而用户首次打开应用后，该次下载量，将被记为手机应用商店所带来的。手机应用商店这种诱导用户下载非目标文件（应用）的行为被业内称为安卓应用商店安装劫持（以下简称安装劫持），此种恶意干扰、阻碍用户下载、安装其他应用分发软件，并拦截导流至手机自带的“软件商店”的行为可能构成“不正当竞争"，多家手机设备制造厂商也多次因此被提起诉讼，而司法部门已经鲜明地亮出态度——2019年1月1日开始实施的新《反不正当竞争法》，首次增加互联网不正当竞争条款,经营者利用网络技术误导用户、干扰其他经营者的正常经营等行为,将受法律惩治和追责。但即使存在法律的约束，实际情况却不容乐观，安装劫持的问题仍然存在，影响着用户体验和广告主衡量广告效果。

由于手机应用商店属于手机设备生厂商系统下的子应用，整个劫持动作发生的场景，其他外部公司产品或插件，包括广告主和第三方统计监测公司，都无权感知和探测，这也成为了解决该问题的技术难点；而由于技术壁垒，现有其他公司有关与安装劫持探测的技术逻辑，每一家都没有对外公开，但从产品功能上讲，缺乏实时性，高误杀率，缺少必要的分析维度，这些缺陷，也使得安装劫持探测功能的工作效率低下。

公开号为cn109905390a的发明专利申请公开了一种app劫持检测方法、api包及存储介质，所述方法包括步骤：全局监听view焦点事件；在view失去焦点时调用模拟点击事件api；对模拟点击事件api代码进行异常捕获；若捕获到异常，则判定为被劫持；若未捕获到异常，则判定为安全。该方法的缺点是1、该专利未体现出在移动互联网广告行业中的应用，没有对广告的归因计算和渠道指标分析；2、模拟点击事件并非用户真实上报的点击事件，计算精度和准确度将大幅下降；3、异常判断规则并非动态，不同客户的不同app使用该产品，效果将会有误差；4、缺乏预警机制，仅为探测。

技术实现要素：

为了解决上述的技术问题，本发明提出的探测apk文件劫持行为的方法及系统，归因劫持与被劫持方，并与广告投放活动信息关联，实时探测和预估安装劫持动作，自动修正判断模型，降低误杀率。

本发明的第一目的是提供一种探测apk文件劫持行为的方法，包括将信息录入数据库，还包括以下步骤：

步骤1：使用劫持工作模块判断apk文件是否被劫持；

步骤2：输出判断结果；

步骤3：将结构化的数据图形化展示到ui界面；

所述信息包括广告点击数据和app激活数据。

优选的是，所述步骤1包括以下子步骤：

步骤11：将录入的所述app激活数据根据设备归因和/或指纹信息归因匹配距离激活时间最近的一次点击；

步骤12：判断点击时间与所述激活时间的时间差；

步骤13：判断点击所属广告推广活动的下载地址是否与所述激活数据中package_name所属下载地址一致。

在上述任一方案中优选的是，所述步骤12包括：

1）当根据设备归因进行判断时，所述时间差小于第一时间阈值t1；

2）当根据指纹信息归因进行判断时，所述时间差小于第二时间阈值t2。

在上述任一方案中优选的是，所述步骤12包括采用自我修正机制和预防机制进行判断；所述自我修正机制是指根据正态分布，将循环观察近7天内该app推广过程中，在广告主设定的激活回溯有效期t内，将所述回溯有效期t等量分割为n个区间段，取归因数据量最多的一个区间段内点击到激活时间差的平均值，以所述回溯有效期t为刷新频率，更新该时间差的阈值，其中，n为自然数；所述预防机制是指将出现劫持频率大于频率阈值的app与应用市场做标记，提示广告主调整广告投放计划。

在上述任一方案中优选的是，所述劫持频率的判断方法为在连续3天的广告推广中，大于等于第一比例阈值的激活被应用市场劫持，且大于等于第二比例阈值的平台受其影响。

在上述任一方案中优选的是，所述步骤13包括当判定为不一致时，将归因结果标记为packagetype=1，即判断为被应用商店劫持。

在上述任一方案中优选的是，所述步骤2包括将标记为packagetype=1的归因结果放在新的表格中，生成结构化的数据。

在上述任一方案中优选的是，所述广告点击数据的获取方法包括以下步骤：

步骤a1：用户在应用a中浏览广告，该广告是由广告主a1委托广告平台a2在应用a中对用户展示广告，用户对该则广告所展示的内容感兴趣，并点击了相应的广告素材；

步骤a2：当广告被点击后，从应用a客户端发送一条点击url，所述点击url中携带了此次广告被点击的详细信息，后台接受点击数据；

步骤a3：对所述点击数据进行归因，提取点击端的归因数据。

在上述任一方案中优选的是，所述app激活数据的获取方法包括以下步骤：

步骤b1：用户点击广告；

步骤b2：跳转至浏览器准备下载应用a；

步骤b3：应用商店将所述应用a的下载地址a1变更为下载地址b1，用户在无感知的情况下从所述下载地址b1下载应用b；

步骤b4：用户安装并首次打开应用b；

步骤b5：sdk在用户首次打开应用b后，完成sdk初始化并收集有关设备信息；

所述应用a和所述应用b为同一应用，区别在于所述应用a和所述应用b中保存的下载地址不相同。

本发明的第二目的是提供一种探测apk文件劫持行为的系统，包括用于录入信息的数据库，还包括以下模块：

劫持工作模块：用于判断apk文件是否被劫持；

输出模块：用于输出判断结果；

展示模块：用于将结构化的数据图形化展示到ui界面；

所述信息包括广告点击数据和app激活数据；

所述系统按照如第一目的所述的方法进行apk文件劫持行为的探测。

在上述任一方案中优选的是，所述劫持工作模块的工作包括以下子步骤：

步骤11：将录入的所述app激活数据根据设备归因和/或指纹信息归因匹配距离激活时间最近的一次点击；

步骤12：判断点击时间与所述激活时间的时间差；

步骤13：判断点击所属广告推广活动的下载地址是否与所述激活数据中package_name所属下载地址一致。

在上述任一方案中优选的是，所述步骤12包括当根据设备归因进行判断时，所述时间差小于第一时间阈值t1。

在上述任一方案中优选的是，所述步骤12还包括当根据指纹信息归因进行判断时，所述时间差小于第二时间阈值t2。

在上述任一方案中优选的是，所述步骤12包括采用自我修正机制和预防机制进行判断。

在上述任一方案中优选的是，所述自我修正机制是指根据正态分布，在广告主设定的激活回溯有效期t内，将所述回溯有效期t等量分割为n个区间段，取归因数据量最多的一个区间段内点击到激活时间差的平均值，以所述回溯有效期t为刷新频率，更新该时间差的阈值，其中，n为自然数。

在上述任一方案中优选的是，所述预防机制是指将出现劫持频率大于频率阈值的app与应用市场做标记，提示广告主调整广告投放计划。

在上述任一方案中优选的是，所述劫持频率的判断方法为在连续3天的广告推广中，大于等于第一比例阈值的激活被应用市场劫持，且大于等于第二比例阈值的平台受其影响。

在上述任一方案中优选的是，所述步骤13包括当判定为不一致时，将归因结果标记为packagetype=1，即判断为被应用商店劫持。

在上述任一方案中优选的是，所述步骤2包括将标记为packagetype=1的归因结果放在新的表格中，生成结构化的数据。

在上述任一方案中优选的是，所述广告点击数据的获取方法包括以下步骤：

步骤a1：用户点击广告；

步骤a2：后台接受点击数据；

步骤a3：对所述点击数据进行归因，提取点击端的归因数据。

在上述任一方案中优选的是，所述步骤a1包括用户在应用a中浏览广告，该广告是由广告主a1委托广告平台a2在应用a中对用户展示广告，用户对该则广告所展示的内容感兴趣，并点击了相应的广告素材。

在上述任一方案中优选的是，所述步骤a2包括当广告被点击后，从应用a客户端发送一条点击url，所述点击url中携带了此次广告被点击的详细信息。

在上述任一方案中优选的是，所述app激活数据的获取方法包括以下步骤：

步骤b1：用户点击广告；

步骤b2：跳转至浏览器准备下载应用a；

步骤b3：应用商店将所述应用a的下载地址a1变更为下载地址b1，用户在无感知的情况下从所述下载地址b1下载应用b；

步骤b4：用户安装并首次打开应用b；

步骤b5：sdk在用户首次打开应用b后，完成sdk初始化并收集有关设备信息；

所述应用a和所述应用b为同一应用，区别在于所述应用a和所述应用b中保存的下载地址不相同。

本发明提出了一种探测apk文件劫持行为的方法及系统，能够检测出多少劫持量，但通过广告主使用安装劫持功能前后，推广激活的变化趋势观察，我们能为广告主追回、标记、预防大约10%-30%的广告推广效果。

apk是androidpackage的缩写，即android系统的应用软件安装包。

app是指安装在智能手机上的软件。

package_name是指客户端sdk内集成的应用报名，该值可由广告主自己定义，在不同应用商店上架的app，其值不同。用于判断激活来源（哪一个应用商店，或渠道）。

packagetype为激活标记，用于标记是否为劫持激活，1为劫持激活，0为正常激活。。

附图说明

图1为按照本发明的探测apk文件劫持行为的方法的一优选实施例的流程图。

图2为按照本发明的探测apk文件劫持行为的方法的劫持工作模块判断方法的一优选实施例的流程图。

图3为按照本发明的探测apk文件劫持行为的方法的广告点击数据的获取方法的一优选实施例的流程图。

图4为按照本发明的探测apk文件劫持行为的方法的app激活数据的获取方法的一优选实施例的流程图。

图5为按照本发明的探测apk文件劫持行为的系统的一优选实施例的模块图。

图6为按照本发明的探测apk文件劫持行为的方法的用户交互步骤以及技术处理的一优选实施例的流程图。

图7为按照本发明的探测apk文件劫持行为的系统的劫持工作模块逻辑的一优选实施例流程图。

具体实施方式

下面结合附图和具体的实施例对本发明做进一步的阐述。

实施例一

如图1所示，执行步骤100，将信息录入数据库。信息包括广告点击数据和app激活数据。如图2所示，广告点击数据的获取方法包括以下步骤：执行步骤1a1，用户点击广告；用户在应用a中浏览广告，该广告是由广告主a1委托广告平台a2在应用a中对用户展示广告，用户对该则广告所展示的内容感兴趣，并点击了相应的广告素材。执行步骤1a2，后台接受点击数据；当广告被点击后，从应用a客户端发送一条点击url，所述点击url中携带了此次广告被点击的详细信息。执行步骤1a3，对所述点击数据进行归因，提取点击端的归因数据。如图3所示，app激活数据的获取方法包括以下步骤：步骤1b1，用户点击广告。步骤1b2，跳转至浏览器准备下载应用a。步骤1b3，应用商店将所述应用a的下载地址a1变更为下载地址b1，用户在无感知的情况下从所述下载地址b1下载应用b。步骤1b4，用户安装并首次打开应用b。步骤1b5，sdk在用户首次打开应用b后，完成sdk初始化并收集有关设备信息。所述应用a和所述应用b为同一应用，区别在于所述应用a和所述应用b中保存的下载地址不相同。

执行步骤110，使用劫持工作模块判断apk文件是否被劫持。在本步骤中，分别使用设备归因和/或指纹信息归因匹配距离激活时间最近的一次点击。如图4所示，当采用设备归因时，首先执行步骤111，录入的所述app激活数据根据设备归因匹配距离激活时间最近的一次点击。执行步骤113，判断点击时间与所述激活时间的时间差是否小于第一时间阈值t1（在本实施例中，t1=30分钟）。本步骤采用自我修正机制和预防机制进行判断。自我修正机制是指根据正态分布，在广告主设定的激活回溯有效期t内，将所述回溯有效期t等量分割为n个区间段，取归因数据量最多的一个区间段内点击到激活时间差的平均值，以所述回溯有效期t为刷新频率，更新该时间差的阈值，其中，n为自然数。在本实施例中，将激活回溯有效期t设为7天，将7天等量分割为336个区间段，即每个区间段的时长为30分钟。记录每一个三十分钟内出翔的归因数据的数量，找到归因数量最多的一个时间区域，提取每一个归因数据中点击到激活的时间差，累加后取平均值，作为自我修正值。预防机制是指将出现劫持频率大于频率阈值的app与应用市场做标记，提示广告主调整广告投放计划，劫持频率=劫持激活数/总激活数，其中，激活数可按照引用市场和推广app维度细分。劫持频率的判断方法为在连续3天的广告推广中，大于等于第一比例阈值的激活被应用市场劫持，且大于等于第二比例阈值的平台受其影响。如果点击时间与所述激活时间的时间不小于第一时间阈值t1，则执行步骤114，该激活数据为正常激活。如果点击时间与所述激活时间的时间小于第一时间阈值t1，则执行步骤115，判断点击所属广告推广活动的下载地址是否与所述激活数据中package_name所属下载地址一致。如果点击所属广告推广活动的下载地址与所述激活数据中package_name所属下载地址一致，则执行步骤116，将归因结果标记为packagetype=0，即判断为没有被应用商店劫持。如果点击所属广告推广活动的下载地址与所述激活数据中package_name所属下载地址不一致，则执行步骤117，将归因结果标记为packagetype=1，即判断为被应用商店劫持。

如图4所示，当采用设备归因时，首先执行步骤112，录入的所述app激活数据根据指纹信息归因匹配距离激活时间最近的一次点击。执行步骤113，判断点击时间与所述激活时间的时间是否小于第一时间阈值t1（在本实施例中，t1=30分钟）。本步骤采用自我修正机制和预防机制进行判断。自我修正机制是指根据正态分布，在广告主设定的激活回溯有效期t内，将所述回溯有效期t等量分割为n个区间段，取归因数据量最多的一个区间段内点击到激活时间差的平均值，以所述回溯有效期t为刷新频率，更新该时间差的阈值，其中，n为自然数。在本实施例中，将激活回溯有效期t设为7天，将7天等量分割为336个区间段，即每个区间段的时长为30分钟。记录每一个三十分钟内出翔的归因数据的数量，找到归因数量最多的一个时间区域，提取每一个归因数据中点击到激活的时间差，累加后取平均值，作为自我修正值。预防机制是指将出现劫持频率大于频率阈值的app与应用市场做标记，提示广告主调整广告投放计划。劫持频率的判断方法为在连续3天的广告推广中，大于等于第一比例阈值的激活被应用市场劫持，且大于等于第二比例阈值的平台受其影响。如果点击时间与所述激活时间的时间不小于第一时间阈值t1，则执行步骤114，该激活数据为正常激活。如果点击时间与所述激活时间的时间小于第一时间阈值t1，则执行步骤115，判断点击所属广告推广活动的下载地址是否与所述激活数据中package_name所属下载地址一致。如果点击所属广告推广活动的下载地址与所述激活数据中package_name所属下载地址一致，则执行步骤116，将归因结果标记为packagetype=0，即判断为没有被应用商店劫持。如果点击所属广告推广活动的下载地址与所述激活数据中package_name所属下载地址不一致，则执行步骤117，将归因结果标记为packagetype=1，即判断为被应用商店劫持。

执行步骤120，输出判断结果，将标记为packagetype=1的归因结果放在新的表格中，生成结构化的数据。

执行步骤130，将结构化的数据图形化展示到ui界面。

实施例二

如图5所示，一种探测apk文件劫持行为的系统，包括数据库200、劫持工作模块210、输出模块220和展示模块230。

数据库200：用于录入信息。信息包括广告点击数据和app激活数据。广告点击数据的获取方法包括以下步骤：步骤a1：用户点击广告；用户在应用a中浏览广告，该广告是由广告主a1委托广告平台a2在应用a中对用户展示广告，用户对该则广告所展示的内容感兴趣，并点击了相应的广告素材。步骤a2：后台接受点击数据；当广告被点击后，从应用a客户端发送一条点击url，所述点击url中携带了此次广告被点击的详细信息。步骤a3：对所述点击数据进行归因，提取点击端的归因数据。app激活数据的获取方法包括以下步骤：步骤b1：用户点击广告；步骤b2：跳转至浏览器准备下载应用a；步骤b3：应用商店将所述应用a的下载地址a1变更为下载地址b1，用户在无感知的情况下从所述下载地址b1下载应用b；步骤b4：用户安装并首次打开应用b；步骤b5：sdk在用户首次打开应用b后，完成sdk初始化并收集有关设备信息。所述应用a和所述应用b为同一应用，区别在于所述应用a和所述应用b中保存的下载地址不相同。

劫持工作模块210：用于判断apk文件是否被劫持。劫持工作模块210的工作包括以下子步骤：步骤11：将录入的所述app激活数据根据设备归因和/或指纹信息归因匹配距离激活时间最近的一次点击。步骤12：判断点击时间与所述激活时间的时间差。当根据设备归因进行判断时，所述时间差小于第一时间阈值t1。当根据指纹信息归因进行判断时，所述时间差小于第二时间阈值t2。在本步骤采用自我修正机制和预防机制进行判断。自我修正机制是指根据正态分布，在广告主设定的激活回溯有效期t内，将所述回溯有效期t等量分割为n个区间段，取归因数据量最多的一个区间段内点击到激活时间差的平均值，以所述回溯有效期t为刷新频率，更新该时间差的阈值，其中，n为自然数。在本实施例中，将激活回溯有效期t设为7天，将7天等量分割为336个区间段，即每个区间段的时长为30分钟。记录每一个三十分钟内出翔的归因数据的数量，找到归因数量最多的一个时间区域，提取每一个归因数据中点击到激活的时间差，累加后取平均值，作为自我修正值。预防机制是指将出现劫持频率大于频率阈值的app与应用市场做标记，提示广告主调整广告投放计划。劫持频率的判断方法为在连续3天的广告推广中，大于等于第一比例阈值的激活被应用市场劫持，且大于等于第二比例阈值的平台受其影响。步骤13：判断点击所属广告推广活动的下载地址是否与所述激活数据中package_name所属下载地址一致。当判定为不一致时，将归因结果标记为packagetype=1，即判断为被应用商店劫持。

输出模块220：用于输出判断结果。将标记为packagetype=1的归因结果放在新的表格中，生成结构化的数据。

展示模块230：用于将结构化的数据图形化展示到ui界面。

实施例三

由于手机应用商店属于手机设备生厂商系统下的子应用，整个劫持动作发生的场景，其他外部公司产品或插件，包括广告主和第三方统计监测公司，都无权感知和探测，这也成为了解决该问题的技术难点；而由于技术壁垒，现有其他公司有关与安装劫持探测的技术逻辑，每一家都没有对外公开，但从产品功能上讲，缺乏实时性，高误杀率，缺少必要的分析维度，这些缺陷，也使得安装劫持探测功能的工作效率低下。

本申请提出了一种探测apk文件劫持行为的方法，解决了以下技术问题：

1.归因劫持与被劫持方，并与广告投放活动信息关联。

市面上的产品中，几乎没有一家能够做到对单次安装识别劫持方与被劫持方，并关联有关广告投放活动信息，如广告活动id，广告素材id，广告点击id，设备id等。

2.实时探测和预估安装劫持动作。

目前现有技术中，能做到实时（指在用户行为发生时间极短时间，或业务合作方要求的时间范围内，返回相应业务结果）探测安装劫持。

3.自动修正判断模型，降低误杀率。

因为手机厂商的缘故，无法直接判断是否为应用商店劫持安装，所以市面上产品都会存在一定比例的误杀（指判断失误）。

本申请的技术方案如图6所示。

1.用户点击广告：用户在应用a中浏览到广告，该广告是由广告主a委托广告平台a，在应用a中对用户展示广告，用户对该则广告所展示的内容感兴趣，并点击了相应的广告素材；

2a.接收点击数据：广告被点击后，从应用a客户端将发送一条点击url，点击url中携带了此次广告被点击的详细信息，信息如表1所示。

表1

2b.跳转至浏览器准备下载应用a：点击url将重定向到广告主a事先在后台配置好的下载地址a；

3a.提取广告归因所需信息：2a中信息均为广告归因所需信息；

3b.将广告点击数据插入点击数据库；

4.应用商店将所述应用a的下载地址a1变更为下载地址b1，用户在无感知的情况下从所述下载地址b1下载应用b；

5.用户安装并首次打开应用b；

6a.sdk在首次打开应用b后，完成sdk初始化并收集有关设备信息，主要信息如表2所示。

所述应用a和所述应用b为同一应用，区别在于所述应用a和所述应用b中保存的下载地址不相同。

表2

6b.将sdk上报的激活数据插入激活数据库；

7.安装劫持工作模块。首先将新插入的激活数据，根据device_id（设备归因，优先级最高），ip，ua（ip+ua信息组合比对，称为指纹信息归因，优先级次之），匹配距离激活时间最近一次的点击；第二步判断点击时间与激活时间的时间差，如果是设备归因，时间差小于30分钟，则将其列入该模块下一个判断条件，由指纹信息归因的数据，劫持时间差判断阈值为15分钟；第三步判断点击所属广告推广活动的下载地址，是否与激活数据中package_name所属下载地址是否一致，根据上述情景，点击所属下载地址a与下载地址b的package_name是不同的；最后将该条归因结果标记为packagetype=1，即判断为被应用商店劫持；

8.将标记为packagetype=1的劫持记录放入一张新表格（数据库）中，如表3所示，表格中涵盖如下字段：

表3

9.将结构化的数据进行图形化展示，将展示在一段时间内，广告平台a为广告主a带来了多少次应用a的激活转化，而有多少激活转化是由应用商店安装劫持。

由于安卓应用商店劫持是发生在安卓系统层级的行为，只有设备制造厂商（oem）或oem应用商店相关开发人员得知实际真实的劫持总量，所以对于第三方检测公司，在无法得知在总的劫持量级的时候，本申请能够检测出多少劫持量，通过广告主使用安装劫持功能前后，推广激活的变化趋势观察，能为广告主追回、标记、预防大约10%-30%的广告推广效果，具体可探测到的占比因广告主推广的渠道、时期、力度情况以及具体情形而异。

实施例四

安装劫持工作模块逻辑流程如图7所示：

（一）将点击数据和激活数据输入归因模块，输出归因结果。

（二）如果是非广告带来的激活，则不进行处理；如果是广告推广带来的激活，则输入安装劫持模块。

1.计算点击到激活的时间差。

2.判断归因类型

3.并对阈值进行自我修正。

4.判断劫持时间差阈值。

5.判断点击到激活时间差是否在预先设定的阈值范围内，如果点击与激活是通过device_id匹配，则时间差为30分钟，如果通过指纹信息匹配，则为15分钟，因为指纹信息匹配的精准度要比device_id（设备唯一识别码）匹配精准度低。基于概率学计算用户点击广告到下载安装app的预计时间，并修正劫持时间差阈值。如果不在劫持时间差阈值范围内，则不做处理。

6.如果在劫持时间差阈值范围内，则通过点击数据所属广告推广活动的下载地址，和激活中标记的激活来源判断是否相同。如果来源相同，则不做处理。

7.如果来源不相同，则录入劫持数据库。

8.劫持行为达到一定量级或频次后，将处罚预警机制，帮助广告主在安装劫持方面做出决定。在劫持工作模块的工作中采用自我修正机制和预防机制进行判断。

一、自我修正机制

在劫持工作模块的中判断点击时间与激活时间的时间差，该劫持时间差阈值，默认设置为：设备id归因的劫持时间差阈值为30分钟，指纹信息归因的劫持时间差阈值为15分钟。该时间差的影响因素有：

1.网络因素

2.app下载时长

3.用户行为习惯

故默认值不一定适用所有的情形，所以我们根据正态分布，将循环观察近7天内该app推广过程中，点击到激活的时间差出现概率最大的时间差段取平均值，以7天为刷新频率更新该时间差的阈值，由于前7天为冷启动阶段，故前7天默认为30分钟与15分钟，该值也是由往期投放数据，由该算法得出的。

引入对劫持激活时间差阈值的自我修正，能够极大的减少因为实例样本的多样化，差异化，而判断标准单一不变，而带来的误判。自我修正模块能真正基于每一个应用的推广实际情况，结合用户使用习惯，计算出正确的判断标准。

二、预防机制

将出现劫持频率大于频率阈值的app与应用市场做标记，提示广告主尽快调整账户投放计划，劫持频率的判断方法：

1.在连续3天的广告推广中，50%的激活被应用市场劫持，且80%的平台受其影响

2.符合判断条件后，该app与应用市场将被标记劫持高危对象，将会以邮件和账号内通知的形式通知广告主。

将安装劫持数据量级根据app与应用市场做占比预警，能够快速的提高广告主对劫持形势的判断，提早做出行动与调整，避免更大的损失。

实施例五

在本市实例中，对数据库及相关内容进行说明。如表4所示的是点击数据库，如表5所示的是link_id对应关系库，如表6所示的是package_channle对应关系库，如表7所示的是激活数据库，如表8所示的是安装劫持数据库。

表4

表5

表6

表7

表8

在本申请中包括以下名词解释：

1.归因。当一个新增的激活入库后，首先取激活数据库中的device_id，ip，ua信息，与点击数据库中的点击数据匹配，可以看到，激活时间为2020-1-111：05，距离该次激活时间最近的一次点击（lastclick）的点击时间为2020-1-111：00，而device_id，ip，ua信息相吻合，则我们判定激活序号为a的激活是由点击序号为2的点击所带来。

2.计算点击到激活时间间隔。将激活时间install_time减去点击时间click_time，可得点击到激活的时间间隔：mtti，该实例中mtti值为5。

3.判断归因类型，以及是否在劫持时间差阈值范围内。由于点击和激活是通过device_id归因，所以劫持时间差阈值判断标准为30分钟，而该实例中的mtti为5，故命中规则。

4.判断下载来源。激活数据库中携带的package_name所对应的package_channle为vivo，而点击数据中，点击序号为2的点击所对应cid为baidu，点击package_name为default，而激活package_name为vivoappstore，故期望的点击下载地址和来源与实际下载来源不符，可理解为点击广告后未下载该条点击所对应的安装包，而是下载了vivp应用商店的安装包。改则实例将判定为安装劫持。

5、归因数据。匹配到了点击的激活数据称为归因数据。

为了更好地理解本发明，以上结合本发明的具体实施例做了详细描述，但并非是对本发明的限制。凡是依据本发明的技术实质对以上实施例所做的任何简单修改，均仍属于本发明技术方案的范围。本说明书中每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似的部分相互参见即可。对于系统实施例而言，由于其与方法实施例基本对应，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。