本发明公开了一种异常行为检测方法及装置，方法包括：基于预设特征库确定与待测应用集成的SDK相关的采集函数；在待测应用运行过程中，获取待测应用中正在运行的SDK正调用的函数列表；若函数列表中存在该SDK的采集函数，则在待测应用中获取采集函数采集的第一参数集；将待测应用发出的网络流量与该SDK对应的流量特征信息进行匹配；若匹配成功，从网络流量中获取待传输的第二参数集；若第一参数集与第二参数集存在相同参数且不属于待测应用实现正常业务需采集的参数，确定该SDK存在过度收集用户信息的异常行为。通过将采集内容、传输内容以及待测应用实现正常业务功能进行结合对比实现了SDK过度收集用户信息异常行为的判断。