僵尸網(wǎng)絡(luò)的研究及其檢測(cè).pdf

1、僵尸網(wǎng)絡(luò)已經(jīng)成為了網(wǎng)絡(luò)安全領(lǐng)域最為關(guān)注的危害之一。僵尸網(wǎng)絡(luò)主要是指攻擊者利用網(wǎng)絡(luò)秘密構(gòu)建的，由僵尸軟件組成的可通信、可被集中控制的計(jì)算機(jī)群。僵尸網(wǎng)絡(luò)主要分為三類(lèi)，基于IRC協(xié)議的僵尸網(wǎng)絡(luò)，基于HTTP協(xié)議的僵尸網(wǎng)絡(luò)以及基于P2P協(xié)議的僵尸網(wǎng)絡(luò)。目前對(duì)僵尸網(wǎng)絡(luò)的檢測(cè)上主要是針對(duì)IRC協(xié)議的僵尸網(wǎng)絡(luò)。P2P僵尸網(wǎng)絡(luò)是最近兩年才開(kāi)始受到關(guān)注的一種僵尸網(wǎng)絡(luò)。P2P僵尸網(wǎng)絡(luò)，是僵尸程序與P2P技術(shù)相結(jié)合而產(chǎn)生的一種更復(fù)雜、造成的危害更大、更隱蔽難

2、以檢測(cè)的僵尸網(wǎng)絡(luò)。它與傳統(tǒng)的IRC協(xié)議的僵尸網(wǎng)絡(luò)的集中控制機(jī)制不同，P2P僵尸網(wǎng)絡(luò)利用了P2P的對(duì)等性，消除了集中控制的限制，大大的增強(qiáng)了生存性、隱蔽性和健壯性使得檢測(cè)、防范以及跟蹤上更加困難。由于P2P僵尸網(wǎng)絡(luò)正在快速的興起，已經(jīng)開(kāi)始成為未來(lái)僵尸網(wǎng)絡(luò)的主要形式，因此對(duì)P2P僵尸網(wǎng)絡(luò)進(jìn)行檢測(cè)變得十分的迫切而且必要。
　　本文的主要研究?jī)?nèi)容是P2P僵尸網(wǎng)絡(luò)病毒的檢測(cè)，包括了兩個(gè)方面的內(nèi)容：主機(jī)惡意行為檢測(cè)模塊與P2P流識(shí)別模塊。本文

3、在閱讀了大量的相關(guān)論文以及分析了大量的僵尸病毒的基礎(chǔ)上提出了將主機(jī)惡意行為和P2P流識(shí)別相結(jié)合的P2P僵尸病毒的檢測(cè)方法。由于作者分析了大量的P2P僵尸病毒，對(duì)于P2P僵尸病毒的共有特性具有很好的了解，因此這種P2P僵尸病毒的檢測(cè)方法具有很強(qiáng)的通用性，對(duì)于已知的以及未知的P2P僵尸病毒都可以進(jìn)行很好的檢測(cè)。
　　本文就僵尸網(wǎng)絡(luò)的工作原理以及僵尸網(wǎng)絡(luò)的命令和控制機(jī)制進(jìn)行了深入的研究，深入剖析了目前P2P僵尸網(wǎng)絡(luò)的檢測(cè)方法以及目前國(guó)內(nèi)

4、外對(duì)于P2P僵尸網(wǎng)絡(luò)的檢測(cè)的研究狀況。本文的主要貢獻(xiàn)包括以下幾點(diǎn)：
　　1．對(duì)于目前主要的一些P2P僵尸病毒樣本，通過(guò)靜態(tài)和動(dòng)態(tài)相結(jié)合的分析方法對(duì)其進(jìn)行了深入的分析，主要是通過(guò)分析這些僵尸病毒在僵尸主機(jī)上的一些行為特征。然后根據(jù)分析報(bào)告，提出了將主機(jī)惡意行為和P2P流檢測(cè)相結(jié)合的P2P僵尸病毒分析方法。
　　2．通過(guò)P2P僵尸病毒的分析報(bào)告，總結(jié)出了P2P僵尸病毒在僵尸主機(jī)上表現(xiàn)出的一些共性的惡意行為，然后提出并實(shí)現(xiàn)了主要的

5、主機(jī)惡意行為檢測(cè)模塊，該模塊主要包括注冊(cè)表監(jiān)控、隱藏端口的檢測(cè)、隱藏進(jìn)程的檢測(cè)、DLL注入的檢測(cè)等惡意行為檢測(cè)模塊。
　　3．在研究了現(xiàn)階段P2P流識(shí)別的主要方法以及P2P僵尸病毒的網(wǎng)絡(luò)數(shù)據(jù)流所特有的行為的基礎(chǔ)上，實(shí)現(xiàn)了自己的P2P流識(shí)別系統(tǒng)。本文對(duì)于P2P流的識(shí)別主要通過(guò)以下幾種方法。A）通過(guò)端口進(jìn)行識(shí)別。B）通過(guò)P2P協(xié)議的特征碼進(jìn)行識(shí)別。C）通過(guò)P2P流在傳輸層所表現(xiàn)出的特征進(jìn)行識(shí)別。D）根據(jù)P2P僵尸病毒在網(wǎng)絡(luò)上所表現(xiàn)出的