僵尸網(wǎng)絡(luò)客戶端程序命令判定單元識(shí)別方法研究.pdf

1、僵尸網(wǎng)絡(luò)是一種具有強(qiáng)大攻擊能力的網(wǎng)絡(luò)攻擊平臺(tái)。它不僅具備病毒、蠕蟲、木馬等惡意程序的功能，還能將分散在網(wǎng)絡(luò)上的受控計(jì)算機(jī)資源整合在一起，輕易地發(fā)動(dòng)拒絕服務(wù)、垃圾郵件等大規(guī)模網(wǎng)絡(luò)攻擊，嚴(yán)重影響人們網(wǎng)絡(luò)生活的安全。
　　 隨著僵尸網(wǎng)絡(luò)危害性的增大，僵尸網(wǎng)絡(luò)的研究逐漸成為信息安全領(lǐng)域的研究熱點(diǎn)。僵尸網(wǎng)絡(luò)的研究可分為僵尸網(wǎng)絡(luò)的檢測(cè)、僵尸網(wǎng)絡(luò)的追蹤和僵尸網(wǎng)絡(luò)的測(cè)量這三類。命令與控制協(xié)議是僵尸網(wǎng)絡(luò)實(shí)現(xiàn)遠(yuǎn)程控制的手段，也是進(jìn)行僵尸網(wǎng)絡(luò)研究的重

2、要突破口。本文在總結(jié)前人研究成果的基礎(chǔ)上，提出了一種利用二進(jìn)制代碼動(dòng)態(tài)分析技術(shù)獲取僵尸網(wǎng)絡(luò)命令與控制協(xié)議的方法。
　　 本文首先通過分析僵尸網(wǎng)絡(luò)客戶端程序?qū)崿F(xiàn)遠(yuǎn)程控制命令的過程，提出了客戶端程序中存在命令判定單元的論斷，并總結(jié)出了命令判定單元具備的三個(gè)特點(diǎn):利用網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行判定;具有特定的邏輯結(jié)構(gòu)，即循環(huán)結(jié)構(gòu)或者選擇結(jié)構(gòu);使程序產(chǎn)生多個(gè)分支路徑。
　　 其次，提出了識(shí)別客戶端程序中命令判定單元的方法。識(shí)別方法用到了二進(jìn)制

3、代碼動(dòng)態(tài)分析技術(shù)，數(shù)據(jù)處理流程為:以僵尸網(wǎng)絡(luò)客戶端接收到的網(wǎng)絡(luò)數(shù)據(jù)為污點(diǎn)源，捕獲僵尸網(wǎng)絡(luò)客戶端與服務(wù)器通信時(shí)客戶端程序的執(zhí)行軌跡;處理執(zhí)行軌跡，提取出執(zhí)行軌跡所代表的執(zhí)行邏輯，識(shí)別方法中執(zhí)行邏輯用具有函數(shù)調(diào)用關(guān)系的轉(zhuǎn)移指令序列表示;分析執(zhí)行邏輯，根據(jù)命令判定單元具備的三個(gè)特點(diǎn)識(shí)別出客戶端程序中的命令判定單元。
　　 最后，依據(jù)識(shí)別方法的原理設(shè)計(jì)了原型系統(tǒng)，并分別利用僵尸網(wǎng)絡(luò)樣本和測(cè)試程序進(jìn)行了驗(yàn)證。實(shí)驗(yàn)結(jié)果表明:本文提出的識(shí)別方