僵尸網(wǎng)絡(luò)的研究及其檢測.pdf

1、僵尸網(wǎng)絡(luò)已經(jīng)成為了網(wǎng)絡(luò)安全領(lǐng)域最為關(guān)注的危害之一。僵尸網(wǎng)絡(luò)主要是指攻擊者利用網(wǎng)絡(luò)秘密構(gòu)建的，由僵尸軟件組成的可通信、可被集中控制的計算機群。僵尸網(wǎng)絡(luò)主要分為三類，基于IRC協(xié)議的僵尸網(wǎng)絡(luò)，基于HTTP協(xié)議的僵尸網(wǎng)絡(luò)以及基于P2P協(xié)議的僵尸網(wǎng)絡(luò)。目前對僵尸網(wǎng)絡(luò)的檢測上主要是針對IRC協(xié)議的僵尸網(wǎng)絡(luò)。P2P僵尸網(wǎng)絡(luò)是最近兩年才開始受到關(guān)注的一種僵尸網(wǎng)絡(luò)。P2P僵尸網(wǎng)絡(luò)，是僵尸程序與P2P技術(shù)相結(jié)合而產(chǎn)生的一種更復(fù)雜、造成的危害更大、更隱蔽難

2、以檢測的僵尸網(wǎng)絡(luò)。它與傳統(tǒng)的IRC協(xié)議的僵尸網(wǎng)絡(luò)的集中控制機制不同，P2P僵尸網(wǎng)絡(luò)利用了P2P的對等性，消除了集中控制的限制，大大的增強了生存性、隱蔽性和健壯性使得檢測、防范以及跟蹤上更加困難。由于P2P僵尸網(wǎng)絡(luò)正在快速的興起，已經(jīng)開始成為未來僵尸網(wǎng)絡(luò)的主要形式，因此對P2P僵尸網(wǎng)絡(luò)進行檢測變得十分的迫切而且必要。
　　本文的主要研究內(nèi)容是P2P僵尸網(wǎng)絡(luò)病毒的檢測，包括了兩個方面的內(nèi)容：主機惡意行為檢測模塊與P2P流識別模塊。本文

3、在閱讀了大量的相關(guān)論文以及分析了大量的僵尸病毒的基礎(chǔ)上提出了將主機惡意行為和P2P流識別相結(jié)合的P2P僵尸病毒的檢測方法。由于作者分析了大量的P2P僵尸病毒，對于P2P僵尸病毒的共有特性具有很好的了解，因此這種P2P僵尸病毒的檢測方法具有很強的通用性，對于已知的以及未知的P2P僵尸病毒都可以進行很好的檢測。
　　本文就僵尸網(wǎng)絡(luò)的工作原理以及僵尸網(wǎng)絡(luò)的命令和控制機制進行了深入的研究，深入剖析了目前P2P僵尸網(wǎng)絡(luò)的檢測方法以及目前國內(nèi)

4、外對于P2P僵尸網(wǎng)絡(luò)的檢測的研究狀況。本文的主要貢獻(xiàn)包括以下幾點：
　　1．對于目前主要的一些P2P僵尸病毒樣本，通過靜態(tài)和動態(tài)相結(jié)合的分析方法對其進行了深入的分析，主要是通過分析這些僵尸病毒在僵尸主機上的一些行為特征。然后根據(jù)分析報告，提出了將主機惡意行為和P2P流檢測相結(jié)合的P2P僵尸病毒分析方法。
　　2．通過P2P僵尸病毒的分析報告，總結(jié)出了P2P僵尸病毒在僵尸主機上表現(xiàn)出的一些共性的惡意行為，然后提出并實現(xiàn)了主要的

5、主機惡意行為檢測模塊，該模塊主要包括注冊表監(jiān)控、隱藏端口的檢測、隱藏進程的檢測、DLL注入的檢測等惡意行為檢測模塊。
　　3．在研究了現(xiàn)階段P2P流識別的主要方法以及P2P僵尸病毒的網(wǎng)絡(luò)數(shù)據(jù)流所特有的行為的基礎(chǔ)上，實現(xiàn)了自己的P2P流識別系統(tǒng)。本文對于P2P流的識別主要通過以下幾種方法。A）通過端口進行識別。B）通過P2P協(xié)議的特征碼進行識別。C）通過P2P流在傳輸層所表現(xiàn)出的特征進行識別。D）根據(jù)P2P僵尸病毒在網(wǎng)絡(luò)上所表現(xiàn)出的