一种基于僵尸机状态转换的僵尸网络监测方法

致该 ｗ ｎ ０ ｓ 统终 端产 生 了 Ｒ Ｃ缓 冲区溢 出 。 一旦 目 ｉｄｗ 系 Ｐ ． 标被 感染 ． 被感 染 的机 器会被 立 刻上 载一 个脚 本 代码 ， 则 该脚 本代 码 同其他 僵尸 机 或者 黑客 建立 一条 网络 通道 并
提 出一 种基 于僵 尸 网络 中僵 尸机 状态 迁 移转 换 的僵 尸网
中图分 类号 ： Ｐ ９ Ｔ ３
１ 目前 僵 尸 网 络 研 究 介 绍
文献 标识 码 ： Ａ
文章编 号 ：６ ４ ５ ８ （０ １ ０ — １２ ０ １ ７ — ７ ７ ２ １ ）３ ０ ６ — ３
僵 尸 网络 对互 联 网 的巨 大危 害促 使 各科 研 机 构 、 高 校、 网络安 全厂 商等 都投 入 巨大 精力 对其 进行 研究 ， 目前
对 僵尸 网络 的研究 方法 主要 有 于以下 几种 ：
势 ． 意 软件 往 往 通 过 电子 邮 件 附 件 、２ 媒 体 、 载 感 恶 ＰＰ 下 染 等方式 传 播病 毒而 不被 防火 墙拦 截 检 测 中通过 受害
计 算机 与 其僵 尸 机 之 间 的 网络通 信 与 数据 交 换 序列 ． 对 Ｐ ａｏ 病 毒 的传播 扩散 过程 进行 分 析 ．以此 获得 僵 尸 网 ｈｂｔ 络 的传 播过 程 在 图 １中描述 了典 型的僵 尸 病 毒 Ｐ ａｏ ｈｂｔ
（） 尸 网络源 码研 究 ： 过对 典 型僵 尸 网络源码 的 １僵 通
分 析 （ Ｐ ＡＢ Ｔ） 可 以很 透 彻 地 理 解僵 尸 网络 的 内部 如 Ｈ Ｏ ． 工 作原 理 。 由于僵 尸 网络 的多样 性 ． 即便 是 同其变 种也 有 很多 种 ．研 究 其所 有 的源码 是非 常 困难 和
同其 他僵 尸 病 毒 的扩散 传 播 相 同 ．ｈ ｂ ｔ 是通 过 Ｐ ａｏ 也
远 程感染 注入 中 ． 一个状 态 Ｐ ａ ｏ 通 过对 一个 地址 图 第 ｈ ｂｔ
范 围进 行扫 描探 测 ．如果 在此 步骤 僵 尸病 毒发 现有 可 利
用 的后 门与 相应 的服 务应 用 程序 的漏 洞 ．则进 入第 二个 状 态对 目标 计算 机进 行病 毒 植入 。在 实验 过程 中 其 中一 台 ｗｎ ｏ ｓ ｉｄ ｗ 系统 在端 口 １ ５ Ｔ Ｐ对 僵尸 病 毒 的扫描 进 行 ３一 Ｃ
第２ ０卷 第 ３期
２１ ０ １年 ５ 月
重庆电子工程职业 学院学报
ｏ ｍ ａ ｆＣｈｏ ｇ ｉ ｇ Ｃｏｌｇ ｆＥｌｃｒ ｎ ｃＥｎ ｎ ｅ ｉｇ ｕ ｌｏ ｎ ｑ ｎ ｌ ｅ ｏ ｅ ｔｏ ｉ ｅ ｒｎ ｅ
Ｖｏ ．０ １ Ｎ ｏ． ２ ３
Ｍ ａ． ２ １ ｙ ０１
其 内容进 行分 析 （ ） 尸 网络 行 为研 究 闭 该 方法 主 要 通 过 观察 僵 尸 ３僵 ：
图 １ ｈ ｂ ｔ 播 过 程 Ｐ ａ ｏ 传
网络 的行 为 来对 其进 行研 究 例 如 ， 僵尸 网 络扫 描行 为 、
基 于僵 尸 网络 的 Ｄ Ｓ攻 击行 为 、 于 僵尸 网络 的垃圾 邮 Ｏ 基 件 、 于僵 尸 网络 的 网络广 告点 击 ． 等 该方 法 能捕 获 基 等 僵 尸 网络 的动态 特征 并且 比前 面两种 方法 实现 起来 相对
络监测方 法 ２ 基 于僵 尸机 状态转 换 的僵尸 网络 监测 方法 原理
通过 该通 道下 载僵 尸病 毒代 码 接下 来 新被 感染 的对 象
一
种 基 于僵 尸机 状 态转换 的僵 尸 网络 监 测 方 法
蒋 丽华 ． 万 刚 王
（ 庆 城 市管理 职 业 学 院 信 息 工 程 学 院 ， 庆 ４ １３ ） 重 重 ０ ３ １
摘 要： 目前 互联 网上发 生 的大规模 网络攻 击事件 ． 多都 与僵 尸 网络 攻 击有 关。僵 尸病毒 的 感染 开始 于 大
不 现实 的 ： 同时该 方法 还有 另外 一个 问题 ． 即通 过研 究 源
码 只能得 到其静 态 特征 ． 法 了解 其动 态特 点 （ 僵尸 网 无 如 络 的规 模 。 尸机 的地理 分布 情况 等 ） 僵 。 （） ２ 僵尸 网络 的命 令 与控制 研 究 ： 该方 法 主要 针对 基
『 ．应答 ． 并且 与僵 尸机之 间建 立 了链 接 这 个链接 很快 导 ．
容 易 ． 弱 点是 很难 区别 一个 类 似 的行为 是来 自一个 单 其
独 的 网络攻 击行 为还 是来 自于一 个僵 尸 网络成 员 通 过对 上述 方法 的 比较 与总 结 以及 对 目前 较 为流 行 的僵尸 网络 如 ｓ ｒ ｏｍ 以及 Ｐ ａ ｏ 源码 的分析与 研究 ． ｔ ｍｗ ｒ ｏ ｈ ｂｔ
于 Ｉ Ｃ方式 的僵 尸 网络 ， Ｒ 但随着 僵 尸 网络 的发展 ． 攻击 者
逐 渐转 向使 用 私有 Ｉ Ｃ服 务器 ：同时通信 协 议也 逐渐 多 Ｒ 样化 如 ＷＥ ｐ ｐ 。攻 击者 越 来越 趋 向于 对通 信 内容 进 Ｂ、２ ｍ 行加 密 ． 这样 导致 即使能 捕获 僵尸 网 络通信 包 ． 无法 对 但
计 出检 测 系统 。 实验 证 明检 测 系统具 有较 好 的扩展 性 ．能 对 Ｐ ａｏ 传播 扩散 过程 中的各 个状 态进 行有 效捕 ｈｂ ｔ 获 ． 网络 中主 要 网络节 点布 置该 系统 完全 可以监 测僵 尸病毒 的传播 。 在
关键 词 ： 网络 安 全 ； 态 转 换 ； 尸 网络 ： 尸 机 状 僵 僵
一
个外部 网络 与 内部 网络 的通信过 程 。通过 对 通信过 程研 究分析 ． 于 系统 开发 平 台 Ｗ ｉｄ ｗ 和 Ｖ ｓａ ｃ＋ 基 ｎｏ ｉ ｌ ＋ ｕ
（ｃ ． ， ｖ６０ 对一 个潜 在 的用 户从被 感 染到 成 为僵 尸机 ． 一步 扩散 支点 形成 僵 尸 网络全部 变化过 程进 行模 拟 ， ） 进 设