基于P2P的僵尸网络及其检测技术

Scientific Journal of Information EngineeringJune 2015, Volume 5, Issue 3, PP.97-101 P2P Botnet and Its Detecting TechnologyQi Zhou1, Jing Gao1, Xiaoli Dong1, Qintao Dong21. School of Information Science and Engineering, Lanzhou University, Lanzhou 730000, China2. 68231troop Political Affairs Office of PLA, ChinaAbstractIn this article, firstly, we classified the P2P botnet by their character; then its network running mechanism and life cycle were analyzed; finally, by combining several common P2P botnet, we summarized the current detecting methods that based on mainframe and network, and pointed out main difficult of the P2P botnet detection.Keywords: Botnets; P2P; Detection; Network Traffic基于P2P的僵尸网络及其检测技术周琦1，高靖1，董小丽1，董秦涛21. 兰州大学信息科学与工程学院，甘肃兰州 7300302. 解放军68231部队政治处摘要：本文首先分析P2P僵尸网络的种类，接着对其网络运行机制、生命周期进行深入分析，结合几种常见P2P僵尸网络，总结了现行的基于主机和基于网络的检测方法，最后提出了P2P僵尸网络检测的难点。

关键词：僵尸网络；P2P；检测；网络流量引言僵尸网络是由大量被僵尸程序控制的主机通过某种C&C（命令与控制）信道所组成的网络。

僵尸网络融合了传统的恶意软件，成为一种可控的、能够发动各种恶意活动的攻击平台。

控制者主要通过被僵尸网络控制的感染主机进行恶意行为。

近几年出现的基于P2P (Peer-to-Peer) 的僵尸网络，具有更强的隐蔽性、健壮性和危害性，给僵尸网络追踪、检测和防御带来极大的挑战，引起了网络安全机构及专家学者的高度重视。

根据2013年华为云安全中心统计，从全球来看，中国和美国的僵尸网络主机数分别占整体数量的30.3%和28.2%，远远高于其他国家，而从控制者来看，美国境内的控制者最多，占重量的 (42.2%)，随后是德国 (9.1%)，法国 (7%) 和英国 (5.8%)，而中国则约为3.8%。

1P2P僵尸网络研究1.1P2P僵尸网络的种类本文在文献[1]的基础上对P2P僵尸网络的分类进行更加详细的描述。

根据P2P僵尸网络选用P2P协议进行组网的方式以及选择僵尸主机的来源将P2P僵尸网络划分为3种类型；(1) 寄生型P2P僵尸网络：使用现有的合法P2P网络组网，僵尸主机也来自于该网络内的主机；(2) 吸附型P2P僵尸网络：依赖于现有的合法P2P网络组网，僵尸主机来自于整个Internet中的脆弱主机；(3) 独立型P2P僵尸网络：使用现有的P2P协议或者设计新的P2P协议组成独立的网络，网络内的节点全部是僵尸主机（不含有良性的P2P节点）。

1.2P2P僵尸网络运行机制僵尸网络的C&C（命令与控制）信道机制是僵尸网络设计中最重要的组成部分。

C&C机制直接决定了僵尸网络的通信协议和网络拓扑结构，从而影响到僵尸网络在网络维护、代码升级、命令分发时的网络运行效率，以及在对抗安全检测和防御、网络或计算机故障时表现出来的韧性。

按照僵尸牧主发布命令和僵尸主机获取命令的方式划分，C&C机制可以划分为“pull”和“push”机制[2]。

“pull”机制也称为“命令发布/订阅”机制，是指僵尸主机主动地从僵尸牧主发布命令的地方获取命令；“push”机制是指僵尸主机被动地等待命令被推送过来，然后将命令转发给其它僵尸主机成员。

(1) Pull机制集中式僵尸网络的C&C信道通常使用“pull”机制实现。

在IRC僵尸网络中，所有的僵尸主机周期性连接到预定的IRC频道上，等待僵尸牧主在这个频道上发布命令；在HTTP僵尸网络中，僵尸牧主将命令发布到某个Web页面中，僵尸主机定期使用HTTP协议访问这个Web页面以检查是否有命令更新。

该Web 页面的地址是事先编码到僵尸程序代码中的，在运行期间可以通过僵尸牧主发布“地址修改命令”对其进行更改。

P2P僵尸网络如果使用定制的P2P协议，可以根据需要使用“pull”机制或“push”机制。

如果使用“pull”机制，一般会借鉴P2P文件共享系统中的文件查询思想：僵尸牧主挑选一个或若干僵尸主机发布命令，让其申明拥有某个特定文件，这个文件的文件名需要预先编码到僵尸程序代码中。

僵尸主机定期在网内查询这个文件来获取命令；一旦申明拥有这个文件的僵尸主机接收到查询命令，就回复查询成功报文，查询成功报文中包含有命令或者发布命令的地址；接下来，当发出查询请求的僵尸主机接收到查询成功报文后，就直接解析命令或是到指定的位置获取命令。

采用“pull”机制实现的僵尸网络都需要僵尸主机周期性地请求命令或者检查命令的更新，实现起来比较容易，但是这种“周期性”规律增加了被检测到的危险。

(2) Push机制基于“push”机制的P2P C&C的核心思想是：僵尸牧主将命令发送给网内的僵尸主机，接收到命令的僵尸主机主动将命令转发给其它的节点。

这种方法避免了周期性请求或检查新的命令，减少了被检测到的危险。

僵尸主机一般把命令伪装成正常的查询报文发送给所有的邻接节点，并依赖于这些邻接节点继续转发该命令。

这个报文对于良性节点来说就是正常的查询报文，而僵尸节点能够将其解析为命令。

这种方案易于实现且难以被防御者检测到，因为命令转发流量中混合了正常的查询检索流量。

1.3P2P僵尸网络生命周期大体上来说，P2P僵尸网络的生命周期可以分为三个阶段[1]：感染阶段、组网与二次感染阶段和接收及命令控制阶段。

(1) 感染阶段也称为初次感染阶段。

攻击者会利用网络中易感计算机的系统漏洞，使用蠕虫、木马等恶意代码技术，通过电子邮件、网站恶意脚本、移动载体等传播媒介来传播和感染恶意僵尸程序。

(2) 组网与二次感染阶段在这个阶段，新感染的主机通过随机扫描等手段试图连接僵尸程序列表中的其他节点，并根据反馈的信息更新自身信息，从而成为一台真正的P2P僵尸主机，进入第三个阶段。

(3) 接收及命令控制阶段完成组网和二次感染的僵尸主机在这个阶段的主要任务就是接收和执行攻击任务。

大多数情况，僵尸网络发起的攻击都是简单地发送携带病毒的垃圾邮件。

当攻击成功后，僵尸网络的规模会随着新感染主机的加入而扩大。

有时候僵尸牧主也会发起比较敏感的攻击行为，比如窃取身份数据、用户密码和金融数据等。

1.4几个重要的P2P僵尸网络2002年第一个使用P2P协议的僵尸网络Slapper出现，这标志着基于P2P协议的僵尸网络正式登上舞台。

早期的Sinit和Nugache等是纯分布式P2P僵尸网络，每台僵尸主机对等连接，僵尸主机既是客户机也是服务器。

2004年Phatbot出现，它是典型的集中式P2P僵尸网络，在Phatbot中，新感染主机需要连接到Gnutella 网络的缓冲服务器取得僵尸节点列表，它基于WASTE协议构建，只支持小规模P2P网络，扩展性差，存在单点失效的问题。

2007年Storm僵尸网络的爆发，标志着P2P僵尸网络技术走向成熟，它是基于Kademlia协议的完全分布式僵尸网络。

开始它用来感染宿主的电子邮件都有一行与风暴相关的标题，之后常用一些当前热门新闻事件来伪装自己。

Storm僵尸网络寄生于合法的P2P网络中，具有很大的隐蔽性，这些优势使得受感染主机呈爆发式增长，2007年11月，Storm每小时都有多达23万台僵尸主机同时在线，成为规模最大、危害最大的僵尸网络。

1.5P2P僵尸网络的检测1.5.1基于主机的检测基于主机的检测主要是指在一个负责监控的主机内部安装传感器，用其监控和记录僵尸程序的可疑行为活动。

现阶段最常见的基于主机的检测方法主要是蜜罐和虚拟机技术，然而随着它们的大量应用，僵尸牧主很容易掌握这些技术，并进行反制。

该方法能够有效检测到活跃的P2P僵尸网络，但当僵尸网络停止活动时就不容易检测到，因此人们开始寻求更加有效的检测方法。

1.5.2基于网络的检测通过大量的研究实验发现，P2P僵尸网络节点需要频繁地交换节点信息，处理P2P网络扰动问题，那么这些节点的网络行为，比如报文大小、发送的频率必然会表现出相似性。

针对这些网络行为相似性，产生了一些优秀的检测方法。

Noh等人[3]提出了一种多阶段流模型的P2P僵尸网络检测方法。

该方法把研究的重点放在僵尸主机与大量的远端节点进行通信的特征上，认为按照某种规则分阶段的流具有相似但时间间隔不规律的特征，然后对相似的流进行分组并压缩，然后通过概率矩阵来构建分组流的转换模型，最后计算出bot的似然率。

Zhang等人[4][4]提出一种P2P流量指纹识别算法，用于建立各种P2P应用的统计概图，使用基于流量聚类分析的方法来识别运行P2P应用的主机，然后根据观察出来的P2P僵尸网络节点表现出来的一些相似性，比如同一个僵尸网络内的僵尸节点使用同样的P2P协议和网络、每两个僵尸节点联系的邻居节点集合之间的交集比较大等，将P2P僵尸主机与合法的P2P网络主机分离出来。

但是这种方法需要基于一个前提假设，即检测的目标网络内至少有2个以上的主机是同一个P2P僵尸网络上的节点，从而才能有效利用僵尸节点之间通信特征的相似性来达到检测的目的。

1.6P2P僵尸网络检测难点1.6.1传统检测技术失效传统的基于特征匹配技术在检测P2P僵尸网络时，几乎完全失效，主要因为：(1) 基于特征匹配技术几乎完全不可行；基于特征匹配技术在检测P2P僵尸网络时，几乎完全失效，主要因为两个原因：首先是僵尸网络特有的C&C机制，使得僵尸牧主可以很容易发布程序升级命令，频繁地修改僵尸程序的特征码；其次是当前的P2P僵尸程序几乎都使用了很严格的加密和认证机制，无法进行有效地特征匹配检测。

(2) 蜜网检测能力不足；P2P僵尸网络没有C&C服务器，使用蜜网采集到的信息利用价值不大，而且蜜网检测点容易遭受僵尸牧主的DDos攻击，从而无法工作。