僵尸網(wǎng)絡(luò)新型命令控制機制及檢測關(guān)鍵技術(shù)研究.pdf

1、僵尸網(wǎng)絡(luò)可被攻擊者用來實施覆蓋范圍大、攻擊力度強、防范難度高的網(wǎng)絡(luò)攻擊，對互聯(lián)網(wǎng)正常運行造成嚴(yán)重威脅。由于僵尸網(wǎng)絡(luò)是在互聯(lián)網(wǎng)上通過命令控制機制將感染僵尸程序的設(shè)備組織成一個邏輯的可受控網(wǎng)絡(luò)平臺，因而命令控制機制是僵尸網(wǎng)絡(luò)正常運行的核心所在，且隨著僵尸網(wǎng)絡(luò)的不斷演進而發(fā)生變化。研究僵尸網(wǎng)絡(luò)命令控制機制對理解僵尸網(wǎng)絡(luò)運行機理、探索未來僵尸網(wǎng)絡(luò)可能的組織方式、識別與檢測未知僵尸網(wǎng)絡(luò)類型、遏制僵尸網(wǎng)絡(luò)的蔓延等具有重要作用。
　　已揭示的僵

2、尸網(wǎng)絡(luò)命令控制機制采用固定IP或者域名、Domain-Flux、Fast-Flux及P2P方式來查找命令控制服務(wù)器節(jié)點，且使用明文或密文的方式來傳送命令控制信息。主要存在命令控制服務(wù)器節(jié)點查找過程隱蔽性較弱、命令控制信息明文傳送安全性較低而加密方式時空復(fù)雜度高、本地網(wǎng)絡(luò)同類僵尸節(jié)點通信行為具有相似性等問題。
　　本文針對上述問題，圍繞新型命令控制機制的構(gòu)建，從命令控制服務(wù)器節(jié)點信息查找、命令控制信息隱蔽傳送及本地網(wǎng)絡(luò)同類僵尸節(jié)點命

3、令控制信息分發(fā)等內(nèi)容展開研究，論文具體主要工作及創(chuàng)新分為如下四個方面:
　　(1)針對僵尸節(jié)點查找命令控制服務(wù)器節(jié)點過程隱蔽性較差的問題，提出基于Web搜索服務(wù)的命令控制服務(wù)器節(jié)點信息查找方法，并通過較長時間的實驗測試，驗證了該方法的可行性與有效性。該方利用正常Web搜索服務(wù)來偽裝命令控制服務(wù)器節(jié)點查找過程，攻擊者事先通過免費博客發(fā)布以日期MD5值為標(biāo)題、命令控制服務(wù)器節(jié)點信息（如IP地址、域名等）為內(nèi)容的博文，且這些博文可被We

4、b搜索引擎收錄。其次，僵尸節(jié)點通過關(guān)鍵字生成算法產(chǎn)生日期的MD5值，并作為搜索關(guān)鍵字遞交給Web搜索服務(wù)獲取搜索記錄集合。最后，利用Top-K算法對該記錄集合進行過濾，選取排名前K條與含有命令控制服務(wù)器節(jié)點信息博文相關(guān)的記錄，并提取這些記錄摘要部分中的命令控制服務(wù)器節(jié)點信息。
　　(2)針對命令控制信息明文傳送安全性較低、加密傳送時空復(fù)雜度大問題，提出基于信息隱藏思想的命令控制信息傳送方法，克服了明文傳送方式易被檢測與識別問題，且

5、有效避免了加密傳送方式造成的時空開銷較大的問題。該方法以Web頁面HTML代碼為載體，借用信息隱藏技術(shù)來傳送命令控制信息。首先分析了當(dāng)前Web頁面HTML代碼的內(nèi)在特征，根據(jù)自定義的字符編碼表將命令控制信息進行序列化以形成二進制串，并對該二進制串進行Arnold置亂變換以增加其隱蔽性。然后通過改變載體Web頁面HTML代碼中每行/列字符數(shù)量的奇偶性來表示置亂二進制串中每個比特，實現(xiàn)命令控制信息在載體Web頁面中的隱藏。最后，當(dāng)僵尸節(jié)點獲

6、取該載體Web頁面后，通過判斷其HTML代碼的奇偶性與Arnold逆變換即可提取出所隱藏的命令控制信息，完成命令控制信息傳送。
　　(3)針對本地網(wǎng)絡(luò)同類僵尸節(jié)點獲取命令控制信息過程存在通信行為相似性的問題，提出面向本地網(wǎng)絡(luò)同類僵尸節(jié)點的命令控制信息分發(fā)方法，提高了同類型僵尸節(jié)點通信流量的隱蔽性，從而有效避免其通信行為相似性，且具有較好的魯棒性。該方法通過本地網(wǎng)絡(luò)選舉出的僵尸節(jié)點代表來獲取與分發(fā)命令控制信息。首先，定義開機時間比與

7、CPU利用率比作為評價僵尸節(jié)點性能的兩個指標(biāo)。其次，本地網(wǎng)絡(luò)內(nèi)同類型僵尸節(jié)點通過LLMNR Query報文將自身的兩個評價指標(biāo)數(shù)值進行相互通告后，結(jié)合證據(jù)理論選出該同類型僵尸節(jié)點的臨時代表BTL。然后，BTL通過Web搜索服務(wù)來查找命令控制服務(wù)器節(jié)點，并利用Web頁面信息隱藏方式獲取命令控制信息。最后，BTL構(gòu)造含有命令控制信息的LLMNR Query報文以告知其它同類僵尸節(jié)點，從而完成命令信息在本地網(wǎng)絡(luò)內(nèi)的分發(fā)。
　　(4)基于