基于http协议的僵尸程序检测研究

《基于http协议的僵尸程序检测研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、万方数据中图分类号：学科分类号：TP39论文编号：安徽理工大学硕士学位论文基于HTTP协议的僵尸程序检测研究作者姓名：杨智送专业名称：让箕扭座且拉本研究方向：信息安全导师姓名：友贤进教授导师单位：让箕扭科堂皇工程堂院答辩委员会主席：韭毅论文答辩日期：2014年5月31日安徽理工大学研究生处2014年月日万方数据ADissertationin．computerapplicationtechnology_．TheResearchofBotnetDetectingBasedonHTTPProtocolCandidate：YangZhixingSuperviso

2、r：FangXianjinSchoolofComputerScienceandEngineeringAnHuiUniversityofScienceandTechnologyNo．168，ShungengRoad，Huainan，232001，P．R．CHINA万方数据独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方以外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得塞邀堡王太堂或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已

3、在论文中作了明确的说明并表示谢意。学位论文作者签名：聿红旺日期：缈一石月[日学位论文版权使用授权书本学位论文作者完全了解塞徵堡王太堂有保留、使用学位论文的规定，即：研究生在校攻读学位期间论文工作的知识产权单位属于塞徽堡王太堂。学校有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权安徽理工大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。(保密的学位论文在解密后适用本授权书)学位论文作者签名：毒施畚签字日期：z少忏年6月厂日导师签名：多＼霉迄签字日期：埘年∈月f

4、旱万方数据摘要摘要近年来，随着网络的普及，网络安全也面临着越来越大的威胁，各种木马病毒层出不穷。其中，僵尸网络在分布式拒绝服务攻击(DDoS)、垃圾邮件(Spam)、网络钓鱼(phishing)、蠕虫(worm)传播、窃取敏感信息等方面有着特有的优势，成为网络安全的重大威胁之一。据国家互联网应急中心统计，在中国大陆有近74万台主机被僵尸网络控制着。早期的僵尸网络都是使用IRC协议来构建其控制与命令信道，但是随着研究人员对基于IRC协议的Bot认识不断深入，基于IRC协议的Bot越来越难以生存，于是黑客们开始用更加复杂的P2P协议与H丌P协议构建命令与控制

5、信道。基于新协议的Bot大量出现，研究新的检测技术来发现Bot的问题迫在眉睫。在检测IRCBot中使用的终端检测、网络流量分析检测等具有良好的检测性能。本文首先学习了僵尸网络方面的相关知识，对僵尸网络有了比较全面的了解，分析了H，丌PBot的行为；然后研究了DCA算法的原理及应用；最后研究了APIHOOK技术。在对以上三种知识有了比较全面的了解后，总结前人研究Bot检测的方法，给出了一种检测HTTPBot的方法。方法描述如下：用APIHOOK工具截获系统中特定函数的调用，这些函数通常是Bot为完成其功能所必须要调用的函数。在获得了函数的调用序列后，将其映

6、射为DCA算法的输入信号，将产生函数调用的进程PID号映射为抗原，经过DCA算法处理后得到输出数据，根据输出数据计算MCAV值，MCAV表示抗原的异常指标，将MCAV值与异常阀值进行比较，判断抗原是否异常。在异常指标方面，引入了新的异常指标MAC，并与MCAV进行比较。通过实验将DCA应用于HTTPBot的检测，实验结果表明能够在感染主机上发现其异常进程，同时还表明使用异常指标MAC比使用MCAV具有更低的误报率。图14表5参52关键词：Bot；BotDetection；树突细胞算法；僵尸网络分类号：TP39万方数据安徽理工大学硕士学位论文．II．万方数

7、据AbstractWiththedevelopmentofintemet,networksecurityisfacingagrowingthreaten,andvirousTrojanscontinuouslyemergeinrecentyears．Botuethasbecomeoneofthemajorthreatentonetworksecuritybecauseofitsadvantages，includingDistributedDenialofService(DDoS)attack，Spare，phishing，wormspreadingand

8、stealingsensitiveinformations．Accordingt