P2P僵尸网络研究_冉宏敏.pdf

《P2P僵尸网络研究_冉宏敏.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第27卷第10期计算机应用研究Vol．27No．102010年10月ApplicationResearchofComputersOct．2010*P2P僵尸网络研究冉宏敏，柴胜—

2、，冯铁，张家晨(吉林大学计算机科学与技术学院，长春130012)摘要:为了更好地探索研究新型P2P僵尸网络的跟踪、检测与反制方法，介绍了P2P僵尸网络的基本定义和演化历史，对P2P僵尸网络的分类和工作机制进行研究，分析P2P僵尸网络的拓扑结构及其逃避检测的方法，报告对P2P僵尸网络进行跟踪、检测与反制的研究现状，并对各种方法的性能进行了比较。最后

3、对P2P僵尸网络的发展与进一步研究提出展望。关键词:对等网络;恶意代码;僵尸网络;命令与控制机制中图分类号:TP393文献标志码:A文章编号:1001-3695(2010)10-3628-05doi:10．3969/j．issn．1001-3695．2010．10．006Researchofpeer-to-peerbotnets－

4、RANHong-min，CHAISheng，FENGTie，ZHANGJia-chen(SchoolofComputerScience＆Technology，JilinUniversity，Ch

5、angchun130012，China)Abstract:Inordertosearchaprofoundmethodintracking，detectingandcounteringP2Pbasedbotnets，thepaperintroducedthebasicdefinitionofP2Pbotnetsandtheirevolutionaryhistory，andthenstudiedtheclassificationandworkingmechanismofthem．Afteranalysingthetopolo

6、gyofP2Pbotnetsandtheirmethodstoevadedetection，itreportedtheapproachesoftracking，detectingandcounteringP2Pbotnets，andcomparedtheperformanceofvariousmethods．FinallygavetheP2Pbotnetdevelop-mentandfurtherresearchprospects．Keywords:P2P(peer-to-peer);malware;botnet;C＆C(

7、commandandcontrol)mechanism僵尸网络是由一些受恶意代码影响的计算机组成的网络，尸网络相比，基于HTTP的僵尸网络具有以下特点:a)避免被攻击者出于恶意目的，传播僵尸程序控制大量主机，并通过一防火墙过滤。随着人们网络安全意识的提高，大多数组织机构［1］对多的命令方式与其他主机进行通信。僵尸主人(botmas-在网关上部署了防火墙，这样一些非期望端口上的IRC协议ter)作为攻击者发布命令控制大量主机执行诸如发送垃圾邮将可能被过滤掉，而HTTP类型的数据包则不会被过滤掉。b)件、DDoS攻击、窃取密码

8、等非法行为。僵尸肉机(bot)是被僵通信更加隐蔽。基于HTTP的僵尸网络通信流与正常的Web尸主人控制的网络上一些存在安全漏洞的主机，它被恶意代码通信流具有相同的结构，在大量因特网Web通信的掩护下，使感染之后，便主动与僵尸主人建立连接，接收和执行命令。［1］得基于HTTP的僵尸网络更难以被检测出来。传统的僵尸网络是基于IRC协议的。IRC协议是因特网基于IRC协议和HTTP的僵尸网络都具有集中控制的特早期的一种实时网络中继聊天协议。首先由僵尸主人建立一点，网络安全研究者抓住它们的这一弱点，通过各种跟踪手段个IRC服务器，

9、这样用户运行IRC客户端程序就能够连接到定位到该C＆C服务中心，并将它们一网打尽。于是，攻击者们这个服务器上来。这个IRC服务器就像是一个C＆C(命令与开始研究探索新的方法来逃避各种跟踪监测，新型的P2P僵［2］控制中心)，所有的僵尸肉机都从这里获取命令。由于IRC尸网络应运而生了。它采用完全分布式的拓扑结构，其中的每协议提供了一种简单、低延迟、匿名的实时通信方式，在早期它一台机器既作为客户机存在，又充当着服务器的角色，因此它被黑客广泛用于相互间的远程交流。网络安全研究者发现了不具有传统僵尸网络的致命弱点，从而更难以被跟踪

10、和检测。基于IRC协议的僵尸网络有一个致命弱点，即C＆C服务器。基于IRC协议的僵尸网络采用集中式的拓扑结构，在僵尸主1P2P僵尸网络研究人与所有其他僵尸肉机之间有一个C＆C服务器负责发送命令和数据。当该C＆C服务器被跟踪监测出来之后，通过关闭该1.1P2P僵尸网络的定义和演变历程C＆C服务器便可导致整