下载文档原格式
僵尸网络原理及其防御技术吴旻倩;万君;吴海清【摘要】近几年来,随着计算机网络技术的迅速发展,频繁发生网络攻击事件,网络安全面临巨大挑战.僵尸网络拒绝服务攻击,发送垃圾邮件和其他恶意活动已经成为日益猖獗和迫切要解决的问题.越来越多的网络安全研究人员开始研究僵尸网络.由于僵尸网络不断的演变,更多、更复杂和更隐蔽的僵尸网络相继出现,给系统体系结构的检测和防御带来的诸多困难.因此,本文对僵尸网络原理和检测、防御技术进行了探讨.【期刊名称】《江西通信科技》【年(卷),期】2012(000)004【总页数】3页(P46-48)【关键词】僵尸网络;网络安全;防御【作者】吴旻倩;万君;吴海清【作者单位】南昌广播电视大学南昌 330003;江西广播电视大学南昌 330000;南昌广播电视大学南昌 330003【正文语种】中文随着计算机网络技术的迅速发展，人们的日常生活和工作与网络密不可分。
此时，网络的安全威胁也越来越多元化，尤其是数据和电子商务在网络中的安全。
首先，黑客可使用潜系统在的安全漏洞对计算机系统发起网络攻击；再者，通过人类社会工程学，使用户并不知情的情况下感染病毒并受到攻击。
基于种种攻击，黑客总是能捕获数以万计的计算机系统组成更为复杂的僵尸网络，甚至发动更多、更具威胁的分布式拒绝服务(DDoS)、垃圾邮件和蠕虫等进行肆无忌惮的攻击。
据国家互联网应急中心(CNCERT)监测，2012年1-4月，我国境内被篡改网站数量分别为1888个、1853个、2035个、1957个，其中商业类和政府类网站占多数;据中国国家信息安全漏洞库(CNNVD)监测，2012年1-4月，我国境内被挂马网站分别为5106个、9608个、6683个、3715个，其中商业类网站占多数;2012年1-4月，中国反钓鱼网站联盟认定并处理钓鱼网站8451个，其中支付交易类、金融证券类钓鱼网站占近90%的份额。
一、僵尸网络的概念僵尸网络是由攻击者控制的一大批僵尸程序感染的主机所组成，由覆盖网络的恶意活动形成。
网络攻击的发展趋势：botnet第一部分认识僵尸网络第二部分僵尸网络的生存特点第三部分僵尸网络的监控技术第四部分僵尸网络的现状第三部分僵尸网络未来预测认识botnet第一部分认识僵尸网络第二部分botnet的生存特点第三部分botnet的监控技术第四部分botnet的现状第三部分botnet未来预测僵尸网络(Botnet)的起源1993年在IRC 聊天网络中出现了Bot工具－Eggdrop，它作为IRC 聊天网络中的智能程序，能够自动地执行如防止频道被滥用、管理权限、记录频道事件等一系列功能，从而帮助用户更方便地使用IRC 聊天网络。
九十年代末随着分布式拒绝服务攻击概念的成熟，出现了大量分布式拒绝服务攻击工具如TFN、TFN2K、Trin00，攻击者通过这些工具掌握大量的僵尸主机，发动分布式拒绝服务攻击。
而这些僵尸主机可以说已经构成了僵尸网络的雏形。
1999 年在第8 届DEFCON 年会上发布的SubSeven 2.1 版开始使用IRC 协议构建攻击者对僵尸主机的控制信道，也成为第一个真正意义上的僵尸程序。
为什么称之为“僵尸网络”“僵尸网络”国外称之为Botnet。
是由Bot、C&CS和控制组成的可通信、可控制的网络。
之所以用"僵尸网络"这个名字，是为了更形象的让人们认识到这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和指挥着，成为被人利用的一种工具。
主流僵尸网络类型我们通过分析启明星辰ADLab在2005年1月追踪捕获的一个案例来认识一个真实的“僵尸网络”。
下面是该僵尸网络的逻辑拓谱图：ADLab成员通过一系列的渗透分析，进入该“僵尸网络”并在其中一个IRC Server(Botmaster)上模仿攻击者进行下面这些实验操作：url(模拟用户访问文件)----haltgetPost[15:41] <cnwjufdz> !url get http://www.*****.net/soft/SU.c[15:41] <cnzdbhtm> Start url refresh on http://www.*****.net:80/soft/SU.c (2clients).[15:41] <cnwjufdz> !url halt[15:41] <cnzdbhtm> Stop url GET on http://www.*****.net:80/ (2clients)Udp(发送udp Flood 攻击数据)----[15:41] <cnwjufdz> !udp 192.168.0.1 80[15:41] <cnzdbhtm> Start sending to 192.168.0.1:80(4KB/Sec).Tcpd(发送TCP Flood攻击数据)----[15:45] <cnwjufdz> !tcpd 192.168.0.1 80[15:45] <cnzdbhtm> Start flood port on 192.168.0.1:80(8clients).Tcp（发送tcp 数据）----[15:46] <cnwjufdz> !tcp 192.168.0.1 80[15:46] <cnzdbhtm> Start tcp to 192.168.0.1:80(64clients).Smtp（发送垃圾邮件）----[15:47] <cnwjufdz> !smtp 192.168.0.1 test@[15:47] <cnzdbhtm> Stop smtp sending to 192.168.0.1(4clients) and start smtp sending to 192.168.0.1(4clients).Service（控制系统服务）-------deleteremovestart[15:49] <cnwjufdz> !service start test[15:49] <cnzdbhtm> Try strart service [test] has completed.Scan（扫描计算机）----[15:49] <cnwjufdz> !scan 445 192.168.10.1 192.168.10.255[15:49] <cnzdbhtm> Start scan [445] 192.168.10.1 to 192.168.10.255, 255 ip#s will scan(16clients).[15:50] <cnzdbhtm> 192.168.10.29:445 connected.[15:50] <cnzdbhtm> 192.168.10.35:445 connected.[15:50] <cnzdbhtm> 192.168.10.38:445 connected.[15:50] <cnzdbhtm> 192.168.10.39:445 connected.[15:50] <cnzdbhtm> 192.168.10.40:445 connected.[15:50] <cnzdbhtm> 192.168.10.88:445 connected.[15:50] <cnzdbhtm> 192.168.10.101:445 connected.[15:50] <cnzdbhtm> 192.168.10.152:445 connected.[15:50] <cnzdbhtm> 192.168.10.153:445 connected.此外还有：Reg(进行注册表操作)、Proc（进程操作）、Port（发送端口数据）等命令操作。
常见网络入侵技术和网络防护技术简述随着计算机和网络技术的快速发展，网络信息已经成为社会发展的重要组成部分，涉及到国家的政府、军事、经济等诸多领域。
由于计算机网络组成形式的多样性和网络的开放性等特点，致使这些网络信息容易受到来自世界各地的各种人为攻击。
据统计，全球每20秒就有一起黑客事件发生，因此网络安全成为了全世界范围内一个无法回避且急需解决的问题。
本文简单介绍了几种常见的网络入侵手段和网络防护技术。
一、背景上世纪九十年代开始发展起来的计算机网络技术，给人们在处理信息和资源共享带来了极大的方便，深刻影响并改变着我们的生活方式。
当各种商业活动，金融领域，国家政府机构，军事国防对网络依赖度越来越高时，也不得不面对更多来自网络安全方面的考验。
随之出现的诸如木马，蠕虫，DoS攻击等，正在成为网络安全最大的威胁。
全球知名的个人电脑安全软件制造商Symantec专家Ⅵncent Weaver在接受新华社记者采访时说：“中国排全球互联网黑客攻击的第三号目标。
”中国互联网络信息中心(CNNIC)报告指出，截至 2013年底，网民人数已达 6.18亿，手机网民超过 5亿，同样面临着严重的安全威胁。
其中计算机病毒感染率更是长期处于较高水平。
每年因计算机病毒、蠕虫和木马造成的安全事件占全部安全事件的83%。
近年来国内发生了许多网络安全事件，其中部分事件有着重大的社会和政治影响。
我国重要信息系统受到境内、外恶意病毒的攻击，木马的侵入、渗透，危害相当严重。
从整个国家和地区情况看，近年来世界广为知晓的“棱镜门”事件，以及前一个时期通过国外媒体暴露的有关国内知名的公司核心服务器受到侵害的安全问题非常突出。
国外媒体报道的中国周边国家韩国突发的网络安全和信息瘫痪的事件，都令人深思和警醒。
随着互联网的发展，网络安全给我们带来的挑战应该更加凸显。
尽管这几年我国政府在逐步的加大网络安全方面的工作力度、技术投入和资金保障，但仍然客观存在着网络安全的问题，有的还比较突出，整个形势不容乐观。
也许很多人还没有注意到，据Arbor Networks的统计，2008年僵尸网络的拒绝服务攻击超过了每秒40GB的限度。
这也就是说，当前的僵尸网络的攻击规模已经达到一个僵尸网络有190万台僵尸电脑的程度，而僵尸网络的拒绝服务攻击是最难防御的攻击之一。
因此，这也是拒绝服务攻击成为勒索者试图把在线商家作为人质获取赎金的常用手段的原因。
这对于犯罪分子来说是一笔大买卖，而且这个生意很兴隆。
下面这种情况就很常见：犯罪分子利用一个僵尸网络大军渗透和消除对于你有价值的服务。
攻击目标的范围包括仅用一个拒绝服务攻击使你的一台重要服务器达到饱和或者使你的互联网连接达到饱和，有效地中断你的全部互联网服务。
在某些情况下，这些坏蛋首先发起攻击，中断网络服务，然后要求支付赎金。
有时候，这些坏蛋仅仅发出赎金的要求，并且威胁说如果不在某日之前满足他们的要求，他们将中断攻击目标的网站。
当然，这些可能对我们来说已经不是什么新鲜事了。
但是，如果你遭到过僵尸网络的拒绝服务攻击或者遭到过多次这种攻击，你是否想过你和你的公司应该采取什么措施吗？你如何准备应对这种类型的攻击？许多公司（包括大企业和小企业）都这样对待这个问题，他们解释说“我们没有黑客要的东西”或者“我们是小目标，不值得这样麻烦”。
在某些情况下，这种事情是非常真实的，就是拒绝服务攻击的风险不值得安全投资。
但是，在许多情况下，这种想法是一种危险的错误。
这种风险实际上比想象的要大。
如果我从一个坏蛋的角度考虑这个问题，我在追求一二样东西，金钱或者名誉。
如果你能够提供其中任何一样东西，你就有机会成为攻击目标。
因此，现在我们就来解决这个问题。
你如何能够打败一个僵尸网络的拒绝服务攻击？这个答案取决于你遇到的拒绝服务攻击的类型、你的网络基础设施、你拥有的安全工具和其它变量。
尽管在你的独特的环境中你如何防御拒绝服务攻击有许多变量，但是，强调一些最流行的策略是有价值的。
下面是打败拒绝服务攻击的一些技巧。
网络僵尸网络是指由一群被黑客控制的一台台已感染的电脑所组成的网络。
这些被控制的电脑可以用于发送垃圾邮件、发起分布式拒绝服务攻击，或进行其他恶意活动。
追踪网络僵尸网络的重要性在于保护网络安全以及打击网络犯罪。
本文将探讨如何通过网络追踪网络僵尸网络。
1. 网络安全意识的提高首先，为了有效追踪网络僵尸网络，我们需要提高网络安全意识。
人们应该意识到网络安全的重要性，并学会保护自己的电脑免受黑客的攻击。
这可以通过定期更新操作系统和防病毒软件、使用强密码以及避免点击可疑链接和下载未知来源的文件来实现。
2. 网络信息采集与分析其次，为了追踪网络僵尸网络，需要进行网络信息采集与分析。
这需要专业的网络安全人员使用各种技术和工具，如数据包捕获、流量分析和文件取证。
通过对网络数据的收集和分析，可以确定网络僵尸网络的活动模式、攻击手段以及传播途径，从而找出网络僵尸网络的源头。
3. 合作与信息共享追踪网络僵尸网络需要各方的合作与信息共享。
众多互联网服务提供商、网络安全公司以及执法机构应该共同合作，分享已掌握的有关网络僵尸网络的信息。
这将加快追踪网络僵尸网络的速度和效率，并有助于提高网络安全的整体水平。
4. 国际合作与立法网络僵尸网络通常具有跨国性质，为了有效追踪网络僵尸网络，国际合作以及相关的国际法律法规的制定是必不可少的。
各国政府应该加强合作，共同制定国际标准，建立跨国合作机制，以共同打击网络犯罪并保护全球网络安全。
5. 反击与清除除了追踪网络僵尸网络外，还需要采取措施进行反击与清除。
网络安全人员可以通过采取技术手段，利用防火墙、入侵检测系统等工具，阻止网络僵尸网络的攻击行为。
此外，也可以通过域名封锁、服务器关闭等方式清除已被黑客控制的电脑。
6. 教育与培训最后，为了更好地追踪网络僵尸网络，我们需要加强网络安全教育与技术培训。
应该向公众普及网络安全知识，提高大众的网络安全意识；同时，还应该培养更多的网络安全专业人才，以满足对网络安全人才的需求。
