[發明專利]一種僵尸網絡檢測方法及裝置

有效

• 申請號: 201210477769.3
• 申請日: 2012-11-22
• 公開（公告）號: CN102932373A
• 公開（公告）日: 2013-02-13
• 發明（設計）人: 李安坤;吳烜;丁洪震
• 申請（專利權）人: 北京榮之聯科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京風雅頌專利代理有限公司 11403
• 代理人: 李弘;李翔

1.一種僵尸網絡的檢測方法，其特征在于，包括如下步驟：

1）進行僵尸網絡特征檢測并提取僵尸網絡信息；

2）根據所述僵尸網絡信息進行行為檢測的監控并把所述僵尸網絡信息存入監控表；

3）定時掃描所述監控表；

4）將從監控表中掃描的僵尸網絡信息寫入待寫數據庫。

2.根據權利要求1所述的僵尸網絡的檢測方法，其特征在于，所述監控表包括控制者監控表和英特網中繼聊天服務器監控表。

3.根據權利要求1所述的僵尸網絡的檢測方法，其特征在于，步驟2）進一步包括如下步驟：

51）獲得來自特征檢測消息隊列的僵尸網絡信息并同時進入步驟52）；

52）以源IP地址和僵尸工具名作為驗證碼計算哈希值并同時進入步驟53）；

53）判斷源IP地址和所述僵尸工具是否在控制者監控表；若是，則進入步驟510）；若否，則進入步驟54；

510）更新節點時間；

54）判斷源網絡間互聯協議地址和所述僵尸工具是否在英特網中繼聊天服務器監控表；若是，則進入步驟55）；若否，則進入步驟511）；

511）創建哈希節點，進入步驟512）；

512）把目的網絡間互聯協議地址掛到上述哈希節點的通信對端單鏈表，進入步驟513）；

513）英特網中繼聊天服務器監控表哈希節點的個數增加，進入步驟59）；

55）更新節點時間戳，即更新節點時間，并同時進入步驟56）；

56）判斷目的網絡間互聯協議地址是否在該節點的通信對端鏈表中；若是，則進入步驟59）；若否，則進入步驟57）；

57）創建通信對端單鏈表節點并同時進入步驟58）；

58）英特網中繼聊天服務器監控表中的哈希節點的數目增加并同時進入步驟59）；

59）結束。

4.根據權利要求1所述的僵尸網絡的檢測方法，其特征在于，步驟3）進一步包括如下步驟：

61）判斷英特網中繼聊天服務器監控表節點是否為空；若是，則進入步驟610），若否，則進入步驟62）；

610）掃描控制者監控表并進入步驟611）；

611）判斷控制者監控表中的節點是否為空；若是，則進入步驟69；若否，則進入步驟612）；

612）判斷控制者監控表的節點創建時間是否超過老化時間閾值；若是，則進入步驟613）；若否，則進入步驟615）；

613）把與控制者、英特網中繼聊天服務器等相關的僵尸網絡信息放入待寫數據庫隊列并進入步驟614）；

614）刪除控制者監控表節點并進入步驟615）；

615）讀取下一個單鏈表節點并返回步驟611）；

62）判斷英特網中繼聊天服務器監控表節點的創建時間是否超過控制者監控時間閾值且英特網中繼聊天服務器監控表節點個數為1，若是，則進入步驟616）；若否，則進入步驟63）；

616）把英特網中繼聊天服務器控制表節點加入控制者監控表中，其中控制者網絡間互聯協議地址賦值為服務器網絡間互聯協議地址，所述服務器網絡間互聯協議地址賦值為通信對端網絡間互聯協議地址，并進入步驟617）；

617）刪除所述英特網中繼聊天服務器控制表節點，并進入步驟618）；

618）讀取下一個英特網中繼聊天服務器控制表節點，并返回步驟61）；

63）判斷英特網中繼聊天服務器監控表節點創建的時間是否超過老化時間閾值；若是，則進入步驟64）；若否，則進入步驟619）；

64）判斷通信對端單鏈表是否為空；若是，則刪除該英特網中繼聊天服務器監控表節點；若否，則進入步驟65）；

65）賦值，即將通信對端鏈表中節點的網絡間互聯協議地址逐個作為僵尸網絡間互聯協議地址，對所述通信對端鏈表中的僵尸網絡信息進行賦值并進入步驟66）；

66）將所述僵尸網絡信息放入待寫數據庫隊列并進入步驟67）；

67）刪除所述通信對端單鏈表節點并進入步驟68）；

68）取下一個通信對端單鏈表節點并返回步驟64）；

69）結束。