[發明專利]一種基于搜索引擎的命令控制節點地址查找機制

在審

• 申請號: 201610988674.6
• 申請日: 2016-11-07
• 公開（公告）號: CN108063749A
• 公開（公告）日: 2018-05-22
• 發明（設計）人: 郭曉軍
• 申請（專利權）人: 西藏民族大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F17/30
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于搜索引擎的命令控制節點地址查找機制，其特征在于，包括發布模塊、搜索模塊、關鍵字生成模塊、噪音記錄過濾、信息提取與轉換模塊，攻擊者通過發布模塊將C&C節點信息以博文的形式發布在事先申請開通的多個博客上，并且這些博文可被搜索引擎收錄；當惡意代碼感染設備變為Bot后，該Bot從關鍵字生成模塊產生的與所述博文相關的關鍵字列表中選取關鍵字，并利用搜索模塊訪問搜索引擎后得到SERP，接著通過噪音信息過濾模塊濾除SERP中的噪音記錄而篩選出摘要部分含有C&C節點地址的記錄，最后信息提取與轉換模塊從篩選出記錄的摘要部分提取C&C節點的IP地址，并將IP地址格式轉換為二進制格式，以完成Bot發現和獲取C&C節點地址的過程。

2.如權利要求1所述的基于搜索引擎的命令控制節點地址查找機制，其特征在于，所述發布模塊用于攻擊者將最新的C&C節點IP地址發布在能被搜索引擎收錄的Web頁面上，為Bot查找C&C節點IP地址提供數據來源。

3.如權利要求1所述的基于搜索引擎的命令控制節點地址查找機制，其特征在于，所述搜索模塊用于從關鍵字列表Klist[]中選擇關鍵字，針對不同搜索引擎構造檢索URL字符串并提交給相應的搜索引擎，同時對返回的搜索結果頁面中的記錄進行解析，抽取每條記錄的題目、鏈接和摘要部分，形成記錄數據集。

4.如權利要求1所述的基于搜索引擎的命令控制節點地址查找機制，其特征在于，所述噪音記錄過濾采用Top-K查詢法對記錄數據集進行處理，具體過程如下：

S1、計算記錄數據集合中每條記錄的得分：假設集合R＝{Ii：1≤i≤n}，其中Ii表示記錄數據集合中一條記錄所對應的得分向量，且Ii＝{s1，s2，s3}，n表示記錄數據集合中記錄總數；由于每條記錄由標題(title)，鏈接(link)和摘要(abstract)組成，因此s1，s2，s3分別表示Ii所代表記錄中title、link、abstract對應的得分，均為數值型；s1，s2，s3值的計算過程如下：設置s1的值為title中關鍵字的總長度，s2的值為link部分含有字符串″blog″的總長度，s3的值為abstract中關鍵字的總長度；

S2、設置權值向量：

假設權值向量w＝(w1，w2，...，wv)，且滿足

Σ e = 1 v w e = 1 - - - ( 1 ) ]]>

其中，we∈[0，1]，1≤e≤v，v為Ii的維度，且v＝3；

設置title、link、abstract的得分s1，s2，s3之間對應的權值關系為：w1＜w2＝w3；

S3、執行Top-K查詢：

在Top-K查詢問題中，對于任意的e(1≤e≤v)，如果Ii[e]≥Ij[e]，則查詢函數必須滿足f(Ii)≥f(Ij)；采用常用的加權和函數作為查詢函數f，如式(2)所示：

f ( I i ) = Σ e = 1 v w e · I i [ e ] - - - ( 2 ) ]]>

f(Ii)值越大表示在降序排序中的位置越靠前；因此，對集合R執行Top-K查詢就是返回f(I1)-f(In)中最大的前K個值，此K個值所對應的記錄是有效記錄的可能性較大，以完成對噪音記錄的過濾。

5.如權利要求1所述的基于搜索引擎的命令控制節點地址查找機制，其特征在于，所述信息提取和轉換利用模式匹配算法在此K條記錄的abstract部分查找與提取IP地址信息字符串，并判斷其合法性，之后將合法的IP地址信息字符串轉換成二進制格式，以便Bot直接訪問該IP地址對應的C&C節點。