一种基于比特信新型僵尸网络.docVIP

一种基于比特信的新型僵尸网络 　　摘要：无论是传统的IRC僵尸网络，还是后来出现的P2P僵尸网络，都因为命令与控制（CC）服务器或启动（bootstrap）节点无法隐藏，而具有天然的弱点。受比特币的启发，一种新型的可用来向另一人或者多个其他订阅者发送加密消息的P2P网络协议――比特新（Bitmessage）的出现改变了这一现状。基于比特信作为僵尸网络的命令控制信道几乎无法被追踪，大大提高了僵尸网络的隐蔽性。本文提出了一种基于比特信的新型僵尸网络，通过分析其技术原理，探讨针对这种类型的僵尸网络的应对策略，以帮助读者认识这一新型安全威胁。 　　关键词：网络安全；僵尸网络；比特信；P2P网络 　　中图分类号：TP311 　　文献标识码：A 　　0 引言 　　随着互联网的发展，传统的蠕虫、木马等技术手段逐渐发展成一种新兴的攻击平台――僵尸网络（Botnet）。僵尸网络是指在所有者无意识或非合作的情况下，由黑客远程控制的大量计算机（Bots）组成的计算机网络，这些计算机可以接收并执行黑客的指令、受到黑客的统一控制（Command and Control，CC）。这种技术平台具有隐蔽、高效、灵活的特点，利用这一平台进行的大规模分布式拒绝服务攻击（DDoS）、垃圾邮件群发、钓鱼网站、密码破解等恶意行为已经成为当今互联网安全的一大威胁。 　　早期的僵尸网络在基于IRC协议的公共聊天室基础上发展起来，传统的IRC僵尸网络暴露出易于检测和破坏的弱点。黑客随即开发出基于P2P协议和HTTP协议的僵尸网络。这些僵尸网络更加隐蔽、健壮，促使国际社会对于僵尸网络的防范投入了空前的力量。由于基于P2P协议的僵尸网络依赖启动节点（bootstrap节点或seed节点）、基于HTTP协议的僵尸网络容易被阻断等特点，使得它们的命令控制信道十分脆弱。因此，建立一个健壮的、加密的、隐蔽的通信信道，成为僵尸网络的一大难题。 　　比特信（Bitmessage）是一种可用来向另一人或者多个其他订阅者发送加密消息的网络协议，一个P2P的去中心化和无需第三方提供信用担保的协议。它不需要根证书颁发机构，采用了强大的认证方式，其目的是为了隐匿与消息有关的信息，例如消息的发送者和接收者，以免窃听者窃取传递的消息。在提供这些便利的同时，由于比特信提供了安全的通信信道，存在被黑客利用的风险。目前，国内外意识到比特信存在安全威胁的研究者还不多，本文将提出一种基于比特信的僵尸网络，分析该僵尸网络的特点和技术原理，为研究这种安全威性打下基础。 　　1 僵尸网络概述 　　僵尸网络是从计算机病毒、蠕虫、木马等传统网络技术手段的基础上发展而来的，是一种由大量互联网上的主机通过特定的程序连接、沟通，受到黑客命令和控制的计算机网络。这一新兴的技术平台已经成为当今互联网上一种主要的安全威胁，可以被犯罪分子用于DDoS攻击、发送垃圾邮件、暴力破解密码、信息窃取等不法行为。 　　最早的僵尸程序（Bot）可以追溯到1993年出现的“Eggdrop Bot”，Eggdrop可以帮助IRC网络管理员高效地管理网络。然而很快黑客受到这些良性工具的启发，开发出一系列恶意僵尸程序，并通过这些程序控制受害者的计算机进行非法活动。这些恶意的僵尸网络对网络安全构成了严重的威胁，不仅危害了无辜用户的经济利益、个人隐私，甚至危害到国家安全。 　　早期的僵尸网络大都基于IRC协议，IRC协议（Internet Relay Chat）是一种基于文本的应用层协议，在互联网早期被广泛应用于实时网络聊天。IRC协议采用C-S架构（客户端-服务器架构），用户使用IRC客户端连接到服务器上，将消息通过频道（Channel）发送给特定群组或用户。许多著名的开源项目都提供相应的IRC频道。 　　除了IRC协议，HTTP协议也是这类僵尸网络常用的通信协议。与IRC协议相比，互联网中基于HTTP协议的网络流量很大，这使得基于HTTP协议的僵尸网络流量更加隐蔽，其恶意行为也更难检测。同时，基于HTTP协议的流量更容易穿越防火墙的过滤和检测，这在一定程度上保证了控制信道的健壮。 　　采用一对多C-S模式的僵尸网络的拥有者通过一个命令与控制（Command and Control，CC）服务器，统一控制着全部僵尸节点，如图1所示。这种结构的僵尸网络拓扑简单，可以简单高效地管理全部节点，被许多僵尸程序采用。基于CC服务器的命令控制结构的缺点是容易被破坏，由于采用集中控制模式，一旦命令与控制服务器与僵尸节点之间的命令信道被切断，就无从恢复。另外，安全人员可以轻易的通过僵尸节点追溯到命令与控制服务器，一旦该服务器失陷，不但整个僵尸网络就此失效，还有很大的可能性暴露黑客的实际位置。因此，随着技术的发展，这一结构的僵尸网络将被逐渐淘汰。