0 引言

僵尸网络中僵尸主机是由远程操控者利用网络上计算机的弱点，通过感染病毒、蠕虫、木马和间谍软件来初始化的。僵尸网络攻击者通过命令和控制（C&C）机制控制僵尸网络中大规模的被感染的僵尸主机来进行非法操作。僵尸网络有两种基本类型：集中式和分散式。在集中式的僵尸网络中，僵尸主机从C&C服务器获取命令，当僵尸网络C&C服务器被关闭时，整个僵尸网络将会瘫痪。P2P技术因此被攻击者采用，在分散式僵尸网络中没有中心服务器，僵尸主机在P2P僵尸网络充当作为客户端和C&C服务器。如果一个僵尸主机或P2P僵尸网络的一部分被摧毁，其他僵尸主机通信也不会受影响。因此，更加的难以检测和摧毁。因而，本文中重点对P2P僵尸网络的检测方法作以介绍。

1 P2P僵尸网络生命周期

僵尸网络生命周期包括四个阶段：初始化阶段、二次传播阶段、连接阶段和维护阶段。初始化阶段通过各种方法给网络上的防御脆弱的主机感染上木马、蠕虫或病毒。受感染的主机会从特定服务器直接下载并安装僵尸程序。僵尸主机安装僵尸程序后，会由设置好的C&C渠道与其他僵尸主机使用僵尸程序提供网络列表进行连接从而形成僵尸网络。二次传播阶段，僵尸网络成功地建立后，被感染的计算机成为僵尸网络的一部分。攻击者可以通过推送或拉取的方式向所有活动的发送命令，继而然后传播僵尸程序到更多主机。连接阶段中攻击者控制僵尸大军可以发出各种协调指令来攻击目标，如图 1所示。……