李可，方滨兴，崔翔，刘奇旭，严志涛



基于Webshell的僵尸网络研究

李可1,2，方滨兴1，崔翔1,2，刘奇旭2，严志涛2

(1. 北京邮电大学计算机学院，北京 100876；2. 中国科学院信息工程研究所，北京 100093)

以Web服务器为控制目标的僵尸网络逐渐兴起，传统命令控制信道模型无法准确预测该类威胁。对传统Webshell控制方式进行改进，提出一种树状拓扑结构的信道模型。该模型具备普适和隐蔽特性，实验证明其命令传递快速可靠。总结传统防御手段在对抗该模型时的局限性，分析该信道的固有脆弱性，提出可行的防御手段。

僵尸网络；命令与控制；信道预测；Webshell

1 引言

僵尸网络（botnet）是指通过入侵网络空间内若干非合作用户终端构建的、可被攻击者远程控制的通用计算平台[1]。其中，被感染的用户终端称之为僵尸主机（bot）；攻击者指掌握僵尸主机资源，对其具有操控权力的控制者（botmaster）；远程控制指攻击者通过命令与控制（C&C, command and control）信道对僵尸主机进行一对多的操控。通过僵尸网络所掌握的大量计算及信息资源，攻击者可发起分布式拒绝服务攻击（DDoS, distributed denial of service）、垃圾邮件（spam）、恶意软件分发、点击欺诈（click fraud）以及比特币网络攻击等恶意活动[2,3]，给互联网安全构成严重威胁。

僵尸网络的发展经历了3个阶段：早期僵尸网络以个人计算机PC为感染目标；随着智能手机的普及和通信技术的发展，移动僵尸网络逐渐成为了工业和学术研究的新方向。而如今，在PC和手机终端防护日趋完善，僵尸主机生存面临瓶颈的背景下，攻击者将目光投向了互联网中大量开放且脆弱的Web服务器[4]，根据NETCRAFT网站2015年11月发布的报告[5]显示，全球面向Web服务的主机数达553万台, Web 站点数量超过9亿个。……