BotNet 研究笔记一

                      第一章 主要研究内容

   基IRC协议的僵尸网络Bot的交互特征可以分为两方面，一方面是Bot与服务器的交互过程反应在流量上的特征，这些特征是可以将IRC Bot与正常的IRC客户端区别开来，而且在流量上反应的特征几乎不因Bot的不同而不同，所以可以说流量特征是所有Bot交互过程的共性。另一方面的特征是Bot交互过程的内容所反映出来的特征，对于不同的Bot，这些特征差别很大，所以对于不同的Bot要分别进行分析。

根据以上分析结果，对基于IRC协议的僵尸网络Bot的交互特征研究

的主要内容有以下几方面：

l IRC数据流的捕获与过滤算法设计。

l Bot流量特征提取的算法设计。该算法用于从IRC流量中探测出基于IRC协议的Bot流量。设计该算法主要根据三个方面进行判断，首先，Bot的连接将会长时间保持，然后，感染上Bot的计算机将快速加入相同频道(channel)，最后，Bot在频道中会长时间‘发呆’，只是通过‘Ping’和‘Pong’保持连接。

l Bot交互过程的内容特征提取算法设计。研究过程中用已知的典型Bot做测试（AgoBot，SDBot，SpyBot），提取交互过程的关键内容，例如控制者用于认证自己的命令.login、!logon、!auth，用于扫描指定IP地址的某个端口的命令!scan。

  l 开发一个基于以上算法的Botnet探测软件。