基于路径信息泄露问题自动逆向构建僵尸网络的协议模型

Currently,botnet is the biggest threat to the Internet security which is driven by the command and control protocol and in continuous evolution and variation. Efficiently contructing botnet protocol model is the improtant content of botnet research and prevention. Bot is a node of botnet, which leaks a large number of path information during its execution. The leaked path information is a binary representation of botnet control logic. The aim of this project is automatically inferring botnet control logic using leaked path information to automatically build and verify botnet protocol model, which provides a new method for botnet analysis and prevention. The research contains the following topics: 1. restoring the input and output data semantics in the command and control channel using path information; 2. building botnet command set reasoning model by analyzing data dependence and bots path characteristics; 3. Automatically reverse constructing botnet protocol model to describe the relationship between its commands and behaviors; 4. analyzing code coverage to verify the protocol model is complete and comprehensive.

由控制命令协议驱动的僵尸网络是当前互联网安全的最大威胁，而且在不断的演化和变异，高效地构建僵尸网络的协议模型是分析与防治僵尸网络的重要内容。僵尸程序是僵尸网络的结点，它的执行过程不可避免地存在二进制代码路径信息泄露问题，泄露的路径信息是僵尸网络控制逻辑的一种二进制表示。项目的研究目标是以僵尸程序泄露的路径信息为依据，形式化地推理僵尸网络的控制逻辑，实现高效地自动构建并验证僵尸网络的协议模型，为僵尸网络的分析与防治提供一种新手段，具体研究内容包括：1.从路径信息中恢复命令控制信道输入输出数据的语义；2.利用数据依赖关系和僵尸程序的路径特征，建立僵尸程序控制命令集合的推理模型；3.自动逆向构建僵尸网络的协议模型，描述控制命令与程序行为间的逻辑关系；4.从代码覆盖率的角度，提出僵尸网络协议模型完整性和全面性的证明方法。

由控制命令协议驱动的僵尸网络是当前互联网安全的最大威胁，而且在不断的演化和变异，高效地构建僵尸网络的协议模型是分析与防治僵尸网络的重要内容。僵尸程序是僵尸网络的结点，它的执行过程不可避免地存在二进制代码路径信息泄露问题，泄露的路径信息是僵尸网络控制逻辑的一种二进制表示。项目以僵尸程序泄露的路径信息为依据，形式化地推理僵尸网络的控制逻辑，实现高效地自动构建并验证僵尸网 络的协议模型，为僵尸网络的分析与防治提供一种新手段，具体研究成果包括:1.从路径信息中恢复命令控制信道输入输出数据的语义;2.利用数据依赖关系和僵尸程序的路径特征，建立僵尸程序控制命令集合的推理模型;3.自动逆向构建僵尸网络的协议模型，描述 控制命令与程序行为间的逻辑关系;4.从代码覆盖率的角度，提出僵尸网络协议模型完整性和全面性的证明方法。发表论文4篇，申请国家发明专利8项。