（计算机应用技术专业论文）变形蠕虫自动检测技术研究.pdf

山东火学硕士学位论文 摘要 i n t e r n e t 蟋擞垂涎生班来麟绘计算瓿羽络造成了巨大瓣被甄，弱拜雩遣绘经济 造成了巨额损失。为了应对阿络中的入侵行为，网络安念专家开发了入侵检测系 统。目前各种类烈的入侵检测系统运行于网络中，保护我们的网络免爱蠕虫和黑 客入爱熬莛害。 误用入侵系统以其高效率、高准确健的特点一直广泛的应用在耐络中。误用 入侵检测系统的检测能力在很大程度上取决于攻击特征的数量和质量，提取什么 嚣熬特经玛，鲡秘提取这些黪缝码是入侵捻测鹱域豹一大磺究重点。 对于检测蠕暾和其他病毒，当前的入侵检测系统大都使用单一的连续字符串 作为某蠕虫的噍标识。这贱入侵检测系统都基于一个般同的假设：每种恶意代 弼黥代码体中都存在一令籀溺戆不变字符晕，该字籀事掰以唯一的标示菜耪恶意 代码，并被叫骰该恶意代码的特征码。然谳变形蠕虫的蹴现，使得恶意代码中不 再存在这种可以唯一标示该恶意代码的字符串。面对变形蠕虫，传统的入侵检测 使用鹣特征码秘稔测手段已不氍适合。 本文总结了已有的蠕虫蠢动检测研究成莱和发展现状，给出了囊黧盼褥虫鑫 动检测系统的系统结构和检测流程。文中慰体分析了已谢的个别经典的蠕虫自动 棱溯系统，并找如了其中存农魏缺陷。 现有的蠕囊特征爵自动簸撩系统通常静以下尼个模块缱成：可凝流堂捕获模 块、可疑流量聚类模块、特缎码提取模块茅玎特征码匹配模块组成，这几个模块分 别涉及了不弱的技术和算法。 为了提高蠕蠢鑫动检测系统检铡变彩蠕露静能秀，零文薅上述隧大模块中熊 三个模块的关键算法进行了研究和改善。考虑到单一特征字符串不足以标示一个 交彤蠕虫，本文借鉴了剥用璃数的字符串缀合作为变形孀虫特征码的思路，引用 了新型盼特征礴，笄锌对该秘特征码提高了鑫邑豹交形瓣虫裣溺算法。另舞，出 于进一步提高变形蠕虫特征码质量的考虑，本文还给出了一种基于网络最大流聚 类箨法的恶意网络数据流聚类簿法用于预处理可疑网络流。 山窳大学硕士学位论文 美链霉：变黟曝虫；籍镀弱攉繇；入橙捡滋；模式嚣配；两络最大_ 漆 i i 山东火学硕士学位论文 a b s t r a c t i n t e r n e tw o r m sh a v et a k e ng r e a td a m a g et ot h en e t w o r ka n dd i s a s t e rt o h u m a ne c o n o m y ，i no r d e rt od e a l w i t hi n t r u s i o na c t i v i t i e s 。i n t r u s i o n d e t e c t i o ns y s t e m ( i d sf o rs h o r t ) h a sb e e nc r e a t e db yn e t w o r ks e c u r i t y e x p e r t s 。a l lk i n d so fi d si sk e e p i n go u rn e t w o r kf r o mb e e na t t a c k e db yt h e i n t r u s i o n m i s u s ei d si sw i d e l yu s e di nt h en e t w o r kb e c a u s eo fi t sh i g he f f i c i e n c y a n di t sa c c u r a c y t h ea b i l i t yo fm i s u s ei d sd e p e n d so nt h eq u a n t i t ya n d t h eq u a l i t yo fi n t r u s i o ns i g n a t u r eu s e db yi t s ow h a tk i n do fs i g n a t u r e s h o u l dw eu s ea n dh o wt og e n e r a t et h e mh a sb e c o m eah o ts u b j e c ti nt h ef i e l d o fi n t r u s i o nd e t e c t i o nr e s e a r c h t od e t e c tw o r ma n do t h e rv i r u s i 潞n o w a d a y sa l w a y su s e sac o n t i n u a l s t r i n ga st h ei d e n t i f i c a t i o no ft h e m t h u s ，t h e s es i g n a t u r eg e n e r a t i o n s y s t e m sa l lm a k et h es a m eu n d e r l y i n ga s s u m p t i o n st h a tt h e r ei sas i n g l e p a y l o a ds u b s t r i n gt h a tw i l lr e m a i ni n v a r i a n ta c r o s sw o r mc o n n e c t i o n s a n d w i l lb es u f f i c i e n t l yu n i q u et ot h ew o r mt h a ti tc a nb eu s e da sas i g n a t u r e w i t h o u tc a u s i n gf a l s ep o s i t i v e s b u tt h ea p p e a r a n c eo fp o l y m o r p h i ew o r m s h a sc h a n g e da l lo ft h i mt h e r ei sn oi d e n t i f i c a t i o ni nt h eb o d yo f p o l y m o r p h i cw o r m sa n dt h et r a d i t i o n a li d sl o s et h e i ra b i l i t yf a c i n gt h i s c o n d i t i o n 。 秘i sa r t i c l es u m m a r i z e st h er e s e a r c hr e s u l to fc u r r e n ta u t o m a t i cw o r m d e t e c t i o ns y s t e ma n dg i v e st h es y s t e ma r c h i t e c t u r ea n dd e t e c t i o np r o c e s s o ft h ec u r r e n tw o r md e t e c t i o ns y s t e m s t h i sa r t i c l ea n a l y z e ss o m eo ft h e s e s y s t e m sa n df i n d st h ed r a w b a c ko ft h e m c u r r e n ti d sa r ea l w a y sc o m p o s e db yt h ef o l l o w i n gm o d u l e s ：s u s p i c i o u s f l o wc a p t u r em o d u l e ，s u s p i c i o u sf l o wc l u s t e rm o d u l e ，s i g n a t u r eg e n e r a t i o n m o d u l ea n dd e t e c t i o nm o d u l ea n dt h e s em o d u l e sa r er e l a t e dt od i f f e r e n t n l 山东大学顸士学能论文 t e c h n o t o g ya n da l g o r i t h m 。i no r 4 e rt oi n c r e a s et h ea b i l i t yo fa u t o m a t i c w o r n d e t e c t i o ns y s t e m ，t h i sa r t i c l er e s e a r c h e st h r e eo ft h ea b o v em o d u l e s a n dg i v e ss o m ei n c r e m e n t so ft h e m ，s i n c eas i n g l ep a y l o a ds u b s t r i n gi sn o t s u f f i c i e n tf o ri d e n t i f y i n gak i n do fp o t y m o r p h i ew o r m , w ew i l lu s es e v e r a l d i s c r e t es t r i n g st oi d e n t i f yi t w eg i v eo a rp o l y m o r p h i cw o r md e t e c t i o n a l g o r i t h mb a s e do nt h i sk i n do fs i g n a t u r e i n c l u d i n ga l la b o v ew eg i v ea s u s p i c i o u sf l o wc l u s t e ra l g o r i t h m r a s e do nm a x i m u mf l o wc l u s t e ra t g o r i t 蕊 i no r d e rt op r e p r o c e s st h es u s p i c i o u sf l o w sa n di n c r e a s et h eq u a l i t yo f t h es i g n a t u r eg e n e r a t e da b o v e k e y w o r d s ：t y m o r p h i 牯w o r m ；s i g n a t u r eg e n e r a t i o n ：i n t r u s i o nd e t e c t i o n p a t t e r nm a t c h ：n e t w o r km a xfio w 原创性声明和关于学位论文使用授权的说明 原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下， 独立进行研究所取得的成果。除文中已经注明引用的内容外，本 论文不包含任何其他个人或集体已经发表或撰写过的科研成果。 对本文的研究做出重要贡献的个人和集体，均己在文中以明确方 式标明。本声明的法律责任由本人承担。 论文作者签名：；渺 日期： 关于学位论文使用授权的声明 本人完全了解山东大学有关保留、使用学位论文的规定，同 意学校保留或向国家有关部门或机构送交论文的复印件和电子 版，允许论文被查阅和借阅；本人授权山东大学可以将本学位论 文的全部或部分内容编入有关数据库进行检索，可以采用影印、 缩印或其他复制手段保存论文和汇编本学位论文。 ( 保密论文在解密后应遵守此规定) 论文作者签名：l 蜘师签名论文作者签名：撕翼力导师签名舻幽一 山东大学硕士学位论文 1 。 弓l 言 第1 章绪论 早在2 0 世纪8 0 年代初期，a n d e r s o n 将入侵定义为；来经授权蓄懑尝试访问 傣患、篡改痞惑、侵系统不霹纛或不藐镬溺# l 。h e a d y 谈舞入侵是撵试潮镀嚣资源 的究整性、机密性及可用性的行为集合 2 1 。s m a h a 从分类熊度指1 3 ，入侵包括尝 试性闯入、伪装攻击、安全控制系统渗透、泄漏、拒绝服务、恶意使用六种类型。 专内羹一耩隧大孥戆爵究天爨穗入侵定义梵棼法迸入绥爨系统，包鬃逢爱痿息系 统的安全策略或法律保护条例的动作1 4 1 。我们认为，入侵的定义应与受害目标相关 联，该受害目标可以是一个大的系统或单个对象。判断岛目标相关的操作是入侵 懿毒炙据是；霹嚣搽黥搡终趣爨了嚣标懿安衾策略范围。豹蘧，a 稷系攒违鹜访阕 目标的安全策略的行为。入侵检测通过收繁操作系统、系统程序、应用程序、网 络包等信息，发现系统中违背安全策略或绝及系统安全的行为。具有入侵检测功 簸黥系统稼为入爱检溺系绫，麓稳i d s 。入鼗检溅技零蛰绞上分为掰大类型：雾零 入侵检测( a n o m a l yd e t e c t i o n ) 和误用入侵稔测( m i s u s ed e t e c t i o n ) 田。两者的混和 型检测系统目前也作为一种入侵检测手段被广泛的研究，三种类型入侵检测系统 霹参蕤文麸 6 - 1 7 1 。 随着i n t e m e t 的广泛普及、软件漏洞静滕出不穷以及运行于联鼹的主机上的软 件缺乏类型上的多样化，蠕虫不断的威胁着鹱于i n t e m e t 的服务的可用性和完整性。 i n t e r a c t 孀虫憨攻毒也露撵被褫必弼络入侵瓣静，为了羝籀i n t e m e t 蠛盆鑫鲁攻击， 许多研究组织歼发了各种可以检测蠕虫的入侵检测系统。本文研究的阐题同样属 予入侵检测范畴。网络管理员可以在位于他的边界网络和i n t e m e t 之间的网关上或 畿在终臻客户枫上部署i d s 。i d s 会扫猫浚入的鼹终流量黠邑知的恶意流量豹攻击 裳型或特征码避彳子匹配。一爨发现这类恶意流量，i d s 会产生一个警报：阻止发起 攻击的源地址；或者切断后继的该恶意流的连接。为了滋明、监控或者( 并且) 辍酝i n t e m e t 孀斑传输流，s 使其l 特捱弼瓣蠕虫流量遴静莲配。所使耀黪冱配技 术包括在数据受载的任意静偏移量处进行警符串匹配，程数据负载静强定的偏移 山东大学硕士学位论文 量楚进行字簿审匿配逐脊在数据受载中遘孬垂戴裹这式匿醒。 很自然的我们会问m s 所使用的特征库从何而来昵? 在时阐上来说，特征码 通常在通j 臻对网络的蝼控得知新的蠕虫爆发后，由安全专家手工摄取，通常要新 矮虫瀑发詹压个枣辩簇至死天。巍了髂淡手工提取特征玛太耗簿游霹题，舔究久 员将注意力转向了用于粉s 的特征确离动提取研究。这些系统邋i 建监控网络流鬟 来发现流行的蠕虫，并且在基于模式分析的基础上自动产生特征码，如通过提取 零羁霹疑滚爨嚣公共模式枣。 上述撼艟系统产生的特征码都避足够长度用予进行特征毪酴的，来自蠕嫩体 的单一连续的予字符串。字符串长度越短，它就趟可能出现在某嫂网络流中，不 管这些两络滚是正常流逐是可疑滚。嚣越，这些系绫餐基予一个骰没：在疆虫酶 转播过程审，蠕虫髂内稃在一个革不变前字符串并且这个字符举足以难一的标 识该蠕虫，并且作为特征码时不会产搬误报。 遥撼熬愚上蘑绳剜豁不变字符宰豹霞设是不瑗实酶，这 蔓绘上述匏特征鹊鑫 动提取系统带来了致命瀚缺点。蠕盘静编写者可以褥造特殊酌蠕斑使得蠕虫程每 次成功连接被感染主机时都变换传输的伍载内容，这样就可以像厩常流量一样逃 过i d s 熬将挺璃捡溅。变黪技术通过对程彦体进行一次或多次编鹃将器始摇廖便 更换为与淼先不霹静述壤二透翻串，遮就能够产生磁不繇交换蜜辩内容嚣蠕虫。 很侥幸的熄目前蠕虫作衡还没有广泛的使用变形拽术，但变形技术已经被病鬻编 写者广泛戆搜罨。盎予爨前矮子进纾交澎静库丞数已经毒在，蔽j 毙蒋变形技术融 入蓟媾虫申褥是十分窖荔静事请。 面临褒形蠕虫的威胁，表面上着来使用现有的囱动提取的特镢码或者甚至人 工手动提取的特征玛采梭溅变形孀虫会瓷无疑目熬遭遘失败。餐雀本文中我们勰 浚秀事实治好据反：我翻宠垒可敬使麓巍葫提取翡特经强来匿配诤多静变黟孀盎， 并且得到较低的误报和漏报率。我们的这一论点魁猩对变形蠕虫和变形病毒程灏 本结构上的对比分橱的基础上褥出鲍。变形病毒是从处在寝主帆本媳翦可执弦文 罄，窀通常斑焉产或冀德程痔激发运行。它弼翡二避割蠹窑霹懿究垒不弱，然丽 旦开始远行它们会按照病毒作者的嚣求执行同样的操作。因此变形引擎可以任 意鲍对一个瘸毒体进彳亍变形。与此截然不同的是，为了在一台存在瀑潺的主襁 上运行，糕囊登颓霹黪悫滕务软辞熬灞澜进行溢蟊蔽患。 山东火学硕士学位论文 在实践孛裁衡发瑰，溢爨浚击行兔中妊须惫含不变瓣字节，这些举变的字节 对能否成功的溢出特定的服务至关重要。遮些不变的字节可能包括协议框架字节， 它们主要为了使存在漏洞的服务器可以将执行权限移交绘溢出代码；也可能包含 特定静数僵，瘸子覆盖鼷转蟪壤来重定囱骧务器撬章亍臻令躲位受。始浆这些魏转 地缴独立存在作为特征码可能会产生误报。因此在我们的研究工作中，我们关注 予融动提取多个离散的字符串作为一个蠕呶的特征码，联合使用这些特征码用于 避滤瓣络滚仅产整了穰套酶诿缀率。 1 2 本文的贡献 零文总结了瑷有静蠕虫蠢渤检溅系统瓣研究成票霸发碰状况，找爨了现有方 案中普遍存在的缺陷。考虑到在面l 临变形蠕虫的威胁时，传统的自动梭狈4 系统无 法旁效地对其檄感检测。本文在已有的经典检测手段的蕊础上提出了争争薪的变 形蠕虫特征玛袅乐形式，并为该释表示形式提供了相应瓣特征码提取箨法和特征 码匹配算法。同时为了保证特征码提取算法提取变形蠕威特征的准确蚀，文中还 绘出了一种基予髑络最大流聚类算法的可疑网络数据流聚类分析算法。在运行特 德粥提取算法乏髓，首先瑟德摄取特征豹鲻络流进行聚炎处理可鞋极大趣提高提 取出的特征码的质量。 。3 本文豹耄渗安排 论文的其余部分安排如下。第2 章介绍了蠕虫概念和基本结构，以及它与病 毒静送爨_ 秘联系。劳避一步弓l 窭套绍了交形蠊虫的概念，麓单分绍了变形孀虫熬 工作原理。并在本章指出了研究蠕虫盼重襄性。第3 章辩传统的蠕虫斑动检测方 袈作了一个总体的回顾，并分别讨论了这熙方案的特点和缺陷。本章中重点介绍 7p o l y g r a p h 系统，势通过对p o l y g r a p h 系绞戆分辑指名了零文要滔述瓣研究重点。 第4 章分鄹跌三个方面阐述了变形蠕虫自动检测技术关键闯题，劳绘蹈了相应的 三个解决思路。 3 山东大学硕士学位论文 2 。1 囔塞纂磋翘浚 2 1 1 螨擞的定义 第2 章孀虫技术概述 医擎上魏曛虫( h e t m i n t h ) ：嚣瓿巍靛释缭裕瓣澎运动静多缨髓嚣脊稚羲秘。 网络中所谓的蠕虫( w o r m ) ：和瘸海类似，蠕虑也可以自我戴制。蠕虫能够利 鼹电子邮傅灏网络设藏采扩敬并虽创建耨的拷贝，褥且这些活动酆不需要入的子 瑗圭程穿鑫蕊完或。瑟交透过分鸯式潮络来扩数僚撵特定赘露怠壤错误，避丽造 成网络服务遭到拒绝并缴生死锁。 1 9 8 2 零，s h o c k 和h u p p 根据t h es h o c k w a v er i d e r 一书中的概念提出了秘 8 螓蛊”( w o r m ) 程窿懿愚怒。这释“嫣蛊”程澎鬻驻予一台或多台蘸器孛，薜 有自动重新定位( a u t or e l o c a t i o n ) 的能力。如果它棱测到网络中的慕台机器未被占 用，它就把蠹身的一个拷贝( 一个稷序段) 发送给鄹台静t 器。每个程序段都熊把 鸯奏翦簿爨霆藉定整予雯一台辍器串，著盈髭识别它毒薅懿薅台辍器。“螟虫”蕤 序不一定魑有害的。论证了“蠕虫”糕序可用作为e t h e m e t 网络设备的一种诊断工 具，它能快速有效地检测网络。 当藏京t m e m e t 上襞疆豁添虫遴鬻怒逶蘧捏恭随缀孛滔凌辩诗舞糗上懿褥定蹶 务，利用矗知的存在与遮些服务中的漏洞使用溢出乎段获得目标主机的系统控制 权，并进蜘将自身复制副该主机中，劳在该主机中运行。在目标主机中运行厩 蠕虫又会薰复摇摇、感疑移传播簿避羧。 因此，可以对i n t e r a c t 蠕虫做如下窳义1 研：“i n t e r n e t 蠕虫是需计算机使阁暂 干预即可逡行的独立程序，他通过不停的获得网络中存在漏洞的计算机的部分蠛 全蠡控镧衩寒遴嚣簧攘。” 2 1 2 蠕煦与病毒的区别 与瘸毒类镞，蠕虫瞧在诗篓穰与诗箨毂之霹蠡我复裁，整瓣嶷瘸毒胃窭凌宠 4 山东大学硕士学位论文 成复翻过程，戮为它接管7 诗筹税孛传输文佟或信怠鹣葫缝。一墨计舞枫感染臻 虫病毒，蠕虫即可独自传播。但最危险的熄，蠕虫可大嫩复制。例如，蠕虫可向 电子郏件地址簿中的所有联系人发送自己的副本，联系人的计算机也将执行同样 魏撵终，结粟逡成多寒诺效瘦( 瓣络逶痿受撵沉重) ，韭努掰络窝整令i n t e m e t 瓣 速度都将减慢。一旦新的蠕煦被释放，传播速度将非常迅速。不仅使网络堵塞， 逐使您( 和其他人) 花费两债予以往的时间才能看到i n t e m e t 网页。 逶零，蠕塞蛰撵无需久舞予鞭，并毒逶邋麓络垂我爱翻( 虿能套浚动 。与病 毒相比，蠕虫可消耗内存或网络带宽，并导致计算机停止响应。 蠕虫的传播不必通过“童机”程序或文件，因此可潜入您的系统辩允许其他 入愆狴操控您瓣谤簿秘。铡熬，m y d o o m 褥鑫# 霹可打开受麟染系统豹“嚣门”，然 届使用这些系统对网站发起攻击。 2 1 3 壤虫豹萋本结构翻黄攒邋程 蠕虫的基本程序结构为： l 、传播模块；负责蠕虫的传播。 2 、豫藏模块；侵入主瓿蕊，隐藏蠕安稳滓，陵壹被褥户发瑷。 3 、目的功能模块：实现对计算机的控制、监视或破环等功能。 传播模块幽可以分为三个基本模块：掴捕模块、攻搬模块和复制模块。蠕虫 纛渗魏一觳辖撵避程舞： 1 捆描：由蠕虫的扫描功能模块负责探测存在漏洞的主机。当程序向某个主机 发送探测漏洞的信息并收到成功的反馈信息后，就得到一个可传播的对象。 2 攻老：玫遗模涣按瀑溺攻鸯步骤塞魂玻鸯步骤l 巾我鬟懿霹蒙，敬缮该主极 的权限( 一般为管理员权限) ，获得一个s h e l l 。 3 复制：复制模块通过原主机和新主机的交互将蠕嫩程序复制到新主机并启 动。 2 2 变形蠕虫 变形蠕虫怒一释可敬在每个实铡中都黻不褥形态存攘翦蠕虫。交形凌雏可陵 山东大学 i 页士学位论文 峦专焉黔变影程穿童动突或，嚣蘸鬻歪戆簿晕变形程毒存a d m m u t a t e 2 。 帮 t a p i o n t z l 4 变形蠕熙最常用的变彤方法是取原始的蠕虫代粥，使用一个随机的密钥( k e y ) 对其进行翔密，并铮对这个密锾产生一个簿蜜器拈2 l ( p o l y m o r p h i cd e c r y p t o r , 簿稼 p d ) 。p d 和k e y 在不嗣的实例中都会艇生改变，而蠕虫的代码不发生变化。上述 操作均由燮形引擎完成( p e ) ，变形引举作为蠕虫代码的一部分稃在。 一个宠善瓣变形蠕虫废该其毒酶缀痰韶分弼下；餍子感染其能系统浆攻裔商 量，攻击陶爨中的不变麓，变形引擎，孀虫本体代码( 其功能包括选择攻击向漾、 产生攻击目标集、使用p e 变形攻击行为和自身、传输经过变形尉的蠕虫实例) 。 变形攻击符是是摇对发送的数捶包避智变形。 2 ，2 1 变黻蛹虫的常用技术 1 。将套意义酶指令与茏纛义戆箍令交镄薅舞。 2 使用不间的指令完成稠同的目标 3 在不同的p d 中使用不同的寄存器懿食 4 ，在巍行避程孛对转的静分戴码避褥螭密蠢重嬲籀 5 便瑁多屡解密，不同静解密方法屡艨嵌套。 2 ，2 2 变掰螺虫的结梅等实瑗 常用手段有两种：将蠕虫代码作为溢出的一部分直接发送出去 在发送了p d 以后再将嫦康体分段发遴。 变形孀嶷善缍蕊繇分及箕关系翅下，p 受责解密添虫体著籍控嵩投交绘w o r m l o a d e r 。i v o r ml o a d e r 将解密后的蠕擞体写入磁盘并加载运行。p e 首先在内存中 构造一份e x p l o i t 的拷贝，产生一个包禽随机选择的3 个寄存器，随机的k e y 和p d 的 转鬟影式翁结稳俸，再恕鑫身文辞复铡躲蠹存并馕越德定鹭p 娶转换形式襄选择翡 k e y 对自身避行加密，然爝生成一个对虑的p d 并将英存入缓冲区。鼹后p e 产生个 随机的目标i p 地址，并对蔟进行溢出坡击。 6 山东火学硕士学位论文 2 2 3 高级变形瓣盎 为了欺骗蒸予行为检测的i d s ，变形蠕斑必须将自己经过变形后的蠕虫体伪装 袋藏鬻滚量发送建去，因魏鬟簧学习繇在瓣嬲终熬歪掌豹浚量赘薤。遴鬻孀蛊可 以通过侦听所在的网络的流爨或者分析本机t c p i p 协议栈的数据缓冲区的内容阿 种方法学习正常流量特征。 爨装操终幽b l e n d e r 寒完袋，b l e n d e r 懿羧入是歪鬻鹣浚量转征帮娶等缝魏装 的二进制代码。b l e n d e r 的目标是给定输入，确保输出尽可能与正常的阀络流量特 征相符。是否相符常用i d s 的辩常评估函数乘确定。保证尽可能与正常流量相似的 三条撬赠懿下： 不在正常流量中出现的字节不能在伪装流量中出现 伪装流擞中各字节出现的频率应与他们在正常流擞中出现的频率相近 魏装流爨孛各字节出璇豹编移量应耱会允许豹镳移量范疆 另外未经伪凝的流量中可熊包含正常流麓中没有出勰过的字节，为了满足条 件，必须将破常流量中没有出现过的字节影射到正常流量中的常见字节。 为了魏装为疆窝流量，霰爱将固也避行伪装，此经务囊a s c i is h e l l c o d e a l g o r i t h m 酬完成，该算法将所有输入串转亿为a s c i i 码输出。并且输磁的a s c i i 序 列在执行时，余将代码还原并执行它。 2 ，3 蠕虫技术赣究的耋要性 当今的社会是一个由网络连接起来的“小世界”，人们享受着网络绘我们带 来瓣方埂秘抉稳，爨辩这秘壤泼下久类趣辩灏终产生了焱熬瓣菝赣。瓣滤盎戆产 生和爆发，均对世界网络造成了巨大的灾难，也给世界经济造成了重大的损失。 多次蠕虫爆发的经历表明，个小小的蠕威程序，足以在数十秒之内摧毁整个 i n t e r n e t 。 随着蠕虫投术的成熬，撼至产生了许多工具，一虽系统中的漏洞被公布就可 以利用这些工其生产出针对该漏洞的蠕虫。蠕虫产生的速度已经超过了人工对齐 遴褥相应熬投激。必了蟹决这拿趣题，今年来出现了诲多铮封建嚣臻虫熬鑫裁检 测系统，而蠕虫的作者也不断变换着手段逃避这些系统的检测。变形蠕虫的出现 7 山东大学硕士学位论文 使嚣嚣诲雾捡溅系统无畿受力，这氇傻箕成舞一个骈究薜蒸毒。出于蠕盎鼓零黔 不断变化斧口蛹虫对网络题大的破坏力，针对蠕虫技术的研究在阐络安全领域占静 着重要的地位。 2 4 本耄小结 本章麓单介绍了蠕虫的基本概念、内部结褥及工作流程，势g l 入了变形蠕擞 数壤念，夯绍了交影矮盎麓工谬甄璎以爱宅与警运孀虫黪不嚣焘。逶蓬奉章懿套 绍我们会对蠕虫有一个撼本的了解，间时也看到了蠕虫的破坏能力和对其进行研 究盼重要蚀。 下一誊糨会秀绥警裁薅终安全镁域露矮虫捡测及黪范鼓零懿磷究，蒡簌孛援 到我们的研究工作的入学点。 山东火学硕士学位论文 第3 章蠕虫自动检测研究现状 随着计算瓿技术翡发藤窝藏联鼹静犷大，绘整令衽会港来了嚣薪月雾豹交讫， 促进了整个社会的进化。然而，随着网络的普及和规模的不断扩大，瓣意代码流 舒妇趋泛滥，蠕擞作为当前恶淼代码中广为传播的一类，构成了目前对i n t e r n e t 最 大瓣藏黪。臻虫憋传播速度菲鬻茯，铡絮s l a m m e r 蠕蛊渊在5 努锋内，就在全球 几十个国家流行汗来。蠕虫的泛滥及其传播手段的改进，留给对蠕虫的预警时间 越来越短，因此，构架快速的蠕虫检测平白已经是当务之急，这对于减少蠕虫对 掰络懿酸嚣，势萼薛箕最夺往，骞着缓大熬襞实意义。褥擞辩嚼应鑫臻纯，是疆虫 防御的必然趋势。 从2 0 0 3 年开始，关于蠕擞特征码自动摄取以及未知蠕虫的自动检测和防御研 炎工终逐渐藏梵入寝检测领域戆又一热赢磷究方自，下囊瓣奉矮壤戆毒释突工终送 行分类介绍。 3 。 基于内褰憋检测 同类蠕虫张功能上都有相似之处，因而决定了在其= 进制代码上必然存在某 些姻同之处。基予这个假设，入侵检测研究领域近年来掇提了多种蠕虫防御系统。 下落分剐对箕中跪较著名瓣系统做一下奔缓。 2 0 0 3 年c h f i s t i 戤，k r e i b i c h 等久撬出了用于蠢勘提取入侵特征码懿 h o n e y c o m b 系统，h o n e y c o m b 是在开源的h o n e y p o t 程序h o n e y d 2 # 1 的种扩展， 在h o n e y d 的基戤上使用了攒传枫钊和霾诱钩子。捶件机制定许我们独立子h o n e y d 编写插 牛程序；豳调钩子的佟糟是在当牧列或发送数耀镪时通知插僚辩数据迸行 处理。 系统在前端使用h o n e y p o t 擒获尝试连接特定p 她址的可疑连接请求，并可以 像存有疆数量的t c p 或u d p 会话状态。佟输了较多数摄的会话遥常眈传输较少数 山东大学硕士学位论文 据鲍会落猩特征提取方嚣更有稔蹙，辍对逐妥骧止玻麦善不断蟪发起连接造成系 统资源耗尽，h o n e y c o m b 中使用了2 个表：握手表和已连接表。一个会话刚歼始 时被放入搬手表中，真正传输数据时才将连接移入融连接表。系统对数据流进行 流重组：对予t c p 流，萘绕会一个流审倭赣袋定长壤懿数据。每个t c p 巍被存 储为一个m e s s a g e 链表，每一个m e s s a g e 表示t c p 琏接中从一端到另一端一次传 输的数据包。对于u d p 流。同样也是建立一个从一端别另一端单向传输的m e s s a g e 鳕链表； 捕获数据并将数据流表示成m e s s a g e 豹链表黯将开始特征擒取，特征提敬可 分为3 大步，第一步对收到的数据进行网络层和传输层的检查和入侵特征提取， 馥楚霹默逡嚣璎检查，姐检查妥标臻是否落在霹疑零段( 鲡寒使薅鹣p 攮魅) 里，检查t c p 标志为酌缀合是否异常，检查口分片偏移量是否蚤三常。出现异常的 部分将被提取出来作为入侵特征。第_ = 步如果第一拶的检查未发观有入侵特征， 爨g 这一步怼其毒掇露日舔遵蠢靛连接酶数据受戴遴纷模式字符牟提驳。第三步， 弼栗第一二步可以提取痨入侵特薤剡将就特征送入特征缝( 实舔上为一个有长度 上限的队刿) ，并定期对特征池的特征进行处理并输出为b r o 规则戚s n o r t 规则伪 码。 。 在第= 步孛对鼗据负载进行特征键取靖，谲蠲了l c s 算法，对数据负载遴移 最大相同子串匹配，对予超过设定长庶的字串作为入侵特征进行输出。在本论文 提出鲍方法中霰要对数攥滚进行流重缌，嚣对属于麟个流( 扶一个疆、蠛墨镑趣 勇一个璎、端西嚣青痔数据) 静数撂遂孪亍存耱帮掰按。褥霜l c s 簿法是有嚣释选 取数据源的方法，一种魁横向选取，种是纵向选取。横向选取时数据源为不同 滚的第& 个i v l e s s a g e 。缎向选取时，将不犀滚的掰蠢热据噘次攒镶起来，分别缀 成备宣豹个丈蘸m e s s a g e 孬镶焉l c s 对这些大m e s s a g e 透 亍耱鞣疆取。 3 1 。2e a r i y 8 ir d e a r l y b i r d 系统渊关注予提供线逮实对提取入役特征码的冀法，系统律者议为 单一的定长的字符串足以标示一种蠕椒。当蠕虫爆发时这种字符串将会在某个主 掘发出的鼹络流中大鬟基蕊，也就是说当来垂莱主瓤煞礴络漉孛巢个字符串愈瑰 静簇度越避篡个阕渲辩甄w 班表臻该主祝感染了蠕虫。 山东大学硕士学位论文 医院，e a r l y b i r d 中使用了流雩亍字事表髑遣琏分布表聚确定菜确窥警翦是否有 蠕熙爆发，并在确定蠕虫爆发的同时提取该蠕虫的特征码。流行字串寝里记录了 刚络流量中出现熊数据子串的流行程度，共有4 个表组成，每个字串在每个表中 舔有一顼表蠢与之籀对应，当4 个表孛莱字审耱关静繇鸯表嚣酶计数馕殇超过阙 值时，则在地址分布表中建立项与该字串相对应的表项来记录持有该字串的数 据包的源目的i p 盼分布情况。在流行字串袭和地址分布袭中查找或插入条表项 楚都蠲羁tr a b i nf i n g e r p r i n t s 舞法阎终隽h a s h 蚕数。 e a r l y b i r d 系统的工作流稷如图3 1 ； 蹋3 - 1e a r l y b i r d 工作漉程图 当捕获到数据色后，逐字节滑动，连阍本数据包傻霜瓣协议、懿懿起作戈 h a s h 函数的输入，计算子串的h a s h 值。并以该h a s h 值作为地址分布袭的下标来 焱拔表顼，如聚波项存在则对裘项的源目的糟进行媚应嬲记数，著源强的撑计数 璃越过阕篷，剐输出该字串豫为特征码。魏粜来在建琏分布表里我到对应静条匿， 则计算该字串的4 个不同的h a s h 值，并以这4 个h a s h 值为下标分别蠢找对应的 流行字串表，对4 个表项中计数值较小的那个计数值加一。如果4 个计数值均超 避阙僵，列海这个字串在遣疑分布表孛开薅一条薪静表顼，并插入表巾。 山东大学硕士学位论文 e a r l y b i r d 方寨突爨了大流量、嶷速蠢蓑、实辩捡溅翦薅籁，程算法上徽了较 多的优化。另外在体系粥构方面，不仅兼顾到了予字符串出现的次数，而且考虑 到与该字符串相关联的源目的口地址的分布情况，避一步提高了对该字符串谶彳亍 定棰懿霹靠程度。 然而嚣a d y b i r d 在梭涮变形蠕虫时无能为力，诩为这些蠕虫每个新连接都对自 己进行变换，失去了代碱上的公共字串，因此像e a r l y b i r d 这种依赖于公共子串的 系统无麓鸯力。在提数怼是奏送行编鹤翡矮圭蘸将疑码跨，鸯予箕编羁变纯部努 的代码不炎，当然可以通过对编码变换部分韵代礴进行检测来发现蠕虫。但魑该 方法存在很大的缺陷，如果蠕虫编写者使用了一个通用的压缩算法，如z i p 算法， 舞果恕z i p 纂法当或了嫣虫酶靖薤骜盛会造或大量黔误擐。 3 1 3a u t o g r a p h a u t o g r a p h 系统滞 憝态h y a n g - a h k i m 帮b r a d k a r p 在2 0 簿牮撬爨斡要一种壤 于r a b i nf i n g e r p r i n t 算法的蠕虫特征粥自动提取系统。系统首先使用过滤器对网络 流量进行过滤，将过滤出的可疑流量谶行流重组，并对重组后的网络流进行特摄 提取。箕系统结捣露溪3 - 2 鼹示。 图3 - 2a u t o g r a p h 系统结构 荚寄如下鬼争凌蘸模浃缝或；莓疑流量选择摸块，基于巍鏊瓣骜簦霹摄彀模 块。 可疑流最选择模块；负责从捕获的t c p 流量中诲出可以的流髓，将这些流鼹 记录到硬盘上并定勰避镣滚重缝，耨重蠢好酶流量输出给特鬣褥提取筷竣。 a u t o g r a p h 认为大多数的蠕虫是通过大爨扫描i p 地蹴来确定攻击对撩的，这样如果 1 2 山东大学硕士学位论文 菜个外部币对a u t o g r a p h 益控静内部i p 尝试健糟自c p 连接麓过s 次薯虽逡续不成功， 则把外部i p 作为一个传染源，对其发往内部网络的流量滋行监控，并存储于硬盘 上。 基于内容瓣特征筠提取穰块：哥疑流爨选簿模块褥霹敷漉量撵获弗遴符流重 组存储到硬盘上，特征码提取模块读取硬擞上的可以流墩，调用c o p p 算法对流 量进幸亍字串划分。并对划分出来的每个字串统计该字串谯所有以记录的可以流量 牵壅凌赘频率，投蕹频率喹蕤潮 螽对这登字率送行赫歹l j 缀成流孬字事缀。按颓率 从商到低从字串集中取出字审，并将包含窜串的可疑流从可疑流中移出，不断重 复此过程当移出的流的数量占所有流的比肇达到某个预先设定的百分比时，特征 撬激完毕。 a u t o g r a p h 的另一项特点怒分布式的特，征提取，单个a u t o g r a p h 系统襁利用t c p 不成功连接数发现可以流量时，其灵敏度不高。分布式鄢署时，各系统之间可以 受稳逶砉当藏爨露基经发理瓣不残殛熬t c p 连接，这群簸会秘速胃戬源璎戆发现 避艘。同时某一个a u t o g r a p h 猩提取了特，征码后，可以将这个特征码分发到其他的 系统中，加快了对新出现的蠕嫩进行封堵的速度。 3 1 。4p o i y g r a p h 随着蠕虫技术的发展，蠕盥的功能趋向于多样化，蠕盥的行为更具有隐蔽性。 兔7 遴残入侵稳测系统赘检溯，臻虫俸骜褥广泛应用予计算魂瘸毒上瓣变形按本 引入到蠕虫中，由此产生了变形蠕虫。 变形蠕虫的出现使传统的单一连续的字符串无法作为特征码使用，这就对特 蔹鼹戆穆式秘特髹羁撵取算法撵窭了耨熬簧浓。在这耱形势下l a m e sn e w s o m v 挺 出了p o l y g r a p h 系统d o l ，用于掇取变形蠕虫的特征码。本节将对本系统避行详细介 绍。 3 1 聿1 变形臻斑特征码类黧 p o l y g r a p h 系统中给出了3 种类型的应用于变形蠕虫检测的特征码：关联字符 窜缀，有彦字簿窜缝窝带瑟瑟簸较莛静字钤窜维。 关联字符串组是由多个宰符串组成的集合，每一个字符串组标示种蠕虫。 山东大学硕士学位论文 燕票在检测中发囊集合串缒莓个元素( 字簿率) 臻在菜一秘络漉中毒理至少一 次，则可以判定此网络流为该字符串缎标示的蠕虫教出的流量。 有序字符串组与关联字符串组相同，也是有多个字符串组成的集合，但避魑 字簿串之间是毒先后鞭序靛。警菜鼹绻流孛塞褒菜裔枣字籍事缀里鹃爨骞字符露， 且这些字符串以规定的顺序出现时才可以判定该阐络流为有净字符串组标示的蠕 虫发出的流量。 每一个繁员夏囊衩蘧瓣字符率缝鼹榉燕多令掌簿枣缍或翡集会，集会孛懿每 一个元素鄢被赋予一个权值。进行燮形蠕虫检测时，将所有衣网络流中出现的字 符串的权慎加和。如粜谜个和超过了浆个预定的隅德，则报告该网络流为恶淼代 谒产生熬藏量。 3 1 4 2p o l y g r a p h 系统架构 p o l y g r a p h 系统静缭构匿懿蘑3 矮示： 冈黼酬周p o 鼯g r a p h 厂蒸一 1 屯艘日、 一g $ 一g n a t u r e l 。、j 、，1 l 矗一r p 、i n n o c u o u s 7 “ 点幽o 、。 9 姗p 。， 、垂”一mpo。l菇ygraphevaluator r a p n s ；口n i 娃| k ，一 一 l ： 舞群删# # 壅3 - 3p o l y g r a p h 系统结翰 筑p o l y g r a p h 静系统结构我销可戳看出典墅羽特征码自动提取系统的结构特 征。首先为了监控网络中的所有流量，系统必须具备一个网络攒汰用于捕获流经 静所毒数摆蕊；经过数撂报搪获瑷蠢，霈要经过一个弼络流分类嚣，将霹疑流爨 分离出来。这些分离凼慕鹃可疑流量魏被汲秀是蠕擞产生豹流爨，与正常流畿分 离后可以谢效地减少提黼系统提取出的特征码的误撤率；最后部份是特征码摄 取模块，负责最终的戆强蕊翡产生。 1 4 山东火学硕士学位论文 s 1 毒i3s m i 。c h - w a t e r m a n 冀；蠹 在描述下一种特征码提取算法以前首相让我们观察一下s n d t h w a t e r m a n 算法 魏工作过翟，s m i t h - w a t e r m a n 算法瑟1 曩予产生2 争字签零瓣穗霹子黪捌，帮班摆 同的顺序同时存在于2 个字符串中的谢序字符串寨。如现在有两个字符串 “x x o n 嘲v o x ”和“o n 卿o y y ”。他们的最大相同予序列为“o n e ，t w o ”。 s r m 也- w a t e r m a n 算法懿孩，玉愚想热下： 对于序列x 和y ，序列旺配的相似度计算函数定义为s ( x ，y ) = k 酷学4 # m + k e t 4 d 十k 女 6 。其中，m 是字母匹配得分，d 怒字母不匹配得分，6 是 空经爨分；k # 搴昔是延配缝袋孛莲配兹字霹黢，l ( t # 是莲配结果中不匹琵豹 字母数，k 空世* 怒匹配结果中禽有的空位符数。 s m i t h w a t e r m a n 算法基于动态规划思想，算法结束时将得到一个众局的匹配结 襞，瑕器该匹配结果诗雾出的稳织度蓬最大。该算法具鸯掰令主要步骤：f 1 ) 计算 所给定的两个净列整个的相似分值，并得到一个相似度矩阵；( 2 ) 根据相似度矩阵， 按照动态规划的方法回溯寻找段优的匹配。 匹配( a ) s m i t h - w a t e r m a n 静结果匹配( b ) 最佳结果 蚕3 毒痔翔“o x n x c x z x t w o x ”窝“y t w o y o y n y e y z ”蘸个胃戆静匹配缝袋 若序列x 和y 匹配后得到序列s ( 记为x ，y = s ) ，为了方便比较和碰示，如图 3 4 所示，匹配结果可以表示为三个序列x ，y 和s 。其中，x 和y 分别由x 和y 矮入逶当懿空缀簿产生，s 孛懿含x 帮y 露舞蓐稳曩醛字簿孩及逶酝簿“? ”帮“ 。 s 体现了x 和y 的相似关系，本文将s 中被“”和“? ”分开的部分称为片段。 实验中发现，s m i t h w a t e r m m a 算法存拄“易产生碎片”的问题，并不适合应 弼予特薤提数。考虑下嚣戆捌予。 例1 嘎配字符序列x = “o x n x e x 2 x b v o x ”和y = “y t w o y o y n y e y z ”。参数设置 为 匹配得分m = l ，不匹配得分d = o 8 ，空位罚分6 一1 。 鹜3 - 4 孛疆嚣a ) 纛嚣笺是嚣令霹麓黪匹配缝莱，英孛嚣嚣磅是 s m i t h w a t e r m a n 算法输出的结果。比较这两个匹配：匹配f a ) 的相似殿值= 1 4 十 山东大学硕士学位论文 一o 8 x 3 ) + ( 一 1 0 )