『壹』 網路安全的詞語
acceptable use of computers（可接受的計算機使用）定義了在組織的 計算機 系統上何種行為是可接受的
access attack（訪問攻擊）入侵 者嘗試獲得未授權訪問信息的行為
accountability（責任制）組織用於為個體活動負責，或為信息系統中發生的活動賦予責任的過程
address resolution protocol（ARP）spoofing（地址解析協議欺騙）偽造某系統的MAC地址，使得數據包發送至 的策略
administrative practices（行政管理行為）在政策、過程、資源、責任、教育和應急方案范疇內的行為
agents（主體）引發安全威脅的人或組織
anomaly（異常）正常情況之外或意料之外的情形
antimalware system（反惡意軟體系統）設計用於檢測和移除 惡意軟體 的系統
application layer firewall（應用層防火牆）通過應用層代理執行策略規則的 防火牆
Advanced Persistent Threat（APT，高級持續性威脅）（1）有效利用威脅生態系統開展的精心設計的定點 攻擊 。 （2）在組織良好、資金充沛以及有具體動機的犯罪分子支持下，由 攻擊 者利用大量 感染載體 以及 惡意軟體 技術，以期成功破壞某系統的長期 攻擊 。 （3）通常情況下 攻擊 者是擁有大量資源，以 攻擊 某個組織為目的的 黑客 或 黑客 團體。 APT可能會利用0day 漏洞 來破壞系統，企圖在某段時間內操縱和利用系統
audit（審計）（1）用於判定策略是否合規的形式化檢查，一般由公司或組織內部的審計員或獨立的第三方執行。 （2） 操作系統 提供的功能，為管理員提供用於備查的，信息系統中事件和活動的歷史記錄
availability（可用性）當授權方需要時信息的可用程度。 可用性可以以授權網站能夠使用信息的時間百分比來衡量。例如，某商務網站會爭取99%以上的可用性
backup（備份）在系統崩潰或遇到災難時關鍵信息的副本
backup policy（備份策略）組織內描述備份操作如何進行的策略
Balanced Scorecard（BSC，平衡計分表）使用關鍵非財務績效指標來豐富傳統財務績效指標的績效衡量框架，提供了對組織業績更平衡的觀察。 由哈佛商學院的Robert Kaplan博士和David Norton博士於20世紀90年代開發。
best practices（最佳實踐）一些提供適當安全等級的概括性建議。 這些實踐的組合在很多組織中證明是最有效的
black swan event（黑天鵝事件）幾乎不可能發生的事情，因此很可能放在優先任務清單的最後。
bootstrapping（自展）P2P客戶端加入P2P網路的過程
bot（機器人程序）robot的簡稱，用於表示無須用戶介入即可執行任務的自動程序
bot agent（僵屍代理）中直接與命令和控制信道通信的組件
botnet（僵屍網路）僵屍網路 是大量受感染 計算機 組成的網路，它可以由 攻擊 者 遠程 控制，以執行惡意指令，例如傳輸盜取的信息、發送垃圾郵件或發起分布式拒絕服務（ DDoS ） 攻擊 。 從本質上而言， 僵屍網路 是一組由 黑客 、詐騙犯或網路罪犯控制和管理的受感染機器
『貳』 電腦中了僵屍網路怎麼辦
僵屍網路防禦方法
如果一台計算機受到了一個僵屍網路的DoS攻擊，幾乎沒有什麼選擇。一般來說，僵屍網路在地理上是分布式的，我們難於確定其攻擊計算機的模式。
被動的操作系統指紋識別可以確認源自僵屍網路的攻擊，網路管理員可以配置防火牆設備，使用被動的操作系統指紋識別所獲得的信息，對僵屍網路採取行動。最佳的防禦措施是利用安裝有專用硬體的入侵防禦系統。
一些僵屍網路使用免費的DNS託管服務將一個子域指向一個窩藏「肉雞」的IRC伺服器。雖然這些免費的DNS服務自身並不發動攻擊，但卻提供了參考點。清除這些服務可以破壞整個僵屍網路。近來，有些公司想方設法清除這些域的子域。僵屍社團將這種路由稱之為「空路由」，因為DNS託管服務通常將攻擊性的子域重新定向到一個不可訪問的IP地址上。
前述的僵屍伺服器結構有著固有的漏洞和問題。例如，如果發現了一個擁有僵屍網路通道的伺服器，也會暴露其它的所有伺服器和其它僵屍。如果一個僵屍網路伺服器缺乏冗餘性，斷開伺服器將導致整個僵屍網路崩潰。然而，IRC伺服器軟體包括了一些掩飾其它伺服器和僵屍的特性，所以發現一個通道未必會導致僵屍網路的消亡。
基於主機的技術使用啟發式手段來確認繞過傳統的反病毒機制的僵屍行為。而基於網路的方法逐漸使用上述技術來關閉僵屍網路賴以生存的伺服器，如「空路由」的DNS項目，或者完全關閉IRC伺服器。
但是，新一代的僵屍網路幾乎完全都是P2P的，將命令和控制嵌入到僵屍網路中，通過動態更新和變化，僵屍網路可以避免單個點的失效問題。間諜軟體可以將所有可疑的口令用一種公鑰「硬編碼」到僵屍軟體中。只能通過僵屍控制者所掌握的私鑰，才能讀取僵屍網路所捕獲的數據。
必須指出，新一代僵屍網路能夠檢測可以分析其工作方式的企圖，並對其作出響應。如大型的僵屍網路在檢測到自己正在被分析研究時，甚至可以將研究者從網路中斷開。所以單位需要專業的僵屍網路解決
僵屍網路解決方案
好消息是在威脅不斷增長時，防禦力量也在快速反應。如果你是一家大型企業的負責人，你可以使用一些商業產品或開源產品，來對付這些威脅。
首先是FireEye的產品，它可以給出任何攻擊的清晰視圖，而無需求助於任何簽名。FireEye的虛擬機是私有的,這就減輕了攻擊者學會如何破壞這種虛擬機的危險。FireEye可以識別僵屍網路節點，阻止其與客戶端網路的通信。這使得客戶的IT人員在FireEye發現僵屍網路攻擊時就可以採取行動，然後輕松地重新構建被感染的系統。在網路訪問不太至關重要時，可以立即禁止受感染的機器。Damballa創建了其自己的技術來跟蹤並防禦僵屍網路。這家公司的Failsafe解決方案能夠確認企業網路內的受損害的主機，而無需使用簽名技術或基於行為的技術。此外，SecureWorks和eEye Digital Security也擁有自己對付僵屍網路的專用技術。
著名的大型公司，如谷歌等，不太可能被僵屍網路擊垮。其原因很簡單，它們主要依賴於分布式伺服器。DDoS攻擊者將不得不征服這種全球性的分布式網路，而這幾乎是不太可能的，因為這種網路可以處理的數據量可達每秒鍾650Gb。小型公司可通過謹慎選擇其互聯網供應商來防禦DDoS攻擊，如果供應商能夠在高速鏈路接入水平上確認和過濾攻擊就是一個好主意。
不過，由於DDoS攻擊活動太容易被發現而且強度大，防禦者很容易將其隔離並清除僵屍網路。犯罪組織典型情況下會保留其資源用於那種既可為其帶來更多金錢又能將暴露程度減少到最小的任務中。
『叄』 僵屍網路的工作過程
先去打開騰訊智慧安全頁面
然後去申請御點終端安全系統
再去使用騰訊御點，裡面的病毒查殺功能殺毒即可
『肆』 僵屍網路是什麼網路
僵屍網路
Botnet
僵屍網路是指採用一種或多種傳播手段，將大量主機感染bot程序（僵屍程序），從而在控制者和被感染主機之間所形成的一個可一對多控制的網路。
在Botnet的概念中有這樣幾個關鍵詞。「bot程序」是robot的縮寫，是指實現惡意控制功能的程序代碼；「僵屍計算機」就是被植入bot的計算機；「控制伺服器（Control Server）」是指控制和通信的中心伺服器，在基於IRC（網際網路中繼聊天）協議進行控制的Botnet中，就是指提供IRC聊天服務的伺服器。
Botnet
首先是一個可控制的網路，這個網路並不是指物理意義上具有拓撲結構的網路，它具有一定的分布性，隨著bot程序的不斷傳播而不斷有新位置的僵屍計算機添加到這個網路中來。
其次，這個網路是採用了一定的惡意傳播手段形成的，例如主動漏洞攻擊，郵件病毒等各種病毒與蠕蟲的傳播手段，都可以用來進行Botnet的傳播，從這個意義上講，惡意程序bot也是一種病毒或蠕蟲。
最後一點，也是Botnet的最主要亮殲的特點，就是可以一對多地執行相同的惡意行為，比如可以同時對某目標網站進行分布式拒絕服務（DDos）攻擊，同時發送大量的垃圾郵件等，而正是這種一對多的控制關系，使得攻擊者能夠以極低的代價高效地控制大量的資源為其服務，這也是Botnet攻擊模式近年來受到黑客青睞的根本原因。在執行惡意行為的時候，Botnet充當了一個攻擊平台的角色，這也就使得Botnet不同於簡單的病毒和蠕蟲，也與通常意義的木馬有所不同。
僵屍網路是互聯網上受到黑客集中控制的一群計算機，往往被黑客用來發起大規模的網路攻擊，如分布式拒絕服務攻擊(DDoS)、海量垃圾郵件等，同時黑客控制的這些計算機所保存的信息，譬如銀行帳戶的密碼與社會安全號碼等也都可被黑客隨意「取用」。虧圓因此，不論是對網路安全運行還是用戶數據安全的保護來說，僵屍網路都是極具威脅的隱患。僵屍網路的威脅也因此成為目前一個國際上十分關注的問題。然而，發現一個僵屍網路是非常困難的，因為黑客通常遠程、隱蔽地控制分散在網路上的「僵屍主機」，這些主機的用戶往往並不知情。因此，僵屍網路敬空沖是目前互聯網上黑客最青睞的作案工具。
對網友而言，感染上「僵屍病毒」卻十分容易。網路上搔首弄姿的美女、各種各樣有趣的小游戲，都在吸引著網友輕輕一點滑鼠。但事實上，點擊之後毫無動靜，原來一切只是騙局，意在誘惑網友下載有問題的軟體。一旦這種有毒的軟體進入到網友電腦，遠端主機就可以發號施令，對電腦進行操控。
專家表示，每周平均新增數十萬台任人遙控的僵屍電腦，任憑遠端主機指揮，進行各種不法活動。多數時候，僵屍電腦的根本不曉得自己已被選中，任人擺布。
僵屍網路之所以出現，在家高速上網越來越普遍也是原因。高速上網可以處理(或製造)更多的流量，但高速上網家庭習慣將電腦長時間開機，唯有電腦開機，遠端主機才可以對僵屍電腦發號施令。
網路專家稱：「重要的硬體設施雖然非常重視殺毒、防黑客，但網路真正的安全漏洞來自於住家用戶，這些個體戶欠缺自我保護的知識，讓網路充滿地雷，進而對其他用戶構成威脅。」
Botnet的發展過程
Botnet是隨著自動智能程序的應用而逐漸發展起來的。在早期的IRC聊天網路中，有一些服務是重復出現的，如防止頻道被濫用、管理許可權、記錄頻道事件等一系列功能都可以由管理者編寫的智能程序所完成。於是在1993 年，在IRC 聊天網路中出現了Bot 工具——Eggdrop，這是第一個bot程序，能夠幫助用戶方便地使用IRC 聊天網路。這種bot的功能是良性的，是出於服務的目的，然而這個設計思路卻為黑客所利用，他們編寫出了帶有惡意的Bot 工具，開始對大量的受害主機進行控制，利用他們的資源以達到惡意目標。
20世紀90年代末，隨著分布式拒絕服務攻擊概念的成熟，出現了大量分布式拒絕服務攻擊工具如TFN、TFN2K和Trinoo，攻擊者利用這些工具控制大量的被感染主機，發動分布式拒絕服務攻擊。而這些被控主機從一定意義上來說已經具有了Botnet的雛形。
1999 年，在第八屆DEFCON 年會上發布的SubSeven 2.1 版開始使用IRC 協議構建攻擊者對僵屍主機的控制信道，也成為第一個真正意義上的bot程序。隨後基於IRC協議的bot程序的大量出現，如GTBot、Sdbot 等，使得基於IRC協議的Botnet成為主流。
2003 年之後，隨著蠕蟲技術的不斷成熟，bot的傳播開始使用蠕蟲的主動傳播技術，從而能夠快速構建大規模的Botnet。著名的有2004年爆發的Agobot/Gaobot 和rBot/Spybot。同年出現的Phatbot 則在Agobot 的基礎上，開始獨立使用P2P 結構構建控制信道。
從良性bot的出現到惡意bot的實現，從被動傳播到利用蠕蟲技術主動傳播，從使用簡單的IRC協議構成控制信道到構建復雜多變P2P結構的控制模式，Botnet逐漸發展成規模龐大、功能多樣、不易檢測的惡意網路，給當前的網路安全帶來了不容忽視的威脅。
Botnet的工作過程
Botnet的工作過程包括傳播、加入和控制三個階段。
一個Botnet首先需要的是具有一定規模的被控計算機，而這個規模是逐漸地隨著採用某種或某幾種傳播手段的bot程序的擴散而形成的，在這個傳播過程中有如下幾種手段：
（1）主動攻擊漏洞。其原理是通過攻擊系統所存在的漏洞獲得訪問權，並在Shellcode 執行bot程序注入代碼，將被攻擊系統感染成為僵屍主機。屬於此類的最基本的感染途徑是攻擊者手動地利用一系列黑客工具和腳本進行攻擊，獲得許可權後下載bot程序執行。攻擊者還會將僵屍程序和蠕蟲技術進行結合，從而使bot程序能夠進行自動傳播，著名的bot樣本AgoBot，就是實現了將bot程序的自動傳播。
（2）郵件病毒。bot程序還會通過發送大量的郵件病毒傳播自身，通常表現為在郵件附件中攜帶僵屍程序以及在郵件內容中包含下載執行bot程序的鏈接，並通過一系列社會工程學的技巧誘使接收者執行附件或點擊鏈接，或是通過利用郵件客戶端的漏洞自動執行，從而使得接收者主機被感染成為僵屍主機。
（3）即時通信軟體。利用即時通信軟體向好友列表發送執行僵屍程序的鏈接，並通過社會工程學技巧誘騙其點擊，從而進行感染，如2005年年初爆發的MSN性感雞（Worm.MSNLoveme）採用的就是這種方式。
（4）惡意網站腳本。攻擊者在提供Web服務的網站中在HTML頁面上綁定惡意的腳本，當訪問者訪問這些網站時就會執行惡意腳本，使得bot程序下載到主機上，並被自動執行。
（5）特洛伊木馬。偽裝成有用的軟體，在網站、FTP 伺服器、P2P 網路中提供，誘騙用戶下載並執行。
通過以上幾種傳播手段可以看出，在Botnet的形成中傳播方式與蠕蟲和病毒以及功能復雜的間諜軟體很相近。
在加入階段，每一個被感染主機都會隨著隱藏在自身上的bot程序的發作而加入到Botnet中去，加入的方式根據控制方式和通信協議的不同而有所不同。在基於IRC協議的Botnet中，感染bot程序的主機會登錄到指定的伺服器和頻道中去，在登錄成功後，在頻道中等待控制者發來的惡意指令。圖2為在實際的Botnet中看到的不斷有新的bot加入到Botnet中的行為。
在控制階段，攻擊者通過中心伺服器發送預先定義好的控制指令，讓被感染主機執行惡意行為，如發起DDos攻擊、竊取主機敏感信息、更新升級惡意程序等。圖3為觀測到的在控制階段向內網傳播惡意程序的Botnet行為。
Botnet的分類
Botnet根據分類標準的不同，可以有許多種分類。
按bot程序的種類分類
（1）Agobot/Phatbot/Forbot/XtremBot。這可能是最出名的僵屍工具。防病毒廠商Spphos 列出了超過500種已知的不同版本的Agobot(Sophos 病毒分析)，這個數目也在穩步增長。僵屍工具本身使用跨平台的C++寫成。Agobot 最新可獲得的版本代碼清晰並且有很好的抽象設計，以模塊化的方式組合，添加命令或者其他漏洞的掃描器及攻擊功能非常簡單，並提供像文件和進程隱藏的Rootkit 能力在攻陷主機中隱藏自己。在獲取該樣本後對它進行逆向工程是比較困難的，因為它包含了監測調試器(Softice 和O11Dbg)和虛擬機（VMware 和Virtual PC)的功能。
（2）SDBot/RBot/UrBot/SpyBot/。這個家族的惡意軟體目前是最活躍的bot程序軟體，SDBot 由C語言寫成。它提供了和Agobot 一樣的功能特徵，但是命令集沒那麼大，實現也沒那麼復雜。它是基於IRC協議的一類bot程序。
（3）GT-Bots。GT-Bots是基於當前比較流行的IRC客戶端程序mIRC編寫的，GT是（Global Threat）的縮寫。這類僵屍工具用腳本和其他二進制文件開啟一個mIRC聊天客戶端, 但會隱藏原mIRC窗口。通過執行mIRC 腳本連接到指定的伺服器頻道上，等待惡意命令。這類bot程序由於捆綁了mIRC程序，所以體積會比較大，往往會大於1MB。
按Botnet的控制方式分類
（1）IRC Botnet。是指控制和通信方式為利用IRC協議的Botnet，形成這類Botnet的主要bot程序有spybot、GTbot和SDbot，目前絕大多數Botnet屬於這一類別。
（2）AOL Botnet。與IRC Bot類似，AOL為美國在線提供的一種即時通信服務，這類Botnet是依託這種即時通信服務形成的網路而建立的，被感染主機登錄到固定的伺服器上接收控制命令。AIM-Canbot和Fizzer就採用了AOL Instant Messager實現對Bot的控制。
（3）P2P Botnet。這類Botnet中使用的bot程序本身包含了P2P的客戶端，可以連入採用了Gnutella技術（一種開放源碼的文件共享技術）的伺服器，利用WASTE文件共享協議進行相互通信。由於這種協議分布式地進行連接，就使得每一個僵屍主機可以很方便地找到其他的僵屍主機並進行通信，而當有一些bot被查殺時，並不會影響到Botnet的生存，所以這類的Botnet具有不存在單點失效但實現相對復雜的特點。Agobot和Phatbot採用了P2P的方式。
Botnet的危害
Botnet構成了一個攻擊平台，利用這個平台可以有效地發起各種各樣的攻擊行為，可以導致整個基礎信息網路或者重要應用系統癱瘓，也可以導致大量機密或個人隱私泄漏，還可以用來從事網路欺詐等其他違法犯罪活動。下面是已經發現的利用Botnet發動的攻擊行為。隨著將來出現各種新的攻擊類型，Botnet還可能被用來發起新的未知攻擊。
（1）拒絕服務攻擊。使用Botnet發動DDos攻擊是當前最主要的威脅之一，攻擊者可以向自己控制的所有bots發送指令，讓它們在特定的時間同時開始連續訪問特定的網路目標，從而達到DDos的目的。由於Botnet可以形成龐大規模，而且利用其進行DDos攻擊可以做到更好地同步，所以在發布控制指令時，能夠使得DDos的危害更大，防範更難。
（2）發送垃圾郵件。一些bots會設立sockv4、v5 代理，這樣就可以利用Botnet發送大量的垃圾郵件，而且發送者可以很好地隱藏自身的IP信息。
（3）竊取秘密。Botnet的控制者可以從僵屍主機中竊取用戶的各種敏感信息和其他秘密，例如個人帳號、機密數據等。同時bot程序能夠使用sniffer觀測感興趣的網路數據，從而獲得網路流量中的秘密。
（4）濫用資源。攻擊者利用Botnet從事各種需要耗費網路資源的活動，從而使用戶的網路性能受到影響，甚至帶來經濟損失。例如：種植廣告軟體，點擊指定的網站；利用僵屍主機的資源存儲大型數據和違法數據等，利用僵屍主機搭建假冒的銀行網站從事網路釣魚的非法活動。
可以看出，Botnet無論是對整個網路還是對用戶自身，都造成了比較嚴重的危害，我們要採取有效的方法減少Botnet的危害。
Botnet的研究現狀
對於Botnet的研究是最近幾年才逐漸開始的，從反病毒公司到學術研究機構都做了相關的研究工作。最先研究和應對Botnet的是反病毒廠商。它們從bot程序的惡意性出發，將其視為一種由後門工具、蠕蟲、Spyware 等技術結合的惡意軟體而歸入了病毒的查殺范圍。著名的各大反病毒廠商都將幾個重要的bot程序特徵碼寫入到病毒庫中。賽門鐵克從2004 年開始，在其每半年發布一次的安全趨勢分析報告中，以單獨的章節給出對Botnet活動的觀測結果。卡巴斯基也在惡意軟體趨勢分析報告中指出，僵屍程序的盛行是2004年病毒領域最重大的變化。
學術界在2003年開始關注Botnet的發展。國際上的一些蜜網項目組和蜜網研究聯盟的一些成員使用蜜網分析技術對Botnet的活動進行深入跟蹤和分析，如Azusa Pacific大學的Bill McCarty、法國蜜網項目組的Richard Clarke、華盛頓大學Dave Dittrich和德國蜜網項目組。特別是德國蜜網項目組在2004年11月到2005 年1月通過部署Win32蜜罐機發現並對近100個Botnet進行了跟蹤，並發布了Botnet跟蹤的技術報告。
Botnet的一個主要威脅是作為攻擊平台對指定的目標發起DDos（分布式拒絕服務攻擊）攻擊，所以DDos的研究人員同樣也做了對Botnet的研究工作。由國外DDosVax組織的「Detecting Bots in Internet Relay Chat Systems」項目中，分析了基於IRC協議的bot程序的行為特徵，在網路流量中擇選出對應關系，從而檢測出Botnet的存在。該組織的這個研究方法通過在plantlab中搭建一個Botnet的實驗環境來進行測試，通過對得到的數據進行統計分析，可以有效驗證關於Botnet特徵流量的分析結果，但存在著一定的誤報率。
國內在2005年時開始對Botnet有初步的研究工作。北京大學計算機科學技術研究所在2005年1月開始實施用蜜網跟蹤Botnet的項目，對收集到的惡意軟體樣本，採用了沙箱、蜜網這兩種各有優勢的技術對其進行分析，確認其是否為僵屍程序，並對僵屍程序所要連接的Botnet控制信道的信息進行提取，最終獲得了60,000 多個僵屍程序樣本分析報告，並對其中500多個仍然活躍的Botnet進行跟蹤，統計出所屬國分布、規模分布等信息。
國家應急響應中心通過863－917網路安全監測平台，在2005年共監測到的節點大於1000個的Botnet規模與數量統計如圖4所示。
這些數據和活動情況都說明，我國國內網上的Botnet的威脅比較嚴重，需要引起網路用戶的高度重視。
CCERT惡意代碼研究項目組在2005年7月開始對Botnet的研究工作，通過對大量已經掌握的Botnet的實際跟蹤與深入分析，對基於IRC協議的Botnet的伺服器端的特徵進行了分類提取，形成對於Botnet 伺服器端的判斷規則，從而可以對網路中的IRC Server進行性質辨別。設計並初步實現了Botnet自動識別系統，應用於中國教育和科研計算機網路環境中。
可以看出，從國內到國外，自2004年以來對Botnet的研究越來越多地受到網路安全研究人員的重視，研究工作已經大大加強。但是這些工作還遠遠不夠，在檢測和處置Botnet方面還有許多工作要做。
Botnet的研究方法
對於目前比較流行的基於IRC協議的Botnet的研究方法，主要使用蜜網技術、網路流量研究以及IRC Server識別技術。
（1）使用蜜網技術。蜜網技術是從bot程序出發的，可以深入跟蹤和分析Botnet的性質和特徵。主要的研究過程是，首先通過密罐等手段盡可能多地獲得各種流傳在網上的bot程序樣本；當獲得bot程序樣本後，採用逆向工程等惡意代碼分析手段，獲得隱藏在代碼中的登錄Botnet所需要的屬性，如Botnet伺服器地址、服務埠、指定的惡意頻道名稱及登錄密碼，以及登錄所使用到的用戶名稱，這些信息都為今後有效地跟蹤Botnet和深入分析Botnet的特徵提供了條件。在具備了這些條件之後，使用偽裝的客戶端登錄到Botnet中去，當確認其確實為Botnet後，可以對該Botnet採取相應的措施。
（2）網路流量研究。網路流量的研究思路是通過分析基於IRC協議的Botnet中僵屍主機的行為特徵，將僵屍主機分為兩類：長時間發呆型和快速加入型。具體來說就是僵屍主機在Botnet中存在著三個比較明顯的行為特徵，一是通過蠕蟲傳播的僵屍程序，大量的被其感染計算機會在很短的時間內加入到同一個IRC Server中；二是僵屍計算機一般會長時間在線；三是僵屍計算機作為一個IRC聊天的用戶，在聊天頻道內長時間不發言，保持空閑。將第一種行為特徵歸納為快速加入型，將第二、三種行為特徵歸納為長期發呆型。
研究對應這兩類僵屍計算機行為的網路流量變化，使用離線和在線的兩種分析方法，就可以實現對Botnet的判斷。
（3）IRC Server識別技術的研究。通過登錄大量實際的基於IRC協議的Botnet的伺服器端，可以看到，由於攻擊者為了隱藏自身而在伺服器端刻意隱藏了IRC伺服器的部分屬性。同時，通過對bot源代碼的分析看到，當被感染主機加入到控制伺服器時，在伺服器端能夠表現出許多具有規律性的特徵。通過對這些特徵的歸納總結，就形成了可以用來判斷基於IRC協議的Botnet的伺服器端的規則，這樣就可以直接確定出Botnet的位置及其規模、分布等性質，為下一步採取應對措施提供有力的定位支持。
以上三種研究方法都是針對基於IRC協議的Botnet。對於P2P結構的Botnet的研究較少，原因是由於其實現比較復雜，在網路中並不佔有太大比例，同時也因為其在控制方式上的分布性使得對它的研究比較困難。但隨著Botnet的發展，對於P2P結構的Botnet的研究也將進一步深入。
『伍』 wegame提示僵屍網路
wegame提示僵屍網路，修復一下lsp就好了。可帆友以在窗口中輸入命令netshwinsockreset，然後按下回態州槐車運行該命令，提示重啟，重啟後運行wegame就可以登陸英跡中雄聯盟。
『陸』 使用指令ping -n 300 www.qq.com -l 3000四次的時候都有出現超時，可是p
孩子 你要幹嘛？ ping 只是用來測試網路是否通暢， 在內網的話，你可以無限制ping ，也可以定義最大包65500b， 你ping 人家騰訊， 給出3000b 這么大的包， 還ping 人家300次， 哎…… 伺服器防悉首護系統認為 這是SYN 泛洪攻擊， 當然伏鄭有拒絕，你想， 如果你是黑客， 用僵屍網路只執行這個ping…… 騰訊睜廳數伺服器還能正常運行嗎？
『柒』 遭遇CC和DDOS攻擊怎麼處理
直接攻擊：主要針對有重要缺陷的WEB應用程序，一般說來是程序寫的有問題的時候才會出現這種情況，比較少見。
僵屍網路攻擊：有點類似於DDOS攻擊了，從WEB應用程序層面上已經無法防禦。
代理攻擊：CC攻擊者一般會操作一批代理伺服器，比方說100個代理，然後每個代理同時發出10個請求，這樣WEB伺服器同時收到1000個並發請求的，並且在發出請求後，立刻斷掉與代理的連接，避免代理返回的數據將本身的帶寬堵死啟滑，而不能發動再次請求，這時WEB伺服器會將響應這些請求的進程進行隊列，資料庫伺服器也同樣如此，這樣一來，正常請求將會被排在很後被處理，就象本來你去食堂吃飯時，一般只有不到十個人在排隊，今天前面卻插了一千個人，那麼輪到你的機會就很小很小了，這時就出現頁面打開極其緩慢或者白屏。
3
攻擊者的升級
一般我們遇到的情況，就是幾個IP，不斷的訪問網站請求資源。
之前CC攻擊的手段是攻擊網站的任何一個頁面，後來有了統計工具，攻擊的時候IP就會被記錄下來，於是做壞事的人就換了方法——去登陸頁面或者管理後台這樣沒有統計代碼的地方搞破壞。但是新的PHP代碼解決方案出來了，通過SESSION來記錄刷新的次數，然後針對超過在規定時間內訪問次數的IP，進行頁面重定向；只要是頁面總會有代碼，所以這個PHP的解決方案在當時也是罩巧很有效的。
然而事情並沒有到此結束！最近我看了系統日誌，才發現，攻擊者開始不對頁面進行CC攻擊了，而是對著站點的favicon.ico進行CC攻擊，這么個小文件幾乎每個網站都有。而且這樣的文件，根本防不勝防了。即使你用了諸如七牛CDN之類的CDN，訪問源站的地址還是會訪問到的。
升級版的解決方案
對於這樣的攻擊，我是無計可施了，我網路和谷歌了相應的解決方案，找到了以下幾個比較靠譜的手法，供大家參考：
4
域名解析
暫時暫停一下域名的解析：本方法適合域名真實IP還沒有暴露的朋友們，如果CC攻擊者是通過域名攻擊你的網站的，那麼我們暫時讓他們攻擊失效，一會兒就會好悄悶臘起來。
或者你也可以把自己的域名解析到127.0.0.1上，讓攻擊你的CC狂魔來反攻擊自己的伺服器。
5
防火牆
安裝防火牆：如果你是VPS用戶，可以試試阿里雲盾，或者CSF這款免費的防火牆程序。順便附上一行CSF防火牆有效設置防止CC攻擊的設置行：首先用vim命令打開csf.conf，然後修改一行命令：
vim /etc/csf/csf.conf
PORTFLOOD = "22;tcp;5;300,80;tcp;20;5"
6
設置IP黑名單
這個方法實際上也是最無奈，也是最有效的方案。我在尋找CC攻擊的解決方案的時候看見了月光博客發的博文，雖然月光沒有給出他的代碼，但是他說了他的思路就是屏蔽IP黑名單。像月光博客這么大的網站，黑名單IP也只有100多條。於是我決定自己找出這些老鼠屎手動屏蔽之。
打開網站訪客日誌，查看異常IP，進行屏蔽。為了大家看的清楚，我這里用Cpanel面板截圖：
7
點擊最近訪客就可以進去查看網站的訪客和他們的瀏覽行為了。哪些IP是可疑的？
短時間內頻繁訪問網站的IP；
User Agent中包含MSIE 6.0的IP，這個年代，身為人類，用這個瀏覽器的人不多，經過我的觀察，100%的惡意CC攻擊的IP都是來自這個UA，其實我早就想把所有的IE6.0用戶排除我的網站了，正常的訪客，一個月裡面也沒有幾個會用IE6.0瀏覽器的了；
訪問favicon.ico次數頻繁的IP，前面說了，不解釋；
來自同一頻段的IP，比如168.168.121.9和168.168.119.8這樣相近的IP如果多次出現在你的訪客中，顯然都是一夥的來刷CC的，屏蔽掉。
『捌』 僵屍網路攻擊無法中斷
需要提前攔截僵屍網路攻擊。
這是由火絨「僵屍網路防護」功能發起的病毒攻擊攔截，使用火絨進行全盤查殺病毒後，攔截提示不再出現。
僵屍網路(源自「機器人網路」)是一大群受惡意軟體感染的互聯網連接設備和由單個操作員控制的計算機。攻擊者使用這些受感染的設備發起大規模攻擊手唯，以破壞服務、竊取憑據並未經授權訪問關鍵系統。僵屍網路命令和控制模型允許攻擊者接管這些設備的操世絕作以遠程式控制制它們。僵屍網路的優勢在於包含的受感染機器的數量。攻擊者可以遠程式控制制僵屍網路並從它們那裡接搜薯姿收軟體更新，使用這些更新快速改變他們的行為。
『玖』 惡意代碼通常分為
1、啟動器『拾』 火絨暴破攻擊防護原理
通俗地說，「僵屍網路」攻擊是一整套的黑客攻擊流程。
首先，攻擊者通過各種途徑傳播「僵屍程序」（火絨檢測為「後門病毒」）。然後，當用戶感染並激活病毒時，攻擊者就可以控制電腦，並下發各種遠程命令。最後，隨著被感染的電腦越來越多，就形成了龐大的「僵屍網路」。俗地說，「僵屍網路」攻擊是一整套的黑客攻擊流程。
首先，攻擊者通過各種途徑傳播「僵屍程序」（火絨檢測為「後門病毒」）。然後，當用戶感染並激活病毒時，攻擊者就可以控制電腦，並下發各種遠程命令。最後，隨著被感染的電腦越來越多，就形成了龐大的「僵屍網路」蛇打七寸，當「僵屍程序」想方設法進入用戶電腦後，最終還是要與攻擊者取得聯系，隨時獲取各類指令，因此，最直接有效的辦法就是掐斷這個聯系。
所鏈談以棚虛碰，火絨「僵屍網路防護」功能主要作用就是攔截「僵屍程序」回傳的信息數據，讓攻擊者失去對電腦的控制。此外，該功能還能溯源攻擊，直接譽檔顯示攻擊者的IP地址。