破坏之王：DDoS攻击与防范深度剖析[按需印刷]

1.4.1　匿名者挑战山达基教会 20
1.4.2　维基解密事件 21
1.4.3　索尼信息泄露案 22
1.5　小结 24
1.6　参考资料 24
第2章　DDoS攻击的来源 27
2.1　僵尸网络的发展 29
2.1.1　演化和发展趋势 29
2.1.2　知名僵尸网络 32
2.2　僵尸网络的组建 34
2.2.1　节点 34
2.2.2　控制 41
2.3　僵尸网络的危害 50
2.4　自愿型僵尸网络 52
2.5　小结 56
2.6　参考资料 56
第3章　DDoS攻击的方法 57
3.1　攻击网络带宽资源 59
3.1.1　直接攻击 59
3.1.2　反射和放大攻击 61
3.1.3　攻击链路 69
3.2　攻击系统资源 70
3.2.1　攻击TCP连接 72
3.2.2　攻击SSL连接 80
3.3　攻击应用资源 84
3.3.1　攻击DNS服务 84
3.3.2　攻击Web服务 88
3.4　混合攻击 94
3.5　小结 96
3.6　参考资料 96
第4章　DDoS攻击的工具 98
4.1　综合性工具 99
4.1.1　Hping 99
4.1.2　PenTBox 101
4.1.3　Zarp 103
4.2　压力测试工具 103
4.2.1　LOIC 104
4.2.2　HOIC 105
4.2.3　HULK 106
4.3　专业攻击工具 107
4.3.1　Slowloris 108
4.3.2　R.U.D.Y. 109
4.3.3　THC SSL DOS 111
4.4　小结 112
4.5　参考资料 112
第5章　DDoS攻击的成本和收益 113
5.1　攻击成本 113
5.2　获取收益 117
5.2.1　敲诈勒索 117
5.2.2　实施报复 119
5.2.3　获取竞争优势 120
5.3　小结 124
5.4　参考资料 125
第6章　DDoS攻击的治理和缓解 126
6.1　攻击的治理 127
6.1.1　僵尸网络的治理 127
6.1.2　地址伪造攻击的治理 129
6.1.3　攻击反射点的治理 132
6.2　攻击的缓解 137
6.2.1　攻击流量的稀释 138
6.2.2　攻击流量的清洗 145
6.3　小结 154
6.4　参考资料 154
第7章　未来与展望 156
7.1　未来的网络战 156
7.2　DDoS的APT时代 157
7.3　DDoS与大数据 159
附录A　DDoS主要攻击方法、工具和事件一览 161
附录B　关于DDoS的9个误区 164
附录C　国外知名黑客组织和个人简介 169
附录D　NTP和DNS放大攻击详解 176

.　　1）我是否需要为公司（组织）的网络安全负责？
　　2）我是否需要为他人介绍一些基本的网络安全知识？
　　3）我的客户是否关心网络安全？
　　4）了解网络安全对我未来的职业发展是否有益？
　　5）我管理的业务是否受安全基础设施的影响？
　　本书内容简介
　　第1章讲述了DDoS的发展历史。第2章～第4章是本书的重点，从来源、方法和工具三个角度介绍DDoS攻击本身。第5章讨论攻击者的成本和收益问题。第6章分析在不同环节对DDoS的治理和缓解方法。第7章是对未来的一些探讨。
　　此外，本书在附录中提供了一些很有价值的资料。附录A是DDoS攻击方法、工具和相关事件的汇总；附录B解读了9个DDoS常见误区；附录C介绍了一些国外知名黑客组织和个人；附录D对NTP和DNS放大攻击做了更详细的解读；附录E提供了《2013年绿盟科技DDoS威胁报告》，用真实数据说明DDoS攻击的现状。
　　

.　　1.1探索期：个人黑客的攻击
　　早期的“黑客”都是一些技术爱好者。他们年轻、有激情、勇于探索，而且熟悉技术的最新进展，具有敏锐的洞察力。所以，他们能够找到当时系统中存在的漏洞和缺陷，并利用这些漏洞实现自己的目的。
　　“黑客”、“骇客”和“极客”的区别
　　“黑客”源自英文单词hacker，原本在美国的电脑界是带有褒义的，特指那些擅长计算机技术，具有强烈的好奇心和动手能力，并且崇尚自由的人。早期的“黑客”都是高级程序员，他们发现系统中的漏洞，编写入侵工具，并实践它们。后来，一些虽不编写程序但擅长使用工具进行“实战”的人，也被纳入了“黑客”的范畴。他们善于通过蛛丝马迹寻找系统的弱点，选择合适的工具，来实现入侵的过程。
　　“骇客”是Cracker的音译，就是“破解者”的意思，本意是指那些专门破解商业软件，绕过付费机制，从而免费使用的人。很多“骇客”会将破解后的软件发布到互联网上供大众下载使用。后来，这一概念和“黑客”的概念被混淆了，两者的区别越来越模糊。
　　“极客”来自于美国俚语Geek的音译，最初指性格古怪的人。很长时间，Geek在西方文化里一直偏向褒义。随着网络社交的普及，人们对“极客”的定义也逐渐发生了变化。现在，人们一般认为，花费大量业余时间在网络中，并且偏爱新技术产品的人群，就是“极客”。他们不一定是电脑高手，但对电脑和网络有很强的依赖性，喜欢尝试高科技产品。
　　但同时，这些“黑客”在技术之外的领域并非天才。他们想到什么就做什么，随心所欲地发起攻击，而不是效力于特定组织。早期的分布式拒绝服务攻击往往缺乏明确的目的性，起因可能五花八门。也许是某人发现了一种有趣的攻击手法，只是想验证一下该攻击手法；也许是把攻击行为作为一种挑战，用以验证自己的天才能力；也许纯粹是为了向朋友炫耀。迈克尔·迪蒙·卡尔斯（“黑手党男孩”）甚至声称自己的目的是在网络世界中建立所谓“统治”。
　　所以，这些行为从攻击者的角度来看，基本不会带来经济上的收益。而从受害者的角度来看，往往波及的范围很大，具有轰动效果，但对具体的个人或组织，损失并非难以承受。
　　最早的拒绝服务攻击发生在1996年，受害者是当时纽约最大的互联网服务提供商Panix。3年后，发生了针对明尼苏达大学的攻击，攻击者使用Trinoo构建了真正的分布式控制网络。在早期的“黑客”行动中，最具轰动效应的就是“黑手党男孩”对雅虎、亚马逊等著名网站发动的攻击，这是早期“黑客”中暴露真实身份的一个。最著名可能也是最具威胁的一次，是2002年针对13台根域名服务器的攻击。虽然持续时间很短，也没有导致所有服务器完全瘫痪，但是只要设想一下行动成功的后果，就会让人不寒而栗。本节下面的内容就是对这几次事件的详细介绍。
　　1.1.1第一次拒绝服务攻击
　　第一次拒绝服务攻击发生在1996年9月6日下午5:30。Panix，这个纽约市历史最悠久、规模最大的互联网服务提供商成为了攻击的受害者。公司的邮件、新闻、Web和域名服务器等同时遭受攻击。如图1-2所示，据《时代杂志》[2]（Time Magazine）报道，至少6000名用户因此而无法收取邮件。
　　图1-2Panix攻击
　　攻击者采用的方法非常简单：不断向服务器发送连接请求（TCP SYN请求），速度高达每秒150次。服务器忙于应对这些请求，从而无法回应正常的用户。这种攻击方式后来被称为“SYN FLOOD攻击”，是拒绝服务攻击的一种。即使到现在，SYN FLOOD攻击也经常被使用。此外，攻击者还采用了随机伪造源地址的方式。一方面，这使得攻击来源难以追踪；另一方面，随机的源地址也使得过滤和阻断攻击变得非常困难。[3]
　　完全消除DDoS攻击是极为困难的一件事。尤其当用户正常的访问量较大时，很难立刻将其与恶意伪造的访问区分开来。幸运的是，削弱这种攻击造成的危害是可能实现的。我们一般称其为“缓解技术”。Panix被攻击后，计算机紧急响应小组（CERT）做出了快速响应。9月19日发布了TCP SYN Flooding and IP Spoofing Attacks，提出了缓解SYN FLOOD攻击和IP欺骗攻击的建议。[4]
　　1.1.2分布式攻击网络：Trinoo
　　1999年8月17日，美国明尼苏达大学的一台服务器遭到攻击，造成了连续两天的服务中止。接下来的几天中，又有至少16台主机遭到同样的攻击，其中有一些并不在美国境内。
　　这应该是第一次真正意义上的DDoS攻击，之前针对Panix的攻击并没有表现出“分布式”特性，很可能是从单一主机发起的。而这一次，攻击来自至少227台主机，它们的所有者并不知道，这些设备居然成为了黑客手中的工具。攻击数据包都是UDP格式的，并未隐藏源地址[3]。所以，明尼苏达大学追踪这些IP地址，并联系了这些攻击主机的真正所有者，以停止攻击进程。但这一方法并未奏效，因为攻击者采用了一个简单的对策：加入更多的被控制主机进行攻击。相关调查人员在一台主机中发现了Trinoo的源代码，同时发现了一个包含888个IP地址的文件，这很可能就是当时Trinoo网络的规模。在另一个名为“216”的目录中，还发现了包含10 549个地址的文件，据估计是存在漏洞的潜在控制目标。[5]
　　Trinoo是第一个使用控制网络进行攻击的DDoS工具。攻击者首先入侵并控制一些主机，在其上安装扫描工具、攻击工具以及Trinoo控制程序，我们一般称其为控制主机（Master）。接着，攻击者会通过控制主机入侵并控制更多电脑，安装受控和攻击软件，我们称其为攻击主机（Slave）。发动攻击时，只需对控制主机发送指令，由它们自动管理攻击主机发送攻击数据包。在本次攻击中，被控制主机大多数是Solaris 2.x系统的。由于在远程调用服务（RPC）中存在一个缓冲区溢出漏洞而被恶意代码控制。[6]
　　1.1.3黑手党男孩
　　2000年2月7日，门户和搜索网站雅虎（Yahoo）遭到攻击，被迫中断服务一个小时。紧接着，Buy.com也遭到类似的攻击。之后的一周内，eBay、CNN、Amazon和Dell.com接连被攻陷。
　　4月18日，美国广播公司（ABC）新闻报告，一名15岁的加拿大男孩被警方逮捕，怀疑与之前的黑客攻击事件有关。这名男孩名叫迈克尔·迪蒙·卡尔斯（Michael Demon Calce），是加拿大魁北克省的一名普通高中生，在互联网上，其化名是“黑手党男孩”（Mafiaboy）。正是他开展了针对Yahoo的攻击行动，并将这次行动命名为“RIVOLTA”（意大利语，意为“暴动”）。按照Calce本人当时的说法，这是为了让自己在网络世界中建立所谓“统治”。接着，他在一周内接连攻击了Buy.com、eBay、CNN、Amazon和Dell.com。不过几年后，在2011年的一次采访中，他又声称，当时只是下载了网上的安全工具，在不经意间输入了一些知名网站。后来，当他从新闻中得知消息时，才开始明白到底发生了什么。[7]
　　攻击发生后，卡尔斯就开始在IRC聊天室中宣称对攻击负责，这让美国联邦调查局和加拿大皇家骑警产生了怀疑。不久，他又声称Dell.com被攻陷，而此时这一消息尚未被任何媒体报道。于是，卡尔斯成了警察眼中的头号嫌疑人。审问过程中，卡尔斯最终不得不承认了大部分指控。他的律师声称，孩子只是在进行一次未经监督的测试，目的是设计一种防火墙的改进方法。最终，蒙特利尔青年法院在2001年9月12日判处他18个月的“开放式监禁”（Open Custody），缓期一年执行，限制使用互联网，以及一笔较小的罚金。根据Yankee Group的一位高级分析师估计，这次攻击造成了共计12亿美元的损失。
　　2012年5月，卡尔斯的故事被写成了一本书，名叫《黑手党男孩：一个年轻人的黑客肖像》（如图1-3所示）。
　　图1-3《黑手党男孩：一个年轻人的黑客肖像》
　　1.1.4根域名服务器的危机
　　域名服务（Domain Name Service，DNS）是一种互联网地址解析服务。它将我们熟悉的域名（例如www.google.com）映射成为IP地址（例如74.125.128.99）。域名服务采用类似目录树的层次结构，当一台域名服务器遇到未知的域名时，就会向上级服务器询问。而这棵树的顶端，就是13台根域名服务器。根域名服务器是互联网的关键基础部件，在理论上，针对它们的攻击可以影响全球的域名系统。1997年3月，因为技术问题7台根服务器就曾停止运行，但这并未引起人们足够的重视。
　　2002年10月21日，美国东部时间下午4:45开始，这13台根域名服务器遭受到有史以来最为严重、规模最为庞大的一次网络袭击，攻击持续到6 : 00。此次事件正是一次分布式拒绝服务攻击，超过常规数量30～40倍的数据猛烈地向这些服务器袭来，目标是全部的13台服务器，持续大约1个小时。造成的后果是9台服务器不能正常运行，其中7台丧失了对网络通信的处理能力，另外2台也紧随其后陷于瘫痪。
　　对每个根服务器的攻击流量大约为50～100Mbit/s（兆比特每秒），100～200Kpps（千数据包每秒）。总流量为900Mbit/s（兆比特每秒），1.8Mpps（千数据包每秒）。发送的数据包包括ICMP、TCP SYN和UDP。攻击的源地址是随机产生的，但基本都位于当时路由表中存在的网段内。[8]
　　根据网络流量报告（The Internet Traffic Report），当天全球的流量指数和数据包丢失率如图1-4所示。[9]
　　图1-4骨干网流量指数和丢包率
　　由于攻击不是在短时间内便告结束，而且攻击方式相对简单，因此易于采取相应措施，否则，全球互联网将会有相当一部分彻底中断。
　　之后，随着技术的发展，根服务器都采用了Anycast和负载均衡技术进行防御。现在，影响其运行已经远比当时困难。
　　1.2工具化：有组织攻击
　　从用户增长的角度来看，互联网的早期设计就像是交通规划，诸多未曾考虑的问题以超乎想象的速度爆发出来。于是，互联网成了一个难以监督而易于藏匿的世界，这里的犯罪成本和风险远比现实世界来得低。
　　在经过了早期无序的攻击时期后，一个问题突然闪进人们的脑海中：是否可以用如此强有力的工具牟利？
　　较早利用这一工具的是勒索组织，他们有的使用已有攻击工具，有的租用僵尸网络，有的干脆自己针对性地开发工具。猎物往往是一些通过互联网盈利的企业，例如在线交易市场或博彩网站。这些勒索组织会先对猎物进行短期的示威性攻击，然后发送勒索信，并对其进行威胁：如果不支付勒索金，就在业务最繁忙时再次攻击。很多中小企业会屈从，并秘而不宣。这是因为追查网络犯罪者非常困难，即使警方介入也难以保证成功，而犯罪者一旦逃脱，就可能实施猛烈的报复。另一方面，购买专业的缓解方案显得较为昂贵，甚至会超过支付的勒索金。但是，依然有抗争成功的例子，本节介绍的在线市场ClickBank以及南非世界杯期间经营的博彩网站最终成功抵抗了攻击者。
　　第二种情况是打击竞争者，包括商业和政治上的竞争对手。真正的获利者并不出面，他们会雇用犯罪组织，在重要的时间点攻击对手，造成对方声誉损失或阻止对方的行动。这类攻击很难得到直接的证据，但行为模式非常清晰。加拿大政党选举中就曾遇到过此类攻击。
　　第三种情况最为极端，它的目的是报复。2012年，一个黑客组织认为YouTube的某段视频是对伊斯兰教的侮辱，于是宣布对美国实施报复行动，直接对象是美国的各大银行。这次行动被称为“燕子行动”，持续了一年以上，数十家银行遭到打击，造成的损失难以估计。另一次著名的报复行动是Spamhaus事件，它是一个反对垃圾邮件的组织。该组织遭到攻击的原因被认为是它指出了垃圾邮件发送者。这次事件中攻击流量达到了300Git/s，到2013年为止，是史上最大规模的分布式拒绝服务攻击。
　　黑客不再是有组织攻击的主角，他们成了操纵者手中的武器。这类攻击的特点是对目标和时间点的选择非常精确，利益最大化是行为的必然准则。
　　1.2.1在线市场面临的勒索
　　ClickBank是一家在线的数字信息产品市场，为数字内容创作方和营销方之间建立联系。SpamCop中是一个反垃圾邮件组织，它追踪批量发送的垃圾邮件，发现发送者的IP地址，并建立“SpamCop Blacklist”，提供给希望免受垃圾邮件骚扰的用户。[10]
　　2003年6月21日，大量请求淹没了两家公司的服务器，使得正常用户无法使用服务。ClickBank的有关负责人声称，每台服务器每秒钟会接收到数以千计的http请求，同时日志文件以每秒1MB的速度增长。有消息称，3周前，另外一些不愿公开名称的公司和政府机构也遭到了同样的攻击。攻击者要求ClickBank和SpamCop支付勒索金，否则不会停止攻击。但两家公司并未屈服，而是与FBI合作。6月25日，他们宣布，在与FBI紧密合作后，终于发现了DDoS攻击的肇事者。[11]
　　1.2.2世界杯博彩网站敲诈案
　　2011年4月，德国杜塞尔多夫的法庭对一名网络罪犯进行了宣判。该网络罪犯在2010年南非世界杯（图1-5）期间，对在线博彩网站进行了勒索。罪犯是一名法兰克福人，他成功地勒索了三家网站，并试图勒索另外三家，所使用的武器就是DDoS攻击。根据德国媒体报道，勒索者用每天65美元的价格租用僵尸网络，然后威胁这些赌博网站，如果不给他支付2500欧元，就会在7月世界杯期间使网站无法访问。当三家网站拒绝支付时，他将勒索金降到了1000欧元。据网站经营者估计，网站发生故障期间，他们的大型办事处损失了约25000～40000欧元，小型办事处损失了约5000～6000欧元。
　　法院最终判该男子有期徒刑2年零10个月，并责令赔偿受影响的企业35万欧元。[12]德国对计算机阴谋破坏行为的最高惩罚是入狱10年。大型体育赛事期间，对博彩网站进行敲诈的案件已经不是第一次发生。2006年，一个俄罗斯黑帮就曾企图对英国博彩公司敲诈400万美元，结果获罪入狱。
　　1.2.3操纵政党选举的攻击
　　2012年3月24日，本该是加拿大民主新党（Canada抯 New Democratic Party）的选举日，选民会进行在线投票。令人意外的是，选举却发生了延时。Scytl公司为加拿大民主新党提供了一套先进的选举服务，可以通过电子和邮寄方式实现投票。第一轮投票于3月23日下午5点开始，24日上午9点正常结束。第二轮投票在24日上午11点开始后，就开始出现投票延时现象，并快速恶化。根据Scytl的入侵检测系统和防火墙的日志显示，这是一次外部攻击。于是，他们启动了标准的缓解流程，包括增加系统的吞吐量和阻止恶意IP地址。这些措施使得服务较慢，但依然可以工作，最终投票过程延长了3个小时。整个攻击过程中，选票系统收到了来自1万余台僵尸主机（又称肉鸡）的超过1000万次异常请求，攻击的时间也和每轮投票时间完全相符。由普华永道进行的独立审计指出，投票结果未被篡改。调查显示，这1万台主机的IP地址主要集中在加拿大，采用的就是分布式拒绝服务攻击。
　　1.2.4燕子行动
　　2012年7月，一个由美国人萨姆·巴西利（Sam Bacile）制作并导演的关于伊斯兰教先知穆罕默德的影片预告片被放到YouTube上，引来了伊斯兰国家的强烈抗议。9月18日，一个号称伊兹丁·哈桑网络战士（Cyber fighters of Izz ad-din Al-Qassam）的黑客组织在pastebin网站上发布公告，声称将美国银行和纽约交易所列为攻击目标，在YouTube上这部亵渎伊斯兰教先知的影片被移除之前，攻击将一直持续。从此，代号为“燕子行动”（Operation Ababil）的一系列针对美国金融机构的DDoS攻击事件拉开了序幕。“燕子行动”这个代号引自《古兰经》里的安拉派燕群去摧毁一队由也门国王派出攻击麦加的象群的故事。
　　到2013年6月为止，整个行动经历了三个阶段。第一阶段始于2012年9月18日，持续了5个星期；第二阶段从2012年12月10日开始，持续了7个星期；第三阶段从2013年3月5日开始，持续了9个星期，到5月6日停止；第四阶段从2013年7月23日开始，计划持续两个月。
　　在整个行动中，大多数美国金融机构的在线银行业务都遭到了攻击，其中包括美国银行（Bank of America）、花旗集团（Citigroup）、富国银行（Wells Fargo）、美国合众银行（US Bancorp）、PNC金融服务集团、第一资本（Capital One）、五三银行（Fifth Third Bank）、BB&T银行和汇丰银行（HSBC）。DDoS攻击对上述银行网站业务的连续性和可获得性造成了严重的影响，同时也对银行的声誉造成了不可估量的损失。由于事态的严重性，美国政府部门包括国土安全部（DHS）、联邦调查局（FBI）以及金融监管机构均参与了事件的调查和处理。
　　攻击者采用了非常丰富的攻击类型，既包括传统的TCP、UDP、ICMP Flood，也包括HTTP Flood、HTTPS Flood和DNS Flood。他们使用的僵尸网络被称为Brobot，是由被植入了itsoknoproblembro的主机构成。与众不同的是，这些主机主要由高性能的服务器组成。[13]
　　1.2.5史上最大规模的DDoS
　　Spamhaus是一家致力于反垃圾邮件的非盈利组织，总部在伦敦和日内瓦。Spamhaus维护了一个巨大的垃圾邮件黑名单，这个黑名单被很多大学/研究机构、互联网提供商、军事机构和商业公司广泛使用。[14]
　　从2013年3月18日起，Spamhaus开始遭受DDoS攻击。攻击者通过僵尸网络，利用DNS反射技术进行攻击。根据服务提供商CloudFlare的监控记录，3月18日初始的攻击相对比较温和，攻击流量约为10Gbit/s。从标准时间21:30开始，攻击者将攻击流量猛增到75Gbit/s，如图1-6所示。从3月19日到3月21日，对Spamhaus的攻击流量在30Gbit/s到90Gbit/s之间波动。到3月22日，攻击流量达到了120Gbit/s。在攻击者发现无法有效地击垮Spamhaus之后，他们改变了攻击策略，转而攻击CloudFlare的网络带宽供应商和连接的互联网交换设施。在3月27日达到惊人的300Gbit/s的攻击流量，被认为是互联网史上最大规模的DDoS攻击事件。
　　图1-63月18日Spamhaus攻击流量
　　事件的起因可能是Spamhaus将一家荷兰公司Cyberbunker列入了黑名单，之后Spamhaus就开始遭受DDoS攻击。自称是攻击者发言人的斯文·奥拉夫·坎普赫伊斯（Sven Olaf Kamphuis）在网上发表了一则讯息，称“我们很清楚，这是世界上公开进行的最大的DDoS攻击之一”，Cyberbunker是在报复Spamhaus“滥用其影响力”的行为。“从来都没有人授权Spamhaus来决定互联网上该有哪些内容，”坎普赫伊斯说，“他们假装抗击垃圾讯息，借此攫取了这一权力。”然而在4月，坎普赫伊斯又否认策划和实施了这次攻击。[15]4月25日，西班牙警方逮捕了坎普赫伊斯，被捕时，他在一个被改装成移动办公室的小货车里，里面满是线缆和各种网络设备。[16]
　　1.3武器化：网络战
　　人类历史上出现一种新技术，一出现就可能被思考是否可以用作武器。如果可以，那么一定会被作为武器来使用。在物理、化学、生物、核能等领域，这样的例子数不胜数，分布式拒绝服务攻击也不例外。
　　已经发生的网络战中，攻击的目的有两种：一种是占领舆论制高点，赢得国际社会支持；另一种是宣扬决心和能力。几次事件都爆发在实力悬殊的国家之间，这决定了战争的方式和目标，所以这并不意味着网络战只有两种形式。
　　1.3.1网络战爆发：爱沙尼亚战争
　　网络战的爆发并不出人意料，军事战略家早就对这种可能性做出了预测。一个国家对基础信息网络的依赖性越强，就越容易遭受网络打击。人们理所当然地将目光的焦点集中在美国这个世界上最大的经济体、信息系统最发达的国家身上。然而，世事总是出人意料，直到战争发生，大家才注意到一个宽带覆盖和互联网日常使用甚至超过美国的东北欧小国—爱沙尼亚。
　　爱沙尼亚是位于波罗的海沿岸的一个小国（图1-7），二战结束后成为苏联的一部分。为了纪念战争中牺牲的战士，苏联在众多的东欧国家首都修建了巨大的铜像，爱沙尼亚也不例外。而当冷战结束，爱沙尼亚宣布独立以来，这里生活的30万俄罗斯人和100万爱沙尼亚人之间的关系越来越紧张，首都塔林的纪念像成了焦点。2007年4月，爱沙尼亚首相安德鲁斯·安西普提出，将铜像从塔林转移到军人墓地。4月27日（后来被称为“铜像之夜”），激进团体在这里爆发了冲突。事件不仅引发本国骚动，也导致俄罗斯政府和民众的不满。俄罗斯外交部指责爱沙尼亚一手促成紧张局面，并在5月1日以“铁路维修”为由，停止向爱沙尼亚出口石油和煤。
　　图1-7爱沙尼亚地理位置
　　2007年4月底至5月，爱沙尼亚的重要网络基础设施，包括国会、总统府、总理办公室、央行、主要媒体报社等网站都受到DDoS攻击而关闭。攻击的第一次高峰出现在5月3日，当天莫斯科爆发最激烈的示威抗议。另一次高峰是5月8日和9日，欧洲各国纪念战胜纳粹德国，攻击同步升级，最少六个政府网站被迫下线，其中包括外交和司法部。最后一次攻击高峰是15日，该国最大的几家银行被迫暂停国外连线。
　　爱沙尼亚国防官员追查攻击时，发现虽然攻击看似来自世界各地的电脑，但原始攻击直接来自俄罗斯，部分域名还以俄罗斯总统普京的名义登记。面对指责，俄罗斯多次否认与事件有关，并抨击爱沙尼亚虚构指控。俄罗斯驻爱沙尼亚大使弗拉基米尔·奇若夫向《卫报》指出：“说攻击来自俄罗斯或俄政府是严重指控，你必须拿出证据来。网络空间无处不在。我个人不支持这种行为，但人们应该先搞清楚袭击者来自哪里，为什么发动攻击。”[17]
　　爱沙尼亚是北约成员国，根据《北大西洋公约》有关条款规定，针对任何一个成员国的攻击都可视为针对所有成员国的攻击。据此，北约向爱沙尼亚派出了技术顾问，以帮助其消除网络攻击带来的损害。但除此之外，北约并没有进一步采取任何正式的外交或军事行动。
　　1.3.2硝烟再起：格鲁吉亚战争
　　南奥塞梯位于高加索格鲁吉亚北部，曾为苏联时期格鲁吉亚苏维埃社会主义共和国管辖下的一个自治州（图1-8）。1990年，格鲁吉亚准备脱离苏联独立，南奥塞梯议会却宣布成立南奥塞梯共和国，脱离格鲁吉亚成为苏联的一部分。之后的几年冲突不断，直到1994年才进入和平状态。2008年4月，格鲁吉亚传出可能加入北大西洋公约组织的消息，双方冲突也因此一触即发。
　　图1-8南奥塞梯的战争形势图（摘自维基百科）
　　2008年8月5日，南奥塞梯的新闻网站OSInform和OSRadio遭到黑客攻击，网站标识保持不变，内容却被替换为阿拉尼亚电视（格鲁吉亚政府支持，面向南奥塞梯人的电视台）的内容。南奥塞梯特使Dmitry Medoyev前往莫斯科，声称格鲁吉亚是在企图掩盖有关战争的信息。
　　2008年8月8日，格鲁吉亚展开全面军事行动进入南奥塞梯，很快控制了该地区三分之二以上的领土，并包围了首府茨欣瓦利。同日，俄罗斯军队进入南奥塞梯地区，9日展开军事行动，很快控制了茨欣瓦利，并在随后几日占领了南奥塞梯以外的格鲁吉亚领土和军事基地。
　　当俄军对格鲁吉亚的军事行动全面开始后，俄罗斯对格鲁吉亚的网络攻击也全面展开，包括媒体、通信和交通运输系统在内的格鲁吉亚官方网站都瘫痪了，对格鲁吉亚的军事行动造成了较大的影响，直接影响到了格鲁吉亚的战争动员与支援能力。格鲁吉亚总统萨卡什维利的个人主页被人替换（图1-9），黑客在网站上贴出了“精心”挑选的宣称“萨卡什维利和希特勒‘有相似性’”的照片。总统萨卡什维利的网站及一家著名电视台的网站，先是转移到一家美国公司的服务器上，但很快又受到攻击。迫于无奈，格鲁吉亚总统萨卡什维利向波兰总统莱赫·卡钦斯基“求救”，在征得后者同意后，格鲁吉亚政府将外交部的新闻稿张贴在卡钦斯基的网站上。[18]
　　图1-9格鲁吉亚总统萨卡什维利
　　格鲁吉亚驻英国大使馆发言人8月11日在接受英国媒体采访时表示，格鲁吉亚的网站全面遭到封锁。
　　在国际调停下，2008年8月13日，格俄双方就停火原则达成一致。8月18日，俄军开始从南奥塞梯撤军。8月26日，俄罗斯总统梅德韦杰夫签署命令，宣布承认南奥塞梯和阿布哈兹独立。8月28日，格鲁吉亚宣布与俄罗斯断交。9月10日，俄罗斯与南奥塞梯建立正式外交关系。
　　阿塞拜疆新闻网站day.az声称，是俄罗斯情报部门通过代理实施了针对格鲁吉亚政府网站的DDoS攻击。但俄罗斯政府否认了这一指控，称这可能是某些个人行为。有人认为，是圣彼得堡的一个犯罪团伙—俄罗斯商业网（Russian Business Network）实施的攻击，因为正是他们在2007年攻击了爱沙尼亚（图1-10）。以色列的计算机应急响应小组的前首席Gadi Evron认为，这次攻击类似于网络暴乱，而不是网络战。Greylogic的安全研究人员则声称，俄罗斯国防部军事情报局和俄罗斯安全局（FSB）可能起到了关键作用，共同协调和组织了攻击。美国前情报官员John Bumgarner的研究结论是：第一波网络攻击是俄罗斯军事行动的一部分，而第二波则来源于对俄罗斯的同情者。
　　图1-10俄罗斯商业网
　　事实上，俄罗斯也遭受到网络打击。8月8日，一家俄文网站发布消息称，南奥塞梯政府官方网站和俄罗斯官方通讯社俄新社网站均受到DDoS攻击。俄新社记者纳塔利娅·洛谢耶娃在博客中写道，这是“非常严重的预谋行动，是信息战的一部分”。但她并未透露黑客攻击究竟来自哪个国家。8月11日凌晨，俄罗斯英文电视频道“今日俄罗斯”受到黑客的集中攻击，网站资源库被锁，随后出现技术故障。据该电视频道信息安全部专家透露，IP地址显示，黑客攻击来自格鲁吉亚首都第比利斯。
　　1.3.3美韩政府网站遭攻击
　　2009年7月4日，美国与韩国的政府及知名机构网站遭受了DDoS攻击。如图1-11所示，受害者包括美国和韩国议会、白宫、纽约证券交易所、华盛顿邮报等网站。[19]
　　攻击分三个阶段进行，期间峰值流量高达13 GB/s。大部分的攻击（93％）采用了HTTP GET FLOOD，其他主要是UDP FLOOD和ICMP FLOOD攻击。如图1-12所示，对恶意程序的静态分析显示，构造的数据是完全合法的HTTP GET请求。[20]根据一份韩国的研究报告显示，大约115 000台僵尸主机参与了攻击。[21]
　　图1-112009年7月美韩受攻击网站
　　图1-122009年7月攻击中的恶意程序片段
　　第一阶段：7月4日（美国独立日），攻击针对美国和韩国网站。受影响的网站包括白宫和五角大楼等网站。
　　第二阶段：7月7日，攻击针对韩国网站，目标包括韩国总统府青瓦台、国防部、公共管理和安全部、国家情报院和国民议会等。
　　第三阶段：7月9日，攻击针对韩国网站，目标包括该国的国家情报服务，以及其最大的银行之一和主要的新闻机构。美国国务院声称其网站也受到了攻击。
　　2009年10月30日，韩国国家情报局声称，攻击源来自朝鲜邮电部。
　　2011年3月4日，类似的攻击又发生了一次。韩国政府各部、国民议会、军队总部、驻韩美军和各大银行等29个机构受到影响，韩国的网上股票交易系统也被关闭数分钟。[22]
　　1.4普及化：黑客行动主义
　　分布式拒绝服务攻击的普及化是一个必然的趋势。十年的发展中，相关工具越来越易用，越来越高效。而网络的便利使得获取该工具变得异常容易。
　　同时，通信技术快速发展，使得信息以前所未有的高速流动，这带来了一个意想不到的后果，那就是世界上各人种、各种族和国家中普通人的一般价值观越来越趋向一致。违反这些价值观的行为（通常也是违反当地法律的），一般会受到制裁。但是，总有一些组织或势力，可能是宗教团体、跨国公司，甚至国家政权，不会受到制裁。例如本节中提到的山达基教会、索尼公司和美国政府。
　　当分布式拒绝服务攻击实现了普及化，同时网络中存在对这些组织行为不满的群体时，产生的结合物就是黑客行动主义。他们是有类似价值观的人群，有类似于自由集会的组织形式，对某些现象不满而渴望发出声音。于是，分布式拒绝服务攻击成了他们最好的选择。
　　1.4.1匿名者挑战山达基教会
　　2008年1月15日，博客网站Gawker发布了一段视频：著名影星汤姆·克鲁斯声称要将自己完全奉献给山达基教会（Church of Scientology）。随后，视频在网上快速流传，并引来大量恶搞模仿。[23]对此，山达基教会警告，准备把发布或共享视频的用户诉诸法律。
　　1月23日，匿名者组织（图1-13）在YouTube上发布宣言，对山达基教会宣战。27日，匿名者成员声称，这次行动的目的是反对山达基教会企图控制互联网信息，而不是反对教会本身。[24]
　　最初他们使用Gigaloader和JMeter作为武器进行攻击。几天后，就开始使用被称为低轨道离子炮（LOIC）的网络压力测试工具，发送大量TCP和UDP数据包阻塞网络。之后的几年中，这几乎成了“匿名者”的标志性武器。
　　其间，一段视频被上传到YouTube，一个机器人的声音声称代表匿名者告诉山达基教会领袖：“为了你的追随者好，为了全人类好，以及为了好笑，我们会将你驱逐出互联网。”十天之内，该视频就吸引了数以千计的观众。2月10日，成千上万的匿名者在世界各地同时抗议山达基教会（图1-14），许多抗议者带着电影《V字仇杀队》中的面具。这个面具很快就成了匿名者组织的代表符号。之后个人自发的抗议持续了整整一年。[25]
　　图1-14山达基教会总部外的抗议者
　　这次事件是“匿名者”（Anonymous）第一次参与黑客行动主义。从此之后，它就成为了该主义最主要的奉行者。
　　1.4.2维基解密事件
　　维基解密（Wikileaks）是一个专门披露秘密信息的非营利组织，2006年12月由朱利安·阿桑奇（图1-15）创立。该组织的主要目的是揭露政府及企业的腐败行为，运营费用主要依靠捐助者以及基金会的支持。[26]
　　图1-15朱利安·阿桑奇
　　2010年7月26日，“维基解密”在《纽约时报》、《卫报》和《镜报》配合下，在网上公开了多达9.2万份的驻阿美军秘密文件，引起轩然大波。12月4日，美国网络支付处理商PayPal宣布，由于维基解密网站违反公司的服务政策，因此决定停止其账户和服务，这意味着维基解密将无法通过PayPal获得资金。PayPal副总裁表示，他们停止服务是在“国务院告诉我们，这些都是非法活动，这是很明显的”之后。紧接着，许多企业停止为维基解密提供服务，或是冻结对其的捐款，这些企业包括亚马逊、美洲银行、瑞士邮政银行、万事达和Visa。[27]
　　2010年12月5日，黑客组织Anonymous发表宣言，将正在进行的“回报行动”（Operation Payback）扩展为“阿桑奇复仇行动”（Operation Avenge Assange），向维基解密提供帮助并打击它的敌人。[28]12月6日，瑞士邮政银行（PostFinance）首先遭到攻击。12月8日，Anonymous对 PayPal的主网发动了攻击，却发现低轨道粒子炮（LOIC）无效。他们只得依靠两名黑客控制的僵尸网络进行攻击。据有关研究人员声称，这些僵尸主机最终贡献了90%的攻击流量。据Paypal估计，造成了550万美元的损失。后来，Paypal向联邦调查局提供了1000个攻击者的IP地址，导致至少14人被捕。如表1-2所示，万事达、Visa、亚马逊等企业也接连成为攻击目标。
　　表1-2本案中受到攻击的网站
　　攻击对象 站点 时间
　　PostFinance postfinance.ch 2010/12/6
　　Swedish Prosecution Authority aklagare.se 2010/12/7
　　EveryDNS everydns.com 2010/12/7
　　Joseph Lieberman lieberman.senate.gov 2010/12/8
　　MasterCard mastercard.com 2010/12/8
　　Borgstrom and Bodstr advbyra.se 2010/12/8
　　Visa visa.com 2010/12/8
　　Sarah Palin sarahpac.com 2010/12/8
　　PayPal thepaypalblog.com 2010/12/9
　　Amazon amazon.com 2010/12/9
　　PayPal api.paypal.com:443 2010/12/10
　　MoneyBookers moneybookers.com 2010/12/10
　　Conservatives4Palin conservatives4palin.com 2010/12/10
　　攻击者使用的工具主要是低轨道粒子炮（LOIC）的修改版本，主要添加了被称为“蜂巢意识”（Hive Mind）的模式，这使得远程控制LOIC成为可能。
　　1.4.3索尼信息泄露案
　　2011年1月11日，游戏厂商索尼公司对乔治·霍兹（George Hotz）等人提出起诉，罪名是违反了《数字千年版权法案》（Digital Millennium Copyright Act）和《计算机欺诈与滥用法案》（Computer Fraud Abuse Act）。这场官司的起源，是乔治·霍兹破解了索尼著名的游戏机PS3，用户无须付费就可以运行各种破解的游戏。2011年3月6日，法院批准索尼公司得到所有访问霍兹博客的IP地址，包括破解程序的下载者地址。[29]
　　2011年4月3日，黑客组织Anonymous入侵了索尼的一个网站，并在上面留言（图1-16），声称索尼公司的行为侵犯了数以千计无辜者的隐私，所以对其宣战，并称之为“索尼行动”（OpSony）。[30]4月14日，索尼公司多台服务器遭受DDoS攻击而宕机，攻击者使用的工具主要为低轨道粒子炮（LOIC）。4月19日，索尼雇员发现130台服务器“非计划重启”。4月20日，索尼发现发生了用户数据失窃事件，并决定暂停PSN（PlayStation Network）网络。对索尼公司而言，用户数据泄露可能造成的损失远超过DDoS攻击，因为公司保存了大量用户的信用卡信息，可能危及到用户个人的银行账户安全。
　　图1-16Anonymous对索尼公司的宣战
　　4月21日之后，索尼公司开始聘请专业安全公司进行取证调查，甚至邀请FBI协助。5月4日，美国众议院能源和商业委员会（The House Committee on Energy and Commerce）举行了听证会，索尼公司拒绝出席，但送去了一封信说明事件的发生情况。索尼称，数据窃取发生在4月16日至4月17日，1.2万个用户信用卡号码和2470万用户信息被盗。索尼公司没有明确指出DDoS攻击与数据窃取之间存在协同，但两者基本在同时发生。Anonymous之后否认参与了这次数据窃取，并发布了一份新闻稿：“这一次，我们没有做。”[31]6月2日，另一个知名黑客组织LulzSec声称入侵SonyPicture网站成功，并获取了100万用户的信息。
　　索尼公司的股价从1月11日的36.36美元，一路下降到6月20日的24.28美元。根据该公司3月31日公布的财务状况，当时的各种损失估计为14亿日元（1.71亿美元）。而VERACODE的一份分析则认为，最终的总损失将高达240亿美元。[32]
　　事后，索尼承认，他们对信用卡号进行了加密，但对其他用户信息并未做加密处理。[33]窃取用户数据的攻击者身份，至今依然未被发现。Anonymous只承认进行了DDoS攻击，宣称并未窃取数据；而LulzSec只对SonyPictuire的入侵负责。FBI曾猜测是两个组织的配合行动，但并无证据支持。
　　通常情况下，攻击者的目的可以分为两类，一类是控制与窃取信息，另一类是破坏。DDoS攻击通常用于后者。而这次事件的特点是，DDoS被当成了一种掩护行动。无论入侵者是谁，他都很“巧妙”地利用了Anonymous的攻击来吸引索尼安全团队的视线，使得自己的行动更不容易被发现。这种方式也许会在今后成为一种常用的伎俩。
　　1.5小结
　　本章按照时间顺序介绍了个人黑客的攻击、有组织犯罪、网络战以及黑客行动主义。随着技术的发展，DDoS攻击不断出现新的形式，但这并不意味着旧的形式会就此绝迹。时至今日，依然有一些黑客愿意独自行动，网络战也必定会再次爆发。未来并不确定，希望我们至少能从历史中吸取教训，避免重蹈覆辙。
　　1.6参考资料
　　[ 1 ]否Taylor Wilson. "Yup，I built a nuclear fusion reactor". TED.
　　[ 2 ]否Josh Quittner. "PANIX ATTACK".Time Magazine.
　　[ 3 ]否CharalamposPatrikakis，MichalisMasikos， and Olga Zouraraki. "Distributed Denial of Service Attacks".
　　[ 4 ]否"TCP SYN Flooding and IP Spoofing Attacks". CERT否David Dittrich. "The DoS Project's 'trinoo' distributed denial of service attack too". October 21， 1999.
　　[ 6 ]否"Incident Note IN-99-04". CERT否Wikipedia."MafiaBoy".
　　[ 8 ]否Vixie，Paul；Gerry Sneeringer, Mark Schleifer. "Events of 21-Oct-2002".
　　[ 9 ]否The Internet Traffic Report. "Backbone DDoS".
　　[10]否SpamCop.net. http://www.spamcop.net/.
　　[11]否HELP NET SECURITY. "DDoS attack hits clickbank and spamcop.net".
　　[12]否SOPHOS. "World Cup DDoS blackmailer sentenced to jail".
　　[13]否John E Dunn. "Iran v USA - the world's first cyber-war has started".
　　[14]否Wikipedia. "Spamhaus Project".
　　[15]否Computer Weekly. "Cyberbunker抯 Sven Kamphuis denies unleashing DDoS attacks on Spamhaus".
　　[16]否Computer World. "DDoS suspect used a van as a mobile office, Spanish police say".
　　[17]否Wikipedia. "2007 cyberattacks on Estonia".
　　[18]否Wikipedia. "Cyberattacks during the Russia–Georgia war".
　　[19]否Wikipedia. "July 2009 cyber attacks".
　　[20]否RavivRaz. "DDoS Attacks In Korea - Forensic Analysis". 13th July 2009.
　　[21]元Heung Youl YOUM. "Korea抯 experience of massive DDoS attacks from Botnet". April 12， 2011.
　　[22]否BBC. "South Korea hit by cyber attacks". 4 March 2011.
　　[23]否HighBeam. "Cruise bio hits stores as video clip of actor praising Scientology makes it way to Internet".
　　[24]否Wikinews. "'Anonymous' releases statements outlining 'War on Scientology'".
　　[25]否Wikipedia. "Anonymous".
　　[26]否Wikipedia. "WikiLeaks".
　　[27]否Wikipedia. "Operation Payback".
　　[28]否PandaLabs. "Operation:Payback broadens to 'Operation Avenge Assange'".
　　[29]否Wikipedia. "Sony Computer Entertainment America v. George Hotz".
　　[30]否NBCNEWS. "Anonymous vows war on Sony, strikes first blow".
　　[31]否Fahmida Y. Rashid. "Sony Data Breach Was Camouflaged by Anonymous DDoS Attack".
　　[32]否Pupuweb. "Veracode published Sony PlayStation Network Hack Infographic".
　　[33]否PlayStation.Blog. "Q&A #1 for PlayStation Network and Qriocity Services".
　　第2章
　　DDoS攻击的来源
　　“敌人知我之情，通我之谋，动而得我事，其锐士伏于深草，要隘路，击我便处，为之奈何？”
　　—《六韬·临境》
　　分布式拒绝服务攻击不会凭空产生，而是有其特定的来源。绝大部分的分布式拒绝服务攻击都是从僵尸网络（Botnet）产生的。
　　什么是僵尸网络呢？在描述它之前，需要先解释什么是僵尸程序（Bot）。僵尸程序是组成僵尸网络的基础，它通常指可以自动地执行预定义功能，可以被预定义的指令控制的一种计算机程序。僵尸程序不一定都是恶意的，但在僵尸网络中的僵尸程序都是设计用来完成恶意功能的。
　　实际上，僵尸网络并没有规范而确切的定义。数量庞大的僵尸程序通过一定方式联合，就可以组建成为僵尸网络。僵尸网络一般指僵尸主人（Botmaster）出于恶意目的，传播大量僵尸程序，并采用一对多方式进行控制的大型网络。僵尸网络是在网络蠕虫、木马、后门等传统恶意代码形态的基础上发展并融合而产生的一种复合攻击方式。
　　因为僵尸网络中的僵尸主机数量往往非常庞大而且分布广泛，所以相比于其他恶意程序，僵尸网络的危害程度和防御难度往往更大。从表2-1的对比结果来看，虽然僵尸和其他恶意代码有一些相似的地方，但它作为新的恶意代码类别，也有其自身的一些特点。
　　僵尸网络的一个特点是，控制者和僵尸程序之间存在一对多的控制关系。这种控制具有高度可控性，在僵尸主机采取行动时，不需要控制者登录该主机操作系统。
　　表2-1常见恶意代码特性比对
　　类型 传播性 可控性 窃密性 危害级别
　　僵尸（Bot） 具备 高度可控 有 全部控制：高
　　蠕虫（Worm） 主动传播 一般没有 一般没有 网络流量：高
　　木马（Trojan） 不具备 可控 有 账户密码：高
　　后门（Backdoor） 不具备 可控 有 完全控制：高
　　病毒（Virus） 用户干预 一般没有 一般没有 感染文件：中
　　间谍（Spyware） 一般没有 一般没有 有 信息泄露：中
　　僵尸网络的另一个特点是，控制者在发布指令后，就可以断开与僵尸网络的连接。之后，控制指令会在僵尸程序之间自行传播和执行。因此，僵尸主机能够在控制者很少或不插手的情况下协同合作，共同完成一项任务。
　　为了使读者对僵尸网络有更直观的认识，图2-1给出一个僵尸网络简化后的拓扑示意图。
　　图2-1简化的僵尸网络拓扑
　　本章将对作为分布式拒绝服务攻击主要来源的僵尸网络进行详细介绍。
　　2.1僵尸网络的发展
　　僵尸网络是随着自动智能程序的应用而逐渐发展起来的，从良性僵尸网络的出现到恶意僵尸网络的实现，从被动传播到利用蠕虫技术主动传播，从使用简单的 IRC协议构成控制信道到复杂多变的对等网络（Peer-to-Peer，P2P）结构的控制模式，僵尸网络逐渐发展成规模庞大、功能多样且不易检测的恶意模式，给当前的网络安全带来了不容忽视的威胁。
　　本节首先简单回顾僵尸网络的演化历史，并根据僵尸网络发展的状况讨论其发展趋势。之后，会对世界上一些知名的僵尸网络进行简要的介绍。
　　2.1.1演化和发展趋势
　　僵尸网络的历史渊源可以追溯到1993年因特网初期的中继聊天（Internet Relay Chat，IRC）网络中出现的Bot工具—Eggdrop，这是一种良性Bot。它的实现初衷是能够自动地执行如防止频道被滥用、权限管理、频道事件记录等一系列功能，从而帮助IRC网络管理员更方便地管理这些聊天网络。
　　受到良性Bot工具的启发，黑客开始编写僵尸程序对大量的受害主机进行控制，以利用这些主机资源达到恶意目的。1999年6月，在因特网上出现的PrettyPark首次使用了IRC协议构建命令与控制信道，从而成为第一个IRC僵尸网络。之后，IRC僵尸网络层出不穷，如在mIRC客户端程序上通过脚本实现的GT-Bot、开源发布并广泛流传的Sdbot、具有高度模块化设计的Agobot等，这使得 IRC成为当时构建僵尸网络命令与控制信道的主流协议。
　　随着僵尸网络防御技术的不断演进，僵尸网络的传播和组建受到了一定遏制，黑客为了让僵尸网络更具隐蔽性和抗打击性，开始不断地尝试对其组织形式进行创新和发展，相继出现了基于超文本传输协议（HyperText Transfer Protocol，HTTP）及P2P协议构建命令与控制信道的僵尸网络。例如，专注银行窃密的Zeus采用的是HTTP，而主机感染数庞大的Zeroaccess僵尸网络则采用了P2P协议。
　　僵尸网络的演化过程如图2-2所示。
　　图2-2僵尸网络的演化
　　随着防御方安全方案的不断推出以及国家有关网络安全法规的不断完善，僵尸程序和僵尸网络在发展过程中也出现了一些调整，这些调整体现出了僵尸网络的发展趋势。
　　（1）基于IRC的僵尸网络逐渐减少
　　基于IRC协议的僵尸网络最早出现，曾一度被作为僵尸网络的代名词。安全人员对这类Botnet的研究最早、也最多，相应的有效的检测手段也越来越多。目前，越来越多的僵尸网络不再使用IRC协议，转而使用HTTP或P2P协议进行通信和控制。
　　（2）控制国内僵尸主机的命令与控制服务器被逐步移到国外
　　伴随着国内网络安全立法的不断完善，黑客发动攻击被逮捕的风险不断加大，迫使越来越多的黑客将服务器放置于国外。图2-3是国内安全厂商绿盟科技发布的《2012绿盟科技威胁态势报告》[1]中根据检测到的控制端所在地绘制的分布图。
　　图2-3C&C服务器分布
　　（3）僵尸网络在攻防对抗中引入了更多的先进技术，使其更加难以检测
　　例如，在最新版本的僵尸程序Zeus中，引入了P2P模块进行通信，而一旦P2P网络节点无法连通，则使用域名产生算法（Domain Generation Algorithm，DGA）产生随机域名与C&C进行通信。通信数据则采用数字签名校验，以阻止越来越流行的由安全机构实施的sinkhole技术。通过使用这些先进技术，僵尸网络的隐蔽性和抗打击性有了显著提高。
　　（4）互联网数据中心托管服务器成为热门感染目标
　　众所周知，服务器主机性能和配置一般较好，具有更多的资源可以被僵尸程序和僵尸网络使用。因此，这些托管服务器正逐渐成为僵尸程序新的感染目标。
　　（5）单个僵尸网络的规模减小，绝大部分僵尸主机数都少于1000台
　　图2-4是2011年国家互联网应急中心[2]（CNCERT/CC）监测统计的僵尸网络规模分布图，可以看出小规模的僵尸网络占据主流。
　　图2-4僵尸网络规模分布
　　2.1.2知名僵尸网络
　　在世界范围内，存在着一些知名的僵尸网络，本节对这些僵尸网络进行简要的介绍，使读者能够了解目前僵尸网络的现状。为了使描述更直观，我们对每一个僵尸网络都从感染度、收益度、知名度和生命力四个方面给出了评分，并综合给出这个僵尸网络的总体危害程度。先对上述各项解释如下。
　　感染度：僵尸程序感染的主机数量，也包括被感染主机地域上的分布。主机感染量越大，地域分布越广泛，分值越高。
　　收益度：指通过此僵尸网络获得的收益。收益值越大，分值越高。
　　知名度：在全球范围的影响，这包括其是否开源以及是否被各大媒体广泛报道等。曝光度越高，分值越高。
　　生命力：特指其存活能力，也可以理解为抗打击性。生命力越强，存活时间越久，分值越高。
　　危害度：前四项的平均值（四舍五入为整数），表示这个僵尸网络总体的危害程度。
　　1. ZeroAccess
　　感染度 9
　　收益度 8
　　知名度 9
　　生命力 9
　　危害度 9
　　ZeroAccess出现于2011年，是最为知名、目前最为活跃的僵尸网络之一。它采用先进的rootkit来隐藏自身，使用业界流行的模块化设计，通过创建隐藏文件夹，下载存储指定的功能模块并执行。通信协议采用P2P架构使其具有极强的抗打击性。全球主机感染量在100万～200万台之间，其主收入来源为“点击欺诈”，曾经还通过比特币挖掘获益，预计一天收入为10万美元左右。
　　2. Zeus
　　感染度 8
　　收益度 8
　　知名度 9
　　生命力 9
　　危害度 8
　　Zeus是历史上最能赚钱的僵尸网络之一，2007年首次被发现。Zeus主要用于监控受害者机器，记录用户的击键以窃取银行账户信息。犯罪分子可以从用户的账户中将钱转出，利用用户的银行卡购物等。控制服务器控制僵尸网络的运行，并对僵尸网络发布命令。截止到本书发稿，其偷取的金额达数百万美元之巨。2011年Zeus源码泄露，致使其变种爆炸式增长，更有黑客为其添加P2P模块，对互联网的危害很大，影响深远。
　　3. Pushdo/Cutwail
　　感染度 6
　　收益度 8
　　知名度 7
　　生命力 9
　　危害度 7
　　Pushdo本身是一个“装载器”，可以下载其他组件安装在系统中，最初发现于2007年。Pushdo可以为客户定制安装特定恶意软件，根据每个安装来收取费用。在Pushdo进入被感染的电脑系统后，通常会下载垃圾邮件程序Cutwail。Pushdo使用Cutwail来完成自我复制，从而不断扩大其僵尸网络，也可通过Cutwail租出垃圾邮件服务。Pushdo/Cutwail僵尸网络发送的垃圾邮件内容很杂，包括医药产品、网络赌博、网络钓鱼邮件以及链接到包含恶意代码网站的邮件。感染了大约10万台主机，在Storm被摧毁后，它成为了最大的垃圾邮件僵尸网络。控制者从中可能获得了170万～420万美元的收益。
　　4. Mariposa
　　感染度 9
　　收益度 7
　　知名度 6
　　生命力 4
　　危害度 7
　　Mariposa又被称为“蝴蝶”僵尸网络，主要用于窃取信用卡和其他有价值的数据以及DDoS攻击等，目前已被西班牙当局摧毁。这个僵尸网络从2008年出现，随后迅速蔓延到了全球190多个国家和地区，受到Mariposa影响的电脑超过1000多万台，超过一半的全球1000家最大公司和至少40家大金融机构的电脑被感染，目前还无法估算其造成的损失。
　　5. Waledac
　　感染度 6
　　收益度 6
　　知名度 7
　　生命力 4
　　危害度 5
　　Waledac僵尸程序主要以发送垃圾邮件而著称，Waledac僵尸网络所使用的控制服务器大多位于德国、荷兰、瑞典和俄罗斯等欧洲国家，控制了全球数十万台计算机，预计每天能发出超过15亿封垃圾邮件。在2010年的中、美、欧联手打击下，Waledac僵尸网络日渐衰弱。不过，2012年的监测信息显示，它有重新抬头的迹象。由其造成的损失还不得而知。
　　2.2僵尸网络的组建
　　无论多么庞大的系统，都是由一个个具体的元素组成的，僵尸网络也不例外。我们在讨论系统的组建时，一般会讨论两个方面—“组成系统的元素都是什么”以及“这些元素是如何相互联系起来的”。对于僵尸网络来说，则分别对应着僵尸网络的节点和控制方式。本节会对这两个方面分别进行介绍。
　　2.2.1节点
　　僵尸网络由大量功能节点共同组成，这些节点可能是普通PC、服务器或者移动设备（见图2-5）。
　　这三种节点分别有其各自的特性，下面依次进行介绍。
　　误区：DDoS攻击都来自PC组成的僵尸网络
　　“DDoS攻击都是由僵尸网络发起的”，这几乎是一个安全领域的“常识”。然而，事实并非如此，至少并不完全是由PC组成的僵尸网络发起的。
　　随着技术的进步，服务提供商所使用的高性能服务器在处理性能和带宽方面快速提升，而传统的由PC组成的僵尸网络却发展缓慢。除了处理能力方面的因素外，PC通常只有非常有限的带宽资源，而可供利用的时间也很不确定。于是，一些“黑客”开始把目光移向高性能服务器，在“燕子行动”中，他们就这样做了。
　　此外，黑客组织Anonymous更喜欢组织众多真实的参与者共同发起攻击，我们也称其为“自愿型僵尸网络”。
　　图2-5僵尸网络节点构成
　　1. 普通PC
　　由于普通个人计算机（Personal Computer，PC）经历了数十年的发展，数量庞大，而且安全性参差不齐。利用普通PC作为节点组建僵尸网络依然是最主流的方法。
　　通常，僵尸程序将一台普通PC变成僵尸网络的节点，一般要经历四个步骤（见图2-6），即感染传播、安装执行、接入僵尸网络以及命令执行。
　　图2-6僵尸网络组建步骤
　　（1）感染传播
　　僵尸程序所用的感染传播手段与其他恶意程序（蠕虫、木马、后门等）类似，通常包括带有欺骗性质的电子邮件、网页挂马、自动化的漏洞扫描、即时通信、内网的文件共享和移动存储感染，以及最新出现的网络存储与共享等。它在传播形式上有主动出击型的，如自动化的溢出漏洞攻击，也有被动等待型的，如网页挂马。通过上述手段，僵尸程序就极有可能感染那些没有防护措施或防护措施弱的普通PC，进而将其发展成为僵尸网络中的一员。
　　（2）安装执行
　　僵尸程序一旦在受害主机上执行，就会进行一系列的自我复制、实现自启动以及隐藏等行为。通常僵尸程序会将自身复制到系统特定的目录下并设置其隐藏属性，部分程序还会修改文件生成时间，创建或修改注册表以保证程序开机自启动，如服务创建等。为了避免侦测，多数僵尸程序都进行了免杀处理，并采用远程代码注入的方式，以免产生新进程。基于上述手段，僵尸程序将可以在受害者主机上做到长期安全稳定地运行。
　　（3）接入僵尸网络
　　当僵尸程序在受害者主机上完成各种安装和隐藏后，便通过解析内置的域名和端口进行通信，构建C&C通道加入僵尸网络，而这大多是通过发送搜集的被感染系统主机信息开始的。
　　（4）命令执行
　　接入僵尸网络的僵尸程序将执行Botmaster预先设置好的指令，如对特定目标发动DDoS攻击等。在没有收到指令时，僵尸程序会静静等待（这时用Wireshark捕获可见大量的保活数据包），直到Botmaster有指令下发为止。
　　通过上面的四个步骤，一台普通PC就变成了任人宰割的僵尸主机（又称“肉鸡”），也成为黑客攻击或再入侵的跳板。
　　事实上，随着网络犯罪独有系统的完善，已经出现了“肉鸡”销售服务，上述过程也得到了大大简化。图2-7是这种服务的一个广告截图。
　　图2-7“肉鸡”销售广告
　　“肉鸡”的价格如下：每1000台“肉鸡”，俄罗斯200美元/天，英国240美元/天，美国180美元/天，法国200美元/天，加拿大270美元/天，国际混合35美元/天，每天限量供应2万台。这种服务的出现使得组建僵尸网络的门槛大为降低，甚至能够让新手迅速实施一个复杂、精密的网络攻击活动。
　　普通PC是最基本的僵尸网络节点，对普通PC的感染和控制技术已经非常成熟。许多攻击者能够快速地利用普通PC组建僵尸网络并展开攻击。
　　2. 服务器
　　目前，普通PC依然是组成僵尸网络的主要部分，但是将服务器作为节点、组建僵尸网络正逐渐引起攻击者的兴趣。
　　与普通PC相比，服务器具有高性能、大带宽、长时间持续在线等特点，这些特点使服务器更具有作为僵尸网络节点的优势。
　　首先，服务器具有比普通PC更高的性能，通常，一台服务器的性能相当于几十台甚至上百台普通PC的性能，因此，可以利用服务器僵尸主机的高性能和高并发性，快速地构造并发出大量复杂请求。
　　其次，服务器通常具有更大的网络带宽，普通PC的网络带宽通常为几十兆至数百兆，而服务器的网络带宽通常为数吉比特每秒，利用服务器僵尸主机进行DDoS攻击，可以发出极大的攻击流量。
　　最后，服务器通常需要长期在线，大部分的服务器都需要保证7×24小时的可用性，一旦攻击者将这些服务器作为僵尸主机控制，就能够随时迅速地发动持续的DDoS攻击。
　　服务器的安全性通常会比普通PC高很多，一般无法通过感染、网页挂马等方式植入僵尸程序，这使得利用服务器组建僵尸网络的成本大大增加，但是由于服务器攻击威力大、效果明显，攻击者还是愿意花费一些成本尝试控制服务器。由于Web服务器在互联网上广泛存在，因此攻击者通常愿意选择Web服务器作为目标。
　　控制Web服务器并植入僵尸程序的方法主要是利用Web应用和服务器组件的安全漏洞进行入侵。由于Web服务的灵活多样性，即便是及时保持更新并且配置良好的Web应用和服务器组件，也依然可能存在安全漏洞，攻击者可以利用如内容管理系统（Content Management System，CMS）等Web应用的漏洞上传脚本后门程序，甚至利用服务器组件的漏洞完全控制整台服务器。
　　在从2012年下半年开始的针对美国银行和金融机构进行的DDoS攻击“燕子行动”中，攻击者就使用了主要由服务器组成的僵尸网络Brobot进行攻击。Brobot僵尸网络主要是由植入了itsoknoproblembro（哥们儿没问题）工具的僵尸主机所组成的，itsoknoproblembro通过WordPress、Joomla等Web CMS的漏洞植入到Web服务器上，并向index.php文件注入加密的代码，以允许攻击者随时上传新的Perl脚本代码。由于使用Web服务器作为僵尸主机，每台僵尸主机发出的攻击流量非常大，并且能够同时进行多种不同方式的攻击，因此这次行动对美国银行和金融机构的网络服务产生了比较大的影响。
　　如果将普通PC僵尸节点造成的威胁比作步枪的话，那么服务器僵尸节点造成的威胁就更像是重机枪。虽然这些重武器成本高、数量少，但是一旦拥有，打击的效果就会显著提高。
　　3. 移动设备
　　随着移动互联网的飞速发展，利用移动设备作为僵尸节点来组建僵尸网络正逐渐成为现实威胁。
　　从计算能力和网络带宽来看，移动设备正逐渐接近甚至超越普通PC。当前主流的移动设备的CPU都达到了双核1GHz以上的运算速度，RAM容量也都在1GB以上，这些计算性能对于用来发动攻击的僵尸程序来说是绰绰有余的。同时，与2G网络相比，现有的3G网络在数据传输速度上有了很大的提升，其下行速度可以达到2Mbit/s以上，上行速度可达384Kbit/s以上，部分国家和地区的运营商已经部署了实用的3.5G（下行速度14Mbit/s，上行速度5.8Mbit/s）甚至4G（下行速度1Gbit/s，上行速度500Mbit/s）通信网络，这些高速网络已经能够用于发动攻击。
　　与服务器类似，移动设备的一些特性使得利用移动设备组件的僵尸网络具有一定的优势。移动设备数量众多，并且依然在飞速增长。以Android和iOS设备为例，根据官方给出的数据，Android设备已经超过9亿台，iOS设备的数量也已经超过了6亿台，而移动设备的增长速度远远超过PC的增长速度，因此，移动设备的数量将很快超过PC数量，利用移动设备可以组建十分庞大的僵尸网络。另外，与PC相比，移动设备在线的时间更长。人们在PC上完成工作之后，通常会将PC关机或者让其休眠，但是移动设备，尤其是智能手机则完全不同，使用者为了保持通信通畅，会使移动设备保持待机状态并维持网络连接，甚至会持续数天没有关机或重启操作。与服务器组成的僵尸网络类似，攻击者能够随时控制这些移动设备，迅速地发动持续的DDoS攻击。
　　与普通PC相比，移动设备的安全防范较差，更容易成为僵尸主机。现有的移动设备主要有Android和iOS两大平台。由于操作系统和生态环境的开放性等原因，Android设备很容易被植入恶意代码成为僵尸主机；iOS设备相对比较封闭，但进行越狱后依然能够从第三方源安装程序，存在成为僵尸主机的可能。向移动设备植入僵尸程序主要是通过应用捆绑和诱骗安装的方式进行。
　　出于免费或方便等考虑，许多用户会从第三方市场或论坛下载和安装应用。然而，第三方市场和论坛所下载的应用的安全性无法得到保证。第三方市场和论坛中经常会使用付费应用的破解版本或免费应用的去广告版本吸引用户下载并安装，这些应用有可能是攻击者植入了恶意代码的应用。攻击者将官方应用破解拆包，植入恶意代码并申请权限后重新打包，之后提交到第三方市场或论坛进行分发。当用户被这些破解版或去广告版所吸引，下载并安装这些应用后，就成为了受控制的僵尸设备。除了Android设备，越狱后的iOS设备也能够通过Cydia从第三方源处安装各种软件包，修改系统设置，这为僵尸程序的入侵打开了大门。
　　除了应用和应用市场方面的问题，更重要的是移动设备的用户没有较强的安全意识。人们在使用PC时，大部分都会安装和使用杀毒软件、防火墙等安全防护软件对PC进行安全保护。但在使用移动设备时，却并没有意识到这些移动设备也需要进行安全防护，只有一少部分用户会在智能设备上安装安全防护软件。此外，部分移动设备用户在安装应用时不考虑应用的来源，也不仔细查看应用申请的权限就确认安装，这些用户的移动设备很容易被恶意应用控制并被加入到僵尸网络之中。
　　事实上，移动设备与普通PC没有本质上的区别。曾经在PC上被广泛使用进行DDoS攻击的LOIC工具，已经被移植到了Android平台（见图2-8）。可以预测，随着移动设备的计算能力、网络带宽和数量的不断增长，以及移动平台本身安全性和用户安全意识薄弱等问题的逐渐显现，由移动设备作为节点组成的僵尸网络将会在未来不断增加，甚至超过普通PC僵尸网络的数量。
　　图2-8Android平台下的LOIC工具
　　2.2.2控制
　　僵尸网络最早通过IRC通信协议进行控制。随着攻防对抗的升级，通信协议由简单的IRC向HTTP甚至更复杂的P2P进化。通信协议变化的同时，僵尸网络在网络拓扑结构上也有了很大调整，主要体现在C&C控制信道从单一中心向分散方向发展，由一个C&C 服务器向多个C&C发展，更进一步地发展为P2P模式。僵尸网络正变得更加复杂，更具有抗打击性。
　　三种僵尸网络控制方式的规模和优缺点如表2-2所示。
　　表2-2僵尸网络控制模式比对
　　控制模式 网络规模 组网难度 抗打击性 流行度
　　IRC型僵尸网络 一般 较简单 偏弱 国内较少见
　　HTTP型僵尸网络 中等 一般 一般 国内较普遍
　　P2P型僵尸网络 规模庞大 较困难 强 多见于国外
　　本节会介绍IRC、HTTP和P2P这三种僵尸的控制形式。
　　1. IRC型僵尸网络
　　IRC型僵尸网络是出现最早、存在数量最庞大的僵尸群。它最大的特点是利用IRC协议构造命令与控制信道，交互性好，容易创建。采用一个服务器能轻易创建和控制多台僵尸主机。
　　IRC型僵尸网络常见的拓扑结构如图2-9所示。
　　可以看出，无论是僵尸主机还是Botmaster都必须与C&C服务器进行通信，但两者的通信目的稍有不同。僵尸主机与C&C服务器通信主要是为了接收指令、反馈执行结果以及汇报工作状态等；Botmaster与C&C服务器通信的目的通常是发送控制指令和分类管理。
　　（1）僵尸主机与C&C服务器之间的通信
　　首先，僵尸程序执行后，会解码内置的配置信息以获取C&C服务器域名及端口号，并与其建立三次握手连接；然后，僵尸程序会发送NICK和USER命令，而NICK通常有固定的前缀，加入预定义频道（大多数都要求提供频道密码方能进入）；最后，在完成上述步骤后，僵尸程序会进入PING/PONG状态等待接收指令。
　　图2-9IRC型僵尸网络
　　上述步骤对应的数据包如图2-10所示。
　　图2-10IRC僵尸主机通信
　　（2）Botmaster与C&C服务器之间的通信
　　Botmaster首先需要认证自己，即被频道内的所有僵尸主机接纳，往往采用口令的认证机制，即Botmaster先发送认证命令给C&C服务器，C&C服务器将消息转发给频道内所有僵尸主机。
　　频道内僵尸主机收到消息后，会比较收到的密码和自身硬编码的密码，判断Botmaster是否合法，同时判断Botmaster所用控制端软件版本及主机域名是否可信。
　　如图2-11所示，Botmaster的自我认证成功了。
　　图2-11Botmaster认证
　　在认证通过后，Botmaster就可以发送控制命令了。Bot的命令通常设置为“.”（如.synflood），IRC已有命令以“/”开始，控制命令不能和IRC已有命令冲突。除普通命令外，还可以改变频道TOPIC通知，使频道内（不管是频道内已有的还是后来加入的僵尸主机）所有僵尸主机都能收到此消息，做到命令的自动执行。图2-12所示为下发SYN FLOOD攻击命令。
　　图2-12启动SYN FLOOD攻击
　　截获的攻击数据包见图2-13。
　　图2-13SYN FLOOD攻击数据包
　　从上面的介绍可以看出，通过IRC进行僵尸网络的控制相对比较容易，而且能高效地分发控制者命令。
　　但这种控制方式存在一些不足，最主要是单点失效问题，即一旦中央服务器被关闭，僵尸程序会因失去与C&C服务器的通信而灭亡。此外，防御方可以利用逆向得出的配置信息，将自己伪装成为IRC僵尸网络中的一员，加入特定的频道，从而达到监视整个僵尸网络的目的。这也成为IRC控制的僵尸网络越来越不被看好的主要原因。目前，通过IRC进行控制的僵尸网络多见于国外，在国内并不多见。
　　2. HTTP型僵尸网络
　　通过HTTP进行控制的僵尸网络在国内出现得比较多，这种僵尸网络规模往往不大，但攻击活动却异常频繁。
　　HTTP型僵尸网络常见的拓扑结构如图2-14所示。
　　图2-14HTTP型僵尸网络
　　相比于IRC型僵尸网络，HTTP型僵尸网络在端口选择上以及通信的加解密方面有更大的灵活性。IRC型僵尸网络需要考虑隐藏性与稳定性，因此控制者多会借助于网络公有IRC服务器，这些服务器的端口往往是固定的，也就间接地决定了整个IRC型僵尸网络的通信端口是不可改变的。而HTTP型僵尸网络则有所不同，虽然大多数HTTP型僵尸网络的通信端口默认选择80，但由于C&C服务器多由控制者搭建，端口的设定可以由控制者自由决定。
　　同时，HTTP型僵尸网络也更容易隐藏攻击活动。使用HTTP构建的信道，可以更容易地让僵尸网络的控制流量淹没在大量的Web通信中，从而使得基于HTTP的僵尸网络活动更难以被检测出来。
　　通过HTTP控制的僵尸程序通常由控制面板和生成器两部分组成。图2-15所示为僵尸程序BlackEnergy的工具包组成。
　　图2-15BlackEnergy工具包
　　BlackEnergy的生成器界面如图2-16所示。
　　图2-16BlackEnergy生成器
　　BlackEnergy的控制端指令下发界面（控制面板）如图2-17所示。
　　图2-17BlackEnergy控制面板
　　HTTP型僵尸网络的僵尸程序通常具有后门性质，会搜集系统基本信息，又有自身升级模块以及插件下载等功能。僵尸程序发送的第一个数据包往往是搜集到的被感染主机的系统基本信息，然后从C&C服务器收取并分离要执行的指令，如图2-18所示。
　　图2-18发送系统基本信息
　　而对于大多数僵尸网络来说，DDoS攻击仍然是其最主要的目的，而且攻击的形式多样。图2-19是Athena僵尸网络程序控制面板中显示的多种攻击模式。
　　图2-19多种DDoS攻击模式
　　通过HTTP进行僵尸网络的组建和控制非常灵活和简单，不过，HTTP僵尸网络与IRC型僵尸网络面临着同样的问题，这种星式的拓扑结构使其抗打击性不强，一旦C&C服务器被破坏，整个僵尸网络就会受到毁灭性的打击。
　　3. P2P型僵尸网络
　　在介绍P2P型僵尸网络之前，先说P2P的概念。P2P又称对等网络，在此网络中，各节点处于对等地位，网络节点既可作为客户端向P2P网络中的其他节点请求服务，也可以作为服务器为提出请求的网络节点服务。P2P技术使得网络中人与人的交流、数据交换、分布计算等方面得到直接交互，消除了过去客户端必须连接到服务器进行浏览、请求服务的传统模式。
　　P2P型僵尸网络，即基于P2P协议建立命令与控制信道的僵尸网络。由于P2P网络中节点对等性的特点，P2P型僵尸网络中的所有节点（或大部分节点）既充当控制服务器的角色，也充当客户端的角色。
　　P2P型僵尸网络的典型拓扑结构如图2-20所示。
　　图2-20P2P型僵尸网络
　　相比于IRC型僵尸网络和HTTP型僵尸网络，P2P型僵尸网络中充当控制服务器的节点不再单一，攻击者可以通过网络中任一节点控制整个P2P型僵尸网络。解决了传统IRC型僵尸网络和HTTP型僵尸网络集中式控制服务器的单点失效问题。由于攻击者可以自己定制P2P协议，对P2P型僵尸网络的检测很难找到通用的特征，也很难发现未知特征的僵尸网络活动。当然，随之而来的是更为复杂的搜索节点算法和维护过程。
　　这里以最为流行的半分布式P2P型僵尸网络为例，来展示其网络构成和控制方法。根据节点在整个僵尸网络中的地位和作用不同，可以将僵尸节点分为两类：一类是拥有静态IP地址并可以从因特网访问的僵尸节点，我们将其称为Servent bot，这类僵尸节点承担客户端和服务端的双重角色；另一类是IP地址动态分配、私有IP地址或防火墙过滤等原因无法从因特网访问的僵尸节点，我们将其称为Client bot，这类僵尸节点也是受控主机，能主动地周期性连接Servent bot。
　　半分布式P2P型僵尸网络中的两种节点都存有一张有限的邻接Servent bot节点的链表（Peer List）。一旦僵尸主机重启或脱离僵尸网络，将周期性地主动连接其链表中的服务节点，维护整个僵尸网络的连接。
　　从僵尸程序植入主机到组建完成半分布式P2P僵尸网络，共经历了程序植入、感染传播和网络维护三个阶段。在程序植入阶段，要求攻击者具备一般黑客所具备的入侵技能，需要在植入的僵尸程序的链表结构中硬编码入数台攻击者已攻陷主机（Servent bot）的IP地址。受控主机上的僵尸程序依次感染其他主机，每感染一台都会首先判断感染的主机是否可成为服务节点（Servent bot），同时构建该僵尸主机的链表表。每台主机被植入僵尸程序后，都会自启动僵尸主程序。在其重启后会根据链表表中的服务器的IP地址，主动连接其他的僵尸节点，从而维护半分布式P2P僵尸网络的整个网络结构。链表数量有限，当其已满而需要存储下台被感染的、可成为服务节点的主机IP时，就会使用该台主机的IP覆盖掉链表中的已存在的一个IP，这样可以保证链表列表中的主机时刻处于最活跃状态。
　　那攻击者是如何管理已组建好的僵尸网络的呢？简单地说，就是攻击者通过命令与控制机制来控制整个僵尸网络。首先，攻击者接入半分布式P2P型僵尸网络，这主要依靠攻击者的攻击平台。该平台可以封装攻击者的攻击命令，并接收命令的反馈信息。攻击者可通过该平台了解僵尸网络的基本信息。攻击者要连接网络中的服务节点，往往需要通过一定的认证，在通过认证后，即可从此节点中注入其控制命令。其次，指令开始在各节点自动传播。服务节点收到指令后，与自身存储的指令链表比较。如果该指令已存在，则不处理；如果不存在，则将这条指令转发给其他服务节点（依据链表中的IP地址）。其他收到指令的服务节点做同样的操作，使指令得以在整个僵尸网络中扩散。最后，僵尸主机将指令的执行结果通过层层节点再反馈给攻击者。
　　对于安全研究者来说，通过捕获的一个节点可以发现此僵尸网络的许多僵尸主机，但却很难窥其全貌。而且即使有一些僵尸主机被封杀，也不会影响到整个僵尸网络的生存。
　　通过P2P控制的僵尸网络的典型代表是ZeroAcess，它的最新版本使用了P2P协议。为了使文件传播和IP地址更新速度更快，ZeroAcess仅包含了很少的命令（getL、retL和newL），并借助简单加密来躲避安全设备侦测。每个节点在初始时都包含256个IP地址，存储于当前目录下的@文件，当前节点使用getL命令和临近节点进行交互。临近节点通过retL指令返回自己节点的相关信息，以便当前节点进行信息更新。
　　虽然每个节点有256个初始IP地址，但用于信息交换的仅有从中选取的最多16个而不是全部。由于其复杂度，这里不对其更多细节做深入探究。
　　通过P2P组建和控制的僵尸网络，其僵尸主机数量往往非常庞大，地域分布上可以跨越多个国家甚至洲，找出僵尸网络真正的控制者往往变得非常困难。在没有各国政府有效协调的情况下，对这种僵尸网络的打击几乎是不可能的。正是由于P2P固有的优势，近年来，这种组建和控制僵尸网络的方式正变得越来越流行。
　　2.3僵尸网络的危害
　　僵尸网络是联合众多联网计算机所组成的一个攻击平台，攻击者利用僵尸网络可以发起各式各样的攻击，可以导致整个基础信息网络或重要应用系统瘫痪，或导致大量机密和个人隐私泄露，以及从事网络欺诈等其他违法犯罪活动。
　　1. 发动DDoS攻击
　　借助僵尸网络发动大规模DDoS攻击是当前最主要的威胁之一，从前面几节的实例简析中也能看出，甚至有的僵尸网络将DDoS攻击作为其唯一功能。攻击者可以向自己控制的所有僵尸主机发送指令，让它们在特定的时间同时连接访问指定的网络目标，在短时间内以大流量冲击，造成目标资源耗尽而无法响应合法请求，产生拒绝服务的效果。
　　僵尸网络和DDoS工具的区别
　　能发动DDoS攻击的不只有僵尸网络，专业的DDoS工具也可以进行DDoS攻击。那么两者之间又有哪些区别呢？大体来看，两者之间的区别主要表现在以下三个方面。
　　首先，僵尸主机大多拥有真实的IP且分布广泛，甚至可以说遍布全球。而DDoS工具的工作原理则是在单台主机（单个IP）上开启多个线程来模拟多主机情形，一部分攻击工具也不能够进行源IP地址的伪造，因此，相比于前者海量的IP来源，后者则更容易遭到防御方黑白名单的封堵。
　　其次，僵尸网络控制的是真实主机，在发起攻击尤其是HTTP GET FLOOD时可以在后台启动浏览器访问目标资源，绕过防御方大多数的防御措施。而一些DDoS攻击工具则由于没有实现相应的交互机制，甚至是因为具有某些特定的字符特征而遭到过滤。
　　最后，僵尸网络往往具有传播功能，之间的维系依靠复杂的协议，如HTTP和P2P等，正是这种传播机制，使攻击者在较短时间内就可以组建颇具规模的网络大军，对目标实施有效打击。而DDoS攻击工具一般不具有自传播功能，好比单兵作战，威力较弱。
　　2. 发送垃圾邮件
　　垃圾邮件给人们的日常生活造成极大的困扰，而利用僵尸网络发送垃圾邮件更具备以下几个优点：首先，黑客可以隐藏自身的真实IP地址以躲避法律的追究；其次，可以在短时间内发送大量的垃圾邮件；最后，由于僵尸主机的广泛分布，造成很多的反垃圾邮件措施失效，尤其是使用黑白名单机制。
　　3. 窃取敏感信息
　　由于现在的僵尸程序往往具备后门的功能，所以其一旦加载运行，则存储于受感染主机上的一切敏感信息都将暴露无遗，用户的一举一动都在攻击者的监视之下。如果用户没有有效的阻断措施，则这种控制行为将可能一直存在，而且黑客会以此做跳板来攻击同网络的其他主机。
　　4. 抢占系统资源
　　僵尸网络一旦形成，就相当于给控制者提供了大量免费的网络和计算机资源，控制者就可以利用这些资源非法牟取暴利，如付费点击（Pay-Per-Click，PPC）以及曾经广泛实施的比特币挖矿行为等。
　　如图2-21所示，上面列出的四个方面并不是孤立存在的，一个僵尸网络为了利益最大化，甚至四方面兼而有之。而且在僵尸网络的组建方面，各利益体分工明确。
　　图2-21利益体分工协作
　　随着计算机网络和攻防技术的不断发展，僵尸网络还有可能被用来发动更多新的攻击。
　　2.4自愿型僵尸网络
　　在本章的前面几节中，我们对僵尸网络的发展、组建和危害进行了比较详细的介绍。在本节中，我们把僵尸网络的概念稍稍延伸一下，介绍一种特殊的僵尸网络—自愿型僵尸网络。
　　什么是自愿型僵尸网络呢？与本章前面所介绍的由机器所组成的僵尸网络不同，自愿型僵尸网络是由一个个现实世界的人组成的僵尸网络，这些人通常被称为黑客行动主义者。
　　如果将由机器组成的僵尸网络与自愿型僵尸网络进行一些简单的类比，我们会发现这两种僵尸网络是非常类似的。由机器组成的僵尸网络通过系统漏洞和社会工程的方式感染一台台机器，而自愿型僵尸网络通过黑客行动主义信仰感染了一个个黑客行动主义者；由机器组成的僵尸网络通过IRC、HTTP和P2P等通信协议进行控制指令的发送，而自愿型僵尸网络通过网站和IRC频道确定攻击目标和攻击计划；由机器组成的僵尸网络能够发动大规模的拒绝服务攻击，而自愿型僵尸网络中的黑客行动主义者们也能够利用手中的计算机和攻击工具击垮一个个站点。实际上，如果将自愿型僵尸网络中的一个个人看做是相对更高级的机器的话，那么这个僵尸网络与传统意义上的僵尸网络几乎没有什么差别。
　　提到自愿型僵尸网络，最典型的例子就是近几年不断扩大并发出声音的著名黑客组织—匿名者（Anonymous）[3]。
　　匿名者黑客组织（其图标如图2-22所示），是一个松散的黑客团体，任何人都可以宣称代表该组织或属于该组织。该组织也是近年来在国际上影响较为广泛的黑客组织之一，在重大的攻击事件中都有他们的身影。
　　图2-22匿名者（Anonymous）组织图标
　　匿名者组织源于2003年成立的网络信息论坛4chan，这里聚集了一群喜欢恶作剧的黑客和游戏玩家，他们主要做些“为他人定制垃圾邮件”的骚扰。4chan最大的特点就是所有用户都被标记为Anonymous。渐渐地，一些用户自我组织起来形成线下力量，用Anonymous作为称号，自发形成松散的黑客组织。
　　匿名者组织主要由两种类型的志愿者组成：技术黑客和外行人。
　　技术黑客，这组人由数个技术熟练的成员组成，他们通常有专业的编程和网络攻防技术，是有真正黑客经历的一群人，也是这个团体的领导力量。
　　外行人，这个组的人数量最多，也是攻击的执行体，由来自世界各地成千上万的志愿者组成。他们最主要的黑客活动是进行DDoS攻击，通过下载和使用傻瓜式的攻击软件或同时访问网站以阻塞目标网络通信。这个组的成员的最大特点是所拥有的技术水平参差不齐。
　　匿名者组织有自己的一些特点：他们有自己的网站，借此可以发出自己的声音；并通过IRC频道定期举行聚会，使用投票系统，选择用最好的方式处理任何情况。他们的投票操作如图2-23所示。
　　图2-23为攻击目标投票
　　如图2-24所示，投票后，他们决定接下来的操作。
　　图2-24统计投票结果
　　这个黑客组织擅长使用DDoS来攻击政府、知名企业及宗教团体的网站等。攻击前，则又通常使用社交媒体，如Twitter、Facebook等来推广攻击活动。以显示和证明一个攻击的政治意义。所以在这种情况下，一个网站会得到一个“合理化”的被攻击的理由（图2-25）。
　　图2-25造势宣传
　　匿名者组织在进行DDoS攻击时，会在社交媒体中提供下载工具，以方便更多的人加入到攻击行动当中，如图2-26所示。
　　图2-26攻击工具下载
　　匿名者已经组织了许多著名黑客活动，比如阿拉伯之春、抗议捷运、攻击索尼用户数据库以及“占领华尔街”等。他们也通过DDoS攻击使多个知名电子商务公司瘫痪了，如 PayPal、Visa、MasterCard和Sony等。
　　由匿名者官方网站公布的最新数据来看，匿名者组织的最高领导者是Lj·Xie，是匿名者的资深战略家和最高领导者。他说：“我们将发动游击网络战，这是一种非传统、非对称的战争。事实上，战争之火早已点燃。”他承认匿名者组织的行为违反法律，但仍辩称他们违法是出于“道德”目的，是为了监督大公司和政府，曝光他们的错误行为。他们采取的攻击手段将包括：入侵各种国际政府网站及企业网站、入侵渗透各国军事或卫星系统、在网络上公布官员的私人信息，以及破坏大公司的网络和电话通信等。
　　2.5小结
　　通过本章的介绍，我们对僵尸网络有了一个较全面的认识。僵尸网络已成为几乎所有计算机用户的最大威胁之一，这不仅是对网络安全专家而言，对企业和消费者用户也是如此。此外，黑客建立僵尸网络的动机目前也已开始发生变化，除了金钱，僵尸网络已开始被利用于为政治服务，随着网络战威胁及危害的不断加剧，未来的冲突中不排除利用僵尸网络作为武器的可能性，或许现在已经被投入使用了。随着移动终端的智能化发展，未来的僵尸网络将不仅仅收揽PC，日益火爆的Android等移动设备也将可能成为僵尸网络的新成员。僵尸网络所带来的威胁真的离我们很近！
　　2.6参考资料
　　[ 1 ]否《2012绿盟科技威胁态势报告》http://www.nsfocus.com/report/NSFOCUS_Threats_Report_2012.pdf.
　　[ 2 ]否国家互联网应急中心http://www.cert.org.cn/.
　　[ 3 ]否匿名者（Anonymous）http://zh.wikipedia.org/zh-cn/匿名者_(组织).