1 引言
随着网络的应用越来越广泛，域名系统（）逐
渐成为最重要的互联网基础设施之一，许多网络上的基础服务都与其息息相关 。
与此同时，恶意攻击行为也伴随互联网的快速发展而不断变化。僵尸网络作为
当下网络环境中的最大威胁之一，能够迅速分发并扩散大量的蠕虫、木马等计
算机病毒进行恶意代码（僵尸程序）的传播
。起初的恶意代码往往在程序中预
置某一个域名指向其命令与控制服务器（＆＆），
随后就有黑客采用域名生成算法（）技术产
生大量的无关域名来隐藏真正的 ＆域名来躲避拦截。但使用的 地址仍然
固定，无法防止因 地址被封堵而直接失效。所以攻击者又转而使用 !"
技术，它是一种通过不断变更僵尸代理主机来隐藏恶意程序分发点并可实现负
载均衡的 技术。 !" 网络为攻击者的恶意行为提供了高可用性和动态
性
#
，其目前被人们熟知的明显特点总结如下
$
%
&
。
'单域名映射的 地址量较大，且在僵尸代理主机迁移阶段 地址会逐
渐增多。
#' 地址所在地理位置（国家或地区）分布较广。
$' 地址变化频度较高。
%'通常权威映射记录生存空间（(()）值较短。
&'僵尸代理主机所分布的网段数目较多。
*'僵尸代理主机所在网络所属的组织机构数目较多。
然而，以上特点并非是 !" 恶意域名所独有的。以下 # 种域名通常也
会具有上述特征。
' 域 名 循 环 系 统 （ ++!,
）。++是一种典型的用于负载分配、实现负载均衡和高容错率的
技术，它对用户发出 请求的响应不是单条 记录，而是一个 记录
列表，这就意味着这种域名也会对应很多服务主机的 地址。++ 域名的
记 录 列 表 以 一 种 循 环 的 方 式 来 响 应 连 续 的 请 求 。 因 此 ， 一 系 列 向
++ 发出的请求会直接得到不同 地址的服务器响应，从而有效地实现了
负载均衡。
#'内容分发网络（-.）。 是另一种可以
实现负载均衡的服务系统，该系统在一定区域内的每个节点都向适合的用户提
供完全相同的响应数据。正确设计和实施的 可以提高访问远程数据的效率，
增加带宽和冗余，同时减少时延。因此，该服务响应同一个域名的 请求时，
会返回大量带有不同 地址的 记录。 也使用较低的 (() 值，以便在连
接属性等相关参数发生改变时快速做出相应调整。
一直以来，利用 !" 技术形成的僵尸网络依然广泛存在，由于
和 ++ 的 技术 特点 均 与 !" 相 似 ，因 此 当 二者 对 应 的 域名 部 署 在
上时，可能会被误检为 !" 恶意域名，这无疑增加了 !"域名
检测工作的难度
*
。而后出现的 !, !" 技术
/
使检测工作变得更加困难，该
技术是对以前 !" 技术的升级，其由多个 !" 代理主机担任域名解析代
理，并由后端的 01 执行域名解析。通过 !" 代理主机的快速切换，避
免了以往单个被攻陷的 服务器被封堵而无法继续提供服务的情况。即使某
剩余17页未读，继续阅读
资源评论
罗伯特之技术屋
- 粉丝: 4493
- 资源: 1万+
下载权益
C知道特权
VIP文章
课程特权
VIP享7折，此内容立减5.97元 开通VIP
