移动僵尸网络特征码生成方法和移动僵尸网络检测方法

摘要

本发明提供一种生成移动僵尸网络的特征码方法，包括：捕获可疑主机群的网络流量；对所述网络流量数据包作基于内容的分割，获取相同字符串；对所述相同字符串进行统计分析，计算其流行度，提取流行度超出一定阈值的字符串；和过滤所述流行度超出一定阈值的字符串，将常用的字符串排除，剩下的字符串作为特征码。还提供一种利用上述方法生成的特征码来检测移动僵尸网的方法，包括：捕获待检测主机群的网络流量；所述网络流量为数据包，所述数据包具有包头和有效负载，所述包头和有效负载为一系列字符串；利用特征码进行字符串匹配；对匹配成功的流量，确定为手机僵尸程序，记录信息；和对匹配不成功的流量，放行此流量。

主权项

一种生成移动僵尸网络的特征码方法，包括：步骤1、捕获可疑主机群的网络流量；步骤2、对所述网络流量数据包作基于内容的分割，获取相同字符串；步骤3、对所述相同字符串进行统计分析，计算其流行度，提取流行度超出一定阈值的字符串；和步骤4、过滤所述流行度超出一定阈值的字符串，将常用的字符串排除，剩下的字符串作为特征码。