第1章 僵尸网络：呼吁行动 1
前言 2
网络程序杀手 3
问题有多大？ 3
僵尸网络的概念史 4
僵尸病毒的新闻案例 11
业界反响 15
小结 15
快速回顾 16
常见问题 17
第2章 僵尸网络概述 19
什么是僵尸网络？ 20
僵尸网络的生命周期 20
漏洞利用 21
召集和保护僵尸网络客户端 24
等候命令并接受payload 27
僵尸网络究竟做什么？ 28
吸收新成员 28
DDoS 31
广告软件（Adware）和Clicks4Hire的安装 33
僵尸网络垃圾邮件和网络钓鱼连接 35
存储和分配偷窃或非法（侵犯）知识产权的信息资料 37
勒索软件（Ransomware） 41
数据挖掘 41
汇报结果 41
销毁证据，放弃（僵尸）客户端 41
僵尸网络经济 42
垃圾邮件和网络钓鱼攻击 42
恶意广告插件和Clicks4Hire阴谋 43
Ransomware勒索软件 45
小结 45
快速回顾 46
常见问题 48
第3章 僵尸网络C＆C的替换技术 51
简介：为什么会有C＆C的替换技术？ 52
追溯C＆C的发展历史 53
DNS和C＆C技术 53
域名技术 54
多宿（Multihoming） 54
可替换控制信道 55
基于Web的C＆C服务器 55
基于回声的僵尸网络 55
P2P僵尸网络 57
即时消息（IM）C＆C 57
远程管理工具 58
降落区（drop zone）和基于FTP的C＆C 58
基于DNS的高级僵尸网络 60
小结 61
快速回顾 62
常见问题 62
第4章 僵尸网络 63
简介 64
SDBot 64
别名 64
感染途径 65
被感染的标志 65
注册表项 66
新生成的文件 67
病毒传播 67
RBot 68
别名 68
感染途径 68
被感染的标志 68
Agobot 72
别名 72
感染途径 72
被感染的标志 73
传播 75
Spybot 76
别名 76
感染途径 76
被感染的标志 77
注册表项 77
不正常的流量 79
传播 79
Mytob 80
别名 80
感染途径 81
被感染的标志 81
系统文件夹 81
不正常的流量 81
传播 81
小结 82
快速回顾 83
常见问题 84
第5章 僵尸网络检测：工具和技术 87
简介 88
滥用 88
垃圾邮件和滥用 91
网络设施：工具和技术 92
SNMP和网络流：网络监控工具 94
防火墙和日志 97
第二层的交换机和隔离技术 98
入侵检测 101
主机的病毒检测 104
作为IDS例子的Snort 109
Tripwire 112
暗网、蜜罐和其他陷阱 114
僵尸网络检测中的取证技术和工具 116
过程 117
事件日志 119
防火墙日志 125
反病毒软件日志 127
小结 134
快速回顾 134
常见问题 137
第6章 Ourmon：概述和安装 139
简介 140
案例分析：在黑暗中跌撞前行的事情 141
案例1：DDoS（分布式拒绝服务） 141
案例2 外部并行扫描 143
案例3 僵尸客户端 144
案例4 僵尸服务器 145
Ourmon如何工作 146
Ourmon的安装 149
Ourmon安装提示和窍门 151
小结 153
快速回顾 153
常见问题 154
第7章 Ourmon：异常检测工具 157
简介 158
Ourmon网页接口 158
原理简介 162
TCP异常检测 163
TCP端口报告：30秒视图 164
TCP蠕虫图表 170
TCP每小时摘要 171
UDP异常检测 173
E-mail异常检测 175
小结 177
快速回顾 178
常见问题 179
第8章 IRC和僵尸网络 181
简介 182
IRC协议 182
Ourmon的RRDTOOL统计与IRC报告 185
IRC报告的格式 185
检测IRC僵尸网络客户端 190
检测IRC僵尸网络服务器 194
小结 197
快速回顾 197
常见问题 198
第9章 ourmon高级技术 201
简介 202
自动包捕获 202
异常检测触发器 203
触发器应用实例 205
Ourmon事件日志 209
搜索Ourmon日志的技巧 209
嗅探IRC消息 212
优化系统 215
买一个双核（Dual-Core）CPU 216
使用不同的电脑，分开前端与后端 216
买一个双核，双CPU的主板 217
扩大内核的环缓存 217
减少中断 218
小结 218
快速回顾 218
常见问题 220
第10章 使用沙盒工具应对僵尸网络 221
简介 222
CWSandbox介绍 223
组件介绍 226
检查分析报告的样本 231
〈analysis〉部分 231
分析82f78a89bde09a71ef99b3ced b991bcc.exe 232
分析Arman.exe 233
解释分析报告 237
僵尸病毒是如何安装的？ 238
病毒如何感染新主机 239
僵尸病毒如何保护本地主机和自己？ 240
联系哪个C＆C服务器以及如何联系 243
僵尸病毒如何更新？ 244
进行了什么样的恶意操作？ 245
在线沙盒对僵尸病毒的监测结果 249
小结 251
快速回顾 252
常见问题 253
第11章 情报资源 255
简介 256
辨别企业／大学应该尽力收集的信息 256
反汇编 258
可找到公用信息的地方／组织 260
反病毒、反间谍软件、反恶意软件的网页 260
专家和志愿者组织 261
邮件列表和讨论团体 263
会员组织以及如何获得资格 263
审查成员 264
保密协议 264
什么可以共享 264
什么不能共享 264
违背协议的潜在影响 265
利益冲突 265
获取信息时如何处理 266
情报收集在法律相关的执行方面扮演的角色 267
小结 267
快速回顾 268
常见问题 269
第12章 应对僵尸网络 271
简介 272
放弃不是一个选项 272
为什么会有这个问题？ 273
刺激需求：金钱，垃圾邮件，以及网络钓鱼 274
法律实施问题 275
软件工程的棘手问题 276
缺乏有效的安全策略或者过程 277
执行过程中的挑战 278
我们应该做什么？ 279
有效的方法 279
如何应对僵尸网络？ 282
报告僵尸网络 283
绝地反击 284
法律的实施 288
暗网、蜜罐和僵尸网络颠覆 288
战斗的号角 290
小结 291
快速回顾 291
常见问题 293