[发明专利]僵尸网络命令和控制协议的获取方法及装置

摘要

本发明实施例公开了一种僵尸网络命令和控制协议的获取方法及装置，涉及信息技术领域，提升了僵尸网络命令和控制协议的获取效率，降低了获取僵尸网络命令和控制协议过程的成本。所述方法包括首先获取僵尸网络程序执行过程中的执行轨迹信息，然后从所述执行轨迹信息中确定目标循环体，所述目标循环体为僵尸网络命令和控制协议所在的循环体，最后根据所述目标循环体获取僵尸网络命令和控制协议。

主权项

一种僵尸网络命令和控制协议的获取方法，其特征在于，包括：获取僵尸网络程序执行过程中的执行轨迹信息；将所述执行轨迹信息中所属线程相同的信息划分为同一执行轨迹块；获取所述执行轨迹块中的循环体；所述获取所述执行轨迹块中的循环体包括：获取所述执行轨迹块中恶意代码块的跳转指令；若所述跳转指令的跳转目的地址小于所述跳转指令的地址，则获取所述跳转目的地址和所述跳转指令的地址之间的代码，并确认所述代码为所述循环体；从所述执行轨迹信息中确定目标循环体，所述目标循环体为僵尸网络命令和控制协议所在的循环体；所述从所述执行轨迹信息中确定目标循环体包括：从所述执行轨迹块中确定所述目标循环体；从所述执行轨迹块中确定所述目标循环体包括：若所述循环体同时符合第一特征和第二特征，则确定所述循环体为所述目标循环体，所述第一特征为所述循环体中调用了可疑函数，所述第二特征为被调用的所述可疑函数的不同返回结果指示所述僵尸网络程序执行不同的执行轨迹块；根据所述目标循环体获取僵尸网络命令和控制协议。