Mirai-Source-Code配置文件解密：CNC域名与端口的动态获取机制
项目地址: https://gitcode.com/gh_mirrors/mi/Mirai-Source-Code 在Mirai-Source-Code的恶意网络架构中，命令与控制（Command and Control, CNC）服务器的通信配置是整个僵尸网络运作的核心。本文将深入分析CNC域名与端口的动态获取机制，揭示恶意软件如何通过硬编码配置与动态交互实现对受控设备的远程操控。
硬编码核心配置解析
Mirai的CNC通信参数在mirai/cnc/main.go中以常量形式固化，形成攻击基础设施的第一道防线。代码中明确指定了数据库连接参数与监听端口：
const DatabaseAddr string = "127.0.0.1"
const DatabaseUser string = "root"
const DatabasePass string = "password"
const DatabaseTable string = "mirai"
这些参数通过NewDatabase函数初始化数据库连接，为后续的僵尸网络管理提供数据持久化支持。值得注意的是，该配置采用本地回环地址（127.0.0.1），暗示CNC服务器与数据库通常部署在同一物理节点，以减少网络暴露面。
双端口监听机制
Mirai的CNC服务器在main.go中实现了双端口监听架构，通过TCP协议同时监听23端口（Telnet）和101端口（自定义API）：
tel, err := net.Listen("tcp", "0.0.0.0:23") // Telnet管理接口
api, err := net.Listen("tcp", "0.0.0.0:101") // API控制接口
这种设计实现了管理功能与控制功能的分离：
- 23端口：通过initialHandler处理僵尸节点接入，在NewBot函数中完成设备注册
- 101端口：通过apiHandler接收攻击指令，在Api.Handle中解析并分发攻击任务
僵尸节点的动态注册流程
当僵尸节点尝试连接CNC服务器时，会经历严格的握手验证过程。在initialHandler函数中，代码首先验证客户端发送的32字节握手包：
if l == 4 && buf[0] == 0x00 && buf[1] == 0x00 && buf[2] == 0x00 {
// 版本号验证
if buf[3] > 0 {
// 读取来源标识
string_len := make([]byte, 1)
conn.Read(string_len)
source_buf := make([]byte, string_len[0])
conn.Read(source_buf)
source = string(source_buf)
}
NewBot(conn, buf[3], source).Handle()
}
通过验证的节点会被封装为Bot结构体，并通过clientList.AddClient加入受控设备列表，获得接收攻击指令的能力。
动态指令分发系统
CNC服务器通过clientList.QueueBuf方法实现攻击指令的动态分发。当管理员通过API发送攻击命令时，系统会：
- 在Api.Handle中验证API密钥
- 通过NewAttack解析攻击参数
- 调用Attack.Build生成二进制指令
- 通过QueueBuf分发给指定数量的僵尸节点
数据库在CanLaunchAttack方法中扮演流量控制角色，通过检查用户权限、冷却时间和目标白名单，防止攻击指令滥用。
通信保活机制
为维持僵尸网络的稳定性，Bot.Handle实现了基于心跳包的连接保活机制：
for {
this.conn.SetDeadline(time.Now().Add(180 * time.Second)) // 3分钟超时
if n,err := this.conn.Read(buf); err != nil || n != len(buf) {
return // 读取失败则移除客户端
}
if n,err := this.conn.Write(buf); err != nil || n != len(buf) {
return // 写入失败则移除客户端
}
}
这种简单的Echo协议通过每3分钟的双向数据交换，确保僵尸节点与CNC服务器的连接状态，同时避免复杂的状态维护逻辑。
防御启示与检测指标
基于上述分析，防御者可通过以下特征检测Mirai僵尸网络活动：
- 网络层面：监测目标网络中异常的23/101端口出站连接
- 流量特征：识别180秒周期的固定长度（2字节）心跳包
- 系统行为：关注短时间内大量接入的相同特征设备
安全人员可参考scripts/db.sql中的数据库 schema，构建针对Mirai控制流的检测规则，重点监控history表中的攻击记录和users表的权限变更。
通过深入理解Mirai的CNC配置机制，不仅能够提升对现有恶意软件的检测能力，更为防御未来的物联网恶意代码变异提供了技术参考。建议相关从业人员持续关注该项目的LICENSE.md变更，及时掌握最新的攻击技术演进。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
