15、深入了解IRC与僵尸网络检测

深入了解IRC与僵尸网络检测

1. 引言

在网络安全领域，检测僵尸网络客户端和服务器网络以及可能托管与IRC相关黑客频道的受感染主机至关重要。在探讨僵尸网络客户端和服务器之前，我们需要先了解IRC协议本身，以及相关的统计数据，这有助于我们更好地利用相关工具检测潜在的威胁。

2. 理解IRC协议

假设企业安全官员得知本地IP地址192.168.2.3存在僵尸网络客户端，这可能是其他安全或网络工程师通过电子邮件告知的。例如，收到如下邮件：

To: abuse@enornousstateuniversity.edu
Subject: scanning client on your IP address
Greetings. You have a host scanning from IP address 192.168.2.3 and it is
scanning hosts on our campus at ports 445 and 139. Please fix this problem
and advise us when the problem has been solved.
Yours truly, Joe Network Person,
Joe Network Inc.

此时，可以使用网络监控工具，如免费的tcpdump（www.tcpdump.org）或商业工具，也可以选择免费的ASCII导向工具ngrep（network grep），使用命令：

# n