随着计算机网络技术的迅猛发展和广泛应用,网络犯罪数量急剧增加,对用户与企业造成的危害也越来越大。造成这一现象的主要原因是僵尸网络的出现。僵尸网络为攻击者提供了隐匿、灵活且高效的一对多命令与控制机制,可以控制大量僵尸主机实现信息窃取、分布式拒绝服务攻击和垃圾邮件发送等攻击目的。僵尸网络是整个网络犯罪的核心,能够将网络犯罪世界里的各个部分联接和统一起来。现阶段僵尸网络正步入快速发展时期,对互联网安全已经造成严重威胁。目前对僵尸网络的研究才刚刚兴起,采用的也多为流量检测的方法。但由于这种方法通常是等到僵尸网络爆发后,才开始提取特征,因此不能及时准确地发现并遏制僵尸网络。针对以上情况,本文的主要贡献和创新在于：设计了一套既能够检测又能够清除僵尸网络的系统,并且从网络层面提出了五种新的检测僵尸网络的方法。具体来说本文的工作主要包括如下几个方面：1.总结了僵尸网络的定义、工作原理及传播途径,并研究了传统的检测方法,同时简要地论述和分析了僵尸网络的发展趋势。2.在深入理解僵尸网络特点的基础上,本文设计了一套检测系统,这套系统既能够检测到僵尸网络,又能够阻断过滤僵尸网络的流量,同时还能够提供专杀软件帮助用户清除主机感染的僵尸程序。3.由于怎样把僵尸网络检测出来一直是僵尸网络研究的重点和难点,因此本文从网络层面提出了五种新的基于异常流量的检测方法,分别是：免疫虚拟机自动分析方案,异常行为识别方案,通信行为检测方案,首包上线方案和异常IRC检测方案。根据检测算法,系统能够及时发现僵尸网络的建立、控制与攻击,并通过清洗模块与专杀模块进一步遏制僵尸网络的扩散与危害。通过与传统检测方法的联合,本文提出的检测方法减少了对系统资源的需求,大大提高了系统的实效性,同时减少了“漏报率”和“误报率”。4.本文还提出了两种辅助验证方案,用于判断可疑主机是否参与了僵尸网络,验证系统检测得到的结果是否正确。5.在设计与实现工作完成后,本文对检测系统进行实验室测试以及实际网络测试,测试结果表明系统的功能和性能达到了设计的要求。系统的检测准确率较高,实时性较好,检测程度较深,检测范围较广,性能消耗较低,具有稳定性好、扩展性强和可操作性等优点。