随着移动互联网的快速发展和智能手机普及率的提高,移动互联网的安全面临着极大的考验。短消息服务SMS(Short Message Service)作为智能手机最常用的服务之一也引起了攻击者的注意,他们借助SMS发动各种恶意攻击,其中危害比较严重的就是利用SMS建立的针对手机的SMS僵尸网络。SMS移动僵尸网络是指在传统僵尸网络基础上,专门针对移动互联网和智能手机进行一定的改变和延伸的新型僵尸网络。这种僵尸网络在移动端迅速发展,从传统僵尸网络巨大的传播范围和破坏力来看,SMS僵尸网络的迅速发展使移动互联网面临着极大地威胁。因此,如何有效的检测SMS僵尸网络也成为僵尸网络领域的重要课题。然而目前研究人员对SMS移动僵尸网络的研究较少,而且研究主要集中在SMS僵尸网络的建立阶段。对SMS移动僵尸网络的检测方面的研究很少,并且传统僵尸网络的检测方法在SMS移动僵尸网络的检测上显得水土不服,效果不太好。本文的研究内容围绕SMS僵尸网络检测模型的构建展开。首先对SMS僵尸网络的组成结构和特点进行分析,找到可能利用的特征。对每个特征进行详细研究,通过研究评估出这些特征的使用难度和检测能力。从中找到了两类即具有良好的检测价值又比较容易提取的特征,这两类特征可以通过一组来自同一个发送源的短信中提取,发送源包含SMS僵尸网络和普通用户,下文中将这组短信简称为短信组。这两类特征分别是行为习惯特征和短信文本特征。行为习惯包含两个特征点,短信发送时间间隔和短信文本大小。短信文本特征包含自定义的特征和特征词,自定义特征包括嵌入的电话号码、嵌入的链接、特殊符号的数量、空格的数量。接下来本文根据这两类特征设计出一种基于多特征的SMS僵尸网络检测模型,该模型是通过短信组提取的特征来判断短信组的发送者是否为SMS僵尸网络。下文中将由SMS僵尸网络发送的短信组记为僵尸短信,将由普通用户发送的短信组记为普通短信,检测模型对SMS僵尸网络的检测就转化为对短信组的分类。检测模型主要分为两个核心检测模块,第一个检测模块利用行为特征的熵值将短信组分类。第二个检测模块利用文本分类的方法将短信文本分类,第二个模块用的是朴素贝叶斯算法,该模块是对第一类检测模块中无法确定发送源的短信组进行二次检测。两个检测模块共同作用检测被测短信组的发送源是SMS僵尸网络还是普通用户。最后设计多组对比实验来检验该模型的检测效果,实验结果表明,文中提出的检测相比于纯文本特征检测方法有更高的准确率。