为了提高僵尸网络的存活率,如今僵尸网络控制者通常使用域名变换技术(Domain-flux),频繁更换C&C服务器的域名,使命令与控制信道更难以被追踪和检测。域名变换技术的核心是域名生成算法(Domain Generation Algorithm,DGA),该算法可以迅速产生大量的域名,而僵尸网络控制者只会选择其中一小部分作为C&C服务器的域名,即使安全人员逆向出了DGA,也难以屏蔽所有域名。所以快速准确地识别DGA域名对追踪和检测僵尸网络,保卫网络和信息安全意义重大。在目前的DGA域名识别领域,对基于词典的DGA域名的识别是一大难点。本文对基于词典的DGA域名进行了分析,发现这类域名具有字符分布随机性低,但是单词组合随机性高的特点,并根据此特点提出基于单词特征的DGA域名识别方法,应用单词特征识别基于词典的DGA域名。该方法首先通过域名过滤算法将域名分为基于词典的域名和普通域名两部分,再分别对这两部分域名进行分类。本文应用LSTM模型自动提取域名的特征,无需人工干预,在提高效率的同时避免了人工选取特征对经验的依赖。经实验验证,该方法对基于词典的DGA域名具有很高的识别准确率,相比基于字符特征的LSTM方法和Bigram方法,在基于词典的DGA域名识别和整体DGA域名识别方面均有更好表现。本文设计并实现了与DNS集成的DGA域名识别原型系统,该系统集成了DNS代理服务器和DGA域名识别器,可在提供DNS代理服务的同时,识别DNS流量中的DGA域名,并给出相应提示。本文在真实网络环境中对该系统进行了测试,该系统各项功能均运行正常,证明了基于单词特征的DGA域名识别方法在工程上的可行性。