有些Botnet在进行c2通信时会使用DGA算法生成大量随机的域名，通过少量域名维持与控制服务器的通信。生成的随机域名容易被检测随机性的算法所识别，通常的对抗方法是bot内置一个很大的单词列表，从单词列表中抽取单词并随机组合。本文尝试使用生成对抗网络，训练一个生成器，目标是使生成器生成的域名不具备随机性，更接近人类起域名的习惯，达到以假乱真的效果。但这是一个失败的实验，失败的原因我后文会进行分析。
最近看到DNS专家Antonakakis教授等发表的论文(参考文献1)和360netlab分享的PPT（参考文献2）,两者尝试从运营商DNS流量中检测DGA域名，进而发现僵尸网络。恰好我们这里有自己企业内部的DNS流量，遂吸取两篇文章中方法的优点，在我们自己大数据平台上搞了一把。