随着信息技术的迅速发展,特别是Internet与Internet应用的飞速发展,信息共享、信息交换通过开放式网络形成一个方便快捷的信息传播平台,为计算机的普及提供了有利的条件。同时,这也为信息安全带来了严峻的挑战,因此,出现了各种各样的防御系统,如加密技术、防火墙技术等。通过对数据包进行过滤,或者发现异常的网络行为,对网络或者主机进行保护。恶意代码、特别是网络蠕虫的出现,以其潜伏性,自动传播性,主动攻击性给网络安全提出了新的挑战。但不论是基于主机的入侵检测,还是基于网络的入侵检测,不论是基于误用的入侵检测,还是基于异常的入侵检测。提取恶意代码的特征是致关重要的一步。特别是多态蠕虫以及变形蠕虫的出现,能够对蠕虫的特征进行混淆,使得提取特征更加困难。本文按照不同的分类方法对入侵检测进行分类,并且分析了各种方法的优点以及缺点。对蠕虫的功能结构,扫描策略以及传播模型进行了总结。利用协议分析的方法提出了一种提取恶意代码特征的方法。这个方法不但能够提取恶意代码特征,而且能够确定它触发了系统的哪个漏洞。最后,由于这个方案要对网络协议进行分析,本文对网络协议自动分析进行了综述。