Hook技术--⑥Netfilter

最新推荐文章于 2024-04-06 09:59:08 发布
最新推荐文章于 2024-04-06 09:59:08 发布
阅读量260 收藏 3
点赞数
分类专栏： Linux Hook技术 文章标签： c++ 网络安全 笔记 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_53485135/article/details/134136255
版权

1.6 Netfilter

1.6.1 简介

Netfilter/IPTables是Linux2.4.x之后新一代的Linux防火墙机制，是一套融入到linux内核网络协议栈的框架，是linux内核的一个子系统。

Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，在报文流经的关键位置处，基于不同协议(ipv4/ipv6)的hook方式，使用hook列表中对应的钩子函数匹配处理，以实现过滤、修改报文、跟踪等功能；最后处理过的报文会被决定以“放行”或者“丢弃”行为。

主要源代码文件

  • Linux内核版本：2.4.x以上

  • Netfilter主文件：net/core/netfilter.c

  • Netfilter主头文件：include/linux/netfilter.h

  • IPv4相关：

    • c文件：net/ipv4/netfilter/*.c

    • 头文件：include/linux/netfilter_ipv4.h

      ​ include/linux/netfilter_ipv4/*.h

IPv4协议栈主体的部分c文件，特别是与数据报传送过程有关的部分：ip_input.c，ip_forward.c，ip_output.c，ip_fragment.c等

具体功能模块

  1. 数据报过滤模块
  2. 连接跟踪模块（Conntrack）
  3. 网络地址转换模块（NAT）
  4. 数据报修改模块（mangle）
  5. 其他高级功能模块

Netfilter主要通过表、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。

1.6.2 理解

Netfilter是一个用于Linux操作系统的网络过滤框架，它提供了一种在Linux内核中处理网络数据包的机制。

Netfilter允许Linux管理员通过定义一组规则来控制网络数据包的流动，例如阻止或允许某些IP地址或端口的数据包通过。

这种过滤机制可以用于网络安全、流量控制和网络监控等应用。

Netfilter的核心是iptables，它是一个命令行工具，可用于在Linux系统中配置Netfilter规则。iptables提供了一组命令，使管理员可以定义、修改、删除和显示规则集。这些规则集可以被用于控制网络流量，例如阻止来自特定IP地址或端口的流量、限制连接速率或转发流量等。此外，iptables还支持网络地址转换（NAT）功能，允许Linux系统充当路由器，将私有网络连接到公共网络。

除了iptables之外，Netfilter还提供了其他工具和扩展，如ip6tables（IPv6版本的iptables）、ebtables（以太网框架过滤器）和nflog（用于捕获Netfilter事件的模块）。这些工具和扩展可以帮助管理员更精细地控制网络流量，并提供更灵活的配置选项。

Netfilter 还被广泛应用于防火墙、VPN、路由器、负载均衡、反向代理、网络监控等各种网络应用和安全系统中。

1.6.3 Netfilter框架基本原理

1698646442810

Netfilter框架是Linux操作系统中的一个内核模块，提供了一种机制，可以在网络数据包通过Linux内核的过程中截获和处理数据包。Netfilter的核心是钩子（hook）机制，该机制允许内核在特定的网络数据包到达某个阶段时，调用已注册的函数，对该数据包进行处理。

Netfilter框架的基本原理和架构如下：

  1. Netfilter钩子（hook）：Netfilter钩子是一组特定的内核函数，它们会在网络数据包经过Linux内核的不同阶段时被调用。Netfilter钩子被称为“钩子点”，钩子点包括PRE_ROUTING、LOCAL_IN、FORWARD、LOCAL_OUT和POST_ROUTING等。这些钩子点与Linux内核的不同阶段相关联，数据包在经过内核的不同阶段时会被调用相应的钩子点。在钩子点上注册的回调函数会在数据包到达时被调用，以执行特定的操作。

    例如，可以在PREROUTING钩子点上注册一个回调函数，用于更改数据包的源地址或目标地址。

  2. Netfilter表（table）：Netfilter表是一组具有相同功能的规则集合。Linux内核中定义了五个表：raw、mangle、nat、filter和security。每个表包含一些特定的钩子点，用于在数据包到达时调用特定的回调函数。

    每个表都有自己的规则集，可以用于控制网络流量、实现安全策略和管理网络连接等。

  3. Netfilter链（chain）：Netfilter链是一个由规则集组成的列表，它定义了在特定的钩子点上执行的规则集。每个链都与特定的表相关联，并可以在链中注册自定义规则。

    例如，在INPUT链中可以注册一个规则，用于阻止来自特定IP地址的数据包通过。

  4. Netfilter规则（rule）：Netfilter规则是指定义特定网络流量的过滤或修改规则。规则由匹配条件和对应的动作组成。

    例如，一个规则可以是“如果数据包的源IP地址是192.168.0.1，那么阻止这个数据包通过”。可以将多个规则添加到Netfilter链中，以构建复杂的规则集。

1.6.4 Netfilter实现

Netfilter主要通过表、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。

数据在协议栈里的发送过程中，从上至下依次是“加头”的过程，每到达一层数据就被会加上该层的头部；与此同时，接受数据方就是个“剥头”的过程，从网卡收上包来之后，在往协议栈的上层传递过程中依次剥去每层的头部，最终到达用户那儿的就是裸数据了。

1698647662290

接收：

对于收到的每个数据包，都从“A”点进来，经过路由判决，如果是发送给本机的就经过“B”点，然后往协议栈的上层继续传递；否则，如果该数据包的目的地是不本机，那么就经过“C”点，然后顺着“E”点将该包转发出去。

发送：

对于发送的每个数据包，首先也有一个路由判决，以确定该包是从哪个接口出去，然后经过“D”点，最后也是顺着“E”点将该包发送出去。

协议栈那五个关键点A，B，C，D和E就是我们Netfilter大展拳脚的地方了。

如下图：

1698648635418

Netfilter是Linux 2.4.x引入的一个子系统，它作为一个通用的、抽象的框架，提供一整套的hook函数的管理机制，使得诸如数据包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪成为了可能。

Netfilter在内核中位置如下图所示：

1698647763356

这幅图很直观的反应了用户空间的iptables和内核空间的基于Netfilter的ip_tables模块之间的关系和其通讯方式，以及Netfilter在这其中所扮演的角色。

Netfilter在netfilter_ipv4.h中将这个五个点重新命了个名

如下图所示：

1698647819111

在每个关键点上，有很多已经按照优先级预先注册了的回调函数(称为“钩子函数”)埋伏在这些关键点，形成了一条链。对于每个到来的数据包会依次被那些回调函数“审视”一番再视情况是将其 放行or丢弃or其他。

但是无论如何，这些回调函数最后必须向Netfilter报告一下该数据包的情况，因为毕竟每个数据包都是Netfilter从协议栈那儿借调过来的。

每个钩子函数最后必须向Netfilter框架返回下列几个值其中之一：

  1. NF_ACCEPT继续正常传输数据报。这个返回值告诉Netfilter：到目前为止，该数据包还是被接受的并且该数据包应当被递交到网络协议栈的下一个阶段。
  2. NF_DROP丢弃该数据报，不再传输。
  3. NF_STOLEN模块接管该数据报，告诉Netfilter“忘掉”该数据报。该回调函数将从此开始对数据包的处理，并且Netfilter应当放弃对该数据包做任何的处理。但是，这并不意味着该数据包的资源已经被释放。这个数据包以及它独自的sk_buff数据结构仍然有效，只是回调函数从Netfilter获取了该数据包的所有权。
  4. NF_QUEUE对该数据报进行排队(通常用于将数据报给用户空间的进程进行处理)
  5. NF_REPEAT 再次调用该回调函数，应当谨慎使用这个值，以免造成死循环。

为了让我们显得更专业些，我们开始做些约定：上面提到的五个关键点后面我们就叫它们为hook点，每个hook点所注册的那些回调函数都将其称为hook函数。

Linux 2.6版内核的Netfilter目前支持IPv4、IPv6以及DECnet等协议栈，这里我们主要研究IPv4协议。关于协议类型，hook点，hook函数，优先级，通过下面这个图给大家做个详细展示：

1698648101636

对于每种类型的协议，数据包都会依次按照hook点的方向进行传输，每个hook点上Netfilter又按照优先级挂了很多hook函数。这些hook函数就是用来处理数据包用的。

hook注册的钩子函数具有优先级顺序的执行， 值越小，优先级越高

enum nf_ip_hook_priorities {
	...
	NF_IP_PRI_RAW = -300,     /*对应 raw table*/
	...
	NF_IP_PRI_MANGLE = -150,  /*对应  mangle table*/
	NF_IP_PRI_NAT_DST = -100, /*对应  nat table*/
	NF_IP_PRI_FILTER = 0,     /*对应  filter table*/
	...
	NF_IP_PRI_NAT_SRC = 100,  /*对应  nat table*/
	...
};

hook被划分成5个关键位置处：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING

enum nf_inet_hooks {
	NF_INET_PRE_ROUTING, /*对应 PREROUTING*/
	NF_INET_LOCAL_IN,    /*对应 INPUT*/
	NF_INET_FORWARD,     /*对应 FORWARD*/
	NF_INET_LOCAL_OUT,   /*对应 OUTPUT*/
	NF_INET_POST_ROUTING,/*对应 POSTROUTING*/
	NF_INET_NUMHOOKS
};

hook与chain(链)是一个东西，linux系统环境的iptables命令帮助信息(iptables -h)，使用术语为chain(链)

iptables v1.4.21
Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
	   ...

一个报文会经过的路径：

PRE ROUTING->INPUT：报文会在路由选择之前，简单的健全性检查，然后先经过PRE ROUTING点，再进行路由选择，若是本地的报文，途经INPUT点，然后交由上层处理。当然路由选择时可以丢弃不可达的报文。

PRE ROUTING->FORWARD->POST ROUTING：报文会在路由选择之前，简单的健全性检查，然后先经过PRE ROUTING点，再进行路由选择，若不是本地的报文，则进入FORWARD点，然后途经最后一个POST ROUTING点，选择对应子网的出口发送出去。

OUTPUT->POST ROUTING：上层处理完后，创建报文，先经过OUTPUT点，然后途经最后一个POST ROUTING点，根据子网选择对应网口发送出去。

**注意：**网络上有文章描述OUTPUT点之前或者之后会调用”路由选择“行为，刚接触的同学们会被整懵；实际上，报文先处理路由选择，计算源地址和IP选项 ，然后才进入该hook点。如下的流程图关注的是Hook点的经过，因此没有把 “本地发送->route ->OUTPUT”流程描述出来。

1698649942489

1.6.6 hook点和table的关系

每个hook点对应的功能繁多，需要配置N条规则，并且有序的执行；如果过多规则被配置的话，不好维护，所以table就诞生了。

table一方面细分功能，另一方面把不同的规则划分到不同table里，加以限定执行的顺序。

比如：用户基于PRE ROUTING点，在RAW表、MANGLE表配置多条规则；然后当报文经过PRE ROUTING点时，因RAW表优先级比MANGLE表高(hook优先级列表)，所以RAW表的规则先执行，再执行MANGLE表的规则。

因此所谓的”四表五链“，就是基于4张table和5个hook的关系，来管理诸多规则。

4张表神奇的作用：raw表用于连接跟踪、 mangle表用于修改报文信息、filter表用于过滤报文信息、nat表用于映射地址信息。

1698650662718

1.6.7 hook的数据结构、注册钩子列表、调用关键函数

如下hook定义的结构体信息，可以看出它存在于不同net namespace的 struct net结构中，由于net namespace方面可以在同一个系统中建立不同的网络环境，因此hook上的table规则是独立于net namespace中的。

/*安装在hook点的钩子函数结构体*/
struct nf_hook_ops {
	/* User fills in from here down. */
	nf_hookfn		*hook;     /*钩子函数，报文经过hook点时调用*/
	struct net_device	*dev;  /*对应的网络设备*/
	void			*priv;     /*每个hook点独有的私有数据*/
	u_int8_t		pf;        /*特定的协议族：NFPROTO_IPV4/NFPROTO_IPV6/...*/
	unsigned int		hooknum;/*钩子安装到哪个hook点*/
	/* Hooks are ordered in ascending priority. */
	int			priority;       /*优先级设置，决定该钩子函数的执行位置，优先级高，则先执行*/
};

/*以下结构体基于net namespace方面而定义*/
struct nf_hook_entry {
	nf_hookfn			*hook;/*隐式的指向nf_hook_ops结构体，仅显式的暴露钩子函数*/
	void				*priv;
};
struct nf_hook_entries {
	u16				num_hook_entries;/*hook点的钩子函数注册的数量*/
	/* padding */
	struct nf_hook_entry		hooks[];/*指向一堆hook点对应的钩子函数*/
};
/*定义包含不同协议族的hook点钩子函数的结构体*/
struct netns_nf {
	...
	struct nf_hook_entries __rcu *hooks_ipv4[NF_INET_NUMHOOKS];
	struct nf_hook_entries __rcu *hooks_ipv6[NF_INET_NUMHOOKS];
#ifdef CONFIG_NETFILTER_FAMILY_ARP
	struct nf_hook_entries __rcu *hooks_arp[NF_ARP_NUMHOOKS];
#endif
#ifdef CONFIG_NETFILTER_FAMILY_BRIDGE
	struct nf_hook_entries __rcu *hooks_bridge[NF_INET_NUMHOOKS];
#endif
#if IS_ENABLED(CONFIG_DECNET)
	struct nf_hook_entries __rcu *hooks_decnet[NF_DN_NUMHOOKS];
#endif
	...
};
/*net namespace的结构体，系统可以有多个不同网络空间，隔离网络资源。*/
struct net {
	...
	struct netns_nf		nf;/*每个net namespace独有的hook点列表*/
	...
}

ipv4协议族的hook函数注册列表：仅把4张表的安装的钩子函数罗列出来，其它的表可自行查看。

4张表的内核源文件：iptable_raw.c、iptable_mangle.c、iptable_nat.c、iptable_filter.c

1698650844537

nf_hook函数和NF_HOOK宏定义，它们会在所有hook点的位置被调用， 即是入口点。

static inline int
NF_HOOK(uint8_t pf, unsigned int hook, struct net *net, struct sock *sk, struct sk_buff *skb,
	struct net_device *in, struct net_device *out,
	int (*okfn)(struct net *, struct sock *, struct sk_buff *))
{
	/*pf = 协议族, hook = 使用哪个hook点, skb = 报文*/
	int ret = nf_hook(pf, hook, net, sk, skb, in, out, okfn);
	if (ret == 1)
		ret = okfn(net, sk, skb);
	return ret;
}

/**
 *	nf_hook - call a netfilter hook
 *
 *	Returns 1 if the hook has allowed the packet to pass.  The function
 *	okfn must be invoked by the caller in this case.  Any other return
 *	value indicates the packet has been consumed by the hook.
 */
static inline int nf_hook(u_int8_t pf, unsigned int hook, struct net *net,
			  struct sock *sk, struct sk_buff *skb,
			  struct net_device *indev, struct net_device *outdev,
			  int (*okfn)(struct net *, struct sock *, struct sk_buff *))
{
	struct nf_hook_entries *hook_head = NULL;
	int ret = 1;
	...
	/*选择协议族的hook列表*/
	rcu_read_lock();
	switch (pf) {
	case NFPROTO_IPV4:
		hook_head = rcu_dereference(net->nf.hooks_ipv4[hook]);
		break;
	case NFPROTO_IPV6:
		hook_head = rcu_dereference(net->nf.hooks_ipv6[hook]);
		break;
	case NFPROTO_ARP:
#ifdef CONFIG_NETFILTER_FAMILY_ARP
		if (WARN_ON_ONCE(hook >= ARRAY_SIZE(net->nf.hooks_arp)))
			break;
		hook_head = rcu_dereference(net->nf.hooks_arp[hook]);
#endif
		break;
	case NFPROTO_BRIDGE:
#ifdef CONFIG_NETFILTER_FAMILY_BRIDGE
		hook_head = rcu_dereference(net->nf.hooks_bridge[hook]);
#endif
		break;
#if IS_ENABLED(CONFIG_DECNET)
	case NFPROTO_DECNET:
		hook_head = rcu_dereference(net->nf.hooks_decnet[hook]);
		break;
#endif
	default:
		WARN_ON_ONCE(1);
		break;
	}

	if (hook_head) {
		struct nf_hook_state state;
		/*把相关信息，设置到state结构里*/
		nf_hook_state_init(&state, hook, pf, indev, outdev,
				   sk, net, okfn);

		/*找到对应的hook函数列表 hook_head，遍历有序的函数进行匹配*/
		ret = nf_hook_slow(skb, &state, hook_head, 0);
	}
	rcu_read_unlock();

	return ret;
}

以上源代码以及内容基于内核4.19.1产出，不同的内核版本，表定义的hook点会有不同，如：nat表 原来只定义了pre routing/output/post routing，4.19.1中的源码新增input。

1.6.8 使用Netfilter开发基本步骤

使用Netfilter框架开发程序可以实现自定义的网络数据包过滤和修改功能，以满足特定的网络安全需求或网络管理要求。

下面是使用Netfilter框架开发程序的一般步骤：

  1. 了解Netfilter框架：首先需要了解Netfilter框架的基本原理和架构，包括Netfilter的hook机制、内核模块和用户空间程序之间的通信方式等。
  2. 编写内核模块：Netfilter框架主要是一个内核模块，需要编写C语言代码实现需要的过滤或修改功能。内核模块的代码需要包含模块初始化和清理函数，以及实现Netfilter钩子函数来处理数据包。
  3. 注册Netfilter钩子函数：在内核模块中注册Netfilter钩子函数，使其能够在特定的网络数据包到达时被调用。Netfilter提供了多个钩子点（hook points）来处理不同的数据包类型和阶段，例如INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING等。
  4. 编译和加载内核模块：编译内核模块并加载到Linux内核中。这可以使用标准的make和insmod命令进行操作。
  5. 测试和调试：测试和调试内核模块以确保它可以正确地处理网络数据包，并按预期方式过滤或修改数据包。

1.6.9 代码案例

通过hook注册函数，实现向内核中相应的hook点注册hook回调函数，结合icmp数据包的格式，实现对icmp数据包的处理。

1、接收过滤

主要是数据接收方向的NF_IP_LOCAL_IN点注册回调函数，该回调函数对接收到的icmp reply报文，将序列号是9的倍数的reply报文丢弃掉。

1.6.10 参考文章

http://t.csdnimg.cn/LAqQ0

http://t.csdnimg.cn/rekEo

http://t.csdnimg.cn/SliJQ

http://t.csdnimg.cn/n8LLR

1.7 eBPF（未完待续…）

伯克利包过滤器，是一种基于伪汇编的底层数据包过滤器，他可以根据配置的规则过滤数据包，但好像不能对数据包做修改。我也不太清楚这种方法，这里就放一个链接（eBPF用于Linux防火墙数据包过滤https://blog.csdn.net/dog250/article/details/102884567），自己去研究吧。

1.8 ftrace框架

看这篇文章吧，他解释的更好。简单来说就是ftrace是hook内核函数的方法，他本身的作用是用于跟踪和调试内核，但后来被用来拦截网络数据包了。
https://www.apriorit.com/dev-blog/546-hooking-linux-functions-2

源代码下载

这是githup上找到的，分享给大家，对照源代码去看上一个链接的文章说明，更容易明白。
https://github.com/ilammy/ftrace-hook.git

霜晨月c
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
利用netfilter截获、修改数据包基础与实现
AFCC_的博客（Web_Dog）
08-21 3058
本着记录自己疯狂过的青春，对netfilter的应用学习做点记录。 0x00前提 双网卡硬件设备作中间件，一个网卡接收向另一网卡转发时进行操作数据包。下文中举例eth0为进入，eth1为发出，相对而言。本次开发利用netfilter框架进行完整开发，基本实现对数据包的任意操作。 0x01 什么是netfilter Netfilter是linux2.4.x引入的一个子系统，作为一个通用的、抽象的框...
Netfilter——Netfilter中的HOOK机制
Windeal
04-20 9124
Netfilter 是 Linux网络内核协议栈提供了报文过滤（防火墙）框架，HOOK机制是Netfilter的核心。一、如何在协议栈中调用钩子函数　　在协议栈中相应位置嵌入Netfilter的函数NF_HOOK，来拦截报文送到Netfilter中进行处理。 　协议栈中的五条内置链我们知道Linux网络内核内置了5条链PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUT
Linux应用层hook技术总结与实例
qq_33838877的博客
01-20 2413
1.前言 LINUX hook技术一直是linux技术爱好者们研究的一个热点问题，Intel的CPU将特权级别分为4个级别：RING0,RING1,RING2,RING3， ring0是指CPU的运行级别，ring0是最高级别，ring1次之，ring2更次之，以此类推。 拿Linux+x86来说，操作系统（内核）的代码运行在最高运行级别ring0上，可以使用特权指令，控制中断、修改页表、访问设备等等。 应用程序的代码运行在最低运行级别上ring3上，不能做受控操作。如果要做，比...
探索KernelHook：一种强大的内核钩子技术
最新发布
gitblog_00060的博客
04-06 855
探索KernelHook：一种强大的内核钩子技术 项目地址:https://gitcode.com/smallzhong/KernelHook 项目简介 KernelHook 是一个开源的项目，由开发者smallzhong创建，它提供了一种在Linux内核中实现高效、安全的钩子（hook）机制的方法。通过此项目，开发者可以轻松地插入自定义代码到内核关键函数中，以实现对系统行为的监控、调试或增强。...
Netfilter概念与HOOK点(1)
a609440019的博客
08-15 290
netfilter概念与hook点基础描述
基于Netfilter框架设计的软件防火墙过滤系统
qq_53928256的博客
05-05 1127
本此的防火墙设计是基于Netfilter框架设计的软件防火墙过滤系统基于学习和实践的目的，本次的防火墙设计主要面向于初学者，简单入门防火墙设计。所以本次只对源IP、目的IP地址、源端口、目的端口以及一些简单协议进行过滤。欢迎大家学习交流，如有不足之处，敬请批评指正！其实到这里，这个基于Netfilter框架设计的软件防火墙过滤系统就已经设计完毕了。啪啪啪啪啪啪！！！！
Netfilter框架-完全解析.doc
02-25
对netfilter的框架进行完全...Netfilter是Linux 2.4.x引入的一个子系统，它作为一个通用的、抽象的框架，提供一整套的hook函数的管理机制，使得诸如数据包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪成为了可能。
netfilter hook 注册，调用示例
08-17
Linux4.x内核编程实战——netfilter hook 注册，调用示例.nf_hook_ops,nf_register_net_hook, nf_unregister_net_hook 使用
arptable_filter.rar_hook ip_netfilter_netfilter a_内核HOOK
09-19
Netfilter的内核源代码，可以作为研究ARP，IP的HOOK的前提。
netfilter中的hook流程图
11-12
绝对自己总结的，详细介绍了hook的流程，其中包括调用的一些函数。
论文研究-Netfilter框架下提高IP访问的安全性 .pdf
08-16
Netfilter框架下提高IP访问的安全性，张伟，，Netfilter Hook是为了保证IP访问安全性在Linxu2.4以后的版本中提供的，作为Netfilter体系结构中的提供的接口，为Linux内核中不同位置上的数据�
基于Hook的动态打桩工具（Linux）
12-30
linux下方便单元测试使用的动态打桩工具、可以对全局函数、静态函数、类成员函数、类虚徐成员函数进行打桩。
网络协议栈(10)netfilter
jasenwan88的专栏
06-27 1228
一、机制 该工具相当于内核中的车匪路霸，它们在内核网络栈中各处安装关卡，对内核中报文的流动进行监控管理，它是Linux系统下实现防火墙的基础，利用用户态的iptables的实现就是netfilter机制的一个典型应用。 该机制直接嵌入内核，在内核生成的时候这些监测点就已经被编译入内核，所以是顽固而可靠的检测机制。 二、实现 1、数据结构 这是一个三维的实现模型，第一维可以认为是不同的网络
iptables中ULOG和NFLOG实现分析
weixin_43862733的博客
04-23 252
图3说明：如果指定的消息池不存在(使用分组编号定位一个消息池)，将不写入消息，也不构造消息。当一个数据包满足了匹配条件，并开始执行NFLOG target时，需要根据nflog target的私有数据struct xt_nflog_info来构造要发送的消息，并使用xt_nflog_info中消息池编号指定的消息池发送消息，使用单播把数据包发送给创建本消息池的进程。1.内核也是通过消息池来发送消息，但是不能接收消息，消息池是静态的，也就是说，消息池的个数和相应的属性是固定的，用户空间没法进行配置，
linux内核网络钩子函数使用,Linux内核IOCTL网络控制框架实现实例分析
weixin_39969257的博客
05-09 326
4.6、inet_ioctl函数由于inet_ioctl函数内容分支很多,但功能、处理不难理解,所以我把一些不常见的内容都省去,挑简单重要的说,完全在于抛砖引玉:static int inet_ioctl(struct socket *sock, unsigned int cmd, unsigned long arg){…switch(cmd){case FIOSETOWN://设置属主case ...
Linux netfilter 学习笔记 之一 HOOK机制的分析与应用
lickylin的专栏
06-19 8032
ddddd
Docker 网络虚拟化基础之网络 namespace
qq_36733838的博客
11-03 738
见如下的关键函数 copy_net_ns（它的调用链是 do_fork => copy_process => copy_namespaces => create_new_namespaces => copy_net_ns）。Linux 中所有的进程都是由这个 1 号进程创建的。接下来就是 socket 创建的时候，内核中可以通过 current->nsproxy->net_ns 把当前进程所属的 netns 找出来，最终把 socket 中的 sk_net 成员和该命名空间建立好了联系。
基于Netfilter框架， 编写自己的hook函数，获取经过hook点的数据包的IP地址
xiangminlu的博客
12-07 1861
简介 1.Netfilter Netfilter是linux内核的一个子系统。它作为一个通用的、抽象的框架，提供一整套的hook函数的管理机制。netfilter提供了一系列的接口，将一个到达本机的数据包或者经本机转发的数据包流程中添加了一些可供用户操作的点，这些点被称为HOOK点。 Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接...
liunx netfilter 编程
05-22
Linux Netfilter是Linux内核中的一个框架，用于对数据包进行过滤、转发、修改等操作。Netfilter可以在内核中通过一个叫做iptables的工具进行配置和管理。 Netfilter提供了很多钩子函数，可以让我们在数据包经过某个网络层协议时对其进行处理。当数据包经过某个协议时，内核会调用相应的钩子函数，我们可以在这些钩子函数中编写代码，来对数据包进行处理。 如果你想要编写一个Netfilter模块，可以按照以下步骤进行： 1. 编写模块代码 模块代码需要定义一个结构体，其中包含钩子函数和相关的数据结构。这个结构体需要注册到Netfilter框架中，以便内核在需要时调用。 2. 编译模块 使用编译器将代码编译成模块格式，然后使用insmod命令将模块插入内核中。 3. 配置iptables规则 使用iptables工具配置规则，将数据包传递给我们的模块进行处理。 4. 测试模块 使用网络工具测试模块是否正常工作，以及是否符合预期。 下面是一个简单的Netfilter模块示例： ``` #include <linux/module.h> #include <linux/kernel.h> #include <linux/netfilter.h> #include <linux/netfilter_ipv4.h> static struct nf_hook_ops nfho; // Netfilter 钩子结构体 // 钩子函数 unsigned int hook_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state) { // 在这里编写处理代码 return NF_ACCEPT; // 返回值表示下一步操作 } int init_module() { nfho.hook = hook_func; // 设置钩子函数 nfho.hooknum = NF_INET_PRE_ROUTING; // 设置钩子位置 nfho.pf = PF_INET; // 设置协议族 nfho.priority = NF_IP_PRI_FIRST; // 设置优先级 nf_register_hook(&nfho); // 注册钩子 return 0; } void cleanup_module() { nf_unregister_hook(&nfho); // 注销钩子 } MODULE_LICENSE("GPL"); ``` 在这个示例中，我们定义了一个钩子函数hook_func，它会在数据包经过PRE_ROUTING钩子时被调用。在钩子函数中，我们可以对数据包进行处理，并返回一个值表示下一步操作。 我们将钩子函数注册到nfho结构体中，并使用nf_register_hook函数将其注册到Netfilter框架中。在模块加载时，init_module函数会被调用，模块卸载时，cleanup_module函数会被调用。 这只是一个简单的示例，实际的Netfilter模块可能需要更多的功能和处理逻辑。如果你想深入了解Netfilter的编程，可以参考Linux内核源码中的相关代码和文档。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

霜晨月c

谢谢老板地打赏~

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值