Android网络安全：Netfilter与iptables

最新推荐文章于 2022-09-06 16:20:39 发布
最新推荐文章于 2022-09-06 16:20:39 发布
阅读量619 收藏
点赞数 1
分类专栏： wifi分类

Android 4.4.4
1、Netfilter与iptables关系
Netfilter：
    http://www.netfilter.org/：
    Netfilter is a framework provided by the Linux kernel that allows various networking-related operations to be 
    implemented in the form of customized handlers. 
 
    Netfilter offers various functions and operations for packet filtering, network address translation, and port translation, which provide the functionality required for directing packets through a network, as well as for providing ability to prohibit packets from reaching sensitive locations within a computer network.

Netfilter 利用一些封包过滤的【规则】设定,来定义出什么数据包可以接收, 什么数据包需要剔除。位于内核层。
iptables 通过命令的方式对Netfilter 规则进行排序与修改。位于用户层。

用户层的iptables和内核层的Netfilter之间的关系和其通讯方式：


注：感谢，图片来自http://blog.chinaunix.net/uid-23069658-id-3160506.html

Netfilter 与IP 协议栈无缝契合，因此它的效率非常的高。主要完成：
拒绝让 Internet 的封包进入主机的某些端口口
拒绝让某些来源 IP 的封包进入
拒绝让带有某些特殊标志 (flag) 的封包进入，最常拒绝的就是带有 SYN 的主动联机的flag，只要一经发现就将该封包丢弃
分析硬件地址 (MAC) 来决定联机与否

2、Netfilter工作流程

注：感谢，图片来自http://blog.chinaunix.net/uid-23069658-id-3160506.html

收到的每个数据包，都从“A”点进来，经过路由判决，如果是发送给本机的就经过“B”点，然后往协议栈的上层继续传递；否则，如果该数据包的目的地是不本机，那么就经过“C”点，然后顺着“E”点将该包转发出去。
Netfilter在A，B，C，D和E设置回调函数（hook函数），对每一个进出的数据包进行检测，检测完向Netfilter报告一下该数据包的情况，返回结果含：
netfilter.h (kernel\include\uapi\linux)
NF_ACCEPT 继续正常传输数据报，这个返回值告诉 Netfilter：到目前为止，该数据包还是被接受的并且该数据包应当被递交到网络协议栈的下一个阶段。
NF_DROP 丢弃该数据报，不再传输。
NF_STOLEN 回调函数接管该数据报，该回调函数从此开始对数据包的处理，并且Netfilter应当放弃对该数据包做任何的处理。
NF_QUEUE 对该数据报进行排队(通常用于将数据报给用户空间的进程进行处理)
NF_REPEAT 再次调用该回调函数，应当谨慎使用这个值，以免造成死循环。
NF_STOP 功能和NF_ACCEPT类似但强于NF_ACCEPT,一旦挂接链表中某个hook节点返回NF_STOP,该skb包就立即结束检查而被其他模块接受,不再需要进入后续hook点检查。

和A,B,C,D,E五个点对应的在Netfilter中的术语为：


注：感谢，图片来自http://blog.chinaunix.net/uid-23069658-id-3160506.html
Netfilter支持的协议栈：
netfilter.h (kernel\include\uapi\linux)
enum {
    NFPROTO_IPV4   =  2,
    NFPROTO_ARP    =  3,
    NFPROTO_BRIDGE =  7,
    NFPROTO_IPV6   = 10,
    NFPROTO_DECNET = 12,
};
以Ipv4为例，从协议栈正常流程，经过A,B,C,D,E每个点时，切入到Netfilter框架中，依次去调用每个HOOK点的回调（钩子）函数，检查完后返回，根据结果确定之后走向：
ip_input.c (kernel\net\ipv4)
ip_output.c (kernel\net\ipv4)
ip_forward.c (kernel\net\ipv4)


（1）：NF_HOOK(NFPROTO_IPV4, NF_INET_PRE_ROUTING, skb, dev, NULL,ip_rcv_finish)
（2）：NF_HOOK(NFPROTO_IPV4, NF_INET_LOCAL_IN, skb, skb->dev, NULL,ip_local_deliver_finish);
（3）：NF_HOOK(NFPROTO_IPV4, NF_INET_FORWARD, skb, skb->dev, rt->u.dst.dev,ip_forward_finish);
（4）：NF_HOOK(NFPROTO_IPV4, NF_INET_LOCAL_OUT, skb, NULL, skb->dst->dev, dst_output);
（5）：NF_HOOK_COND(NFPROTO_IPV4, NF_INET_POST_ROUTING, skb, NULL, dev,ip_finish_output, cond);
 
 
NF_HOOK(pf, hook, skb, in,  out, okfn)
pf：协议栈名称，定义在socket.h (kernel\include\linux)
hook：HOOK点的名字，对于IPv4就是上述五个值
skb：内核中网络数据包的结构体
in：数据包进来的设备，以struct net_device结构表示
out：数据包出去的设备，以struct net_device结构表示
okfn：函数指针，该HOOK点的所有登记的函数调用完后调用该函数

3、用户层iptables与内核交互方式、流程
Netfilter框架具有三个主要模块，如下：


iptables维护这三张表，查看或设置使用参数-t：

iptables -t filter -L
iptables -t nat -L
iptables -t mangle -L

内核负责和用户层iptables命令交互的是ip-tables模块：
ip_tables.c (kernel\net\ipv4\netfilter)    56679    2016-03-08
static int __init ip_tables_init(void)
{
    /* Register setsockopt */
    ret = nf_register_sockopt(&ipt_sockopts);
    if (ret < 0)
        goto err5;
    pr_info("(C) 2000-2006 Netfilter Core Team\n"); // 系统启动打印该log
    return 0;
}
static void __exit ip_tables_fini(void)
 
module_init(ip_tables_init);
module_exit(ip_tables_fini);

用户层iptables通过setsockopt/getsockopt设置/查询这三张表，并最终调用ip_tables_init()注册的do_ipt_set_ctl/do_ipt_get_ctl()函数:
ip_tables.c (kernel\net\ipv4\netfilter)
static struct nf_sockopt_ops ipt_sockopts = {
    .set        = do_ipt_set_ctl,
    .get        = do_ipt_get_ctl,
    .owner        = THIS_MODULE,
};

ip_tables.c (kernel\net\ipv4\netfilter)
static int do_ipt_set_ctl(struct sock *sk, int cmd, void __user *user, unsigned int len)
{
    switch (cmd) {
    case IPT_SO_SET_REPLACE:
        ret = do_replace(sock_net(sk), user, len);
        break;
    case IPT_SO_SET_ADD_COUNTERS:
        ret = do_add_counters(sock_net(sk), user, len, 0);
        break;
    default:
        ret = -EINVAL;
    }
    return ret;
}
static intdo_ipt_get_ctl(struct sock *sk, int cmd, void __user *user, int *len)
{
    switch (cmd) {
    case IPT_SO_GET_INFO:
        ret = get_info(sock_net(sk), user, len, 0);
        break;
    case IPT_SO_GET_ENTRIES:    
        ret = get_entries(sock_net(sk), user, len);
        break;
    case IPT_SO_GET_REVISION_MATCH:
    case IPT_SO_GET_REVISION_TARGET:
        break;
    }
    default:
        ret = -EINVAL;
    }
    return ret;
}

4、Netfilter默认rules的创建
在没有使用iptables命令设置规则表（filter表、nat表、mangle表）的情况下，系统也自动生成默认的规则表，如下filter表：
（只列出INPUT链）
root@KoolRegister:/ # iptables -t filter -L                                    
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
bw_INPUT   all  --  anywhere             anywhere            
fw_INPUT   all  --  anywhere             anywhere

这个默认规则在代码里通过iptables命令生成：
CommandListener.cpp (system\netd)
CommandListener::CommandListener(UidMarkMap *map) :FrameworkListener("netd", true)
{
    // Create chains for children modules
    createChildChains(V4V6, "filter", "INPUT", FILTER_INPUT);
    createChildChains(V4V6, "filter", "FORWARD", FILTER_FORWARD);
    createChildChains(V4V6, "filter", "OUTPUT", FILTER_OUTPUT);
    createChildChains(V4V6, "raw", "PREROUTING", RAW_PREROUTING);
    createChildChains(V4V6, "mangle", "POSTROUTING", MANGLE_POSTROUTING);
    createChildChains(V4V6, "mangle", "OUTPUT", MANGLE_OUTPUT);
    createChildChains(V4, "nat", "PREROUTING", NAT_PREROUTING);
    createChildChains(V4, "nat", "POSTROUTING", NAT_POSTROUTING);
｝

    CommandListener.cpp (system\netd)
    /**
     * List of module chains to be created, along with explicit ordering. ORDERING
     * IS CRITICAL, AND SHOULD BE TRIPLE-CHECKED WITH EACH CHANGE.
     */
    static const char* FILTER_INPUT[] = {
            // Bandwidth should always be early in input chain, to make sure we
            // correctly count incoming traffic against data plan.
            BandwidthController::LOCAL_INPUT, // "bw_INPUT"
            FirewallController::LOCAL_INPUT, // "fw_INPUT"
            NULL,
    };
 
    【log截图中绿色框部分】
    void createChildChains(IptablesTarget target, const char* table, const char* parentChain, const char** childChains);
    -->int execIptablesSilently(IptablesTarget target, ...);
    ---->int execIptables(IptablesTarget target, bool silent, va_list args) {
            const char *argv[argsList.size()];
            ...
            argv[0] = IPTABLES_PATH; // IPTABLES_PATH = "/system/bin/iptables"
        }
    ------>int execIptablesCommand(int argc, const char *argv[], bool silent);
    -------->int android_fork_execvp(int argc, char* argv[], int *status,boolignore_int_quit, bool logwrap) {
                 pid = fork();
                 if (pid == 0) {
                     child(argc, argv);
                 }
             }
    ---------->static void child(int argc, char* argv[]) {
                   // create null terminated argv_child array
                   char* argv_child[argc + 1];
                   memcpy(argv_child, argv, argc * sizeof(char *));
                   argv_child[argc] = NULL;
                   if (execvp(argv_child[0], argv_child)) {
                        FATAL_CHILD("executing %s failed: %s\n", argv_child[0],
                        strerror(errno));
                   }
               }
还有一个地方，也用iptables命令设置了规则表：
int NatController::setupIptablesHooks() {
    res = setDefaults();
【log截图中蓝色框部分】    
struct CommandsAndArgs defaultCommands[] = {
        {{IPTABLES_PATH, "-F", LOCAL_TETHER_COUNTERS_CHAIN,}, 0},
        {{IPTABLES_PATH, "-X", LOCAL_TETHER_COUNTERS_CHAIN,}, 0},
        {{IPTABLES_PATH, "-N", LOCAL_TETHER_COUNTERS_CHAIN,}, 1},
    };
    for (unsigned int cmdNum = 0; cmdNum < ARRAY_SIZE; cmdNum++) {
        if (runCmd(ARRAY_SIZE, defaultCommands[cmdNum].cmd) && defaultCommands[cmdNum].checkRes) {}
    }
}

【log截图中黄色框部分】
int NatController::setDefaults() {
    struct CommandsAndArgs defaultCommands[] = {
        {{IPTABLES_PATH, "-F", LOCAL_FORWARD,}, 1},
        {{IPTABLES_PATH, "-A", LOCAL_FORWARD, "-j", "DROP"}, 1},
        {{IPTABLES_PATH, "-t", "nat", "-F", LOCAL_NAT_POSTROUTING}, 1},
        {{IP_PATH, "rule", "flush"}, 0},
        {{IP_PATH, "-6", "rule", "flush"}, 0},
        {{IP_PATH, "rule", "add", "from", "all", "lookup", "default", "prio", "32767"}, 0},
        {{IP_PATH, "rule", "add", "from", "all", "lookup", "main", "prio", "32766"}, 0},
        {{IP_PATH, "-6", "rule", "add", "from", "all", "lookup", "default", "prio", "32767"}, 0},
        {{IP_PATH, "-6", "rule", "add", "from", "all", "lookup", "main", "prio", "32766"}, 0},
        {{IP_PATH, "route", "flush", "cache"}, 0},
    };
    for (unsigned int cmdNum = 0; cmdNum < ARRAY_SIZE; cmdNum++) {
        if (runCmd(ARRAY_SIZE, defaultCommands[cmdNum].cmd) && defaultCommands[cmdNum].checkRes) {}
    }
}
int NatController::runCmd(int argc, const char **argv) {
    res = android_fork_execvp(argc, (char **)argv, NULL, false, false);
    ALOGV("runCmd(%s) res=%d", full_cmd.c_str(), res);
    return res;
}

Log:


参考资料：

1、鸟哥的Linux私房菜服务器架设篇(第三版)——第九章、防火墙与 NAT 服务器
2、http://www.netfilter.org/
3、iptables使用文档：https://www.frozentux.net/iptables-tutorial/iptables-tutorial.html 
4、系列：
   (一)洞悉linux下的Netfilter&iptables：什么是Netfilter？()
   (二)洞悉linux下的Netfilter&iptables：内核中的ip_tables小觑 (http://blog.chinaunix.net/uid-23069658-id-3162264.html)
   (三)洞悉linux下的Netfilter&iptables：内核中的rule，match和target (http://blog.chinaunix.net/uid-23069658-id-3163999.html)
   (四)洞悉linux下的Netfilter&iptables：包过滤子系统iptable_filter (http://blog.chinaunix.net/uid-23069658-id-3166140.html)

源码路径：
arp_tables.c (kernel\net\ipv4\netfilter)
BandwidthController.cpp (system\netd)
BandwidthController.h (system\netd)
CommandListener.cpp (system\netd)
CommandListener.h (system\netd)
core.c (kernel\net\netfilter)
FirewallController.cpp (system\netd)
FirewallController.h (system\netd)
iptables.h (external\iptables\include)
iptable_filter.c (kernel\net\ipv4\netfilter)
iptable_nat.c (kernel\net\ipv4\netfilter)
iptable_raw.c (kernel\net\ipv4\netfilter)
ip_forward.c (kernel\net\ipv4)
ip_input.c (kernel\net\ipv4)
ip_output.c (kernel\net\ipv4)
ip_tables.c (kernel\net\ipv4\netfilter)
ip_tables.h (kernel\include\linux\netfilter_ipv4)
ip_tables.h (kernel\include\uapi\linux\netfilter_ipv4)
kmod.h (kernel\include\linux)
logwrap.c (system\core\logwrapper)
logwrap.h (system\core\logwrapper\include\logwrap)
NetdCommand.cpp (system\netd)
NetdCommand.h (system\netd)
NetdConstants.cpp (system\netd)
NetdConstants.h (system\netd)
netfilter.h (kernel\include\linux)
netfilter.h (kernel\include\uapi\linux)
nfnetlink.c (kernel\net\netfilter)
nf_sockopt.c (kernel\net\netfilter)
socket.h (kernel\include\linux)
x_tables.c (kernel\net\netfilter)
x_tables.h (kernel\include\linux\netfilter)
x_tables.h (kernel\include\uapi\linux\netfilter)
--------------------- 
作者：__2017__ 
来源：CSDN 
原文：https://blog.csdn.net/u013686019/article/details/51474135 
版权声明：本文为博主原创文章，转载请附上博文链接！

蓝白天际线
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
synsanity:netfilter（iptables）目标用于高性能无锁SYN cookie，以减轻SYN泛滥
05-11
同步性-已弃用 该项目已被弃用。 截至2017年，GitHub运行带有Linux内核。 synsanity是GitHub上生产中使用的netfilter（iptables）目标，用于实现SYN Flood缓解的高性能无锁SYN cookie。 synsanity允许运行3.x内核Linux服务器以最小（或至少更少）的性能影响来处理SYN泛洪。 使用默认Linux内核3.x设置，由于内核在LISTEN套接字和conntrack中发生自旋锁，因此非常小的SYN泛洪会导致CPU完全耗尽。 synsanity将大部分工作移到了netfilter（iptables）目标中，并绕过了针对这种攻击情形的锁定，从而允许在数据包到达TCP堆栈之前生成高吞吐量的syncookie。 以下组件组成了协同关系及其支持的设置： 包含内核端iptables模块，其中大部分工作都在其中进行。 包含iptabl
Linux网络安全讲义Netfilter机制与iptables工具.pdf
09-27
Linux网络安全讲义Netfilter机制与iptables工具.pdf
Linux网络安全Netfilter机制与iptables工具
10-21
传统 ipchains 的任何功能(来源与目的封包过滤、导向、伪装)。 提供 Source NAT 与 Destination NAT 的功能。 可以针对特定使用者、群组、PID 等限制网络连结的过滤存取。 可以设定封包在 Routing Table 进出前时先预先处理。 可以针对外面自动建立、与现有联机有关这类联机过滤处理。 可以针对 Mac 卡号直接处理。
操作系统安全：Netfilter框架.pptx
06-01
Netfilter框架 Netfilter的框架 1、Netfilter概述 Netfilter/IPTables是Linux2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，Netfilter与IP协议栈是无缝契合的，并允许使用者对数据报进行过滤、地址转换、处理等操作。 Netfilter的框架 Netfilter分四个基本模块： 1. Ct 链接追踪 2. Filter 过滤 3. Nat 地址转换 4. Mangle 修改数据报文 CT是基础核心模块是状态防火墙和nat的基础. 而其他模块会维护一个全局表，也即我们用iptables命令的时候需要指定的表。 Netfilter实现 Netfilter主要通过表、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。 Netfilter实现 对于收到的每个数据包，都从“A”点进来，经过路由判决，如果
LVS三种工作模式及原理详解
qq_59369367的博客
05-24 6480
什么是 LVS？ LVS 是 Linux Virtual Server 的简写，也就是 Linux 虚拟服务器，是一个虚拟的服务器集群系统，本项目在 1998 年 5 月由章文嵩博士成立，是中国国内最早出现的自由软件项目之一。 官方网站：http://www.linuxvirtualserver.org，LVS 实际上相当于基于 IP 地址的虚拟化应用，为基于 IP 地址和内容请求分发的负载均衡提出了高效的解决方法，现在 LVS 已经是 Linux 内核标准的一部分。 使用 LVS 可以达到的技术目标
基于Netfilter的Android防火墙实现.pdf
09-22
基于Netfilter的Android防火墙实现.pdf
Android app网络访问控制
doomvsjing的博客
07-25 2874
Android下基于Iptables的一种app网络访问控制方案（一） http://blog.csdn.net/zhanglianyu00/article/details/50177873Android系统中iptables的应用（二）BandwidthController http://blog.csdn.net/xiaokeweng/article/details/48810049
Android系统中iptables的应用（二）BandwidthController
Hi~ xiaokeweng
09-29 9756
android系统中iptables的应用，bandwidthcontroller模块的iptables规则
Android Wifi模块相关常量定义.
hzhiyang84的专栏
03-27 953
public static final int BASE_WIFI                                                           = 0x00020000; ----------131072     public static final int BASE_WIFI_WATCHDOG
Android iptables的应用
qq_26366149的博客
08-13 675
iptables 命令的使用主要是记录一下这样的流程，从java层到C/C++的整个过程 android 是基于linux,因此网络相关重要功能都是通过iptables实现 （1）bandwidth         1.设置流向使用提醒阈值（alert），超过后会发出提醒。         2.设置流量使用上限（quota），超过后自动禁止流量使用，无法访问网。         3.限制
Android网络框架(三)——iptables
FanFF的博客
08-15 3194
Android网络框架、iptables、iptables使用
洞悉linux下的Netfilter&iptables ---------- 3
stonesharp的专栏
04-15 883
网络地址转换：NAT      Netfitler为NAT在内核中维护了一张名为nat的表，用来处理所有和地址映射相关的操作。诸如filter、nat、mangle抑或raw这些在用户空间所认为的“表”的概念，在内核中有的是以模块的形式存在，如filter；有的是以子系统方式存在的，如nat，但它们都具有“表”的性质。因此，内核在处理它们时有很大一部操作都是相同的，例如表的初始化数据、表的注册、
Android下的 iptables命令的用法
babytiger的专栏
06-16 4260
A.“四表”是指，iptables的功能——filter, nat, mangle, raw.　　　　filter, 控制数据包是否允许进出及转发（INPUT、OUTPUT、FORWARD）,可以控制的链路有input, forward, output　　　　nat, 控制数据包中地址转换，可以控制的链路有prerouting, input, output, postrouting　　　　mangle,修改数据包中的原数据，可以控制的链路有prerouting, input, forward, output
Linux协议栈-netfilter(1)-框架
热门推荐
落尘纷扰的专栏
04-04 1万+
1. netfilter框架 Netfilter 是内核中进行数据包过滤，连接跟踪，地址转换等的主要实现框架。当我们希望过滤特定的数据包或者需要修改特定数据包的某些内容再发送出去，这些动作主要都在netfilter中完成。 iptables工具就是用户空间和内核的Netfilter模块通信的手段，iptables命令提供很多选项来实现过滤数据包的各种操作，后面会讲到iptables命令如何
为何以及如何使用Netlink Socket ( Why and How to Use Netlink Socket)
暗恋的滋味
03-23 9456
Why and How to Use Netlink Socket 作者：Kevin He，2005-01-05 原文地址：http://www.linuxjournal.com/article/7356 译者：Love. Katherine，2007-03-23译文地址：http://blog.csdn.net/lovekatherine/archive/2007/03/2
轻松认识网络防火墙及应用
jifu_edu的博客
09-06 1437
由于路由器是简单的包过滤，包过滤的规则条数的增加，NAT规则的条数的增加，对路由器性能的影响都相应的增加。防火墙与路由器、交换机是有区别的。防火墙是针对黑客攻击的一种被动的防御，而 IPS 是早起 IDS 加上防火墙的组合，两者最主要的区别就是防火墙是被动防御，他只是本地网络和外部网络直接的一道屏障，而 IPS 是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，用来补充防病毒和防火墙的补充，可以对攻击进行识别和主动防御。防火墙采用的是状态包过滤，规则条数，NAT的规则数对性能的影响较小。
Android iptables命令详解
Jimmy的专栏
07-25 2421
Iptabels是与Linux内核集成的包过滤防火墙系统，几乎所有的linux发行版本都会包含Iptables的功能。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则Iptables有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。netfilter/iptables过滤防火墙系统是一种功能强大的工具，可用于添加、编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。......
netfilter和iptables的区别
最新发布
06-13
Netfilter是Linux内核中的一个框架，主要用于网络数据包的处理和过滤。而iptables是基于Netfilter框架的一个用户空间的工具，用于配置和控制Linux内核中的Netfilter子系统。 简单来说，Netfilter是一个内核层面的框架，提供了对网络数据包的处理和过滤的功能，而iptables是基于Netfilter框架的用户空间工具，提供了方便的配置和管理Netfilter规则的功能。 因此，iptables是Netfilter的一部分，它使用Netfilter提供的功能来实现网络数据包的过滤、转发和重定向等操作。而Netfilter则是一个更加底层的框架，它提供了更加灵活和强大的网络数据包处理和过滤能力。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值