c - Linux 内核模块 : How to reinject packets the kernel considers as NF_STOLEN?

转载作者：IT王子更新时间：2023-10-29 00:37:56

晚上好。发帖到这个网站对我来说是新的，但我一直是一个感恩的读者，从这个论坛学到了很多东西，现在已经有一段时间了。这是我第一次遇到自己无法解决的问题，也无法借助 Stackoverflow 上已有的条目或互联网提供的任何其他资源。

我希望你介意再次帮助我(而且，从现在开始，我也可以帮助别人，因为我觉得我已经成长到可以开始成为这里的写作成员的地步了)。

问题:

我正在研究内核模块。它的目的是使用 PRE_ROUTING netfilter hook 从内核窃取具有特定源 IP 的传入数据包。它只对 TCP 数据包感兴趣。

现在，钩子(Hook) ony 通过 dev_queue_xmit() 将数据包重新注入(inject)正常的内核数据包处理例程，并将数据包的 NF_STOLEN 返回给内核。来自其他源地址的数据包不会被重新注入(inject)，而是通过为它们返回 NF_ACCEPT 而不是 NF_STOLEN 来忽略。

内核模块还存储每个被盗数据包的 TCP seq 编号，以确定来自上述 IP 的传入数据包是新的，还是已经修改并通过 dev_queue_xmit() 重新注入(inject)，因为这些数据包再次遍历 hook .

还有什么工作:

模块被加载
Hook 已注册
Hook 为每个数据包调用。
Hook可以判断数据包的SRC IP是不是我要找的IP。
Hook 为具有其他源地址的数据包返回 NF_ACCEPT
带有源地址的数据包被重新注入(inject)，同时为它们返回 NF_STOLEN
重新注入(inject)的数据包再次遍历钩子(Hook)并被忽略

问题

当我在加载模块后用浏览器访问 IP 时，我的 IP 堆栈似乎崩溃了。我无法再 ping 通任何地址。该模块记录它遇到来自相关 IP 的数据包，并且它重新排队它们并且之后它发现了一个已知的数据包(所以一切看起来都很好)，但仍然:没有正确连接到该站点/任何其他地址。

钩子(Hook)代码如下:

static unsigned int hook(unsigned int hooknum, struct sk_buff *skb, const struct net_device *in, const struct net_device *out, int (*okfn)(struct sk_buff *))
{
    struct iphdr *iph;
    struct tcphdr *tcph;
    unsigned int i;

    if(!skb)
        return NF_ACCEPT;

    iph = (struct iphdr *)skb_network_header(skb);
    if(!iph || !(iph->saddr) || iph->saddr != *(unsigned int*)suspicious_ip)
        return NF_ACCEPT;

    tcph = (struct tcphdr *)skb_transport_header(skb);
    for(i=0; i < number_of_known_packets; i++)
    {
        if(tcph->seq == *(already_known_packets+i))
        {
            debug("Already known packet");
            return NF_ACCEPT;
        }
    }
    debug("New packet");
    printk("seq: %u\n", tcph->seq);

    if((number_of_known_packets + 1) * 4 >= memory_allocated_for_known_packets) 
        imba_realloc(500*4);

    *(already_known_packets+number_of_known_packets++) = tcph->seq; 
    debug("Requeuing packet");

    // once the requeuing is working proper, I want to manipulate the payload as well
    printk("Result: %i", dev_queue_xmit(skb));
    return NF_STOLEN;


}

钩子(Hook)是如何注册的:

static struct nf_hook_ops nfho;

int init_module(void)
{
    debug("module loaded");

    already_known_packets = kmalloc(memory_allocated_for_known_packets, GFP_KERNEL);
    debug("initial memory allocated");

    nfho.hook = hook;
    nfho.hooknum = NF_INET_PRE_ROUTING;
    nfho.pf = PF_INET;
    nfho.priority = 1;

    nf_register_hook(&nfho);

    debug("hook registered");

    return 0;
}

系统日志:

Sep 21 13:11:43 linux kernel: [ 3298.937902] [PACKET PROXY] module loaded
Sep 21 13:11:43 linux kernel: [ 3298.937907] [PACKET PROXY] initial memory allocated
Sep 21 13:11:43 linux kernel: [ 3298.937931] [PACKET PROXY] hook registered
Sep 21 13:11:49 linux kernel: [ 3305.415404] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.415410] seq: 1538346824
Sep 21 13:11:49 linux kernel: [ 3305.415412] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.415430] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.415440] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.415441] seq: 618234741
Sep 21 13:11:49 linux kernel: [ 3305.415442] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.415447] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.421440] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.421452] seq: 2129598066
Sep 21 13:11:49 linux kernel: [ 3305.421458] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.421477] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.427449] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.427456] seq: 2327127721
Sep 21 13:11:49 linux kernel: [ 3305.427458] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.427466] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.427470] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.427471] seq: 1333567182
Sep 21 13:11:49 linux kernel: [ 3305.427473] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.427476] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.427494] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.427502] seq: 2650236943
Sep 21 13:11:49 linux kernel: [ 3305.427506] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.427514] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.427522] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.427533] seq: 444387468
Sep 21 13:11:49 linux kernel: [ 3305.427534] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.427539] Result: 0
Sep 21 13:11:49 linux kernel: [ 3305.427544] [PACKET PROXY] New packet
Sep 21 13:11:49 linux kernel: [ 3305.427545] seq: 1405773113
Sep 21 13:11:49 linux kernel: [ 3305.427547] [PACKET PROXY] Requeuing packet
Sep 21 13:11:49 linux kernel: [ 3305.427550] Result: 0
Sep 21 13:11:50 linux kernel: [ 3306.413448] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.413641] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.414153] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.414989] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.415102] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.417880] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.418065] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.418134] [PACKET PROXY] Already known PACKET
Sep 21 13:11:50 linux kernel: [ 3306.433788] [PACKET PROXY] New packet
Sep 21 13:11:50 linux kernel: [ 3306.433812] seq: 2146375282
Sep 21 13:11:50 linux kernel: [ 3306.433816] [PACKET PROXY] Requeuing packet
Sep 21 13:11:50 linux kernel: [ 3306.433850] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.441424] [PACKET PROXY] Already known PACKET
Sep 21 13:11:51 linux kernel: [ 3306.441587] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.441596] seq: 3958642290
Sep 21 13:11:51 linux kernel: [ 3306.441610] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.441634] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.441646] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.441648] seq: 1476007538
Sep 21 13:11:51 linux kernel: [ 3306.441652] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.441660] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.443131] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.443139] seq: 3288274546
Sep 21 13:11:51 linux kernel: [ 3306.443148] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.443194] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.443226] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.443231] seq: 788862834
Sep 21 13:11:51 linux kernel: [ 3306.443241] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.443258] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.443276] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.443278] seq: 2601129842
Sep 21 13:11:51 linux kernel: [ 3306.443281] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.443286] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.443294] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.443295] seq: 2131695474
Sep 21 13:11:51 linux kernel: [ 3306.443299] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.443305] Result: 0
Sep 21 13:11:51 linux kernel: [ 3306.443313] [PACKET PROXY] New packet
Sep 21 13:11:51 linux kernel: [ 3306.443314] seq: 3943962482
Sep 21 13:11:51 linux kernel: [ 3306.443317] [PACKET PROXY] Requeuing packet
Sep 21 13:11:51 linux kernel: [ 3306.443320] Result: 0
Sep 21 13:11:57 linux kernel: [ 3312.685399] [PACKET PROXY] New packet
Sep 21 13:11:57 linux kernel: [ 3312.685425] seq: 2667014159
Sep 21 13:11:57 linux kernel: [ 3312.685430] [PACKET PROXY] Requeuing packet
Sep 21 13:11:57 linux kernel: [ 3312.685463] Result: 0

最佳答案

对于我想要实现的目标，我找到了一个更简单的解决方案。不需要自定义内核模块的解决方案。

此外，经过更多研究，NF_STOLEN 数据包不能简单地“重新注入(inject)”。不过，要修改数据包，甚至不需要返回 NF_STOLEN。

可以只更改有效负载、调整校验和然后返回 NF_ACCEPT，因为您在钩子(Hook)中访问的 sk_buffer 将在进一步处理数据包时被内核重用。

关于c - Linux 内核模块 : How to reinject packets the kernel considers as NF_STOLEN?，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/25958715/

文章推荐： c++ - 我如何检测 CDRom 是否是 Linux 上的 DVD

文章推荐： Eclipse EGit 命令行

文章推荐： linux - 如何提取符号并查看它们在文件中的偏移量

文章推荐： go - 方法接收者和参数有什么区别？

linux - 内核(例如 Linux 内核)的文件类型是什么？
总的来说，我对 Linux 内核和操作系统非常感兴趣。我想知道的是，内核的文件类型或扩展名是什么？它显然没有 .exe 或 .out 扩展名，因为它们用于安装在操作系统上的应用程序。内核只是一个二进
linux - 为 Arm/Raspberry PI 扩展 Rasbian 内核(Linux 内核 3.10.28)——如何正确添加自己的系统调用？
我需要为 Raspbian Linux 内核添加一个自己的系统调用。现在我在搜索了大约 2 天以找到解决方案后陷入困境。要加一个系统调用，我基本上是按照大纲来的( http://elinux.org
内核:如何为内核构建添加新的源文件？
对于一个学术项目，我希望将源文件 (myfile.c) 添加到 kernel/目录，与exit.c相同的目录和 fork.c .构建系统似乎不会自动获取新文件，因为我在 myfile.c 中定义的函数
有哪常用些浏览器/内核？
浏览器排行榜浏览器市占率排行榜全球榜。浏览器市占率排行榜中国榜 -快科技。如果按照浏览器内核来看， Chromium 内核的市场占有率无疑是最大的，一家独大
process - 内核:如何从进程的task_struct中查找所有线程？
给定一个进程或线程的任务结构，迭代属于同一进程的所有其他线程的习惯用法是什么？最佳答案 Linux 不区分进程(任务)和线程。库调用 fork() 和 pthread_create() 使用相同的系
C 内核 - while 循环期间中断不工作
我正在用c(不是linux。完全从头开始)从头开始制作一个内核，但我遇到了一些问题。我有这个代码: #include "timer.h" int ms = 0; void timer_handler(
C 内核-打印字符串不起作用
我正在从头开始制作一个 C 内核，我实际上只是从网站上复制了这段代码，因为我的代码无法工作，所以我很困惑。 void kmain(void) { const char *str = "my f
linux - 内核、内核线程和用户线程之间的区别
我不确定，如果我完全理解上述差异，所以我想自己解释一下，你可以打断我，只要我有错:“内核是创建内核线程的初始代码段。内核线程是由内核管理的进程。用户线程是进程的一部分。如果你有一个单线程进程，那么整个
比较两个结构文件(Linux 内核)
看一下struct file 定义from this code Linux 内核版本 2.6.18。我正在尝试比较代码中的两个 struct file 变量，并确定它们是否指的是同一个文件。该结构中
Linux 内核 - 从用户空间停止正在运行的内核定时器
我试图在 Linux 启动时使嵌入式设备中的 LED 闪烁。基本上，LED 闪烁表明 Linux 正在启动。为了使 LED 闪烁，我正在做以下事情在 init/main.c 中创建了一个全局定时器(
linux - 内核/用户空间和选择之间的共享内存
我有一些在 FreeBSD 和 Linux 上运行的特定硬件。我必须做一个用户空间应用程序，它将使用内核/用户空间应用程序之间的共享内存与驱动程序一起工作。我的应用程序对来自用户空间的共享内存进行忙
Linux 内核 icmp_reply
我在哪里可以找到 linux 内核中相应函数的解释，特别是对于 ICMPv4？例如:icmp_reply、icmp_send等感谢您的帮助。最好的，阿里木最佳答案探索 Linux 内核中的
Linux 内核 - 数据定义没有类型或存储类
我在 Linux Kernel 3.4 上工作，我有以下代码: /* Proximity sensor calibration values */ unsigned int als_kadc;
Linux 内核 - 等待队列
我正在阅读“罗伯特·洛夫 (Robert Love) 撰写的 Linux 内核开发第 3 版”，以大致了解 Linux 内核的工作原理..(2.6.2.3) 我对等待队列的工作方式感到困惑，例如这段代
C++ - 直接写入内存(内核)
我之前也问过同样的问题，但是我的帖子不知为何被删除了。无论如何，我正在尝试使用 C++ 并编写一个允许我直接访问内存并向其中写入内容的程序。我听说我需要对内核做一些事情，因为它是连接操作系统和应用程
Ruby:内核#`运行命令的权限被拒绝
在尝试了解 Ruby 执行方法时，我找到了这篇关于在 Ruby 中运行命令的五种方法的博文 http://mentalized.net/journal/2010/03/08/5_ways_to_run
Linux 内核/操作系统源代码文档？
是否有 Linux 发行版(Minix 除外)包含良好的源代码文档？或者，是否有一些好的文档来描述一般的 Linux 源代码？我已经下载了内核源代码，但是(不出所料)我有点不知所措，我想知道是否有一
Linux 内核 - 什么函数保存随机选择端口号的来源？
有谁知道 linux 中的哪个函数或文件包含查找用于 bind() 系统调用的随机端口的算法？我到处寻找，在 Linux 源代码中找不到包含此算法的方法。谢谢! 最佳答案这是一段又长又复杂的代码，
探索操作系统：内核、启动和系统调用的奥秘
前言首先，对于有科班背景的读者，可以跳过本系列文章。这些文章的主要目的是通过简单易懂的汇总，帮助非科班出身的读者理解底层知识，进一步了解为什么在面试中会涉及这些底层问题。否则，某些概念将始终
初识centos7与centos6的区别整理(内核、命令等)
CentOS7.2与CentOS6区别及特点 Linux 操作系统的启动首先从 BIOS 开始，接下来进入 boot loader，由 bootloader 载入内核，进行内核初始化。内核初始化的

IT王子

个人简介

我是一名优秀的程序员,十分优秀！

作者热门文章

滴滴打车优惠券免费领取

全站热门文章

首页

博学

6Ren·AI

商城

c - Linux 内核模块 : How to reinject packets the kernel considers as NF_STOLEN?

问题:

还有什么工作:

问题

钩子(Hook)代码如下:

钩子(Hook)是如何注册的:

系统日志: