macos - 拦截网络流量的API

Question

有人可以提示一下哪个 API 会拦截传入和传出的网络流量，例如 Little Snitch在 Mac OS X 上可以吗？

基于 Cocoa 的 API 受到青睐。

是否需要写一个 kext或者一个 - 以某种方式授权的 - 用户端应用程序也可以完成这项工作吗？

Answer 1

我不知道 Little Snitch 是怎么做到的(但我很乐意……)；我一直在使用这些 dTrace 探针:

# Socket 通过进程名接受:

dtrace -n 'syscall::accept*:entry { @[execname] = count(); }'

# Socket connections by process and user 堆栈跟踪:

dtrace -n 'syscall::connect*:entry { trace(execname); ustack(); }'

# 谁在连接什么:

dtrace -n 'tcp:::accept-established { @[args[3]->tcps_raddr, args[3]->tcps_lport] = count(); }'

(这些来自“DTrace:Oracle Solaris、Mac OS X 和 FreeBSD 中的动态跟踪，Brendan Gregg 和 Jim Mauro，Prentice Hall 2011”http://www.dtracebook.com/index.php/Network_Lower_Level_Protocols。)

您还应该查看 Brendan Gregg 的 DTraceToolkit:http://www.brendangregg.com/dtrace.html#DTraceToolkit

特别是 tcpsnoop 和 tcptop。