gpt4 book ai didi

linux - 在 Linux 机器上使用带 SOCK_DGRAM 的 BPF

转载 作者:可可西里 更新时间:2023-11-01 11:46:08 26 4
gpt4 key购买 nike

是否可以在数据报套接字上使用 BPF 过滤数据包?

当我尝试附加过滤器时没有发生错误,但我没有收到任何数据包。我使用 libpcap 编译了一个过滤器,该过滤器与 tcpdump 一起工作。

这是我的代码的简化版本:

static const char filter[] = "udp[8] == 0x00";
int sock = socket(AF_INET, SOCK_DGRAM, 0);
pcap_t *pcap = pcap_open_dead(DLT_RAW, 1024);
struct bpf_program bpf_prog;
pcap_compile(pcap, &bpf_prog, filter, 0, PCAP_NETMASK_UNKNOWN);
struct sock_fprog linux_bpf = {
.len = bpf_prog.bf_len,
.filter = (struct sock_filter *) bpf_prog.bf_insns,
};
setsockopt(sock, SOL_SOCKET, SO_ATTACH_FILTER, &linux_bpf, sizeof(linux_bpf));

我的机器是 ubuntu 12.04 x86。

最佳答案

嗯,经过一些测试和试验,这是可能的。然而,libpcap 并不直接支持它。

应该做的是打开一个指定以太网数据类型的 pcap 处理程序,然后像访问以太网数据包一样访问 udp 数据包中的字节。过滤器偏移量从数据包的开头开始,但“数据包”取决于您为其打开套接字的层。如果用 SOCK_DGRAM 打开套接字,bpf 指令 ldb 0 将加载 udp header 的第一个字节。因此,当在过滤器中访问 ether[0] 时,libpcap 会将其编译为我们想要的 ldb 0

所以,更正后的代码应该是这样的:

static const char filter[] = "ether[8] == 0x00";
int sock = socket(AF_INET, SOCK_DGRAM, 0);
pcap_t *pcap = pcap_open_dead(DLT_EN10MB, 1024);
struct bpf_program bpf_prog;
pcap_compile(pcap, &bpf_prog, filter, 0, PCAP_NETMASK_UNKNOWN);
struct sock_fprog linux_bpf = {
.len = bpf_prog.bf_len,
.filter = (struct sock_filter *) bpf_prog.bf_insns,
};
setsockopt(sock, SOL_SOCKET, SO_ATTACH_FILTER, &linux_bpf, sizeof(linux_bpf));

关于linux - 在 Linux 机器上使用带 SOCK_DGRAM 的 BPF,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/24514333/

26 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com