c - Netfilter:阅读应用程序级别的内容？

Question

在实现 netfiler Hook 时，我一直在尝试读取数据包内容。

我可以正确过滤 IP 字段或 TCP 字段，但是，出于好奇，我一直在尝试更进一步并显示应用程序级别有效负载的内容，但失败了。

我知道“防火墙在 3 级运行”是一个原则，所以在某种程度上这是正常的。

我的问题是:在技术方面，为什么 sock_buffer 似乎停在 TCP/UDP header 处？

这会获取 IP header :

ip_header = (struct iphdr*)skb_network_header(sock_buff);

这会获取 TCP header :

tcp_header = (struct tcphdr*)((char*)ip_header + sizeof(struct iphdr));

但是如果我这样做:

(char*) (tcp_header + 4*(tcp_header->doff))       //4*(tcp_header->doff) is size of tcp header

和显示，我通过基本测试(例如 netcats 发送“AAAA”)看到它根本不显示这些字符。

我的第二个问题是:如何在 Linux 模块级别访问我的数据包的其余部分？

编辑:

尝试了 Joachim 的建议，但也没有用!

print_payload(tcp_header + 4*(tcp_header->doff));

print_payload 是:

    void print_payload(void *s){

        char *payload;
        int i;
        payload = s;

        for(i=0;i<8;i++){

            printk(KERN_INFO "%.2x|", payload[i]);

        }

        printk(KERN_INFO "\n");
    }

它会显示一些奇怪的东西，比如:

77|70|21|ffffffc1|00|00|00|00|

一旦我开始通过 netcat 发送“Z”字符...

Answer 1

这是因为您应该执行 (char*) tcp_header + 4*(tcp_header->doff)(即去掉加法两边的括号)。

上述表达式将 tcp_header 类型转换为 char* 并添加 4*(tcp_header->doff) 字节的偏移量。

您的代码将 4*(tcp_header->doff) * sizeof(*tcp_header) 字节的偏移量添加到指针，然后将结果指针类型转换为 char*.