描述
原始套接字具有廣泛的用途，特別是用于自定義協議（標準協議TCP、UDP和ICMP等外）的數據收發。在Linux下攔截套接字IO的一般方法是攔截對應的套接字系統調用，對于發送為sendmsg和sendto，對于接收為recvmsg和recvfrom。這種方法雖然也能攔截原始套接字IO，但要先判斷套接字的類型，如果為SOCK_RAW（原始套接字類型），那么進行攔截處理，這樣一來由于每次IO都要判斷套接字類型，性能就比較低了。因此為了直接針對原始套接字來攔截，提高性能，發明了本方法。
本方法可用于防火墻或主機防護系統中，丟棄接收和發送的攻擊或病毒數據包。
特點
運行在內核態，直接攔截所有進程的原始套接字IO，支持IPv4和IPv6。
實現
原理
在Linux內核網絡子系統中，struct proto_ops結構提供了協議無關的套接字層到協議相關的傳輸層的轉接，而IPv4協議族中內置的inet_sockraw_ops為它的一個實例，對應著原始套接字。因此先找到inet_sockraw_ops，再替換它的成員函數指針recvmsg和sendmsg，就可以實現攔截了。下面以IPv4為例（IPv6同理），說明幾個流程。
搜索inet_sockraw_ops
該流程在掛鉤IO前進行。由于inet_sockraw_ops為Linux內核未導出的內部符號，因此需要通過特別的方法找到它，該特別的方法基于這樣的一個事實：
◆ 所有原始套接字接口均存放在以SOCK_RAW為索引的雙向循環鏈表中，而inet_sockraw_ops就在該鏈表的末尾。
◆ 內核提供了注冊套接字接口的API inet_register_protosw，對于原始套接字類型，該API將輸入的套接字接口插入到鏈表頭后面。
算法如下
注冊p前或注銷p后，鏈表如下
注冊p后，鏈表如下
掛鉤IO
該流程在內核模塊啟動時進行。
卸鉤IO
該流程在內核模塊退出時進行。
運行部署
該方法實現在Linux內核模塊中，為了防止其它內核模塊可能也注冊了原始套接字接口，因此需要在操作系統啟動時優先加載。
posted on 2016-07-14 10:27
春秋十二月 閱讀(2665)
評論(3) 編輯 收藏 引用 所屬分類:
Network