[计算机软件及应用]深入Linux内核网络堆栈.pdf

深入Linux 内核网络堆栈 作者：bioforge alkerr@ 原名： Hacking the Linux Kernel Network Stack 翻译，修改： duanjigang duanjigang1983@126.com 翻译参考：raodan (raod_at_30) 2003-08-22 第一章 简介 本文将描述如何利用Linux 网络堆栈的窍门（不一定都是漏洞）来达到一些目的，或者 是恶意的，或者是出于其它意图的。文中会就后门通讯对Netfilter 钩子进行讨论，并在本地 机器上实现将这个传输从基于Libpcap 的嗅探器(sniffer)中隐藏。 Netfilter 是2.4 内核的一个子系统。Netfilter 可以通过在内核的网络代码中使用各种钩子 来实现数据包过滤，网络地址转换(NAT)和连接跟踪等网络欺骗。这些钩子被放置在内核代 码段，或者静态编译进内核，或者作为一个可动态加载/卸载的可卸载模块，然后就可以注 册称之为网络事件的函数（比如数据包的接收）， 1.1 本文论述的内容 本文将讲述内核模块的编写者如何利用Netfilter 的钩子来达到任何目的，以及怎样将网 络传输从一个Libpcap 的应用中隐藏掉。尽管Linux2.4 支持对IPV4 ，IPV6 以及DECnet 的 钩子,本文只提及IPV4 的钩子。但是，对IPV4 的大多数应用内容同样也可以应用于其他协 议。出于教学目的，我们在附录 A 给出了一个可以工作的内核模块，实现基本的数据包过 滤功能。针对本文中所列技术的所有开发和试验都在Intel 机子上的Linux2.4.5 系统上进行 过。对Netfilte 钩子行为的测试使用的是回环设备(Loopback device), 以太网设备和一个点对 点接口的调制解调器。 对Netfilter 进行完全理解是我撰写本文的另一个初衷。我不能保证这篇文章所附的代码 100%的没有差错，但是所列举的所有代码我都事先测试过了。我已经饱尝了内核错误带来 的磨砺，而你却不必再经受这些。同样，我不会为按照这篇文档所说的任何东西进行的作所 所为带来的损失而负责。阅读本篇文章的读者最好熟悉 C 程序设计语言，并且对内核可卸 载模块有一定的经验。 如果我在文中犯了任何错误的话，请告知我。我对于你们的建议和针对此文的改进或者 其它的Netfilter 应用会倾心接受。 1.2 本文不会涉及到的方面 本文并不是Netfilter 的完全贯穿(或者进进出出的讲解) 。也不是iptables 命令的介绍。 如果你想更好的学习iptables 的命令，可以去咨询man 手册。 让我们从介绍Nerfilter 的使用开始吧………. 第二章 各种Net-Filter 钩子及其用法 2.1 Linux 内核对数据包的处理 我将尽最大努力去分析内核处理数据包的详细内幕，然而对于事件触发处理以及之 后的Netfilter 钩子不做介绍。原因很简单，因为Harald Welte 关于这个已经写了一篇 再好不过的文章Journey of a Packet Through the Linux 2.4 Network Stack,如果你 想获取更多关于Linux 对数据包的相关处理知识的话，我强烈建议你也阅读一下这篇文 章。目前，就认为数据包只是经过了 Linux 内核的网络堆栈，它穿过几层钩子,在经过 这些钩子时，数据包被解析，保留或者丢弃。这就是所谓的Netfilter 钩子。 2.2 Ipv4 中的Net-filter 钩子 Netfilter 为IPV4 定义了5 个钩子。可以在 linux/netfilter-ipv4.h 里面找到这些符号的定 义，表2.1 列出了这些钩子。 表 2.1. ipv4 中定义的钩子 钩子名称 调用时机