netlink+netfilter实例

再次见识了内核的伟大,大半年不碰,忘记的一干二净!!!写netfilter,netlink不得不提的就是九贱和duanjigang了...
   Linux 用户态与内核态的交互——netlink 篇 
       
  netlink socket 编程之 why & how 
          %3D1%26amp%3Bfilter%3Ddigest

  有了上面两篇文章加kernel source基本上你可以干许多事了...
  环境:
       centos5.2 2.6.18
  作用:
       ./user -i 禁止ping
       ./user -d ipaddr 禁止指定ip的tcp连接
       iptables+netfilter这一套以前一直是限于理论层面,今天就自己实践了下.

  我这里只是写我写程序的过程中遇到的问题,一些概念上的东东,上面两位大师已经写得很好了,我就不班门弄斧了.
      

1.           struct sock* netlink_kernel_create(int unit, unsigned int groups,
   
2.                       void (*input)(struct sock *sk, int len),
   
3.                       struct module *module)
   
4.       

复制代码

       why&how那篇是:
     

1.         struct sock * netlink_kernel_create(int unit, void (*input)(struct sock *sk, int len));
   
2.       

复制代码

    取数据我这里传的是结构体
   

1.          nlh = (struct nlmsghdr*)skb->data;
   
2.          icmp_off = ((OWN *)NLMSG_DATA(nlh))->icmp_off;
   
3.          drop_ip = ((OWN *)NLMSG_DATA(nlh))->drop_ip;
   
4.      

复制代码

      netlink主要就是create和取数据那个地方,我这里是看kernel source追寻到了,不同的版本可能不一样.


   

1.         nfho.hook      = hook_func;
   
2.         nfho.hooknum   = NF_IP_LOCAL_IN;
   
3.         nfho.pf        = PF_INET;
   
4.         nfho.priority  = NF_IP_PRI_FIRST;
   
5.        nf_register_hook(&nfho);
   
6.      

复制代码

      想挂多个hook的话可以
   

1.           nf_register_hook(&nfho);
   
2.           nf_register_hook(&nfho1);    
   
3.   

复制代码

      也可以
   

1.           nf_register_hooks(opts, ARRAY_SIZE(opts));
   
2.       

复制代码

      
    取头,可以去ip.h tcp.h等去找
   

1.         skb_header_pointer
   
2.      

复制代码

    好了废话了这么多,上代码了
   内核态程序
  

1.       #include
   
2. #include
   
3. #include
   
4. #include
   
5. #include
   
6. #include
   
7. #include
   
8. #include
   
9. #include
   
10. #include
    
11. #include
    
12. #include
    
13. #include
    
14. #include "hook.h"
    
15. 
    
16. static struct nf_hook_ops nfho;
    
17. struct sock *nl_sk = NULL;
    
18. EXPORT_SYMBOL_GPL(nl_sk);
    
19. 
    
20. static int icmp_off = 0;
    
21. static unsigned int drop_ip = 0;
    
22. 
    
23. void input (struct sock* sk, int len)
    
24. {
    
25.   struct sk_buff* skb = NULL;
    
26.   struct nlmsghdr* nlh = NULL;
    
27. 
    
28.   printk("net_link: data is ready to read.\n");
    
29.   while((skb = skb_dequeue(&sk->sk_receive_queue))!=NULL)
    
30.    {
    
31.     nlh = (struct nlmsghdr*)skb->data;
    
32.     icmp_off = ((OWN *)NLMSG_DATA(nlh))->icmp_off;
    
33.     drop_ip = ((OWN *)NLMSG_DATA(nlh))->drop_ip;
    
34.    }
    
35. 
    
36.   return;
    
37. }
    
38. 
    
39. static int test_netlink(void) {
    
40.   nl_sk = netlink_kernel_create(NETLINK_TEST, 0, input, THIS_MODULE);
    
41. 
    
42.   if (!nl_sk) {
    
43.     printk(KERN_ERR "net_link: Cannot create netlink socket.\n");
    
44.     return -EIO;
    
45.   }
    
46.   printk("net_link: create socket ok.\n");
    
47.   return 0;
    
48. }
    
49. 
    
50. unsigned int hook_func(unsigned int hooknum,
    
51.                        struct sk_buff **skb,
    
52.                        const struct net_device *in,
    
53.                        const struct net_device *out,
    
54.                        int (*okfn)(struct sk_buff *))
    
55. {
    
56.    struct sk_buff *sb = *skb;
    
57.    struct iphdr     *iph ;
    
58. 
    
59.    iph = ip_hdr(sb);
    
60.    switch(iph->protocol)
    
61.     {
    
62.      case IPPROTO_ICMP:{
    
63.          struct icmphdr _icmph;
    
64.          struct icmphdr* ich;
    
65. 
    
66.          ich = skb_header_pointer(sb, iph->ihl*4, sizeof(_icmph), &_icmph);
    
67.          printk("icmp type %u\n", ich->type);
    
68.          if(icmp_off == 1)
    
69.           {
    
70.             printk("now we drop icmp from %d.%d.%d.%d\n", NIPQUAD(iph->saddr));
    
71.             return NF_DROP;
    
72.           }
    
73.          break;
    
74.        }
    
75.      case IPPROTO_TCP:{
    
76.          struct tcphdr* th = NULL;
    
77.          struct tcphdr _tcph;
    
78.          th = skb_header_pointer(sb, iph->ihl*4, sizeof(_tcph), &_tcph);
    
79.          if(th == NULL)
    
80.           {
    
81.             printk("get tcp header error\n");
    
82.             return NF_DROP;
    
83.           }
    
84.          //unsigned int sip = ntohs(th->source);
    
85.          printk("saddr:%d.%d.%d.%d,sport:%u\n", NIPQUAD(iph->saddr),ntohs(th->source));
    
86.          printk("daddr:%d.%d.%d.%d,dport:%u\n", NIPQUAD(iph->daddr),ntohs(th->dest));
    
87.          if(iph->saddr ==drop_ip)
    
88.           {
    
89.             printk("now we drop tcp from %d.%d.%d.%d\n", NIPQUAD(iph->saddr));
    
90.              return NF_DROP;
    
91.           }
    
92.          break;
    
93.        }
    
94.      default:
    
95.          break;
    
96.     } 
    
97.   return NF_ACCEPT;
    
98. }
    
99. 
    
100. static int __init hook_init()
     
101. {
     
102.        printk("insmod hook test!\n");
     
103.        test_netlink();
     
104.        nfho.hook      = hook_func;
     
105.        nfho.hooknum   = NF_IP_LOCAL_IN;
     
106.        nfho.pf        = PF_INET;
     
107.        nfho.priority  = NF_IP_PRI_FIRST;
     
108.    
     
109.        nf_register_hook(&nfho);
     
110. 
     
111.        return 0;
     
112. }
     
113. 
     
114. static void __exit hook_exit()
     
115. {
     
116.     printk("rmmod hook test!\n");
     
117.     nf_unregister_hook(&nfho);
     
118.     if (nl_sk != NULL){
     
119.       sock_release(nl_sk->sk_socket);
     
120.   }
     
121. }
     
122. 
     
123. module_init(hook_init);
     
124. module_exit(hook_exit);
     
125. 
     
126.    

复制代码

  
  用户态:

1. #include
   
2. #include
   
3. #include
   
4. #include
   
5. #include
   
6. #include
   
7. #include
   
8. #include
   
9. #include
   
10. #include
    
11. #include
    
12. #include
    
13. #include
    
14. #include "hook.h"
    
15. 
    
16. #define MAX_PAYLOAD 1024 /* maximum payload size*/
    
17. 
    
18. struct sockaddr_nl src_addr, dest_addr;
    
19. struct nlmsghdr *nlh = NULL;
    
20. struct iovec iov;
    
21. int sock_fd;
    
22. struct msghdr msg;
    
23. struct option longopts[] =
    
24. {
    
25.    {"icmp",no_argument, NULL, 'i'},
    
26.    {"help",no_argument, NULL, 'h'},
    
27.    {"drop",required_argument, NULL, 'd'},
    
28.    {0,0,0,0}
    
29.   };
    
30. 
    
31. void print_help(char* str)
    
32. {
    
33. fprintf(stderr,"%s --icmp(-i)\n",str);
    
34. fprintf(stderr,"%s --drop(-d)\n",str);
    
35. fprintf(stderr,"eg:\n%s -i -d 202.114.85.105\n",str);
    
36. }
    
37. 
    
38. void init_own(OWN** own)
    
39. {
    
40. *own = (OWN*)malloc(sizeof(OWN));
    
41. (*own)->icmp_off = 0;
    
42. (*own)->drop_ip = 0; 
    
43. }        
    
44. 
    
45. int main(int argc, char* argv[])
    
46. {
    
47.    int c;
    
48.    OWN* own = NULL;
    
49.    init_own(&own);
    
50. 
    
51.    while((c=getopt_long(argc, argv, "hid:", longopts, NULL))!=-1)   
    
52.     {
    
53.       switch(c)
    
54.        {
    
55.          case 'i':
    
56.           {
    
57.             own->icmp_off = 1;
    
58.             break;
    
59.           }
    
60.          case 'd':
    
61.           {
    
62.             own->drop_ip = inet_addr(optarg);
    
63.             break;
    
64.           }
    
65.          case 'h':
    
66.            {
    
67.             print_help(argv[0]);
    
68.             return -1;
    
69.            }
    
70.         
    
71.          default:
    
72.           break;
    
73.        }
    
74. 
    
75.     }  
    
76. 
    
77.    sock_fd = socket(PF_NETLINK, SOCK_RAW, NETLINK_TEST);
    
78.    memset(&msg, 0, sizeof(msg));
    
79.    memset(&src_addr, 0, sizeof(src_addr));
    
80.    src_addr.nl_family = AF_NETLINK;
    
81.    src_addr.nl_pid = getpid(); /* self pid */
    
82.    src_addr.nl_groups = 0; /* not in mcast groups */
    
83.    bind(sock_fd, (struct sockaddr*)&src_addr, sizeof(src_addr));
    
84.    memset(&dest_addr, 0, sizeof(dest_addr));
    
85.    dest_addr.nl_family = AF_NETLINK;
    
86.    dest_addr.nl_pid = 0; /* For Linux Kernel */
    
87.    dest_addr.nl_groups = 0; /* unicast */
    
88. 
    
89.    nlh=(struct nlmsghdr *)malloc(NLMSG_SPACE(MAX_PAYLOAD));
    
90.    /* Fill the netlink message header */
    
91.    nlh->nlmsg_len = NLMSG_SPACE(MAX_PAYLOAD);
    
92.    nlh->nlmsg_pid = getpid(); /* self pid */
    
93.    nlh->nlmsg_flags = 0;
    
94.    /* Fill in the netlink message payload */
    
95.    printf("%d, %d\n", own->icmp_off, own->drop_ip);
    
96.    memcpy(NLMSG_DATA(nlh),own ,sizeof(OWN));
    
97. 
    
98.    iov.iov_base = (void *)nlh;
    
99.    iov.iov_len = nlh->nlmsg_len;
    
100.    msg.msg_name = (void *)&dest_addr;
     
101.    msg.msg_namelen = sizeof(dest_addr);
     
102.    msg.msg_iov = &iov;
     
103.    msg.msg_iovlen = 1;
     
104. 
     
105.    printf(" Sending message. ...\n");
     
106.    sendmsg(sock_fd, &msg, 0);
     
107.    close(sock_fd);
     
108.    free(own);
     
109.    return 0;
     
110. }

复制代码

  
Makefile  头文件

1. hook.h
   
2. #define NETLINK_TEST 21
   
3. 
   
4. typedef struct my
   
5. {
   
6.   int icmp_off;
   
7.   unsigned int drop_ip; 
   
8. }OWN;
   
9. 
   
10. makefile:
    
11.   obj-m += hook.o
    
12. KDIR := /lib/modules/$(shell uname -r)/build
    
13. 
    
14. all:
    
15.         make -C $(KDIR) M=$(shell pwd) modules
    
16.         gcc -Wall -o user user.c
    
17. clean:
    
18.         make -C $(KDIR) M=$(shell pwd) clean
    
19.         rm -f *odule* user

复制代码

usage:
         1.make
         2. insmod hook.ko (建议tail -f /var/log/messages查看是否success尤其是netlink create是否成功)
         3.默认你是可以ping, 和tcp得(我实验室只有两台机子A 202.114.85.105)
         4. ./user -i  -d 202.114.85.105 (A机不能ping和ftp B)
         5../user (取消限制了,可以ping和ftp B)