在 TCP 通信中，当数据包从以太网传输到网络（IP）层时，我想打印该数据包中存在的数据？
我正在研究 linux。
我得到了一些信息，它可以在 linux 内核代码的帮助下完成，即在 linux NAT 防火墙代码中。但是我将在哪里获得内核源代码？这些编码是在哪里完成的？
【问题讨论】：
标签： c tcp linux-kernel hook netfilter
下面是一个完全符合您需要的示例：挂钩接收到的 TCP 数据包并打印其有效负载。如果您想从收到的数据包中打印一些其他信息（如二进制数据），您只需修改此注释下的部分：
/* ----- Print all needed information from received TCP packet ------ */
如果您需要跟踪 transmitted 数据包而不是 received 数据包，则可以替换此行：
nfho.hooknum = NF_INET_PRE_ROUTING;
用这个：
nfho.hooknum = NF_INET_POST_ROUTING;
保存下一个文件并发出make 命令来构建内核模块。然后执行sudo insmod print_tcp.ko 加载它。之后，您将能够使用dmesg 命令查看嗅探到的信息。如果要卸载模块，请运行sudo rmmod print_tcp 命令。
print_tcp.c：
#include <linux/module.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>
#include <linux/tcp.h>
#define PTCP_WATCH_PORT 80 /* HTTP port */
static struct nf_hook_ops nfho;
static unsigned int ptcp_hook_func(const struct nf_hook_ops *ops,
struct sk_buff *skb,
const struct net_device *in,
const struct net_device *out,
int (*okfn)(struct sk_buff *))
{
struct iphdr *iph; /* IPv4 header */
struct tcphdr *tcph; /* TCP header */
u16 sport, dport; /* Source and destination ports */
u32 saddr, daddr; /* Source and destination addresses */
unsigned char *user_data; /* TCP data begin pointer */
unsigned char *tail; /* TCP data end pointer */
unsigned char *it; /* TCP data iterator */
/* Network packet is empty, seems like some problem occurred. Skip it */
if (!skb)
return NF_ACCEPT;
iph = ip_hdr(skb); /* get IP header */
/* Skip if it's not TCP packet */
if (iph->protocol != IPPROTO_TCP)
return NF_ACCEPT;
tcph = tcp_hdr(skb); /* get TCP header */
/* Convert network endianness to host endiannes */
saddr = ntohl(iph->saddr);
daddr = ntohl(iph->daddr);
sport = ntohs(tcph->source);
dport = ntohs(tcph->dest);
/* Watch only port of interest */
if (sport != PTCP_WATCH_PORT)
return NF_ACCEPT;
/* Calculate pointers for begin and end of TCP packet data */
user_data = (unsigned char *)((unsigned char *)tcph + (tcph->doff * 4));
tail = skb_tail_pointer(skb);
/* ----- Print all needed information from received TCP packet ------ */
/* Show only HTTP packets */
if (user_data[0] != 'H' || user_data[1] != 'T' || user_data[2] != 'T' ||
user_data[3] != 'P') {
return NF_ACCEPT;
}
/* Print packet route */
pr_debug("print_tcp: %pI4h:%d -> %pI4h:%d\n", &saddr, sport,
&daddr, dport);
/* Print TCP packet data (payload) */
pr_debug("print_tcp: data:\n");
for (it = user_data; it != tail; ++it) {
char c = *(char *)it;
if (c == '\0')
break;
printk("%c", c);
}
printk("\n\n");
return NF_ACCEPT;
}
static int __init ptcp_init(void)
{
int res;
nfho.hook = (nf_hookfn *)ptcp_hook_func; /* hook function */
nfho.hooknum = NF_INET_PRE_ROUTING; /* received packets */
nfho.pf = PF_INET; /* IPv4 */
nfho.priority = NF_IP_PRI_FIRST; /* max hook priority */
res = nf_register_hook(&nfho);
if (res < 0) {
pr_err("print_tcp: error in nf_register_hook()\n");
return res;
}
pr_debug("print_tcp: loaded\n");
return 0;
}
static void __exit ptcp_exit(void)
{
nf_unregister_hook(&nfho);
pr_debug("print_tcp: unloaded\n");
}
module_init(ptcp_init);
module_exit(ptcp_exit);
MODULE_AUTHOR("Sam Protsenko");
MODULE_DESCRIPTION("Module for printing TCP packet data");
MODULE_LICENSE("GPL");
生成文件：
ifeq ($(KERNELRELEASE),)
KERNELDIR ?= /lib/modules/$(shell uname -r)/build
module:
$(MAKE) -C $(KERNELDIR) M=$(PWD) C=1 modules
clean:
$(MAKE) -C $(KERNELDIR) M=$(PWD) C=1 clean
.PHONY: module clean
else
MODULE = print_tcp.o
CFLAGS_$(MODULE) := -DDEBUG
obj-m := $(MODULE)
endif
我建议您阅读这本书：[4]。特别是您对下一章感兴趣：
您可以使用您喜欢的一种方式获取内核源代码：
来自kernel.org（更具体地说来自 kernel/git/torvalds/linux.git）的香草内核，使用Git。例如。如果你需要k3.13，可以通过以下方式完成：
$ git clone git://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git
$ cd linux/
$ git checkout v3.13
您的发行版中的内核源。例如。在 Debian 中，您只需安装 linux-source 软件包（源将安装到 /usr/src）。对于 Ubuntu，请参阅 these instructions。
详情：
[1]How to get TCP header from sk_buff
[2]Network flow control in Linux kernel
[3]Writing Loadable Kernel Modules using netfilter hooks
[4]"Linux Kernel Networking: Implementation and Theory" by Rami Rosen
[5]How to access data/payload from tcphdr
这个例子的钩子在哪里捕获数据包？换句话说，它是在 TCP 堆栈上，这样我就不需要处理丢包、重新排序等问题了吗？
Netfilter 钩子在ip_rcv() 函数（here）中被调用，所以你基本上是在 IPv4 层（OSI 中的网络层）工作。所以我相信在那个 netfilter 钩子中还没有处理数据包丢失处理、数据包重新排序等。
查看下一个链接以获取见解：
如果您想在传输层 (TCP) 上挂接数据包 - netfilter 不足以完成此任务，因为它仅在网络层 (IPv4) 中工作。
【讨论】：
【讨论】：
我不知道“从以太网传输到网络层”是什么意思。您的意思是当内核停止处理第 2 层标头并移动到第 3 层标头时？
我将由您自行决定如何使用这些信息。如果要过滤和拦截第 3 层数据包（IP 数据包），Linux 上有两个主要选项。首先，您可以编写一个 netfilter 挂钩（为此您需要内核编程知识和一些 C 技能）。这基本上是一个内核模块，因此您必须自己编写第 4 层过滤器。 Linux 在它的库中有struct tcphdr 和struct ip，只要谷歌，你就可以找到包含定义。
其他选项，我不建议在您希望它执行良好的环境中使用 iptables 或 nftables 将数据包排队到用户空间。这更容易编程，因为您可以直接从 cli 使用 IPtables 和 nftables 挂钩，而无需担心学习内核模块编程。一个示例 iptables 钩子是 iptables -A PREROUTING -p tcp --dport 8000 -j NFQUEUE --queue-num 0。这会将在 PREROUTING 中捕获的发往端口 8000 的任何 tcp 数据包路由到 netfilter 队列号 0（基本上只是一个用户空间套接字）。您需要为您的发行版安装libnetfilter_queue 或等效数据包，然后您可以捕获和修改此过滤器捕获的各种语言的数据包。我个人知道并用 C、Python、Rust 和 Golang 为这些脚本编写过脚本（尽管 golang 在速度方面有点糟糕，而 Python 是，好吧 Python，但 scapy 有一些很酷的数据包操作的东西）。给您的提示：如果您以这种方式修改第 4 层数据包，则使用校验和会很痛苦。在我将它设置为零后，我无法让 netfilter 自动计算校验和，我建议在线为 IP 和 TCP 找到一个有效的校验和计算函数，因为你已经在编写一些不应该在生产中使用的东西。
如果你想拦截第 2 层帧（以太网帧），我知道自内核 2.x 时代以来 Linux 中就有 ebtables。但是，这没有我所知道的简单的 NFQUEUE 类型的解决方案，因此您只能编写自己的代码。我相信它有用于创建过滤器和修改数据包的用户空间 API，所以你可能会很幸运。如果用户空间 API 不起作用，请享受编写内核模块的乐趣 :)。
【讨论】：
感谢@Sam Protsenko 的回答。但是对于 >= 4.13 的内核版本，函数 nf_register_hook(&nfho) 和 nf_unregister_hook(&nfho) 已被替换为 nf_register_net_hook(&init__net, &nfho) 和 nf_unregister_net_hook(&init__net, &nfho)。
如果您想尝试代码，请检查您的内核版本并根据您的情况修改代码。
另外，对于初学者，你可能想要apt install sparse，这是Makefile中使用的内核代码错误检查器。
【讨论】：
你可以像这样使用 tcpdump：
tcpdump -vvv -s 0 -l -n port 80 -i NameOfYourDevice
或者更好：
tcpdump -i NameOfYourDevice -a -x -n port 80
【讨论】：