打印TCP数据包数据

在TCP通信中,当数据包从以太网传输到网络(IP)层时,我想打印该数据包中存在的数据?

我正在研究linux.

我得到了一些信息,可以借助linux内核代码在linux NAT防火墙代码中完成.但是我会在哪里获得内核源代码?这些编码在哪里?

最佳答案
如何从TCP数据包打印数据

下面是一个完全满足您需求的示例:挂钩接收TCP数据包并打印其有效负载.如果要从接收的数据包中打印一些其他信息(如二进制数据),您只需要修改此注释下的部分:

/ * —–从收到的TCP数据包中打印所有需要的信息—— * /

如果您需要跟踪传输的数据包而不是接收的数据包,则可以替换此行:

nfho.hooknum = NF_INET_PRE_ROUTING;

这一个:

nfho.hooknum = NF_INET_POST_ROUTING;

保存下一个文件并发出make命令来构建内核模块.然后执行sudo insmod print_tcp.ko加载它.之后,您将能够使用dmesg命令查看嗅探信息.如果要卸载模块,请运行sudo rmmod print_tcp命令.

print_tcp.c:

#include <linux/module.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>
#include <linux/tcp.h>

#define PTCP_WATCH_PORT     80  /* HTTP port */

static struct nf_hook_ops nfho;

static unsigned int ptcp_hook_func(const struct nf_hook_ops *ops,
                                   struct sk_buff *skb,
                                   const struct net_device *in,
                                   const struct net_device *out,
                                   int (*okfn)(struct sk_buff *))
{
    struct iphdr *iph;          /* IPv4 header */
    struct tcphdr *tcph;        /* TCP header */
    u16 sport, dport;           /* Source and destination ports */
    u32 saddr, daddr;           /* Source and destination addresses */
    unsigned char *user_data;   /* TCP data begin pointer */
    unsigned char *tail;        /* TCP data end pointer */
    unsigned char *it;          /* TCP data iterator */

    /* Network packet is empty, seems like some problem occurred. Skip it */
    if (!skb)
        return NF_ACCEPT;

    iph = ip_hdr(skb);          /* get IP header */

    /* Skip if it's not TCP packet */
    if (iph->protocol != IPPROTO_TCP)
        return NF_ACCEPT;

    tcph = tcp_hdr(skb);        /* get TCP header */

    /* Convert network endianness to host endiannes */
    saddr = ntohl(iph->saddr);
    daddr = ntohl(iph->daddr);
    sport = ntohs(tcph->source);
    dport = ntohs(tcph->dest);

    /* Watch only port of interest */
    if (sport != PTCP_WATCH_PORT)
        return NF_ACCEPT;

    /* Calculate pointers for begin and end of TCP packet data */
    user_data = (unsigned char *)((unsigned char *)tcph + (tcph->doff * 4));
    tail = skb_tail_pointer(skb);

    /* ----- Print all needed information from received TCP packet ------ */

    /* Show only HTTP packets */
    if (user_data[0] != 'H' || user_data[1] != 'T' || user_data[2] != 'T' ||
            user_data[3] != 'P') {
        return NF_ACCEPT;
    }

    /* Print packet route */
    pr_debug("print_tcp: %pI4h:%d -> %pI4h:%d\n", &saddr, sport,
                              &daddr, dport);

    /* Print TCP packet data (payload) */
    pr_debug("print_tcp: data:\n");
    for (it = user_data; it != tail; ++it) {
        char c = *(char *)it;

        if (c == '\0')
            break;

        printk("%c", c);
    }
    printk("\n\n");

    return NF_ACCEPT;
}

static int __init ptcp_init(void)
{
    int res;

    nfho.hook = (nf_hookfn *)ptcp_hook_func;    /* hook function */
    nfho.hooknum = NF_INET_PRE_ROUTING;         /* received packets */
    nfho.pf = PF_INET;                          /* IPv4 */
    nfho.priority = NF_IP_PRI_FIRST;            /* max hook priority */

    res = nf_register_hook(&nfho);
    if (res < 0) {
        pr_err("print_tcp: error in nf_register_hook()\n");
        return res;
    }

    pr_debug("print_tcp: loaded\n");
    return 0;
}

static void __exit ptcp_exit(void)
{
    nf_unregister_hook(&nfho);
    pr_debug("print_tcp: unloaded\n");
}

module_init(ptcp_init);
module_exit(ptcp_exit);

MODULE_AUTHOR("Sam Protsenko");
MODULE_DESCRIPTION("Module for printing TCP packet data");
MODULE_LICENSE("GPL");

Makefile文件:

ifeq ($(KERNELRELEASE),)

KERNELDIR ?= /lib/modules/$(shell uname -r)/build

module:
    $(MAKE) -C $(KERNELDIR) M=$(PWD) C=1 modules

clean:
    $(MAKE) -C $(KERNELDIR) M=$(PWD) C=1 clean

.PHONY: module clean

else

MODULE = print_tcp.o
CFLAGS_$(MODULE) := -DDEBUG
obj-m := $(MODULE)

endif

说明

我建议你阅读这本书:[4].特别是你对下一章感兴趣:

>第11章:第4层协议

> TCP(传输控制协议)

>使用TCP从网络层(L3)接收数据包
>使用TCP发送数据包

>第9章:Netfilter

> Netfilter Hooks

如何获取Linux内核源代码

您可以使用您喜欢的方式获取内核源代码:

>使用Gitkernel.org(更具体地来自 kernel/git/torvalds/linux.git)的香草仁.例如.如果您需要k3.13,可以通过下一步方式完成:

$git clone git://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git
$cd linux/
$git checkout v3.13

>您的发行版的内核源代码.例如.在Debian中你可以只安装linux-source包(源代码将安装到/usr/src).对于Ubuntu,请参阅these instructions.

细节:

[1] How to get TCP header from sk_buff

[2] Network flow control in Linux kernel

[3] Writing Loadable Kernel Modules using netfilter hooks

[4] “Linux Kernel Networking: Implementation and Theory” by Rami Rosen

[5] How to access data/payload from tcphdr

UPDATE

where the hook captures packets for this example? In other words, is it upon TCP stack so that I don’t need to take care of packet losing, reordering, etc.?

在ip_rcv()函数(here)中调用Netfilter钩子,因此您基本上在IPv4层(OSI中的网络层)中工作.所以我认为在netfilter钩子中还没有处理丢包处理,数据包重新排序等.

有关见解,请参阅下一个链接:

> Netfilter packet flow
> Control flow in Linux networking
> Network data flow through kernel (diagram)

如果您想在传输层(TCP)上使用挂钩数据包 – netfilter不足以完成此任务,因为它仅在网络层(IPv4)中工作.

转载注明原文:打印TCP数据包数据 - 代码日志