Netfilter钩子点
通过上文Netfilter介绍的了解到，Netfilter是通过注册钩子函数来将我们的代码加入Netfilter的处理机制中，我们首先需要了解各个钩子点的含义，PRE_ROUTING、LOCAL_IN、FORWARD、LOCAL_OUT和POST_ROUTING是Netfilter钩子点。它们是在Linux内核网络协议栈中定义的五个特定点，用于处理网络数据包的不同阶段。以下是它们的详细介绍：
- PRE_ROUTING：PRE_ROUTING钩子点位于数据包到达Linux内核网络协议栈的最前面，即在数据包进行任何处理之前。在PRE_ROUTING钩子点上注册的回调函数可以访问数据包的目标地址，并可以修改数据包的目标地址。这个钩子点通常用于网络地址转换（NAT）操作。
- LOCAL_IN：LOCAL_IN钩子点位于数据包已经到达Linux内核网络协议栈内部，但尚未被分配给任何应用程序的阶段。在LOCAL_IN钩子点上注册的回调函数可以访问数据包的源地址和目标地址，并可以对数据包进行过滤和修改。这个钩子点通常用于实现网络安全策略和过滤非法数据包。
- FORWARD：FORWARD钩子点用于处理转发的数据包，即那些需要从一个网络接口转发到另一个网络接口的数据包。在FORWARD钩子点上注册的回调函数可以访问数据包的源地址和目标地址，并可以对数据包进行过滤和修改。这个钩子点通常用于实现网络路由策略和流量控制。
- LOCAL_OUT：LOCAL_OUT钩子点用于处理数据包从Linux系统中的应用程序发送到网络的阶段。在LOCAL_OUT钩子点上注册的回调函数可以访问数据包的源地址和目标地址，并可以对数据包进行过滤和修改。这个钩子点通常用于实现网络安全策略和流量控制。
- POST_ROUTING：POST_ROUTING钩子点位于数据包从Linux内核网络协议栈内部发送到网络之前的阶段。在POST_ROUTING钩子点上注册的回调函数可以访问数据包的源地址，并可以修改数据包的源地址。这个钩子点通常用于网络地址转换（NAT）操作。
从上面我们了解到了各个钩子点的含义，比如我们只想接收发到本机的数据包，可以注册LOCAL_IN，如果接收到达本机所有的数据包可以通过注册PRE_ROUTING点。
代码实现
#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>
static struct nf_hook_ops nfho; // net filter hook option struct
/* function to be called by hook */
unsigned int hook_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
struct iphdr *iph; // ip header struct
iph = ip_hdr(skb); // get ip header from skb
if (skb->protocol == htons(ETH_P_IP)) {
// IPv4 packet
/* print ip address and protocol of captured packet */
printk(KERN_INFO "Captured packet: src_addr=%pI4, dst_addr=%pI4, protocol=%d\n",
&iph->saddr, &iph->daddr, iph->protocol);
}
return NF_ACCEPT; // accept the packet
}
/* module init function */
static int __init init_nf_module(void)
{
nfho.hook = hook_func; // hook function
nfho.hooknum = NF_INET_PRE_ROUTING; // hook point
nfho.pf = PF_INET; // protocol family
nfho.priority = NF_IP_PRI_FIRST; // hook priority
nf_register_hook(&nfho); // register hook
printk(KERN_INFO "nf_hook registered\n");
return 0;
}
/* module exit function */
static void __exit exit_nf_module(void)
{
nf_unregister_hook(&nfho); // unregister hook
printk(KERN_INFO "nf_hook unregistered\n");
}
module_init(init_nf_module);
module_exit(exit_nf_module);
MODULE_LICENSE("GPL");
以上代码定义了一个hook_func函数，该函数将被注册到NF_INET_PRE_ROUTING钩子点，当有数据包通过该钩子点时，hook_func函数将被调用，然后抓取数据包的源地址、目的地址和协议，并将这些信息打印出来。同时，在init_nf_module函数中，我们定义了nfho结构体，该结构体包含了钩子函数、钩子点、协议族和钩子优先级等信息，并将其注册到内核的netfilter框架中。最后，在exit_nf_module函数中，我们将钩子函数从netfilter框架中注销
编译
在编译过程中，您需要确保系统已经安装了内核头文件。内核头文件包含了编写内核模块所需的所有头文件和宏定义等内容。
如果您的系统上没有安装内核头文件，您可以使用以下命令安装：
sudo apt-get install linux-headers-$(uname -r)
此命令将安装与当前正在运行的内核版本相对应的内核头文件。
另外，如果您使用的是不同版本的内核，需要使用相应的内核头文件。您可以使用以下命令列出可用的内核头文件：
sudo apt-cache search linux-headers
可以根据需要安装相应的内核头文件。
Makefile
obj-m += nf_hook.o
all:
make -C /lib/modules/$(shell uname -r)/build M=$(PWD) modules
clean:
make -C /lib/modules/$(shell uname -r)/build M=$(PWD) clean
以上makefile将nf_hook.c编译为一个内核模块，并使用obj-m来定义内核模块的名称。使用make命令可以编译内核模块。
运行
在终端中，使用以下命令将内核模块加载到系统中：
sudo insmod nf_hook.ko
查看系统日志以确保模块已成功加载：
dmesg | tail
在终端中使用ping命令或其他网络工具向目标主机发送数据包，例如：
ping 8.8.8.8
应该能够在系统日志中看到类似以下输出的信息：
[ 184.907485] Captured packet: src_addr=192.168.0.1, dst_addr=8.8.8.8, protocol=1
这表明程序已成功通过netfilter钩子函数抓取了发送到8.8.8.8的ICMP数据包。
在终端中使用以下命令卸载内核模块：
sudo rmmod nf_hook
struct nf_hook_ops
struct nf_hook_ops 结构体中的 nfho 字段是一个 struct nf_hook_ops 类型的指针，它是用来注册 netfilter 钩子函数的。
在使用 netfilter 钩子函数时，我们需要创建一个 struct nf_hook_ops 结构体并将其注册到内核中，以便在网络流量通过内核时触发我们的钩子函数。该结构体中的 nfho 字段是我们需要填充的一个结构体，用于指定我们的钩子函数需要处理的网络流量类型、执行的优先级等信息。
以下是一个简单的 struct nf_hook_ops 结构体的定义：
static struct nf_hook_ops nfho = {
.hook = hook_func, // 指定钩子函数
.hooknum = NF_INET_PRE_ROUTING, // 钩子函数所处的网络流量阶段
.pf = PF_INET, // IP 协议族
.priority = NF_IP_PRI_FIRST // 优先级
};
在上述结构体中，我们填充了以下信息：
- hook 字段：该字段指定了我们需要执行的钩子函数。
- hooknum 字段：该字段指定了钩子函数所处的网络流量阶段。在这个例子中，我们使用了
NF_INET_PRE_ROUTING，该字段表示我们的钩子函数将在 IP 数据包到达主机之前进行处理。 - pf 字段：该字段指定了 IP 协议族。在这个例子中，我们使用了 PF_INET，表示我们的钩子函数将处理 IPv4 数据包。
- priority字段：该字段指定了钩子函数的优先级，以确保在多个钩子函数共存时，执行顺序能够正确确定。在这个例子中，我们使用了NF_IP_PRI_FIRST，表示我们的钩子函数优先级最高。
在定义好 struct nf_hook_ops 结构体之后，我们可以将其注册到内核中，以便触发钩子函数。注册的方法如下：
nf_register_hook(&nfho);
其中，nf_register_hook() 函数用于注册我们的钩子函数，该函数将在我们的钩子函数触发时被调用。
如果我们需要在程序结束时将钩子函数从内核中注销，我们可以使用以下代码：
nf_unregister_hook(&nfho);
skb结构体
在 Linux 内核中，skb（socket buffer）是一个数据结构，用于在网络协议栈中传递数据。它包含了一个数据包的所有信息，如数据、协议头、网络接口信息等等。
在 Linux 内核中，每当一个数据包通过网络接口被接收或者发送时，就会被包装成一个 skb。skb 在整个网络协议栈中传递，直到被交付给应用程序或者发送到网络上。
skb 可以被认为是一个链表，每个 skb 都有一个指向下一个 skb 的指针。当一个 skb 被处理完成后，它会被释放并从链表中移除。
在 Linux 内核中，skb 的结构体定义如下：
struct sk_buff {
struct sk_buff_head __rcu *list;
kmemcheck_bitfield_begin
union {
unsigned char nfct_info[4];
struct {
unsigned int nfct:16;
unsigned int nfctinfo:8;
unsigned int nfnl:8;
};
};
kmemcheck_bitfield_end
unsigned char cb[48];
unsigned int len,
data_len;
__u16 mac_len,
hdr_len;
union {
__be16 protocol;
unsigned long _skb_refdst;
};
unsigned int vlan_tci;
union {
__u16 vlan_proto;
void *sk;
};
__u16 queue_mapping;
unsigned char protocol;
unsigned char priority;
unsigned char local_df:1,
cloned:1,
ip_summed:2,
nohdr:1,
nfct_reasm:1,
nfct_policy:2,
csum_valid:1;
unsigned char pkt_type:3,
fclone:2,
ipvs_property:1,
peeked:1,
nf_trace:1;
union {
__u16 encapsulation;
__u16 encap_hdr_len;
};
/* sk_buff data buffer */
struct skb_shared_info * shinfo;
atomic_t users;
};
其中，skb 的成员包括：
list：一个指向 skb 列表头的指针，用于将 skb 连接成链表。
nfct_info：一个用于记录 skb 状态的字段，用于在网络连接追踪（conntrack）中标记 skb 状态。
cb：skb 内核私有数据区域，用于存储协议层的私有信息。
len：skb 的总长度，包括所有的协议头和数据。
data_len：skb 中数据的长度。
mac_len：skb 中 MAC 地址的长度。
hdr_len：skb 中协议头的长度。
protocol：skb 中的网络协议类型。
vlan_tci：skb 中 VLAN 标签的 TCI 值。
vlan_proto：skb 中 VLAN 标签的协议类型。
queue_mapping：skb 所属的网络队列编号。
protocol：skb 中的协议类型。
priority：skb 的优先级。
local_df：skb 是否启用本地 DF 标志。
cloned：skb 是否是克隆的。
ip_summed：skb 是否需要校验和。
nohdr：skb 中是否包含协议头。
nfct_reasm：skb 是否正在进行连接追踪的数据包重组。
nfct_policy：skb 在连接追踪中的处理策略。
csum_valid：skb 的校验和是否有效。
pkt_type：skb 的包类型。
fclone：skb 的克隆标志。
ipvs_property：skb 是否为 IPVS 负载均衡属性包。
peeked：skb 是否被读取过。
nf_trace：skb 是否需要在网络连接追踪中进行跟踪。
encapsulation：skb 中的封装
encap_hdr_len：skb 中封装协议头的长度。
shinfo：skb 共享信息的指针，包括共享数据缓冲区和共享数据信息。
users：skb 的使用计数器。
在使用 netfilter 进行网络数据包处理时，我们通常需要使用 skb 结构体来访问网络数据包的内容。通过访问 skb 结构体的字段，我们可以获取到数据包的各个部分的内容，从而进行网络数据包的过滤、修改、重定向等操作。
当我们使用 netfilter 进行网络数据包处理时，经常会用到一些与 skb 结构体相关的函数。以下是一些常用的 skb 函数：
skb_copy()：用于复制一个 skb 结构体，可以用于重定向数据包等场景。
skb_push() 和 skb_pull()：用于在 skb 数据区域的开头和末尾添加或删除数据。
skb_trim()：用于调整 skb 的大小。
skb_clone()：用于复制一个 skb 结构体的副本。
skb_put()：用于向 skb 数据区域中添加数据。
skb_copy_bits()：用于从一个 skb 数据区域中复制一段数据。
skb_mac_header()、skb_network_header() 和 skb_transport_header()：
用于获取 skb 数据区域中 MAC、网络和传输层头部的指针。
skb_reset_network_header() 和 skb_reset_transport_header()：
用于重新设置 skb 数据区域中的网络和传输层头部指针。
这些函数可以帮助我们在处理网络数据包时，方便地访问和修改 skb 结构体中的各个字段，从而实现各种网络数据包的处理功能。
后续讲解我们如何通过自己手动构造skb来实现通信