内核模块编程求救

iptabler

感谢god兄的回复
现在关键是这句都没打印
printk("reject_tg call success!!!\n");
还有我hook的时候
.hooks = (1 << NF_INET_LOCAL_IN) | (1 << NF_INET_FORWARD) | (1 << NF_INET_LOCAL_OUT)
不是表示从三个hook走????我在内核源码内仿的

Godbach

你的这个程序我没有细看。看的是你的17楼的程序，我后来的回复是指的这个程序。

你不是后来说先研究17楼的程序吗？

iptabler

dreamice还要有兴趣的话
看看
http://bbs.chinaunix.net/viewthread.php?tid=791863
我现在在仿这个写,就是你所谓的思路....
那给的九贱的那个我也写了的...insmod是成功的,可是跟上面的domain是一样的,没效果...

其实我一直觉得我这个真的没必要iptables

iptabler

17楼的程序是我自己在2.6.18内核上写的 是测试通过的

Godbach

原帖由 iptabler 于 2008-12-21 12:36 发表
17楼的程序是我自己在2.6.18内核上写的 是测试通过的

如果你改装成了target。那你需要告诉内核什么时候执行这个target。也就是所谓匹配的问题。

Godbach

你测试了UDP和ICMP报文了吗？

Godbach

原帖由 iptabler 于 2008-12-21 12:35 发表
dreamice还要有兴趣的话
看看
http://bbs.chinaunix.net/viewthread.php?tid=791863
我现在在仿这个写,就是你所谓的思路....
那给的九贱的那个我也写了的...insmod是成功的,可是跟上面的domain是一样的,没效 ...

注册成hook函数就可以直接处理你的数据包了。所谓target和match是iptables在内核中的体现。
iptables本身也是需要注册hook函数的。是ipt_hook函数。在这个函数内部进行了match的匹配和target的执行。
对于你自身的hook函数，你完全可以在内部直接处理。而没有必要注册成一个target，因为使用target，是需要有相应match的。这个比较麻烦。

iptabler

我需要的是解决问题,那内核如何才匹配我现在写的这个target呢????
我是了解这个流程阿.....

iptabler

#include <linux/module.h> #include <linux/skbuff.h> #include <linux/ip.h> #include <linux/udp.h> #include <linux/icmp.h> #include <net/icmp.h> #include <net/ip.h> #include <net/tcp.h> #include <net/route.h> #include <net/dst.h> #include <net/net_namespace.h> #include <linux/netfilter/x_tables.h> #include <linux/netfilter_ipv4/ip_tables.h> #ifdef CONFIG_BRIDGE_NETFILTER #include <linux/netfilter_bridge.h> #endif MODULE_LICENSE ("GPL"); MODULE_AUTHOR ("zj"); MODULE_DESCRIPTION ("Xtables: packet \"winnuke\" target for IPv4"); static unsigned int reject_tg (struct sk_buff *skb, &nbsp;&nbsp;&nbsp;&nbsp;   const struct net_device *in, &nbsp;&nbsp;&nbsp;&nbsp;   const struct net_device *out, &nbsp;&nbsp;&nbsp;&nbsp;   unsigned int hooknum, &nbsp;&nbsp;&nbsp;&nbsp;   const struct xt_target *target, const void *targinfo) { &nbsp;&nbsp;const struct iphdr *oiph; &nbsp;&nbsp;const struct tcphdr *oth; &nbsp;&nbsp;struct tcphdr _otcph; &nbsp;&nbsp;oiph = ip_hdr (skb); &nbsp;&nbsp;printk("reject_tg call success!!!\n"); &nbsp;&nbsp;if (oiph->frag_off & htons (IP_OFFSET)) &nbsp;&nbsp;&nbsp;&nbsp;return NF_DROP; &nbsp;&nbsp;switch (oiph->protocol) &nbsp;&nbsp;&nbsp;&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;case IPPROTO_TCP: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;printk ("TCP PACKET!!!\n"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break; &nbsp;&nbsp;&nbsp;&nbsp;case IPPROTO_UDP: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;printk ("UDP PACKET!!!\n"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return NF_ACCEPT; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break; &nbsp;&nbsp;&nbsp;&nbsp;case IPPROTO_ICMP: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return NF_ACCEPT; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break; &nbsp;&nbsp;&nbsp;&nbsp;default: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return NF_ACCEPT; &nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;oth = skb_header_pointer (skb, ip_hdrlen (skb), sizeof (_otcph), &_otcph); &nbsp;&nbsp;if (oth == NULL) &nbsp;&nbsp;&nbsp;&nbsp;return NF_DROP; &nbsp;&nbsp;if (oth->urg) &nbsp;&nbsp;&nbsp;&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;printk ("urg ok!!!!!"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return NF_DROP; &nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;else &nbsp;&nbsp;&nbsp;&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;printk ("urg ok!!!!!"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;printk ("s_port:%d,d_port:%d", oth->source, oth->dest); &nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;return NF_ACCEPT; } static bool reject_tg_check(const char *tablename, const void *e_void, &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;const struct xt_target *target, void *targinfo, &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;unsigned int hook_mask) { &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;printk("check called!!!.\n"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return true; } static struct xt_target reject_tg_reg __read_mostly = { &nbsp;&nbsp;.name = "reject", &nbsp;&nbsp;.family = PF_INET, &nbsp;&nbsp;.target = reject_tg, &nbsp;&nbsp;.hooks = (1 << NF_INET_LOCAL_IN) | (1 << NF_INET_FORWARD) | &nbsp;&nbsp;&nbsp;&nbsp;(1 << NF_INET_LOCAL_OUT), &nbsp;&nbsp;.checkentry = reject_tg_check, &nbsp;&nbsp;.me = THIS_MODULE, }; static int __init reject_tg_init (void) { &nbsp;&nbsp;printk("insmod success!!\n"); &nbsp;&nbsp;return xt_register_target (&reject_tg_reg); } static void __exit reject_tg_exit (void) { &nbsp;&nbsp;printk("rmmod success!!\n"); &nbsp;&nbsp;xt_unregister_target (&reject_tg_reg); } module_init (reject_tg_init); module_exit (reject_tg_exit);

dreamice

原帖由 Godbach 于 2008-12-21 12:43 发表



注册成hook函数就可以直接处理你的数据包了。所谓target和match是iptables在内核中的体现。
iptables本身也是需要注册hook函数的。是ipt_hook函数。在这个函数内部进行了match的匹配和target的执行。
对 ...

如果是个测试程序，按17楼程序这样做no problem，但是，如果实际应用，这样的效率却不敢恭维。
我谈的是他这target的程序模块。
我觉得，最大的症结，还是这位兄弟对netfilter架构以及iptables的执行没有搞清楚。