该怎么从netfilter勾出来的报文里读取数据?

Question

我该怎么从netfilter勾出来的报文里读取数据?

我使用这个钩子函数,读取netfilter架构勾出来的网络报文对应的skbuff结构体的内容,并打印到日志中.

unsigned int hook_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
    //这个函数是钩子函数.
    //抓到包时会执行该函数.
    //sk_buff是抓到的数据包.
    //接受了3个参数,只有中间那个用到了.
{
    struct iphdr*p=ip_hdr(skb);
    if(p->protocol==6)
    {
        printk(KERN_INFO"TCP packet!");
        printk(KERN_INFO"---len=%d",skb->len);
        struct tcphdr*t=(struct tcphdr*)(skb->data+p->ihl*4);
        u16 srcport=ntohs(t->source),dstport=ntohs(t->dest);
        printk(KERN_INFO"---srcport=%hu,dstport=%hu",srcport,dstport);
        unsigned char *c=skb->data;
        unsigned char *end=skb->head+skb->tail;
        if(srcport==12345)
            for(int i=0;c+i<end;i++)
                printk(KERN_INFO"%c %c %c %c %c %c",c[i*6],c[i*6+1],c[i*6+2],c[i*6+3],c[i*6+4],c[i*6+5]);
    }
    return NF_ACCEPT;  // accept the packet
                       //这里,钩子函数判定,接受该包.
}

之后,我在本地的12345端口,使用两个终端的netcat指令进行通信,内容为ABCDE.
然后我截取到类似如此的内容.

[24394.700504] ---srcport=12345,dstport=36050
[24394.700507] E \x00 \x00 ; : ]
[24394.700509] @ \x00 @ \x06 \x02 ^
[24394.700511] \x7f \x00 \x00 \x01 \x7f \x00
[24394.700513] \x00 \x01 0 9 \x8c \xd2
[24394.700514] \xc6 \x98 { \xa9 _ \xf8
[24394.700516] F \xe6 \x80 \x18 \x02 \x00
[24394.700518] \xfe / \x00 \x00 \x01 \x01
[24394.700519] \x08 
                \x9e \xa1 \xfc d
[24394.700521] \x9e \xa1 \xe1 \xf4 \x00 \x00
[24394.700523] \x00 \x00 \x00 \x00 \x00 \x00
[24394.700524] \x00 \x00 \x00 \x00 \x00 \x00
[24394.700526] \x00 \x00 \x00 \x00 \x00 \x00

差不多是这么个样子.如果它的网络报文中包含A,B这些英文字符,那为什么我使用printk打印不出来?

现在我发现一个问题,那就是这个钩子函数截取的只有网络报文的头部,和在wireshark打印的样子一模一样.
报文内部的内容是完全没有的.
netfilter没法获取报文内部的应用层数据吗?我看说明说可以啊.

Answer 1

这个包打印的没啥问题，应该是你打错包了。 TCP协议是有三次握手的，有syn、ack、fin、rst这些控制报文，所以你判断源端口是不是12345,并不能说明这个包一定就是你想要的带着ABC数据的报文。通过打印结果来看，这就是一个ACK的空包。

1. 第一个字节是字符E，16进制是0x45，说明skb->data指向的是一个IPv4头，IP头部长度为20字节。这个是符合预期，没什么问题。
2. 然后看IP头的第三、四个字节，这个字段是整个IP包的长度，字符';'的16进制是0x3B，换算称10进制就是59,也就是说明你这个包的整长度就是59，ip头已经占了20了，留给tcp的还有39个字节了。
3. 5、6、7、8这四个字节是IP报文的ID、Flag、Fragment字段，跳过。
4. 第九个字节是TTL，字符‘@’的16进制是0X40，是LINUX内核默认的64,说明你这个包还没经过Forwad阶段，所以猜测你这个hook应该是挂的PRE_ROUTING。
5. 第10个字节是协议号，6代表TCP,也符合预期。
6. 跳过2个字节的校验和，剩下8个字节是源和目的IP地址，127.0.0.1到127.0.0.1，说明你这个包是从lo口发给lo口的测试包。
7. 接下来是tcp头，21、22字节是源端口，字符0和字符9换算成10进制就是12345，符合预期。
8. 23、24字节是目的端口，换算下来也符合预期。
9. 接下来跳过8个字节的Ack和Seq，第33、34个字节是0X80和0X18，8表示tcp数据的偏移，4字节为单位，说明这个包的tcp头长度是32。0X18是TCP的Flag，说明这个包打着ack和psh的标记。
10. 从52字节开始，全是0，说明这是个空包。

综上，打印没啥问题，应该是打印错包了。另外你计算end的那行我猜你的本意应该是找到报文结束吧？代码写错了，head和tail这俩是指针，指针相加不是代表报文结束，所以你这个printk打印了后面的一堆的0, 如果不考虑非线性数据：

for(c = skb->data, c < skb->tail; c++) {
    printk(...);
}