हम नेटफिल्टर का अध्ययन करते हैं: हम कई पैटर्न की खोज करने के लिए xt_string के आधार पर अपने मैच मॉड्यूल लिखते हैं

परिचय

हाल ही में देखा गया कि एक हब्र पर कर्नेल मॉड्यूल के विकास की थोड़ी जानकारी है। सभी मैंने पाया:

• HTTPS के लिए कर्नेल मॉड्यूल (नेटफिल्टर) या पारदर्शी प्रॉक्सी लिखना सीखना
• "लिनक्स कर्नेल हैकिंग आसान है!" या "मुझे दस्तावेज़ कहां मिलेंगे?"
• 2-3 और लेख

यह हमेशा आश्चर्यचकित था कि जो लोग C के कम या ज्यादा जानकार हैं वे डरते हैं और कर्नेल कोड को पढ़ने से भी बचते हैं, जैसे कि इसमें 60% के लिए कोडांतरक होते हैं (जो वास्तव में उतना जटिल नहीं है)। दरअसल, मैं मौजूदा नेटफिल्टर और आईपीटैब मॉड्यूल के विकास या शोधन पर लेखों की एक श्रृंखला लिखने की योजना बना रहा हूं।

मुझे आशा है कि वे शुरुआती कर्नेल डेवलपर्स, ड्राइवर लेखकों, या सिर्फ उन लोगों के लिए दिलचस्प होंगे जो एक नए विकास क्षेत्र में खुद को आजमाना चाहते हैं।

हम क्या करेंगे

जैसा कि लेख का शीर्षक कहता है, हम xt_string के आधार पर एक सरल iptables मॉड्यूल लिखेंगे। Xt_string एक नेटफिल्टर मॉड्यूल है जो पैकेट में बाइट्स के अनुक्रम की खोज कर सकता है। हालांकि, मेरी राय में, उसके पास दिए गए क्रम में बाइट्स के कई दृश्यों की खोज करने की क्षमता का अभाव है। खैर, जीपीएल के बाद से, यह इस अवसर देने से क्या रोकता है?


वास्तव में, इस लेख में हम इस तरह के एक मॉड्यूल को लिखेंगे, हम इसे xt_wildstring कहेंगे, जिसका उपयोग निम्न प्रकार से मोटे पीआर के लिए किया जा सकता है:

iptables -I FORWARD -p tcp --dport 80 --tcp-flags ACK,PSH ACK,PSH -m wildstring --wildstring "reductor*price*carbonsoft.ru" -j DROP. 

विकास शुरू होते ही मैं लेख लिखना शुरू कर दूंगा।
यह ध्यान देने योग्य है कि यह मॉड्यूल उत्पादन के लिए नहीं लिखा गया था, लेकिन केवल एक सरल उदाहरण के रूप में, जो कि कर्नेल मॉड्यूल के विकास और परीक्षण की व्यवस्था करेगा, साथ ही नेटफिल्टर के साथ थोड़ा गहराई से जानने के लिए।

संक्षेप में netfilter और iptables के बारे में

आमतौर पर, iptables मॉड्यूल में दो भाग होते हैं - कर्नेलस्पेस और उपयोगकर्ता स्थान। कर्नेलस्पेस में एक लिनक्स कर्नेल मॉड्यूल होता है जिसे गतिशील रूप से लोड और उपयोग किया जा सकता है। यह पैकेज के साथ भी काम करता है जब हम iptables में एक नियम जोड़ते हैं। यूजर्सस्पेस में पहले से ही iptables मॉड्यूल है, जो आपको नियम बनाने और उन्हें लिनक्स कर्नेल पास करने की अनुमति देता है।

नेटफिल्टर मॉड्यूल को तीन श्रेणियों में विभाजित किया जा सकता है:

• हुक अनिवार्य रूप से डिफ़ॉल्ट चेन और टेबल हैं जिन्हें कर्नेल के माध्यम से पैकेज पथ पर प्रतिस्थापित किया जाता है
• माचिस - मॉड्यूल जो सही या गलत लौटाते हैं, आपको शर्तों का उपयोग करने की अनुमति देते हैं, उदाहरण के लिए, यह निर्धारित करें कि पैकेट किस प्रोटोकॉल का है
• लक्ष्य वे मॉड्यूल हैं जो पैकेज पर कुछ कार्रवाई करते हैं, सबसे प्रसिद्ध ACCEPT / DROP हैं, हालांकि वास्तव में बहुत अधिक हैं

स्रोत में ये मॉड्यूल कहां हैं:

नेटफिल्टर लिनक्स कर्नेल स्रोत का हिस्सा है और संस्करण 2.6.32 में कई निर्देशिकाओं में स्थित है:
/ usr / src / linux / net / netfilter / - अधिकांश मैच मॉड्यूल।
/ usr / src / linux / net / ipv4 / netfilter / लक्ष्य मॉड्यूल का हिस्सा है।
/ usr / src / linux / शामिल / linux / netfilter / - इन दोनों मॉड्यूल के हेडर।

Iptables मॉड्यूल निर्देशिका में स्थित हैं
/ usr / src / iptables / एक्सटेंशन /

कर्नेलस्पेस और यूजरस्पेस मॉड्यूल के हेडर समान होने चाहिए, इसलिए यह बेहतर है कि यह एक सिंगल फाइल है।

अब सिद्धांत से अभ्यास की ओर बढ़ते हैं

हम पहिया को सुदृढ़ नहीं करेंगे, इसके लिए नहीं कि जीपीएल का आविष्कार किया गया था। इस समय सबसे स्थिर में से एक के रूप में नवीनतम CentOS 6 कर्नेल से xt_string मॉड्यूल लें।

मॉड्यूल और स्टैंड के लिए विधानसभा प्रणाली स्थापित करने के बारे में बहुत सारी जानकारी सामने आई, इसलिए मैंने इसे बिगाड़ने वाले के नीचे छिपा दिया। यदि कोई गलतफहमी या रुचि है कि कहां और क्या एकत्र किया गया है, लॉन्च किया गया है और परीक्षण किया गया है - इसके तहत देखने के लिए समझ में आता है।

Linux और iptables से स्ट्रिंग को कॉपी करें

हमें वे मॉड्यूल मिलते हैं जिनकी हमें आवश्यकता होती है और उन्हें हमारे रिपॉजिटरी में कॉपी करते हैं।

 cp -v /usr/src/linux/net/netfilter/xt_string.c ~/GIT/wildstring/xt_wildstring.c mkdir -p ~/GIT/wildstring/include/linux/netfilter/ cp -v /usr/src/linux/include/linux/netfilter/xt_string.h ~/GIT/wildstring/include/linux/netfilter/xt_wildstring.h 

मेकफाइल लिखना

हम कर्नेल मॉड्यूल, आईपीटैब मॉड्यूल की असेंबली, साथ ही कोड के संरेखण, काम करने वाले फ़ोल्डर की सफाई, और कुछ अन्य लक्ष्यों का वर्णन करते हैं।

 obj-m += xt_wildstring.o all: module lib module: cp include/linux/netfilter/xt_wildstring.h /usr/src/linux/include/linux/netfilter/xt_wildstring.h make -C /lib/modules/2.6.32/build M=$(PWD) modules lib: cp libxt_wildstring.c /usr/src//iptables/extensions cp include/linux/netfilter/xt_wildstring.h /usr/src/iptables/include/linux/netfilter/xt_wildstring.h make -C /usr/src/iptables/extensions cp /usr/src/iptables/extensions/libxt_wildstring.so libxt_wildstring.so userspace: gcc userspace_wildstring.c -o userspace ./userspace rm -f userspace install: scp xt_wildstring.ko root@10.90.140.160: scp libxt_wildstring.so root@10.90.140.160:/lib64/xtables-1.4.7/ clean: rm -f *~ *.ko *.so *.mod.c *.ko.unsigned *.o modules.order Module.symvers indent: Lindent *.c include/linux/netfilter/xt_wildstring.h 

टिप्पणियाँ पर Makefile:

• 2.6.32 - हार्डकोड, चूंकि uname -r = 2.6.32-358.0.1.el6.x86_64, लेकिन मेरे पास ये स्रोत नहीं हैं, इसलिए सिम्लिंक सिम्लिंक /lib/modules/2.332-358.0.1 है। el6.x86_64 / build काम नहीं करेगा।
• चूंकि मैं एक मेकफिल गुरु नहीं हूं, और xt_wildstring.ko जैसे libxt_wildstring.so को संकलित करने के लिए एक सुंदर और सही तरीके के साथ नहीं आया हूं, इसलिए मैंने इस लक्ष्य को सरल द्विआधारी आदेशों से परेशान करने और लिखने का फैसला नहीं किया।
• पासवर्ड के बिना काम करने के लिए स्थापित लक्ष्य में एससीपी के लिए, आपको निर्माण प्रणाली पर एसएसएच कुंजी उत्पन्न करने और उन्हें परीक्षण बेंच पर छोड़ने की आवश्यकता है।
• लिंडेंट कमांड को / usr / src / linux / लिपियों / Lindent से / usr / लोकल / बिन में कॉपी किया जाता है, क्योंकि यह अक्सर उपयोग किया जाता है। मैं हमेशा लिनक्स कर्नेल में कोड लिखते समय इसका उपयोग करने की सलाह देता हूं, क्योंकि वे किसी के मठ में अपने चार्टर के साथ नहीं जाते हैं। प्रत्येक कमिट से पहले भी बेहतर।

हम .gitignore में अतिरिक्त हटा देते हैं

जीआईटी स्थिति में अनट्रैक की गई फाइलें कुछ कष्टप्रद हैं, इसलिए ~ / GIT / वाइल्डस्ट्रिंग / .ignignore बनाएं:

* .o
* .तो
। *
* .को
* .ko.unsigned
modules.order
Module.symvers
* .mod.c
.itignignore

नाम बदलकर वाइल्डस्ट्रीमिंग करना

ताकि मॉड्यूल मूल के साथ संघर्ष न करे, इसका अर्थ यह है कि इसे और इसके सभी कार्यों को स्ट्रिंग से वाइल्डस्ट्रिंग में बदल दिया जाए। एक महत्वपूर्ण बिंदु - आपको सब कुछ संपादित करने की आवश्यकता है: हेडर, उपयोगकर्तास्पेस मॉड्यूल और कर्नेलस्पेस मॉड्यूल। इस मामले में, grep रूसी लोकतंत्र के पिता को बचाएगा:

 grep -ri string xt_wildstring.c | grep -vi wildstring 

मिलान जानकारी संरचना

और फिर से, एक छोटा सिद्धांत: प्रत्येक मैच-मॉड्यूल की अपनी मिलान-जानकारी संरचना होती है, जो उपयोगकर्तास्पेस से पारित मापदंडों के आधार पर बनाई जाती है। यह हेडर फ़ाइल ( xt_wildstring.h ) में वर्णित है।



Xt_wildstring_info संरचना के कई क्षेत्रों को xt_wildstring.h में गुणा करें

सबसे पहले, सब्सट्रिंग में पॉइंटर्स जोड़ें। यह इंगित करता है, वर्णों का सारणी नहीं है, जैसा कि मूल में है, चूंकि दूसरा और तीसरा संकेत रिक्त हो सकते हैं, अर्थात, बिना तार के एक टेम्पलेट मॉड्यूल को पारित किया जाएगा। सादृश्य से, हम प्रत्येक टेम्पलेट के लिए पैकेज में पाठ खोज मापदंडों की संरचना के अनुसार, सबस्ट्रिंग की लंबाई + स्टोर करने के लिए उनके लिए चर जोड़ते हैं। नतीजतन, संरचना इस तरह दिखना शुरू हुई:

 #ifndef _XT_WILDSTRING_H #define _XT_WILDSTRING_H #include <linux/types.h> #define XT_WILDSTRING_MAX_PATTERN_SIZE 128 #define XT_WILDSTRING_MAX_ALGO_NAME_SIZE 16 enum { XT_WILDSTRING_FLAG_INVERT = 0x01, XT_WILDSTRING_FLAG_IGNORECASE = 0x02 }; struct xt_wildstring_info { __u16 from_offset; __u16 to_offset; char algo[XT_WILDSTRING_MAX_ALGO_NAME_SIZE]; char pattern[XT_WILDSTRING_MAX_PATTERN_SIZE]; /*    */ char *pattern_part1; char *pattern_part2; char *pattern_part3; __u8 patlen; /*   */ __u8 patlen_part1; __u8 patlen_part2; __u8 patlen_part3; union { struct { __u8 invert; } v0; struct { __u8 flags; } v1; } u; /* Used internally by the kernel */ /*        */ struct ts_config __attribute__((aligned(8))) *config; struct ts_config __attribute__((aligned(8))) *config_part1; struct ts_config __attribute__((aligned(8))) *config_part2; struct ts_config __attribute__((aligned(8))) *config_part3; }; #endif 

नए हेडर फ़ील्ड का उपयोग करना शुरू करना

Xt_wildstring.c पर जाएं।

अब हमने हेडर में जो कुछ भी जोड़ा है वह इसका उपयोग करने का समय है। शुरू करने के लिए, आइए खोज कॉन्फ़िगरेशन की तैयारी और विनाश को लाएं।

यहां फिर से, थोड़ा सिद्धांत - एक नियम के रूप में, एक मैच मॉड्यूल की संरचना में निम्नलिखित कार्य और संरचनाएं शामिल हैं:

• init - लोड होने पर मॉड्यूल का आरंभीकरण;
• निकास - लोड होने पर मॉड्यूल का विनाश;
• mt - function check the package;
• mt_check - एक फ़ंक्शन जो एक नियम को जोड़ते समय एक मॉड्यूल कॉल की शुद्धता की जांच करता है;
• mt_destroy - एक फ़ंक्शन जो संसाधनों को साफ करता है जब एक नियम हटा दिया जाता है;
• mt_reg - फ़ंक्शन के लिए पॉइंटर्स की संरचना mt_check, mt और mt_destroy + मॉड्यूल के बारे में अतिरिक्त जानकारी;

मूल xt_string में, एक नियम जोड़ना और हटाना इस प्रकार है:

String_mt_check (जोड़ने) में, ts_config, (ts - text search) संरचना स्ट्रिंग और खोज एल्गोरिथ्म के आधार पर उत्पन्न होती है। पैकेज डेटा (skb_find_text) के लिए खोज फ़ंक्शन इसे एक पैरामीटर के रूप में उपयोग करता है। इस संरचना (string_mt_destroy फ़ंक्शन) द्वारा कब्ज़ा की गई मेमोरी को textearch_destroy फ़ंक्शन द्वारा साफ़ किया जाता है, जिसे उस समय कहा जाता है जब नियम को श्रृंखला से हटा दिया जाता है।

Xt_wildstring_check पर textearch_prepare की एक जोड़ी जोड़ें

कुछ भी बदलने से पहले, हम मूल वाइल्डस्ट्रिंग_एमटी फ़ंक्शन पर टिप्पणी करते हैं, जो वास्तव में पैकेज की जांच करता है जब वह नियम से गुजरता है, क्योंकि परिवर्तन करना थोड़ा सार्थक है, लेकिन यह फ़ंक्शन उन पर बहुत निर्भर करता है, लेकिन साथ ही यह हमारे लिए महत्वपूर्ण नहीं है।

 static bool wildstring_mt(const struct sk_buff *skb, const struct xt_match_param *par) { return false; #if 0 ... #endif } 

सबसे पहले, हमारे ts_conf को xt_wildstring_check फ़ंक्शन में तैयार करें, जिसे नियम iptables में जोड़े जाने पर कहा जाता है। हम पॉइंटर को एक अस्थायी चर में लाइन की शुरुआत में कॉपी करेंगे, और हम इसे स्ट्रास फ़ंक्शन के साथ चलेंगे, जो दिए गए वर्ण सेट के अनुसार लाइन को विभाजित करेगा। यदि एक टोकन पाया जाता है, तो हम इसकी लंबाई की गणना करते हैं और इसका उपयोग पाठ खोज मापदंडों को तैयार करने के लिए करते हैं।

 s = (char *) conf->pattern; conf->pattern_part1 = strsep(&s, delim); if (!conf->pattern_part1) return false; //       conf->patlen_part1 = strlen(conf->pattern_part1); ts_conf = textsearch_prepare(conf->algo, conf->pattern_part1, conf->patlen_part1, GFP_KERNEL, flags); if (IS_ERR(ts_conf)) return false; conf->config_part1 = ts_conf; 

हम अगले दो ts_conf को सादृश्य द्वारा भरते हैं, केवल इस अंतर के साथ कि यदि पैटर्न का सूचक खाली हो गया है, तो यह अब कोई त्रुटि नहीं है, और यह सही है, अर्थात हम कम पैटर्न के साथ काम करते हैं।

और उन्हें wildstring_mt_destroy में नष्ट कर दें

इस फ़ंक्शन को कहा जाता है जब नियम को iptables से हटा दिया जाता है। नियम को हटाते समय मापदंडों को नष्ट करने के लिए, गुणा करें।

 static void wildstring_mt_destroy(const struct xt_mtdtor_param *par) { struct xt_wildstring_info *conf = WILDSTRING_TEXT_PRIV(par->matchinfo); if (conf->pattern_part1) textsearch_destroy(conf->config_part1); if (conf->pattern_part2) textsearch_destroy(conf->config_part2); if (conf->pattern_part3) textsearch_destroy(conf->config_part3); } 

मैच को ध्यान में रखें

और इसलिए मॉड्यूल सफलतापूर्वक लोड-अनलोड करना शुरू कर दिया, और नियम जोड़ दिए गए-हटाए गए, और कोई कर्नेल पैनिक नहीं। अब हम पहले से टिप्पणी किए गए वाइल्डस्ट्रिंग_एमटी फ़ंक्शन पर लौटते हैं और इसे फ़ंक्शन में दिए गए सभी टेम्प्लेट की खोज में जोड़ते हैं।
सबसे पहले, हमें उस बदलाव की लंबाई को संरक्षित करने के लिए एक चर की आवश्यकता है, जिस पर हम वांछित विकल्प खोजने में कामयाब रहे।

 unsigned int skb_find = 0; 

सामान्य तौर पर, यह सबसे अच्छा नाम नहीं है, यह tmp_from_offset या wildstring_from_offset जैसा कुछ बहुत स्पष्ट होगा, लेकिन सब कुछ पहले से ही गिटहब पर कमिट्स में है, इसलिए, अफसोस, यह देर हो चुकी है। अब, पहली खोज के परिणाम को वापस करने के बजाय, हम इसे अपने नए वेरिएबल में असाइन करेंगे, इसका विश्लेषण करेंगे और यदि कुछ नहीं मिला, तो झूठे वापस कर दें, और इसी तरह जब तक हम सभी दिए गए पैटर्न से नहीं गुजरते।

 memset(&state, 0, sizeof(struct ts_state)); skb_find = skb_find_text((struct sk_buff *)skb, conf->from_offset, conf->to_offset, conf->config_part1, &state); if (skb_find == UINT_MAX) return false; 

और इसलिए हम config_part2 और config_part3 के लिए दोहराते हैं, इस अंतर के साथ कि pattern_part2 और pattern_part3 की उपस्थिति की जांच होनी चाहिए और यदि नहीं, तो सही लौटें।

हम खत्म करते हैं और जांच करते हैं

इसके अलावा, हम सभी संकलन त्रुटियों का इलाज करते हैं। सामान्य तौर पर, जितना संभव हो उतना बार संकलन करना बेहतर होता है, और प्रत्येक तार्किक अंत में, एक अनंत लूप में मॉड्यूल के संचालन की जांच करें जब तक कि अगला भाग नहीं जोड़ा जाता है या हम नोटिस करते हैं कि कर्नेल घबराहट हुई है। यह ऐसा करने के लायक है क्योंकि त्रुटि की कीमत कोड लिखने और सत्यापित करने के बीच बहुत अधिक समय बीत जाता है और यह सत्यापित करता है कि यह सबसे उपयोगकर्ता उपयोगिताओं को लिखते समय पूरी तरह से चालू है। इसीलिए लेख की शुरुआत में ही स्टैंड पर असेंबली और डीबगिंग सिस्टम की सुविधा पर इतना ध्यान दिया जाता है, क्योंकि, जैसा कि सभी जानते हैं, अंदर की बात चाहे कितनी भी अच्छी क्यों न हो, अगर उसका इस्तेमाल करना असुविधाजनक है, तो इसका उपयोग नहीं किया जाएगा।

Wget या कर्ल का उपयोग कर परीक्षण मामलों के एक जोड़े पर परीक्षण। एक नियम बनाते समय, यह याद रखना महत्वपूर्ण है कि HTTP पैकेज में HOST के सामने GET है, और टेम्पलेट को थोड़ा पीछे की ओर लिखना होगा:

• "कुछ ... html * example.com"
• "प्रॉन * एवी * योराइट"
• "रिडक्टर * स्कीम * carbonsoft.ru"

यही है, हम नियम जोड़ते हैं:

 iptables -I OUTPUT -p tcp –dport 80 -m wildstring “reductor*scheme*carbonsoft” -j DROP 

और पेज डाउनलोड करने का प्रयास करें:

wget -t 1 -T 1 http://www.carbonsoft.ru/products/reductor/carbon-reductor/#hemheme

बिंगो - हमने तोड़ दिया और iptables -nvL OUTPUT एक बढ़ा हुआ पैकेट काउंटर दिखाता है।

सूचियाँ क्यों नहीं?

एक चौकस और अनुभवी पाठक शायद यह कहेगा कि क्या चीखने वाला है - वे कहते हैं कि इस तरह की विकृतियां और बैसाखी क्यों होती हैं, जब आप सूचियों का उपयोग कर सकते हैं और इसमें संरचना जोड़ सकते हैं, पैटर्न, पॅलेन और कॉन्फिग को शामिल कर सकते हैं, और फिर इस सूची में for_each_entry पर जा सकते हैं। लेकिन - लेख का उद्देश्य नेटफिल्टर मॉड्यूल की डिवाइस को दिखाना है, और लिनक्स कर्नेल में सूचियों के साथ काम करना मॉड्यूल में एक और अतिरिक्त सार जोड़ देगा जिसे आपको समझने की आवश्यकता है। खैर, और इसके अलावा, आपको स्वतंत्र अभ्यास के लिए पाठक को कुछ छोड़ना होगा।

समापन

वास्तव में, हमने सीखा कि नेटफिल्टर के लिए कर्नेल मॉड्यूल कैसे बनाए जाते हैं, क्या यह बहुत अच्छा नहीं है?
सामान्य तौर पर, आप न केवल HTTP के लिए, बल्कि कई अन्य प्रोटोकॉल के लिए भी मॉड्यूल का उपयोग कर सकते हैं, उदाहरण, शायद, मैं बाद में टिप्पणियों में जोड़ूंगा।

हमारी वेबसाइट पर ओपनसोर्स सेक्शन में सूत्र पाए जा सकते हैं।