⚔️ 💪🏼 🍆 netfilterを勉強します：xt_stringに基づいていくつかのパターンを検索するための一致モジュールを作成 ✊🏻 🚴🏼 📪

はじめに

最近、habrにはカーネルモジュールの開発に関する情報が少しあることに気付きました。私が見つけたすべて：

Cについて多少なりとも知識のある人が恐れており、60％のアセンブラーで構成されているかのようにカーネルコードを読み取らないことは常に驚くべきことでした（実際にはそれほど複雑でもありません）。実際、既存のnetfilterおよびiptablesモジュールの開発または改良に関する一連の記事を書く予定です。

初心者のカーネル開発者、ドライバー作成者、または新しい開発分野で自分自身を試してみたいと思っている人々にとって興味深いものになることを願っています。

私たちは何をしますか

記事のタイトルにあるように、xt_stringに基づいた簡単なiptablesモジュールを作成します。 Xt_stringは、パケット内のバイトシーケンスを検索できるnetfilterモジュールです。しかし、私の意見では、彼は特定の順序でバイトのいくつかのシーケンスを検索する能力に欠けています。さて、GPL以来、何がこの機会を与えるのを妨げていますか？

実際、この記事ではそのようなモジュールを書き留め、xt_wildstringと呼びます。これは、次のように~~シックPRに~~使用できます。

iptables -I FORWARD -p tcp --dport 80 --tcp-flags ACK,PSH ACK,PSH -m wildstring --wildstring "reductor*price*carbonsoft.ru" -j DROP.

開発の開始と同時に記事を書き始めます。
すぐに注意する必要があります-このモジュールは実稼働用に作成されたものではなく、カーネルモジュールの開発とテストを迅速に調整し、netfilterを少し詳しく知るための簡単な例としてのみ書かれています。

netfilterとiptablesについて簡単に

通常、iptablesモジュールは、カーネルスペースとユーザースペースの2つの部分で構成されます。カーネルスペースには、動的にロードして使用できるLinuxカーネルモジュールが含まれています。また、iptablesにルールを追加するときにパッケージでも機能します。ユーザースペースにはすでにiptablesモジュールが含まれています。これにより、ルールを作成し、それらをLinuxカーネルに渡すことができます。

Netfilterモジュールは、次の3つのカテゴリに分類できます。

フックは基本的に、カーネルを介したパッケージパスで置換されるデフォルトのチェーンとテーブルです
一致-trueまたはfalseを返すモジュール。条件を使用できます。たとえば、パケットが属するプロトコルを決定します。
ターゲットはパッケージで何らかのアクションを実行するモジュールで、最も有名なものはACCEPT / DROPですが、実際にはもっと多くのものがあります

ソース内のこれらのモジュールは次のとおりです。

NetfilterはLinuxカーネルソースの一部であり、バージョン2.6.32のいくつかのディレクトリにあります。
/ usr / src / linux / net / netfilter /-ほとんどの一致モジュール。
/ usr / src / linux / net / ipv4 / netfilter /は、ターゲットモジュールの一部です。
/ usr / src / linux / include / linux / netfilter /-これら両方のモジュールのヘッダー。

Iptablesモジュールはディレクトリにあります
/ usr / src / iptables /拡張機能/

カーネルスペースとユーザースペースのモジュールのヘッダーは同じである必要があるため、単一のファイルの方が適切です。

それでは、理論から実践に移りましょう

GPLが発明されたという理由ではなく、我々は車輪を再発明しません。現時点で最も安定しているものの1つとして、最新のCentOS 6カーネルのxt_stringモジュールを使用してください。

モジュールとスタンドアセンブリシステムのセットアップについて多くの情報が出てきたので、スポイラーの下に隠しました。どこで何が収集され、起動され、テストされるかについて誤解または関心がある場合は、その下を見るのが理にかなっています。

ビルドシステムとテストベンチの設定。

ビルドおよびデバッグシステムの準備

はい、Linux Kernelを開発するための便利なIDEの多くの夢。しかし、残念ながら、私は価値のあるものを見つけられませんでした。この理由の1つは比較的単純です-カーネルのセグメンテーション違反の場合、カーネルパニックが発生し、作業マシンでパニックが発生した場合に再起動に多くの時間を費やします。したがって、特定のハードウェア向けにコードが記述されている場合は、原則として、開発は仮想マシンまたは別のスタンドで実行されます。ただし、モジュールはユニバーサルなので、仮想マシンをインストールします。

CentOSを2つの仮想マシンに配置します

実際、障害が発生した場合にカーネルパニック中に脳がアイドル状態にならないように、またそれらが保証されているように、次のように進めます。インターネットと相互にアクセスできる2つの仮想マシンをインストールします。 1つはモジュールビルダー、2つ目はテストスタンドです。

コレクターで、linuxおよびiptablesのソースを取得します

ちなみに、コレクターには、いくつかの便利なプログラムが必要です。

 yum install git ncurses-devel make gcc rpm-build indent

次に、CentOS用に開発している人にとって最も便利なリポジトリの1つをブックマークに追加します。

http://vault.centos.org/6.4/os/Source/SPackages/

ここから、src.rpm Linuxカーネルとiptablesを取得します。

 rpm -i http://vault.centos.org/6.4/os/Source/SPackages/kernel-2.6.32-358.el6.src.rpm rpm -i http://vault.centos.org/6.4/os/Source/SPackages/iptables-1.4.7-9.el6.src.rpm

次に、/ root / rpmbuild / SPECS /に移動し、CentOSからのパッチパッチでソースファイルを展開します。

 rpmbuild -bp iptables.spec rpmbuild -bp kernel.spec

/ root / rpmbuild / BUILD /に、Linuxカーネルソースとiptablesのあるフォルダーが表示されます。

モジュールに変更を加えるときにnet / netfilter /フォルダーのみを再構築できるようにするには、カーネル全体を少なくとも1回アセンブルする必要があります。利便性と慣れのために、シンボリックリンクを作成します。

 ln -s /root/rpmbuild/BUILD/kernel-2.6.32-358.el6/linux-2.6.32-358.el6.x86_64/ /usr/src/linux ln -s /root/rpmbuild/BUILD/iptables-1.4.7/ /usr/src/iptables/

/ usr / src / linuxに移動します。まず、構成を生成します。

 make menuconfig

保存してコア全体を収集します。ちなみに、おそらくrpmbuildで作成するか、gpgでハングします：keyring `./pubring.gpg 'created。これを回避するために、私たちとのランダムはurandomだとしましょう。

 rm -f /dev/random ln -s /dev/urandom /dev/random

そして実際のアセンブリ：

 make prepare make -j 3 make modules_install

一般に、モジュールのソースコードをGITリポジトリに保存するとよいでしょう。私にとっては、〜/ GIT / wildstring /にあります。

カーネルパニックでスタンドを再起動する

私の意見では、2つの方法でこれを行うことができます。最も正しい方法は/ proc / sys / kernel / panicパラメーターを2に設定することです。しかし、パニックの出力は重要です。必要に応じて、次の精神でホストシステムでスクリプトを使用できます：

 name=centos_test ip=<ip_> while true; do if ! ping -qc 1 $ip; then virt-viewer $name sleep 2 scrot virsh destroy $name virsh start $name sleep 60 fi done

モジュールの正常性の確認

 #!/bin/bash test_wildstring() { iptables -F OUTPUT rmmod xt_wildstring insmod xt_wildstring iptables -I OUTPUT -p tcp –dport 80 -m wildstring “opensource*carbonsoft” -j DROP wget -t 1 -T 1 http://carbonsoft.ru/opensource/ Iptables -nvL OUTPUT } test_wildstring if [ “$1” = 'while' ]; then while true; do test_wildstring sleep 1 done fi

次のように使用できます：

1回限りの起動：

 ./test_wildstring.sh

無限ループ：

 ./test_wildstring.sh while

Linuxおよびiptablesから文字列をコピーします

必要なモジュールを見つけて、リポジトリにコピーします。

 cp -v /usr/src/linux/net/netfilter/xt_string.c ~/GIT/wildstring/xt_wildstring.c mkdir -p ~/GIT/wildstring/include/linux/netfilter/ cp -v /usr/src/linux/include/linux/netfilter/xt_string.h ~/GIT/wildstring/include/linux/netfilter/xt_wildstring.h

Makefileを書く

カーネルモジュールのアセンブリ、iptablesモジュール、およびコードの配置、作業フォルダーのクリーニング、およびその他のいくつかの目標について説明します。

 obj-m += xt_wildstring.o all: module lib module: cp include/linux/netfilter/xt_wildstring.h /usr/src/linux/include/linux/netfilter/xt_wildstring.h make -C /lib/modules/2.6.32/build M=$(PWD) modules lib: cp libxt_wildstring.c /usr/src//iptables/extensions cp include/linux/netfilter/xt_wildstring.h /usr/src/iptables/include/linux/netfilter/xt_wildstring.h make -C /usr/src/iptables/extensions cp /usr/src/iptables/extensions/libxt_wildstring.so libxt_wildstring.so userspace: gcc userspace_wildstring.c -o userspace ./userspace rm -f userspace install: scp xt_wildstring.ko root@10.90.140.160: scp libxt_wildstring.so root@10.90.140.160:/lib64/xtables-1.4.7/ clean: rm -f *~ *.ko *.so *.mod.c *.ko.unsigned *.o modules.order Module.symvers indent: Lindent *.c include/linux/netfilter/xt_wildstring.h

Makefileへのコメント：

2.6.32-uname -r = 2.6.32-358.0.1.el6.x86_64なのでハードコードですが、これらのソースは手元にないので、シンボリックリンク/lib/modules/2.6.32-358.0.1。 el6.x86_64 / buildは機能しません。
私はメイクファイルの達人ではなく、xt_wildstring.koのようにlibxt_wildstring.soを美しく正確にコンパイルする方法を考え出していないので、単純なbashコマンドでこのターゲットをわざわざ作成しないことにしました。
インストールターゲットのscpをパスワードなしで機能させるには、ビルドシステムでSSHキーを生成し、テストベンチにドロップする必要があります。
Lindentコマンドは、/ usr / src / linux / scripts / Lindentから/ usr / local / binにコピーされます。これはよく使用されます。 Linuxカーネルでコードを書くときは、チャーターで誰かの修道院に行かないので、常に使用することをお勧めします。各コミットの前であっても良い。

.gitignoreの余分な部分を削除します

gitステータスの追跡されていないファイルはやや面倒なので、〜/ GIT / wildstring / .gitignoreを作成します。

* .o
* .so
。*
* .ko
* .ko.unsigned
modules.order
Module.symvers
* .mod.c
！.gitignore

ワイルドストリングに名前を変更

モジュールが元のモジュールと競合しないように、モジュールとそのすべての関数の名前をstringからwildstringに変更することは理にかなっています。重要なポイント-ヘッダー、ユーザースペースモジュール、カーネルスペースモジュールのすべてを編集する必要があります。この場合、grepはロシアの民主主義の父を救います：

 grep -ri string xt_wildstring.c | grep -vi wildstring

一致情報構造の拡張

繰り返しになりますが、それぞれのmatch-moduleには独自のmatch-info構造があり、ユーザー空間から渡されたパラメーターに基づいて形成されます。これはヘッダーファイル（ xt_wildstring.h ）に記述されています。

標準のxt_string.hは次のとおりです

 #ifndef _XT_STRING_H #define _XT_STRING_H #include <linux/types.h> #define XT_STRING_MAX_PATTERN_SIZE 128 #define XT_STRING_MAX_ALGO_NAME_SIZE 16 enum { XT_STRING_FLAG_INVERT = 0x01, XT_STRING_FLAG_IGNORECASE = 0x02 }; struct xt_string_info { __u16 from_offset; //      –   . __u16 to_offset; //      –    . char algo[XT_STRING_MAX_ALGO_NAME_SIZE]; // . char pattern[XT_STRING_MAX_PATTERN_SIZE]; //,   , . __u8 patlen; // ,  . union { struct { __u8 invert; //   ! -m string –string “something” } v0; struct { __u8 flags; //    . } v1; } u; /* Used internally by the kernel *   . *     ,     *   java-? *    ,     xml. */ struct ts_config __attribute__((aligned(8))) *config; }; #endif /*_XT_STRING_H*/

xt_wildstring.hのxt_wildstring_info構造体のいくつかのフィールドを乗算します

最初に、サブストリングへのポインターを追加します。 2番目と3番目のポインターは空になる可能性があるため、つまり、アスタリスクのないテンプレートがモジュールに渡されるため、元のように文字の配列ではなくポインターです。同様に、各テンプレートのパッケージ内のテキスト検索パラメーターの構造に従って、サブストリングの長さを格納する変数を追加します。その結果、構造は次のようになり始めました。

 #ifndef _XT_WILDSTRING_H #define _XT_WILDSTRING_H #include <linux/types.h> #define XT_WILDSTRING_MAX_PATTERN_SIZE 128 #define XT_WILDSTRING_MAX_ALGO_NAME_SIZE 16 enum { XT_WILDSTRING_FLAG_INVERT = 0x01, XT_WILDSTRING_FLAG_IGNORECASE = 0x02 }; struct xt_wildstring_info { __u16 from_offset; __u16 to_offset; char algo[XT_WILDSTRING_MAX_ALGO_NAME_SIZE]; char pattern[XT_WILDSTRING_MAX_PATTERN_SIZE]; /*    */ char *pattern_part1; char *pattern_part2; char *pattern_part3; __u8 patlen; /*   */ __u8 patlen_part1; __u8 patlen_part2; __u8 patlen_part3; union { struct { __u8 invert; } v0; struct { __u8 flags; } v1; } u; /* Used internally by the kernel */ /*        */ struct ts_config __attribute__((aligned(8))) *config; struct ts_config __attribute__((aligned(8))) *config_part1; struct ts_config __attribute__((aligned(8))) *config_part2; struct ts_config __attribute__((aligned(8))) *config_part3; }; #endif

新しいヘッダーフィールドの使用を開始

xt_wildstring.cに移動します。

ヘッダーに追加したのは、それを使用するときです。まず、検索設定の準備と破棄に取り掛かりましょう。

ここでも、ちょっとした理論-原則として、一致モジュールの構造には次の関数と構造が含まれます。

init-モジュールがロードされたときのモジュールの初期化。
exit-ロードされたときのモジュールの破壊。
mt-パッケージをチェックする機能。
mt_check-ルールを追加するときにモジュール呼び出しの正確性をチェックする関数。
mt_destroy-ルールが削除されたときにリソースをクリーニングする関数。
mt_reg-関数mt_check、mt、mt_destroyへのポインタの構造+モジュールに関する追加情報。

元のxt_stringでは、ルールの追加と削除は次のとおりです。

string_mt_check（追加）では、文字列と検索アルゴリズムに基づいてts_config（ts-テキスト検索）構造が生成されます。パッケージデータの検索関数（skb_find_text）は、それをパラメーターとして使用します。この構造（string_mt_destroy関数）によって占有されているメモリは、textsearch_destroy関数によってクリアされます。この関数は、ルールがチェーンから削除されるときに呼び出されます。

textsearch_prepareのペアをxt_wildstring_checkに追加します

何かを変更する前に、元のwildstring_mt関数についてコメントします。これは、ルールを通過するときにパッケージを実際にチェックします。少し変更するだけの価値があるためですが、この関数はそれらに大きく依存しますが、同時に重要ではありません。

 static bool wildstring_mt(const struct sk_buff *skb, const struct xt_match_param *par) { return false; #if 0 ... #endif }

最初に、ルールがiptablesに追加されたときに呼び出されるxt_wildstring_check関数でts_confを準備します。行の先頭へのポインターを一時変数にコピーし、strsep関数を使用してウォークスルーします。この関数は、指定された文字セットに従って行を分割します。トークンが見つかった場合、その長さを計算し、それを使用してテキスト検索パラメーターを準備します。

 s = (char *) conf->pattern; conf->pattern_part1 = strsep(&s, delim); if (!conf->pattern_part1) return false; //       conf->patlen_part1 = strlen(conf->pattern_part1); ts_conf = textsearch_prepare(conf->algo, conf->pattern_part1, conf->patlen_part1, GFP_KERNEL, flags); if (IS_ERR(ts_conf)) return false; conf->config_part1 = ts_conf;

次の2つのts_confを類推して記入します。唯一の違いは、パターンへのポインターが空になった場合、これはもはやエラーではなく、trueを返すことです。つまり、より少ないパターンで作業します。

そして、wildstring_mt_destroyでそれらを破壊します

この関数は、ルールがiptablesから削除されるときに呼び出されます。ルールを削除するときにパラメーターを破棄するには、destroyを乗算します。

 static void wildstring_mt_destroy(const struct xt_mtdtor_param *par) { struct xt_wildstring_info *conf = WILDSTRING_TEXT_PRIV(par->matchinfo); if (conf->pattern_part1) textsearch_destroy(conf->config_part1); if (conf->pattern_part2) textsearch_destroy(conf->config_part2); if (conf->pattern_part3) textsearch_destroy(conf->config_part3); }

試合を思い浮かべてください

そのため、モジュールは正常にロード/アンロードを開始し、ルールは追加/削除され、カーネルパニックは発生しませんでした。ここで、以前にコメントしたwildstring_mt関数に戻り、関数に渡されたすべてのテンプレートの検索を追加します。
まず、目的の部分文字列を見つけることができたシフトの長さを保持する変数が必要です。

 unsigned int skb_find = 0;

一般的に、これは最良の名前ではありません。tmp_from_offsetやwildstring_from_offsetのような明確な名前になりますが、すべてがすでにgithubのコミットに含まれているため、残念ながら遅れています。ここで、最初の検索の結果を返す代わりに、それを新しい変数に割り当てて分析し、見つからない場合はfalseを返すなど、指定されたすべてのパターンを処理します。

 memset(&state, 0, sizeof(struct ts_state)); skb_find = skb_find_text((struct sk_buff *)skb, conf->from_offset, conf->to_offset, conf->config_part1, &state); if (skb_find == UINT_MAX) return false;

そのため、config_part2とconfig_part3について繰り返しますが、pattern_part2とpattern_part3の存在を確認する必要があり、そうでない場合はtrueを返す点が異なります。

終了して確認

さらに、すべてのコンパイルエラーを処理します。一般に、可能な限り頻繁にコンパイルし、各論理的な終わりで、次の部分が追加されるか、カーネルパニックが発生することに気付くまで、無限ループでモジュールの動作を確認することをお勧めします。エラーの価格は非常に高く、ほとんどのユーザースペースユーティリティを作成する場合よりも、コードを記述してから完全に動作することを確認するまでの時間が非常に長いため、実行する価値があります。そのため、記事の冒頭で、スタンド上のアセンブリとデバッグシステムの利便性に非常に注意を払っています。なぜなら、誰もが知っているように、中身がどれほど優れていても、使用するのが不便である場合、それは使用されないからです。

wgetまたはcurlを使用して、いくつかのテストケースでテストします。ルールを作成するとき、HTTPパッケージではGETがHOSTの前にあり、テンプレートは少し後ろに書かなければならないことに注意することが重要です。

「何か* html * example.com」
「Pron * avi * yoursite」
「Reductor *スキーム* carbonsoft.ru」

つまり、ルールを追加します。

 iptables -I OUTPUT -p tcp –dport 80 -m wildstring “reductor*scheme*carbonsoft” -j DROP

ページをダウンロードしてみてください：

wget -t 1 -T 1 http://www.carbonsoft.ru/products/reductor/carbon-reductor/#scheme

ビンゴ-中断し、iptables -nvL OUTPUTは増加したパケットカウンターを示します。

リストを作成してみませんか？

気配りのある経験豊富な読者は、おそらく叫び声を上げます-リストを使用して、パターン、patlen、およびconfigで構成される構造を追加/削除し、このリストfor_each_entry。しかし-この記事の目的は、netfilterモジュールのデバイスを表示することであり、Linuxカーネルでリストを操作すると、理解する必要があるモジュールに別の本質が追加されます。さて、そして、あなたは独立した演習のために読者に何かを残さなければなりません。

完了

実際、netfilter用のカーネルモジュールの作成方法を学びましたが、それは素晴らしいことではありませんか？
一般に、モジュールはHTTPだけでなく、他の多くのプロトコル、例にも使用できます。おそらく、後でコメントに追加します。

ソースは、当社のWebサイトのオープンソースセクションにあります。

netfilterを勉強します：xt_stringに基づいていくつかのパターンを検索するための一致モジュールを作成