Анализатор сетевого трафика и пакетный фильтр своими руками (Часть 2)

struct sock_filter	/* Filter block */
{
    __u16	code;   /* Actual filter code */
    __u8	jt;	/* Jump true */
    __u8	jf;	/* Jump false */
    __u32	k;      /* Generic multiuse field */
};

struct sock_fprog
{
    unsigned short len;	/* Number of filter blocks */
    struct sock_filter *filter;
};

    #define BPF_STMT(code, k) { (unsigned short)(code), 0, 0, k }
    #define BPF_JUMP(code, k, jt, jf) { (unsigned short)(code), jt, jf, k }
 
/*
 * Листинг 5. Программа фильтрации
 */
 
    struct sock_fprog Filter;
    struct sock_filter BPF_code[] = {
 
/*
 * В принятом Ethrnet-кадре по смещению, равному 12 байт (6 байт MAC-адреса
 * отправителя + 6 байт MAC-адреса получателя) находится 2-х байтовый
 * идентификатор протокола сетевого уровня. Эти 2 байта мы загружаем в
 * аккумулятор
 */
	BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 12),
 
/*
 * Проверяем соответствие значения, загруженного в аккумулятор, идентификатору
 * IP протокола (ETH_P_IP). При выполнении условия равенства этих значений
 * переходим к следующей инструкции (jt = 0). В противном случае смещаемся
 * на 8 инструкций вниз (jf = 8) и выходим из программы фильтрации с возвратом
 * нулевого значения
 */
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, ETH_P_IP, 0, 8),
 
/*
 * Загружаем в аккумулятор 4-х байтовое значение, находящееся по смещению 26
 * в принятом пакете. Это значение соответствует IP адресу источника
 */
	BPF_STMT(BPF_LD+BPF_W+BPF_ABS, 26),
 
/*
 * Проверяем соответствие значения, загруженного в аккумулятор, IP адресу
 * 192.168.1.2, в шестнадцатеричном представлении - 0xC0A80102. В сетевом
 * формате этот адрес выглядит как 0x0201A8C0. Это связано с порядком передачи
 * данных в сети - передача начинается с байта младшего разряда. Если адреса не
 * совпали - выходим из программы фильтрации
 */
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, 0xC0A80102, 0, 6),
 
/*
 * Загружаем в аккумулятор 1 байт, находящийся по смещению 23. Этот байт
 * содержит идентификатор протокола транспортного уровня
 */
	BPF_STMT(BPF_LD+BPF_B+BPF_ABS, 23),
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, IPPROTO_TCP, 0, 4),
 
/*
 * Определяем длину IP заголовка
 */
	BPF_STMT(BPF_LDX+BPF_B+BPF_MSH, ETH_HLEN),
 
/*
 * Значение длины IP заголовка загружено в индексный регистр. Порт источника
 * находится по смещению, определяемому суммой длин IP и Ethernet заголовков
 */
	BPF_STMT(BPF_LD+BPF_H+BPF_IND, ETH_HLEN),
 
/*
 * Проверяем значение порта источника
 */
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, 0x17, 0, 1),
	BPF_STMT(BPF_RET+BPF_K,1500),
	BPF_STMT(BPF_RET+BPF_K,0),
    };

    Filter.len = 11; // количество структур в массиве BPF_code
    Filter.filter = BPF_code;
 
    setsockopt(sd, SOL_SOCKET, SO_ATTACH_FILTER, &Filter, sizeof(struct sock_fprog));

 int getsock_recv (int, __u8 *, int)

    BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, 0, 0, 6), // 3-й элемент
    BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, 0, 0, 1), // 8-й

    BPF_code[3].k = __swab32(inet_addr(ip_addr));
    BPF_code[8].k = port;

/*
 * Листинг 6. Функция создания пакетного сокета и подключения
 * пакетного фильтра (файл getsock_recv.c)
 */
 
#include <sys/socket.h>
#include <linux/types.h>
#include <linux/in.h>
#include <linux/if_ether.h>
#include <linux/if_packet.h>
#include <linux/filter.h>
#include <linux/byteorder/swab.h>
 
int getsock_recv (int index, __u8 *ip_addr, int port)
{
    int sd;
 
    struct sockaddr_ll s_ll;
    struct sock_fprog Filter;
    struct sock_filter BPF_code[] = {
	BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 12),
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, ETH_P_IP, 0, 8),
	BPF_STMT(BPF_LD+BPF_W+BPF_ABS, 26),
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, 0, 0, 6),
	BPF_STMT(BPF_LD+BPF_B+BPF_ABS, 23),
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, IPPROTO_TCP, 0, 4),
	BPF_STMT(BPF_LDX+BPF_B+BPF_MSH, ETH_HLEN),
	BPF_STMT(BPF_LD+BPF_H+BPF_IND, ETH_HLEN),
	BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_IMM, 0, 0, 1),
	BPF_STMT(BPF_RET+BPF_K,1500),
	BPF_STMT(BPF_RET+BPF_K,0),
    };
 
    sd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));
    if(sd < 0) return -1;
 
    memset((void *)&s_ll, 0, sizeof(struct sockaddr_ll));
 
    s_ll.sll_family = PF_PACKET;
    s_ll.sll_protocol = htons(ETH_P_ALL);
    s_ll.sll_ifindex = index;
 
    if(bind(sd, (struct sockaddr *)&s_ll, sizeof(struct sockaddr_ll)) < 0) {
	close(sd);
	return -1;
    }
 
    BPF_code[3].k = __swab32(inet_addr(ip_addr));
    BPF_code[8].k = port;
 
    Filter.len = 11;
    Filter.filter = BPF_code;
 
    if(setsockopt(sd, SOL_SOCKET, SO_ATTACH_FILTER, &Filter, sizeof(struct sock_fprog))<0) {
	perror("SO_ATTACH_FILTER");
	close(sd);
	return -1;
    }
 
    return sd;
}

int main(int argc, char **argv)
{
 
/* Определения переменных */
    ....
 
    if(argc != 3) {
	perror("argc");
	return -1;
    }
 
/* Определение параметров интерфейса и отображение результатов */
    ....
 
/* Получение дескриптора пакетного сокета */
 
    if((eth0_if = getsock_recv(ifp.index, argv[1], atoi(argv[2]))) < 0) {
	perror("getsock_recv");
	return -1;
    }
 
/* Цикл приема пакетов и отображения результатов */
    ....
}

  tcpdump -dd src 192.168.1.1 and tcp src port 23

    { 0x28, 0, 0, 0x0000000c },
    { 0x15, 0, 10, 0x00000800 },
    { 0x20, 0, 0, 0x0000001a },
    { 0x15, 0, 8, 0xc0a80101 },
    { 0x30, 0, 0, 0x00000017 },
    { 0x15, 0, 6, 0x00000006 },
    { 0x28, 0, 0, 0x00000014 },
    { 0x45, 4, 0, 0x00001fff },
    { 0xb1, 0, 0, 0x0000000e },
    { 0x48, 0, 0, 0x0000000e },
    { 0x15, 0, 1, 0x00000017 },
    { 0x6, 0, 0, 0x00000060 },
    { 0x6, 0, 0, 0x00000000 },