Hook linux 网络封包

要注册一个hook函数需要用到nf_register_hook()或者nf_register_hooks()系统API和一个struct nf_hook_ops{}类型的结构体对象

一个简单的demo，基于CentOS 6.3，内核版本：linux-2.6.32-279.el6

 

myHook.c:

#include <linux/kernel.h>

#include <linux/ip.h>

#include <linux/version.h>

#include <linux/netfilter.h>

#include <linux/netfilter_ipv4.h>

#include <linux/skbuff.h>

#include <linux/netfilter_ipv4/ip_tables.h>

#include <linux/moduleparam.h>

#include <linux/in.h>

#include <linux/socket.h>

#include <linux/icmp.h>



MODULE_LICENSE("GPL");

MODULE_AUTHOR("ZHT");

MODULE_DESCRIPTION("My Hook Test");



static int pktcnt = 0;

static unsigned int myhook_func(unsigned int hooknum, struct sk_buff **skb,

                               const struct net_device *in,

                               const struct net_device *out,

                               int (*okfn)(struct sk_buff *)) {

	struct iphdr *ip_hdr = (struct iphdr *)skb_network_header(skb);

	printk ("%u.%u.%u.%u\n",NIPQUAD(ip_hdr->daddr));

	return NF_ACCEPT;

}



static struct nf_hook_ops nfho = {

	.hook = myhook_func,

	.owner = THIS_MODULE,

	.pf = PF_INET,

	.hooknum = 3,

	.priority = NF_IP_PRI_FIRST,

};



static int __init myhook_init(void) {

	nf_register_hook(&nfho);

}



static void __exit myhook_finit(void) {

	nf_unregister_hook(&nfho);

}



module_init(myhook_init);

module_exit(myhook_finit);

 

Makefile:

obj-m:=myHook.o

myHookmodules-objs:=module

KDIR:=/lib/modules/2.6.32-279.el6.x86_64/source/

MAKE:=make

default:

	$(MAKE) -C $(KDIR) SUBDIRS=$(shell pwd) modules

clean:

	$(MAKE) -C $(KDIR) SUBDIRS=$(shell pwd) clean

放在同一目录下，make编译生成myHook.ko

 

用命令

# insmod myHook.ko

# rmmod myHook.ko

可以注册和删除该module

 

注册后，在/var/log/messages中，可看到如下log：

 

Sep  4 22:56:23 rdesktop kernel: 172.16.18.37

Sep  4 22:56:23 rdesktop kernel: 172.16.18.37