安全之旅――原始套接字透析之前言

短命女 2021-11-11 11:31 252阅读 0赞

大多数程序员所接触到的套接字（Socket）为两类：  
  
（1）流式套接字（SOCK\_STREAM）：一种面向连接的Socket，针对于面向连接的TCP服务应用；  
  
（2）数据报式套接字（SOCK\_DGRAM）：一种无连接的Socket，对应于无连接的UDP服务应用。  
  
从用户的角度来看，SOCK\_STREAM、SOCK\_DGRAM这两类套接字似乎的确涵盖了TCP/IP应用的全部，因为基于TCP/IP的应用，从协议栈的层次上讲，在传输层的确只可能建立于TCP或UDP协议之上（图1），而SOCK\_STREAM、SOCK\_DGRAM又分别对应于TCP和UDP，所以几乎所有的应用都可以用这两类套接字实现。

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div> 
     <img src="http://www.anqn.com/pic/3/a2009-6-1-7341po.gif" style="border-color:#000000;" alt=""> 
     <br> 图1 TCP/IP协议栈 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

但是，当我们面对如下问题时，SOCK\_STREAM、SOCK\_DGRAM将显得这样无助：  
  
（1） 怎样发送一个自定义的IP包？  
  
（2） 怎样发送一个ICMP协议包？  
  
（3） 怎样使本机进入杂糅模式，从而能够进行网络sniffer？  
  
（4） 怎样分析所有经过网络的包，而不管这样包是否是发给自己的？  
  
（5） 怎样伪装本地的IP地址？  
  
这使得我们必须面对另外一个深刻的主题――原始套接字（Raw Socket）。Raw Socket广泛应用于高级网络编程，也是一种广泛的安全手段。著名的网络sniffer、拒绝服务攻击（DOS）、IP欺骗等都可以以Raw Socket实现。  
  
Raw Socket与标准套接字（SOCK\_STREAM、SOCK\_DGRAM）的区别在于前者直接置"根"于操作系统网络核心（Network Core），而SOCK\_STREAM、SOCK\_DGRAM则"悬浮"于TCP和UDP协议的外围，如图2所示：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div> 
     <img src="http://www.anqn.com/pic/3/a2009-6-1-580cv2.jpg" style="border-color:#000000;" alt=""> 
     <br> 图2 Raw Socket与标准Socket 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

当我们使用Raw Socket的时候，可以完全自定义IP包，一切形式的包都可以"制造"出来。因此，本文事先必须对TCP/IP所涉及IP包结构进行必要的交待。  
  
目前，IPv4的报头结构为：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">版本号（4）</td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">包头长（4）</td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">服务类型（8）</td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      数据包长度（16） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="3" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      标识（16） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      偏移量（16） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="2" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      生存时间（8） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      传输协议（8） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      校验和（16） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="3" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      源地址（32） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div></div> <br></td> 
  </tr> 
  <tr> 
   <td colspan="3" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      目的地址（32） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">&nbsp;</td> 
  </tr> 
  <tr> 
   <td colspan="2" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      选项（8） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      ......... 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      填充 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

对其进行数据结构封装：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct _iphdr //定义IP报头&nbsp;<br> {&nbsp;<br> unsigned char h_lenver; //4位首部长度+4位IP版本号&nbsp;<br> unsigned char tos; //8位服务类型TOS&nbsp;<br> unsigned short total_len; //16位总长度（字节）&nbsp;<br> unsigned short ident; //16位标识&nbsp;<br> unsigned short frag_and_flags; //3位标志位&nbsp;<br> unsigned char ttl; //8位生存时间 TTL&nbsp;<br> unsigned char proto; //8位协议 (TCP, UDP 或其他)&nbsp;<br> unsigned short checksum; //16位IP首部校验和&nbsp;<br> unsigned int sourceIP; //32位源IP地址&nbsp;<br> unsigned int destIP; //32位目的IP地址&nbsp;<br> } IP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

或者将上述定义中的第一字节按位拆分：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct _iphdr //定义IP报头&nbsp;<br> {&nbsp;<br> unsigned char h_len : 4; //4位首部长度<br> unsigned char ver : 4; //4位IP版本号&nbsp;<br> unsigned char tos;&nbsp;<br> unsigned short total_len;&nbsp;<br> unsigned short ident;&nbsp;<br> unsigned short frag_and_flags;&nbsp;<br> unsigned char ttl;&nbsp;<br> unsigned char proto;&nbsp;<br> unsigned short checksum;&nbsp;<br> unsigned int sourceIP;&nbsp;<br> unsigned int destIP;&nbsp;<br> } IP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

更加严格地讲，上述定义中h\_len、ver字段的内存存放顺序还与具体CPU的Endian有关，因此，更加严格的IP\_HEADER可定义为：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct _iphdr //定义IP报头&nbsp;<br> {&nbsp;<br> #if defined(__LITTLE_ENDIAN_BITFIELD)<br> unsigned char h_len : 4; //4位首部长度<br> unsigned char ver : 4; //4位IP版本号&nbsp;<br> #elif defined (__BIG_ENDIAN_BITFIELD)<br> unsigned char ver : 4; //4位IP版本号&nbsp;<br> unsigned char h_len : 4; //4位首部长度<br> #endif<br> unsigned char tos;&nbsp;<br> unsigned short total_len;&nbsp;<br> unsigned short ident;&nbsp;<br> unsigned short frag_and_flags;&nbsp;<br> unsigned char ttl;&nbsp;<br> unsigned char proto;&nbsp;<br> unsigned short checksum;&nbsp;<br> unsigned int sourceIP;&nbsp;<br> unsigned int destIP;&nbsp;<br> } IP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

TCP报头结构为：

<table> 
 <tbody> 
  <tr> 
   <td colspan="3" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      源端口（16） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      目的端口（16） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="4" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      序列号（32） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="4" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      确认号（32） 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      TCP偏移量（4） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      保留（6） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      标志（6） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      窗口（16） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="3" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      校验和（16） 
    </div> </td> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      紧急（16） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="4" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      选项（0或32） 
    </div> </td> 
  </tr> 
  <tr> 
   <td colspan="4" style="font-size:12px;font-family:'宋体';color:#333333;"> 
    <div>
      数据（可变） 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

对应数据结构：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct psd_hdr //定义TCP伪报头&nbsp;<br> {&nbsp;<br> unsigned long saddr; //源地址&nbsp;<br> unsigned long daddr; //目的地址&nbsp;<br> char mbz;&nbsp;<br> char ptcl; //协议类型&nbsp;<br> unsigned short tcpl; //TCP长度&nbsp;<br> }PSD_HEADER;&nbsp;<br> typedef struct _tcphdr //定义TCP报头&nbsp;<br> {&nbsp;<br> unsigned short th_sport; //16位源端口&nbsp;<br> unsigned short th_dport; //16位目的端口&nbsp;<br> unsigned int th_seq; //32位序列号&nbsp;<br> unsigned int th_ack; //32位确认号&nbsp;<br> unsigned char th_lenres; //4位首部长度/4位保留字&nbsp;<br> unsigned char th_flag; //6位标志位&nbsp;<br> unsigned short th_win; //16位窗口大小&nbsp;<br> unsigned short th_sum; //16位校验和&nbsp;<br> unsigned short th_urp; //16位紧急数据偏移量&nbsp;<br> } TCP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

同样地，TCP头的定义也可以将位域拆分：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct _tcphdr<br> { <br> unsigned short th_sport;&nbsp;<br> unsigned short th_dport;&nbsp;<br> unsigned int th_seq;&nbsp;<br> unsigned int th_ack;&nbsp;<br> /*little-endian*/<br> unsigned short tcp_res1: 4, tcp_hlen: 4, tcp_fin: 1, tcp_syn: 1, tcp_rst: 1, tcp_psh: 1, tcp_ack: 1, tcp_urg: 1, tcp_res2: 2;<br> unsigned short th_win;&nbsp;<br> unsigned short th_sum;&nbsp;<br> unsigned short th_urp;&nbsp;<br> } TCP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

UDP报头为：

对应的数据结构为：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct _udphdr //定义UDP报头&nbsp;<br> { <br> unsigned short uh_sport;//16位源端口<br> unsigned short uh_dport;//16位目的端口<br> unsigned short uh_len;//16位长度<br> unsigned short uh_sum;//16位校验和<br> } UDP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

ICMP协议是网络层中一个非常重要的协议，其全称为Internet Control Message Protocol（因特网控制报文协议），ICMP协议弥补了IP的缺限，它使用IP协议进行信息传递，向数据包中的源端节点提供发生在网络层的错误信息反馈。ICMP报头为：

常用的回送与或回送响应ICMP消息对应数据结构为：

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;font-family:'宋体';color:#333333;">typedef struct _icmphdr //定义ICMP报头(回送与或回送响应)<br> {&nbsp;<br> unsigned char i_type;//8位类型<br> unsigned char i_code; //8位代码&nbsp;<br> unsigned short i_cksum; //16位校验和&nbsp;<br> unsigned short i_id; //识别号（一般用进程号作为识别号）&nbsp;<br> unsigned short i_seq; //报文序列号&nbsp;<br> unsigned int timestamp;//时间戳&nbsp;<br> } ICMP_HEADER;</td> 
  </tr> 
 </tbody> 
</table>

常用的ICMP报文包括ECHO-REQUEST（响应请求消息）、ECHO-REPLY（响应应答消息）、Destination Unreachable（目标不可到达消息）、Time Exceeded（超时消息）、Parameter Problems（参数错误消息）、Source Quenchs（源抑制消息）、Redirects（重定向消息）、Timestamps（时间戳消息）、Timestamp Replies（时间戳响应消息）、Address Masks（地址掩码请求消息）、Address Mask Replies（地址掩码响应消息）等，是Internet上十分重要的消息。后面章节中所涉及到的ping命令、ICMP拒绝服务攻击、路由欺骗都与ICMP协议息息相关。  
  
另外，本系列文章中的部分源代码参考了一些优秀程序员的开源项目，由于篇幅的关系我们不能一一列举，在此一并表示感谢。  
  
So, let's go.

转载于:https://www.cnblogs.com/jinrize/archive/2009/09/21/1571298.html