linux内核-缓冲区溢出漏洞.doc

目录1 - 简介?? 1.1 - 本文涉及的内容?? 1.2 - 本文不涉及的内容2 - 各种Netfilter hook及其用法?? 2.1 - Linux内核对数据包的处理?? 2.2 - Netfilter对IPv4的hook3 - 注册和注销Netfilter hook4 - Netfilter 基本的数据报过滤技术?? 4.1 - 深入hook函数?? 4.2 - 基于接口进行过滤?? 4.3 - 基于地址进行过滤?? 4.4 - 基于TCP端口进行过滤5 - Netfilter hook的其它可能用法?? 5.1 - 隐藏后门的守护进程?? 5.2 - 基于内核的FTP密码嗅探器6 - 在Libpcap中隐藏网络通信?? 6.1 - SOCK_PACKET、SOCK_RAW与Libpcap?? 6.2 - 给狼披上羊皮7 - 结束语A - 轻量级防火墙?? A.1 - 概述?? A.2 - 源代码 : lwfw.c?? A.3 - 头文件 : lwfw.hB - 第6节中的源代码参考文献 1 - 简介???? 本文将向你展示，Linux的网络堆栈的一些怪异行为（并不一定是弱点）如何被用于邪恶的或者是其它形形色色的目的。在这里将要讨论的是将表面上看起来合法的Netfilter hook用于后门的通信，以及一种使特定的网络通信在运行于本机的基于Libpcap的嗅探器中消声匿迹的技术。???? Netfilter是Linux 2.4内核的一个子系统，Netfiler使得诸如数据包过滤、网络地址转换(NAT)以及网络连接跟踪等技巧成为可能，这些功能仅通过使用内核网络代码提供的各式各样的hook既可以完成。这些hook位于内核代码中，要么是静态链接的，要么是以动态加载的模块的形式存在。可以为指定的网络事件注册相应的回调函数，数据包的接收就是这样一个例子。1.1 - 本文涉及的内容???? 本文讨论模块编写者如何利用Netfilter hook来实现任意目的以及如何将网络通信在基于Libpcap的应用程序中隐藏。虽然Linux 2.4支持对IPv4、IPv6以及DECnet的hook，但在本文中将只讨论关于IPv4的话题，虽然如此，大部分关于IPv4的内容都同样可以运用 于其它几种协议。出于教学的目的，附录A提供了一个可用的、提供基本的包过滤的内核模块。本文中所有的开发和试验都在运行于Intel主机上的Linux 2.4.5中完成。对Netfilter hook功能的测试在环回接口、以太网接口以及调制解调器点对点接口上完成。?????? 本文也是出于我对Netfilter完全理解的尝试的兴趣而写的。我并不能保证文中附带的任何代码100%的没有错误，但是我已经测试了所有在这里提供的代码。我已经受够了核心错误的折磨，因此真诚的希望你不会再如此。同样，我不会为任何按照本文所述进行的操作中可能发生的损害承担责任。本文假定读者熟悉C语言编程并且有一定的关于可加载模块的经验。???? 欢迎对本文中出现的错误进行批评指正，我同时开诚布公的接受对本文的改进以及其它各种关于Netfilter的优秀技巧的建议。1.2 - 本文不涉及的内容???? 本文不是一个完全的关于Netfilter的细节上的参考资料，同样，也不是一个关于iptables的命令的参考资料。如果你想了解更多的关于iptables的命令，请参考相关的手册页。???? 好了，让我们从Netfilter的使用介绍开始 ...2 - 各种Netfilter hook及其用法2.1 - Linux内核对数据包的处理???? 看起来好像是我很喜欢深入到诸如Linux的数据包处理以及事件的发生以及跟踪每一个Netfilter hook这样的血淋淋的细节中，事实并非如此！原因很简单，Harald Welte已经写了一篇关于这个话题的优秀的文章——《Journey?of a Packet Through the Linux 2.4 Network Stack》。如果你想了解更多的关于Linux数据包处理的内容，我强烈推荐你去拜读这篇文章。现在，仅需要理解：当数据包游历Linux内核的网络堆栈时，它穿过了几个hook点，在这里，数据包可以被分析并且选择是保留还是丢弃，这些hook点就是Netfilter hook。2.2 - Netfilter对IPv4的hook???? Netfilter中定义了五个关于IPv4的hook，对这些符号的声明可以在linux/netfilter_ipv4.h中找到。这些hook列在下面的表中：表1 : 可用的IPv4 hook???? Hook???????????????? 调用的