動態協議跟蹤機制的思考

                     動態協議跟蹤機制

例如ftp這種動態協議會通過一個控制串連來建立另一個關聯串連，而linux作業系統的本身實現上，並沒有非常靈活的實現這一點。代碼如下所示：

1. static struct ip_conntrack_helper ftp[MAX_PORTS];
2. static int __init init(void)
3. {
4.     int i, ret;
5.     char *tmpname;
7.     if (ports[0] == 0)
8.         ports[0] = FTP_PORT;
9.     //MAX_PORTS為8，也就是當載入模組時，必須要指定源端連接埠
10.     for (i = 0; (i < MAX_PORTS) && ports[i]; i++) {
11.         ftp[i].tuple.src.u.tcp.port = htons(ports[i]);
12.         ftp[i].tuple.dst.protonum = IPPROTO_TCP;
13.         ftp[i].mask.src.u.tcp.port = 0xFFFF;
14.         ftp[i].mask.dst.protonum = 0xFFFF;
15.         ftp[i].max_expected = 1;
16.         ftp[i].timeout = 0;
17.         ftp[i].flags = IP_CT_HELPER_F_REUSE_EXPECT;
18.         ftp[i].me = ip_conntrack_ftp;
19.         ftp[i].help = help;
21.         tmpname = &ftp_names[i][0];
22.         if (ports[i] == FTP_PORT)
23.             sprintf(tmpname, "ftp");
24.         else
25.             sprintf(tmpname, "ftp-%d", ports[i]);
26.         ftp[i].name = tmpname;
28.         DEBUGP("ip_ct_ftp: registering helper for port %d/n", 
29.                 ports[i]);
30.         //註冊ip_conntrack_helper
31.         ret = ip_conntrack_helper_register(&ftp[i]);
33.         if (ret) {
34.             fini();
35.             return ret;
36.         }
37.         ports_c++;
38.     }
39.     return 0;
40. }

 

這種情況下，當FTP使用大量的非標準連接埠，主串連則無法正常記錄對應的相關串連。因此這裡有一個變通的做法，讓所有的ftp主串連都找不到相關串連，將一個helper_binding函數註冊到應用識別（一個根據資料包內容來判斷串連種類的模組）上，當應用識別識別出當前的串連為ftp串連時，則調用helper_binding通過名字尋找再將ftp的這個ip_conntrack_helper和這個主串連關聯起來。

 

我們設定ftp[i].mask.src.u.tcp.port = 0x0000;，因為這個賦值會導致所有的串連都不符合要求，因此應該沒有什麼應用和這個相衝突。在init_conntrack函數中會為每個主串連尋找對應的helper，代碼如下：

    /* Look up the conntrack helper for master connections only */

    if (!expected)

        conntrack->helper = ip_ct_find_helper(&repl_tuple);

最終這個函數會調用到helper_cmp,所以我們可以修改這函數，令其直接返回。

1. static inline int
2. helper_cmp(const struct ip_nat_helper *helper,
3.        const struct ip_conntrack_tuple *tuple)
4. {
5.     //添加的判斷代碼
6.     if (helper->mask.src.u.tcp.port == 0 &
7.         (helper->tuple.dst.protonum == IPPROTO_TCP || helper->tuple.dst.protonum == IPPROTO_UDP))
8.         return 0;
9.     else
10.         return ip_ct_tuple_mask_cmp(tuple, &helper->tuple, &helper->mask);
11. }

 

在串連被應用識別識別為ftp後，在相應的後麵包的Ip_conntrack_in函數中都會相應的調用help函數，代碼如下所示：

1. /* Netfilter hook itself. */
2. unsigned int ip_conntrack_in(unsigned int hooknum,
3.                  struct sk_buff **pskb,
4.                  const struct net_device *in,
5.                  const struct net_device *out,
6.                  int (*okfn)(struct sk_buff *))
7. {
8.     struct ip_conntrack *ct;
9.     enum ip_conntrack_info ctinfo;
10.     struct ip_conntrack_protocol *proto;
11.     int set_reply;
12.     int ret;
13.     //…
14.     //…
15.     if (ret != NF_DROP && ct->helper) {
16.         //調用help函數
17.         ret = ct->helper->help((*pskb)->nh.iph, (*pskb)->len,
18.                        ct, ctinfo);
19.         if (ret == -1) {
20.             /* Invalid */
21.             nf_conntrack_put((*pskb)->nfct);
22.             (*pskb)->nfct = NULL;
23.             return NF_ACCEPT;
24.         }
25.     }
26.     if (set_reply)
27.         set_bit(IPS_SEEN_REPLY_BIT, &ct->status);
29.     return ret;
30. }