1

我试图通过将处理程序挂钩到sock_sendmsg()定义在linux/socket.c. 我可以通过编写一个 systemtap 探测处理程序来probe kernel.function("sock_sendmsg@net/socket.c")转储所有通过第二个参数传递的数据块struct msghdr *msg。

以下是摘录net/socket.c：

int sock_sendmsg(struct socket *sock, struct msghdr *msg, size_t size)
{
    struct kiocb iocb;
    struct sock_iocb siocb;
    int ret;

    init_sync_kiocb(&iocb, NULL);
    iocb.private = &siocb;
    ret = __sock_sendmsg(&iocb, sock, msg, size);
    if (-EIOCBQUEUED == ret)
            ret = wait_on_sync_kiocb(&iocb);
    return ret;
}

我测试了我的 systemtap 脚本hook_sendmsg.stp。首先，我hook_sendmsg.stp在一个终端中运行。然后我打开另一个终端并调用telnet命令来连接stackoverflow.com并输入HEAD / HTTP/1.0<Enter twice>终端。我从以下输出hook_sendmsg.stp：

root@debian:~# stap -g hook_sendmsg.stp
message block [0]; type=3(raw); state=1(unconnected)
14 00 00 00 16 00 01 03 ec 95 f4 52 00 00 00 00 |...........R....|
00 00 00 00                                     |................|
message block [0]; type=3(raw); state=1(unconnected)
14 00 00 00 16 00 01 03 ec 95 f4 52 00 00 00 00 |...........R....|
00 00 00 00                                     |................|
message block [0]; type=2(udp); state=1(unconnected)
4d 0d 01 00 00 01 00 00 00 00 00 00 0d 73 74 61 |M............sta|
63 6b 6f 76 65 72 66 6c 6f 77 03 63 6f 6d 00 00 |ckoverflow.com..|
01 00 01                                        |................|
message block [0]; type=2(udp); state=1(unconnected)
0f 1e 01 00 00 01 00 00 00 00 00 00 0d 73 74 61 |.............sta|
63 6b 6f 76 65 72 66 6c 6f 77 03 63 6f 6d 00 00 |ckoverflow.com..|
1c 00 01                                        |................|
message block [0]; type=1(tcp); state=3(connected)
48 45 41 44 20 2f 20 48 54 54 50 2f 31 2e 30 0d |HEAD / HTTP/1.0.|
0a                                              |................|
message block [0]; type=1(tcp); state=3(connected)
0d 0a                                           |................|

这表明sock_sendmsg()在 的上下文中总共被调用了 6 次telnet。显然，第 3 次和第 4 次是对 Google 的公共 DNS 服务器8.8.8.8和8.8.4.4. 第 5 行和第 6 行是从 发送的两行 HTTP 请求telnet。但是第 1 次和第 2 次的要求是什么？他们是由内核在内部调用的吗？

提前致谢。

4

1 回答 1

1

它们是 NETLINK 消息，您可以查看是否使用 strace 从用户空间监视 telnet 命令（检查套接字系列）：

sendto(3, "\24\0\0\0\26\0\1\3?\254\364R\0\0\0\0\0\0\0\0", 20, 0, {sa_family=AF_NETLINK,  pid=0, groups=00000000}, 12) = 20
sendto(3, "\24\0\0\0\26\0\1\3?\254\364R\0\0\0\0\0\0\0\0", 20, 0, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 20
send(3, "\212\355\1\0\0\1\0\0\0\0\0\0\rstackoverflow\3com\0\0"..., 35, MSG_NOSIGNAL) = 35
send(3, "\241\353\1\0\0\1\0\0\0\0\0\0\rstackoverflow\3com\10i"..., 50, MSG_NOSIGNAL) = 50
send(3, "|\341\1\0\0\1\0\0\0\0\0\0\rstackoverflow\3com\0\0"..., 35, MSG_NOSIGNAL) = 35
send(3, "HEAD / HTTP/1.0\r\n", 17, 0)   = 17
send(3, "\r\n", 2, 0)                   = 2

Netlink 是用户空间进程用于与内核通信的接口（因此，它们由 telnet 发送），通常用于路由、防火墙... 一些常用的网络 C 函数（即，getsockname）在内部使用这种 NETLINK 消息。

如果您想进一步调查，您应该将 send_message 的有效负载转换为 netlink 标头结构并检查消息的类型。：

       struct nlmsghdr {
           __u32 nlmsg_len;    /* Length of message including header. */
           __u16 nlmsg_type;   /* Type of message content. */
           __u16 nlmsg_flags;  /* Additional flags. */
           __u32 nlmsg_seq;    /* Sequence number. */
           __u32 nlmsg_pid;    /* Sender port ID. */
       };

[1] http://man7.org/linux/man-pages/man7/netlink.7.html

于 2014-02-07T10:35:09.853 回答