Question

在Linux上，可以使用AF_PACKET创建一个套接字，以便从套接字接收原始数据，并在应用程序中进行IP过滤。但OSX中的手册页没有这个：

       PF_LOCAL        Host-internal protocols, formerly called PF_UNIX,
       PF_UNIX         Host-internal protocols, deprecated, use PF_LOCAL,
       PF_INET         Internet version 4 protocols,
       PF_ROUTE        Internal Routing protocol,
       PF_KEY          Internal key-management function,
       PF_INET6        Internet version 6 protocols,
       PF_SYSTEM       System domain,
       PF_NDRV         Raw access to network device

这不是POSIX标准界面吗？如何在OSX上实现同样的目标？

Answer 1

不幸的是，OS X上不存在

AF_PACKET。相反，您应该使用/dev/bpfX（伯克利数据包过滤器）来捕获数据包。有关更多信息，请阅读：https://developer.apple.com/library/mac/documentation/Darwin/Reference/ManPages/man4/bpf.4.html

Answer 2

没有任何协议是POSIX标准。 POSIX根本不需要系统支持任何特定的网络协议或任何网络协议。

AF_PACKET是一个纯粹的Linux发明AFAIK，你不会在其他系统上找到它。

BPF（伯克利数据包过滤器）也不是POSIX，它是许多系统复制的BSD发明，因为它非常方便。但是，您无法使用它注入流量，您只能使用它捕获传入和传出流量。

如果有人关心，这是最新的POSIX标准：
The Open Group Base Specifications Issue 7, 2018 edition
IEEE Std 1003.1™-2017 (Revision of IEEE Std 1003.1-2008)

如果您确实想要发送原始IP数据包（无论是IPv4还是IPv6），使用原始IP套接字最便携：

int soc = socket(PF_INET, SOCK_RAW, IPPROTO_IP);

然后你需要告诉系统，你想提供自己的IP头：

int yes = 1;
setsockopt(soc, IPPROTO_IP, IP_HDRINCL, &yes, sizeof(yes));

现在您可以将原始IP数据包（例如IP标头+ UDP标头+有效负载数据）发送到套接字以进行发送，但是，根据您的系统，系统将执行一些健全性检查，并可能覆盖标头中的某些字段。例如。它可能不允许您创建格式错误的IP数据包或阻止您执行IP地址欺骗。因此，它可以为您计算IPv4标头校验和，或者如果您的IP标头使用0.0.0.0或::作为源地址，则自动填写正确的源地址。查看目标系统上ip(4)或raw(7)的手册页。 Apple不再为macOS发送程序员手册页，而是you can find them online.

引用该手册页：

与之前的BSD版本不同，该程序必须设置所有字段 IP标头，包括以下内容：
 ip->ip_v = IPVERSION;
 ip->ip_hl = hlen >> 2;
 ip->ip_id = 0;  /* 0 means kernel set appropriate value */
 ip->ip_off = offset;
 ip->ip_len = len;
请注意，ip_off和ip_len字段位于主机字节顺序。

如果标头源地址设置为INADDR_ANY，则内核将   选择一个合适的地址。

请注意，ip_sum根本没有被提及，所以显然您不必提供那个，系统将始终为您计算。

如果将其与Linux raw(7)进行比较：

┌───────────────────────────────────────────────────┐
│IP Header fields modified on sending by IP_HDRINCL │
├──────────────────────┬────────────────────────────┤
│IP Checksum           │ Always filled in           │
├──────────────────────┼────────────────────────────┤
│Source Address        │ Filled in when zero        │
├──────────────────────┼────────────────────────────┤
│Packet ID             │ Filled in when zero        │
├──────────────────────┼────────────────────────────┤
│Total Length          │ Always filled in           │
└──────────────────────┴────────────────────────────┘

从原始IP套接字接收时，您将获得到达主机的所有传入IP数据包或仅获取其中的一部分（例如，Windows支持原始套接字，但不会让您发送或接收TCP数据包）。您将收到完整的数据包，包括所有标头，因此收到的每个数据包的第一个字节都是IP标头的第一个字节。

有些人会问我为什么使用IPPROTO_IP而不是IPPROTO_RAW。使用IPPROTO_RAW时，您无需设置IP_HDRINCL：

IPPROTO_RAW协议暗示已启用IP_HDRINCL并且能够发送传递标头中指定的任何IP协议。

但是您只能使用IPPROTO_RAW来表示传出流量：

IPPROTO_RAW套接字仅发送。

在macOS上，您可以使用IPPROTO_IP并且您将收到所有IP数据包，但在Linux上这可能不起作用，因此创建了一个新的套接字PF_PACKET套接字类型。在两个系统上应该起作用的是指定一个子协议：

int soc = socket(PF_INET, SOCK_RAW, IPPROTO_UDP);

当然，现在您只能通过该套接字发送/接收UDP数据包。如果再次设置IP_HDRINCL，则需要在发送时提供完整的IP标头，并且您将在接收时收到完整的IP标头。如果你没有设置它，你可以在发送时提供UDP标头，系统将自己添加一个IP标头，也就是说，如果套接字已连接并且可选地绑定，那么系统知道在该标头中使用哪些地址。对于接收该选项不起作用，您总是获得在这种套接字上收到的每个UDP数据包的IP头。

如果有人想知道我使用PF_INET而不是AF_INET的原因：PF表示协议系列，AF表示地址系列。通常这些是相同的（例如AF_INET == PF_INET）所以你使用什么并不重要，但严格来说应该使用PF_创建套接字，并且sockaddr结构中的族应该设置为AF_有一天，可能会有一个支持两种不同地址的协议，然后会有AF_XXX1和AF_XXX2，而且这两个地址都不能与PF_XXX相同。

Answer 3

如果要在Mac OS X上发送原始以太网帧（例如，您自己的链路级协议，而不是IP），则可以使用PF_NDRV套接字，其类似于PF_RAW：

#include <sys/socket.h>
#include <net/if.h>
#include <net/ndrv.h>
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <unistd.h>
#include <net/ethernet.h>

int main (int argc, char **argv) {

   if (geteuid()) { fprintf(stderr,"No root, no service\n"); exit(1); }
   int s = socket(PF_NDRV,SOCK_RAW,0);
   if (s < 0) { perror ("socket"); exit(2); }

   uint16_t   etherType = ntohs(atoi(argv[1]));
   struct sockaddr_ndrv    sa_ndrv;

   strlcpy((char *)sa_ndrv.snd_name, "en0", sizeof (sa_ndrv.snd_name));
   sa_ndrv.snd_family = PF_NDRV;
   sa_ndrv.snd_len = sizeof (sa_ndrv);

   rc = bind(s, (struct sockaddr *) &sa_ndrv, sizeof(sa_ndrv));

   if (rc < 0) { perror ("bind"); exit (3);}

   char packetBuffer[2048];

#ifdef LISTENER
   struct ndrv_protocol_desc desc;
   struct ndrv_demux_desc demux_desc[1];
   memset(&desc, '\0', sizeof(desc));
   memset(&demux_desc, '\0', sizeof(demux_desc));

   /* Request kernel for demuxing of one chosen ethertype */
   desc.version = NDRV_PROTOCOL_DESC_VERS;
   desc.protocol_family = atoi(argv[1]);
   desc.demux_count = 1;
   desc.demux_list = (struct ndrv_demux_desc*)&demux_desc;
   demux_desc[0].type = NDRV_DEMUXTYPE_ETHERTYPE;
   demux_desc[0].length = sizeof(unsigned short);
   demux_desc[0].data.ether_type = ntohs(atoi(argv[1]));

   if (setsockopt(s, 
        SOL_NDRVPROTO, 
        NDRV_SETDMXSPEC, 
     (caddr_t)&desc, sizeof(desc))) {
      perror("setsockopt"); exit(4);
   }
   /* Socket will now receive chosen ethertype packets */
   while ((rc = recv (s, packetBuffer, 2048, 0) ) > 0 ) {
    printf("Got packet\n"); // remember, this is a PoC..
   }
#else
   memset(packetBuffer, '\xff', 12);
   memcpy(packetBuffer + 12, &etherType, 2);
   strcpy(packetBuffer,"NDRV is fun!");
   rc = sendto (s, packetBuffer, 20, 0, 
        (struct sockaddr *)&sa_ndrv, sizeof(sa_ndrv));
   if (rc < 0) { perror("sendto"); }
#endif
}

OSX上的AF_PACKET

3 个答案: