用于拦截网络流量的API

Question

有些人可能会暗示哪个API 拦截进出网络流量，如Little Snitch Mac OS X ？

基于可可的API很受欢迎。

是否需要写一个kext或者某个 - 某种程度上授权的 - 用户土地应用程序也可以完成这项工作吗？

Answer 1

我不知道Little Snitch是怎么做到的（但我很乐意......）;我一直在使用这些dTrace探针：

#Socket接受进程名称：

dtrace -n＆＃39; syscall :: accept *：entry {@ [execname] = count（）; }＆＃39;

＃进程和用户堆栈跟踪的套接字连接：

dtrace -n＆＃39; syscall :: connect *：entry {trace（execname）; USTACK（）; }＆＃39;

＃谁正在连接到：

dtrace -n＆＃39; tcp ::: accept-established {@ [args [3] - ＆gt; tcps_raddr，args [3] - ＆gt; tcps_lport] = count（）; }＆＃39;

（这些来自＆＃34; DTrace：Oracle Solaris，Mac OS X和FreeBSD中的动态跟踪，Brendan Gregg和Jim Mauro，Prentice Hall 2011＆＃34; http://www.dtracebook.com/index.php/Network_Lower_Level_Protocols。）

您还应该查看Brendan Gregg的DTraceToolkit：http://www.brendangregg.com/dtrace.html#DTraceToolkit

特别是tcpsnoop和tcptop。