前言： 互联网后台的服务器上，通常需要运行多达数百个进程，甚至更多。 有一天，运维兄弟突然找上门，说：xx服务器上为什么要访问yy服务（例如yy服务使用UDP的12345端口）？ 开发一脸懵逼：没有呀！并不是我部署的服务访问的。。。 运维兄弟：我不管，这台机器分配给你了，你要负责，要不你抓包看看？ 开发兄弟娴熟的一手tcpdump -iany -Xnnls0 udp port 12345：哎呦我去，还真有进程在访问，but，是哪个进程呢？UDP无连接，netstat是没有办法了，tcpdump只能证明有包发
Below is an example which does exactly what you need: hook received TCP packets and print their payloads. If you want to print some other information from received packet (like binary data), you just need to modify a bit the section under this comment:
Netfilter/iptables是Linux内核内置的报文过滤框架，程序可以通过该框架完成报文过滤、地址转换(NAT)以及连接跟踪等功能。
在《Netfilter & iptables 原理》一文中，我们介绍了 Netfilter 和 iptables 的原理，而本文主要通过源码分析来介绍一下 Netfilter 与 iptables 的实现过程。
本文作者：sivenzhang，腾讯 IEG 测试开发工程师 1. 前言 本文主要对 Linux 系统内核协议栈中网络层接收，发送以及转发数据包的流程进行简要介绍，同时对 Netfilter 数据包过滤框架的基本原理以及使用方式进行简单阐述。 内容如有理解错误而导致说明错误的地方，还请指正。如存在引用而没有添加说明的，也请及时告知，非常感谢！ 2. 基础网络知识 2.1 网络分层模型 OSI 模型中将网络划分为七层，但在目前实际广泛使用的 TCP/IP 协议框架体系内，我们一般将网络划分为五层，从
Netfilter （配合 iptables）使得用户空间应用程序可以注册内核网络栈在处理数据包时应用的处理规则，实现高效的网络转发和过滤。很多常见的主机防火墙程序以及 Kubernetes 的 Service 转发都是通过 iptables 来实现的。
在数据的发送过程中，从上至下依次是“加头”的过程，每到达一层数据就被会加上该层的头部；与此同时，接受数据方就是个“剥头”的过程，从网卡收上包来之后，在往协议栈的上层传递过程中依次剥去每层的头部，最终到达用户那儿的就是裸数据了。
关于 netfilter 的介绍文章大部分只描述了抽象的概念，实际上其内核代码的基本实现不算复杂，本文主要参考 Linux 内核 2.6 版本代码（早期版本较为简单），与最新的 5.x 版本在实现上可能有较大差异，但基本设计变化不大，不影响理解其原理。
信息安全课程——窃取密码 一、 一、 安装ubantu16-64 Desktop版本 通过XShell连接虚拟机。 sudo apt install openssh-server sudo apt-get install vim #安装vim，使用上下左右键 sudo apt-get install gcc-multilib 代码如下： //getpass.c #include <sys/types.h> #include <stdio.h> #include <stdlib.h> #include <
本实验窃取密码的前提是要明文传输，先必须找到一个登录页面是采用http协议（非https）的站点，一般的163邮箱都有相应的防御机制，建议使用自己学校的邮箱或门户，随意输入用户名和密码。
本文介绍连接跟踪（connection tracking，conntrack，CT）的原理，应用，及其在 Linux 内核中的实现。
3。1 module编程 module可以说是 Linux 的一大革新。有了 module 之后，写 device driver 不再是一项恶梦，修改 kernel 也不再是一件痛苦的事了。因为你不需要每次要测试 driver 就重新 compile kernel 一次。那简直是会累死人。Module 可以允许我们动态的改变 kernel，加载 device driver，而且它也能缩短我们driver development 的时间。在这篇文章里，我将要跟各位介绍一下 module 的原理，以及如何写一个 module。
现在 iptables 这个工具的应用似乎是越来越广了。不仅仅是在传统的防火墙、NAT 等功能出现，在今天流行的的 Docker、Kubernets、Istio 项目中也经常能见着对它的身影。正因为如此，所以深入理解 iptables 工作原理是非常有价值的事情。
根据官方 wiki 中Logging traffic[1]这篇文章的说明：从 Linux 内核 3.17 开始提供完整的日志支持。如果您运行较旧的内核，则必须 modprobe ipt_LOG 以启用日志记录。从 nftables v0.7 开始，支持 log 标志。
已经多久没有编程了？很久了吧…其实我本来就不怎么会写代码，时不时的也就是为了验证一个系统特性，写点玩具而已，工程化的代码，对于我而言，实在是吃力。
Netfilter 是 Linux 内核的数据包处理框架，由 Rusty Russell 于 1998 年开发， 旨在改进以前的 ipchains（Linux2.2.x）和 ipfwadm（Linux2.0.x）数据包处理框架。
linux 3.5 版本内核开始集成一个 IP 信息包过滤系统 — iptables。 利用 iptables，我们可以很有效的控制 IP 信息包的过滤条件和防火墙配置。 他可以配置有状态的防火墙规则，通过发送或接收信息包所建立的连接的状态来对网络信息包进行过滤。 本文我们就从原理出发，详细介绍一下 iptables。
连接跟踪（也叫会话管理）是状态防火墙关键核心，也是很多网元设备必不可少的一部分。各厂商的实现原理基本雷同，只是根据各自的业务进行修改和优化。其中，还有不少厂商干脆是基于Linux内核实现的。下面，我们就来看看Linux内核中连接跟踪的几个要点。
导言｜nettrace工具自上线以来，受到了业界的广泛关注。特别是复杂的云原生网络环境中，nettrace 工具通过报文跟踪、网络诊断的方式为用户解决了多次疑难网络问题。今天就以OpenCloudOS为例，介绍在云原生场景中nettrace如何快速进行网络故障诊断。 工具简介 1）背景 在一些场景下（特别是云原生场景），Linux 系统中的网络部署变得越来越复杂。一个 TCP 连接，从客户端到服务端，中间可能要经过复杂的 NAT、GRE、IPVS 等过程，网络报文在节点（主机）上的处理路径也变得越来越长
Netfilter是Linux内核提供的一个框架，它允许以自定义处理程序的形式实现各种与网络相关的操作。Netfilter为数据包过滤、网络地址转换和端口转换提供了各种功能和操作，它们提供了通过网络引导数据包和禁止数据包到达网络中的敏感位置所需的功能。
本文档描述了在 Linux bridge 上 iptables 和 ebtables filter 表如何进行交互操作的。
在一些场景下（特别是云原生场景），Linux 系统中的网络部署变得越来越复杂。一个 TCP 连接，从客户端到服务端，中间可能要经过复杂的 NAT、GRE、IPVS 等过程，网络报文在节点（主机）上的处理路径也变得越来越长。在发生网络故障（比如网络丢包）时，如何快速、有效地定位出网络问题成为了一个难题。目前常规的网络故障定位手段，如 tcpdump、dropwatch、ftrace、kprobe 等存在一定的短板：
Linux内核网络 UDP 协议层通过调用 ip_send_skb 将 skb 交给 IP 协议层，本文通过分析内核 IP 协议层的关键函数来分享内核数据包发送在 IP 协议层的处理，并分享了监控IP层的方法。
在开源 Linux 操作系统 OpenCloudOS 8.6 中，增加了内核对网络工具 nettrace 的支持，允许开发者通过 bpf 进行网络丢包原因跟踪，内核也同时回合相关的丢包跟踪点。今天，就以 nettrace 为典型，介绍如何在 OpenCloudOS 中利用 nettrace 进行网络故障诊断。 一、工具简介 1. 背景 在一些场景下（特别是云原生场景），Linux 系统中的网络部署变得越来越复杂。一个 TCP 连接，从客户端到服务端，中间可能要经过复杂的 NAT、GRE、IPVS 等过程，网
安装yum install dropwatch -y 两条命令[root@VM-80-27-centos ~]# dropwatch -l kas # 命令1Initalizing kallsyms dbdropwatch> start # 命令2Enabling monitoring...Kernel monitoring activated.Issue Ctrl-C to stop monitoring1 drops at skb_queue_purge+18 (0xffffffff92a4286
之前一直耳闻 nftables 是下一代 iptables 。前段时间配了一台主机，折腾成家里的软路由。就一并来尝鲜一系列新东西，其中就包括 nftables 。nftables 和 iptables 、ebtables 等一样，都是对底层 xtables 的封装，目前看来 nftables 比 iptables 更简洁易用，更易读，更容易理解，扩展性和也更好。但是目前各个发行版中对 nftables 的支持还比较参差不齐，导致 nftables 很多功能比 iptables 还是有所缺失，所以个人感觉短期内还是替代不了 iptables （比如 tproxy 功能需要 linux kernel 4.19+， 而即便是 CentOS 8 的内核版本也只是 4.18 ，所以都不支持 ）。 nftables 所支持的功能列表及所以来的内核版本和内核模块可以在这里找到 https://wiki.nftables.org/wiki-nftables/index.php/Supported_features_compared_to_xtables 。
在网络包的发送和接收过程中，绝大部分的工作都是在内核态完成的。那么问题来了，我们常用的运行在用户态的程序 tcpdump 是那如何实现抓到内核态的包的呢？有的同学知道 tcpdump 是基于 libpcap 的，那么 libpcap 的工作原理又是啥样的呢。如果让你裸写一个抓包程序，你有没有思路？
iptables系列之基础原理 linux:网络防火墙 netfilter:frame 框架 网络过滤器 iptables:数据报文过滤，NAT，mangle等规则生成的工具。 网络
之前耳闻 nftables 是下一代 iptables 。前段时间配了一台主机，折腾成家里的软路由。就一并来尝鲜一系列新东西，其中就包括 nftables 。nftables 和 iptables 、ebtables 等一样，都是对底层 xtables 的封装，目前看来 nftables 比 iptables 更简洁易用，更易读，更容易理解，扩展性和也更好。但是目前各个发行版中对 nftables 的支持还比较参差不齐，导致 nftables 很多功能比 iptables 还是有所缺失，所以个人感觉短期内还是替代不了 iptables （比如 tproxy 功能需要 linux kernel 4.19+， 而即便是 CentOS 8 的内核版本也只是 4.18 ，所以都不支持 ）。 nftables 所支持的功能列表及所以来的内核版本和内核模块可以在这里找到 https://wiki.nftables.org/wiki-nftables/index.php/Supported_features_compared_to_xtables 。
指的是内核中的netfilter框架，这个框架在协议栈中增加了5个hook，并维护内核模块在这些hook的地方注册的callback函数。
最大的难点在于内核驱动的编写，在此之前我也没有做过Linux内核模块的代码编写，所以刚开始做起来非常吃力，这要求代码编写者有非常好的C语言基础，能非常熟练地应用C语言的结构体、指针、函数指针及内存动态申请和释放等。 最困难的一点就是Bug的排查太过于困难了。每次编译运行的时候都提心吊胆，害怕跑起来哪里出错了，一旦出错，比如解引用了空指针或者没有及时释放分配的内存导致内存泄漏，动辄就会导致内核程序崩溃，只能重新启动虚拟机（重启虚拟机太浪费时间了），因为是内核程序，所以内核崩溃故障的定位和排查也不容易（到现在这个程序其实还不太稳定）。
在上一篇文章中，我们主要介绍了 LVS 的原理，接下来我们将会介绍 LVS 的代码实现。
本文作者 / yogazhao 爱自然科学，赞叹于大师级码农高超的艺术境界；爱生命科学，诚服于古圣先贤的天地气象。 可能大多数瓜农都对《艺伎回忆录》比较熟悉，作为一个IT界的码农，当然也有自己类似的经历，该文分为上篇和下篇，此篇为《OVS BUG撸码回忆录•上篇》 回忆录缘起 以前为排查ovs的某个bug，无奈撸了把相关内核流程。当时因为调用链太多，脑袋栈溢出，处理不过来，所以临时用txt比较零散的记录了下关键点，做完了就丢了。后面想起来，无奈用everything找了好久才找到， 再读之，发现忘了很
1.首先指出，NF_HOOK系列宏的outdev参数的传递方式(直接传递一个net_device结构体指针)是不正确的 正确的方式要么是不传递，要么是传递指针的地址，即地址的地址。
ICMP和ICMPv6是Internet的主要协议。这些协议设计用于在数据包未到达目的地时进行连接测试和错误信令。接收ICMP消息让应用程序了解故障原因：数据包太大，没有可用路由等。
Grad-CAM (Gradient-weighted Class Activation Mapping) 是一种可视化深度神经网络中哪些部分对于预测结果贡献最大的技术。它能够定位到特定的图像区域，从而使得神经网络的决策过程更加可解释和可视化。
在 iptables 工作模式下，iptables 中 KUBE-SEP-XXX 链上规则和 Pod 数量成正比，当集群规模增大（10000 个 Pod 以上）时每个 k8s 节点上 iptables 规则会快速上升，从而影响集群 Service 的连接速度以及 CPU 资源消耗。
首先我们要知道AMSI是一个什么东西，之前做过相关的分享，这里就不再去啰嗦其概念了，一句话概括，win10自带的一个扫描接口，其核心组件存在于amsi.dll内，与windows defender相辅相成，过程如下：
Linux 中的 veth 是一对儿能互相连接、互相通信的虚拟网卡。通过使用它，我们可以让 Docker 容器和母机通信，或者是在两个 Docker 容器中进行交流。参见《轻松理解 Docker 网络虚拟化基础之 veth 设备！》。
sk_buff 是一个贯穿整个协议栈层次的结构，在各层间传递时，内核只需要调整 sk_buff 中的指针位置就行。
许多发行版都为内核提供了模块化或整体式的流量控制(QOS)。自定义的内核可能不会支持这些特性。
内核显然需要一个数据结构来表示报文，这个结构就是 sk_buff ( socket buffer 的简称)，它等同于在<TCP/IP详解 卷2>中描述的 BSD 内核中的 mbuf。
在之前的文章，hook rdp对外连接的账号密码 中有提到利用Detours进行hook得到rdp的账号密码，今天正好看到绕过AMSI的文章，那我们今天继续利用这个库来达到绕过AMSI的目的。
iptables的文章多如牛毛，但是，我读了一些，发现虽然成体系，但是不便理解，今天就结合自己的理解，好好讲解下，另外，我们也会使用iptables来实验一个nat地址转换的demo，nat转换，通俗地讲，一般是为了解决ipv4公网地址不够用的问题，因此在学校、公司等机构的有公网ip的服务器上，部署nat软件进行地址转换，如内网机器访问互联网时，将源地址转换为服务器的公网ip；在收到响应时，此时目的地址是公网ip，此时需要修改为内网机器的地址。
Lacework Labs 最近发现了一个新的在野 Rootkit。除了释放的内核模块和用户态样本文件外，还针对 Dropper 进行了深入了解。
原文链接：https://blog.csdn.net/dog250/article/details/103301816
Hooks 钩子，主要实现的功能就是在特定事件发生之前或者之后自动执行事先定义好的脚本代码来实现某些功能，类似于JS中的监听事件、MySQL中的触发器、Django中的signals信号等
IP协议 是网络的最重要部分，毫不夸张地说，正是因为有 IP协议 才有了互联网。而 IP协议 最重要的是 IP地址，IP地址 就好像我们的家庭住址一样，用于其他人方便找到我们的位置。
腾讯内部某业务在容器场景上遇到了一个比较诡异的网络问题，在容器内使用GIT，SVN工具从内部代码仓库拉取代码偶发性卡顿失败，而在容器所在的Node节点使用同样版本的GIT，SVN工具却没有问题。用诡异这个词，是因为这个问题的分析持续时间比较久，经历了多个同学之手，最后都没有揪出问题根源。有挑战的问题排查对于本人来说是相当有吸引力的，于是在手头没有比较紧急任务的情况下，便开始了有趣的debug。
上面的5点就是Linux防火墙发挥作用的地点，在netfilter中由5个链表示，分别是：
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
