在项目中，经常有可能用到以太网的原始数据，就是链路层输出，不经过TCPIP,UDP这类协议解析的数据。一般称呼这种为RAW数据。
应用Python支持的混杂模式，抓取流经网卡的数据包，并对IP以及ICMP数据包进行拆包，打印出我们所需要的字段信息。
版权声明：本文为博主原创文章，转载请注明博客地址： https://blog.csdn.net/zy010101/article/details/88673990
socket大家都知道是用于网络通信的，也知道他是ip和端口的组合。但是很多同学可能不是很清楚socket的原理和实现。下面我们深入理解一下socket到底是什么。 我们回忆一下socket编程的步骤，不管是客户端还是服务端，第一个调的函数都是socket。我们就从这个函数的实现开始，看看一个socket到底是什么。
This blog post explains how computers running the Linux kernel send packets, as well as how to monitor and tune each component of the networking stack as packets flow from user programs to network hardware.
有兴趣了解更多关于 eBPF 技术的底层细节？那么请继续移步，我们将深入研究 eBPF 的底层细节，从其虚拟机机制和工具，到在远程资源受限的嵌入式设备上运行跟踪。
大家都知道理解一个程序需要从其初始化看起，内核代码也是一样，不过内核是按模块初始化的，模块初始化这部分今天暂时先不讲，接下来会单独拎出来详细讲解。现在只需要知道TCP/IP协议栈的初始化是通过fs_initcall宏来完成的就行。
本文讲述通过netfilter和get/setsockopt实现用户态与内核态之间的通信。首先介绍相关背景，然后给出代码示例。重点在于介绍通过netfilter的钩子机制实现用户态设置和获取socket选项，从而完成用户态与内核态之间的通信。
# server import socket address = ('127.0.0.1', 31500) s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) # s = socket.socket() s.bind(address) s.listen(5) ss, addr = s.accept() print 'got connected from',addr ss.send('byebye') ra = ss.recv(512) print ra ss.close() s.close()
标题党勿喷，内核可以搞的鬼很多，本文只分析其中一种。 现网问题中，我们经常会遇到一种场景，带宽明明没超限，但是tcp传输性能却不符合预期，而且时快时慢？本文展开分析其中一种常见原因——tcp内存使用太高搞的鬼。
我们已经知道，假设我现在要写一个程序，给另一台计算机发数据，必须通过tcp/ip协议 ，但具体的实现过程是什么呢？我应该怎么操作才能把数据封装成tcp/ip的包，又执行什么指令才能把数据发到对端机器上
Socket 在英文中的含义为“（连接两个物品的）凹槽”，像the eye socket，意为“眼窝”，此外还有“插座”的意思。在计算机科学中，socket 通常是指一个连接的两个端点，这里的连接可以是同一机器上的，像unix domain socket，也可以是不同机器上的，像network socket。
在本系列的第 1 部分和第 2 部分中，我们对 eBPF 虚拟机进行了简洁的深入研究。阅读上述部分并不是理解第 3 部分的必修课，尽管很好地掌握了低级别的基础知识确实有助于更好地理解高级别的工具。为了理解这些工具是如何工作的，我们先定义一下 eBPF 程序的高层次组件：
netstat命令显示各种网络相关信息，例如网络连接、路由表、接口统计信息、伪装连接、多播成员身份等。
这几天在看 ipvs 相关代码的时候又遇到了 netlink 的事情，所以这两天花了点时间重新把 netlink 的事情梳理了一下。
Socket的英文原本意思是 孔 或 插座。但在计算机科学中通常被称作为 套接字，主要用于相同机器的不同进程间或者不同机器间的通信。Socket的使用很多网络编程的书籍都有介绍，所以本文不打算介绍Socket的使用，只讨论Socket的具体实现，所以如果对Socket不太了解的同学可以先查阅Socket相关的资料或者书籍。
返回值：>0 返回读入的字节数； ==0 连接已中止； <0 返回SOCKET_ERROR错误，应用程序可通过WSAGetLastError()获取相应错误代码
我们在第 1 篇文章中介绍了 eBPF 虚拟机，包括其有意的设计限制以及如何从用户空间进程中进行交互。如果你还没有读过这篇文章，建议你在继续之前读一下，因为没有适当的介绍，直接开始接触机器和字节码的细节是比较困难的。如果有疑问，请看第 1 部分开头的流程图。
实验过程中采用过libnet与libpcap，最后全部转为Raw Socket发送与嗅探。
其实在写这篇文章开始之前，原本想打算先介绍一下TCP/IP协议的内容，但是在网上看了一些博客，大概都讲的差不多，随便找几篇博客来看（https://developer.51cto.com/art/201906/597961.htm），你就会对这个协议有一个大概的了解（有些地方或许读者和我一样可能也看的不是很明白，但是这对编程阻碍不大），所以我也不打算写这个了（理由是，自己也比较菜，只要大概了解一下这部分内容就行，在日后学习或者工作当中遇到什么不理解的地方再去深入学，比较有针对性；所以侧重点还是在编程上，最终实现理论转到实践当中去，才是王道）。不过经典的TCP三次握手和四次挥手告别，这个基本你必须要明白，这里简单介绍一下，那么就开始今天的内容了。
一、套接字 套接字是为特定网络协议（例如TCP/IP，ICMP/IP，UDP/IP等）套件对上的网络应用程序提供者提供当前可移植标准的对象。它们允许程序接受并进行连接，如发送和接受数据。为了建立通信通道，网络通信的每个端点拥有一个套接字对象极为重要。 套接字为BSD UNIX系统核心的一部分，而且他们也被许多其他类似UNIX的操作系统包括Linux所采纳。许多非BSD UNIX系统（如ms-dos，windows，os/2，mac os及大部分主机环境）都以库形式提供对套接字的支持。 三种最流行的套接字类型是:stream,datagram和raw。stream和datagram套接字可以直接与TCP协议进行接口，而raw套接字则接口到IP协议。但套接字并不限于TCP/IP。 二、套接字模块 套接字模块是一个非常简单的基于对象的接口，它提供对低层BSD套接字样式网络的访问。使用该模块可以实现客户机和服务器套接字。要在python 中建立具有TCP和流套接字的简单服务器，需要使用socket模块。利用该模块包含的函数和类定义，可生成通过网络通信的程序。一般来说，建立服务器连接需要六个步骤。 第1步是创建socket对象。调用socket构造函数。 socket=socket.socket(familly,type) family的值可以是AF_UNIX(Unix域，用于同一台机器上的进程间通讯)，也可以是AF_INET（对于IPV4协议的TCP和 UDP），至于type参数，SOCK_STREAM（流套接字）或者 SOCK_DGRAM（数据报文套接字）,SOCK_RAW（raw套接字）。 第2步则是将socket绑定（指派）到指定地址上，socket.bind(address) address必须是一个双元素元组,((host,port)),主机名或者ip地址+端口号。如果端口号正在被使用或者保留，或者主机名或ip地址错误，则引发socke.error异常。 第3步，绑定后，必须准备好套接字，以便接受连接请求。 socket.listen(backlog) backlog指定了最多连接数，至少为1，接到连接请求后，这些请求必须排队，如果队列已满，则拒绝请求。 第4步，服务器套接字通过socket的accept方法等待客户请求一个连接： connection,address=socket.accept() 调用accept方法时，socket会进入'waiting'（或阻塞）状态。客户请求连接时，方法建立连接并返回服务器。accept方法返回一个含有俩个元素的元组，形如(connection,address)。第一个元素（connection）是新的socket对象，服务器通过它与客户通信；第二个元素（address）是客户的internet地址。 第5步是处理阶段，服务器和客户通过send和recv方法通信（传输数据）。服务器调用send，并采用字符串形式向客户发送信息。send方法返回已发送的字符个数。服务器使用recv方法从客户接受信息。调用recv时，必须指定一个整数来控制本次调用所接受的最大数据量。recv方法在接受数据时会进入'blocket'状态，最后返回一个字符串，用它来表示收到的数据。如果发送的量超过recv所允许，数据会被截断。多余的数据将缓冲于接受端。以后调用recv时，多余的数据会从缓冲区删除。 第6步，传输结束，服务器调用socket的close方法以关闭连接。 建立一个简单客户连接则需要4个步骤。 第1步，创建一个socket以连接服务器 socket=socket.socket(family,type) 第2步，使用socket的connect方法连接服务器 socket.connect((host,port)) 第3步，客户和服务器通过send和recv方法通信。 第4步，结束后，客户通过调用socket的close方法来关闭连接。
接上次的博客，按照约定的划分，还有一层链路层socket。这一层就可以自定义链路层的协议头部(header)了，下面是目前主流的Ethernet 2(以太网)标准的头部:
https://github.com/tr3ee/CVE-2022-23222 近期在对Linux eBPF进行代码审计的过程中，发现了一枚权限提升漏洞CVE-2022-23222。 此漏洞影响Linux Kernel 5.8 - 5.16，并在5.10.92 / 5.15.15 / 5.16.1中修复。 完整利用代码详见：https://github.com/tr3ee/CVE-2022-23222 ----[ 1.1 - eBPF verifer 我们在写eBPF程序时，会发现调用bpf_map_lookup_elem()返回的结果，一定要判断是否为NULL，否则就会被拒绝加载。因为，bpf_map_lookup_elem()运行结果的结果，可能是有效的指针，但也可能返回NULL来表示没有查 找到与key相关的值。 在eBPF中有很多类似的用法，那么eBPF verifier是如何跟踪这些值的类型呢？ * bpf.h *
网络编程的专利权应该属于Unix，各个平台（如windows、Linux等）、各门语言（C、C++、Python、Java等）所实现的符合自身特性的语法都大同小异。在我看来，懂得了Unix的socket网络编程，其他的形式的网络编程方法也就知道了。这句话说得还不太严谨。准确的应该说成懂得了socket编程的原理，网络编程也就知道了，不同之处就在于每个平台，每个语言都有自己专享的语法，我们直接灵活套用就行了。 下面是用python实现的最基本的网络编程的例子，即依托于客户端-服务器的架构，实现客户端与服务器之
套接字是为特定网络协议（例如TCP/IP，ICMP/IP，UDP/IP等）套件对上的网络应用程序提供者提供当前可移植标准的对象。它们允许程序接受并进行连接，如发送和接受数据。为了建立通信通道，网络通信的每个端点拥有一个套接字对象极为重要。
一 简介 socket是两个应用程序进行通信的管道,这两个应用程序可以在同一台机器上，也可以位于两台不同的机器上,相同的网络或者不同网络之间的。Python socket有丰富的类和方法，可以简化socket编程。 二 socket 2.1 socket类型
最近在看python网络方面的知识，发现使用socket编写一些小的服务器真是太方便了，简单几行代码就能实现一个服务器，真是高大上呀，废话少说，直接上代码：
声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
BPF (Berkeley Packet Filter) 最早是用在 tcpdump 里面的，比如 tcpdump tcp and dst port 80 这样的过滤规则会单独复制 tcp 协议并且目的端口是 80 的包到用户态。整个实现是基于内核中的一个虚拟机来实现的，通过翻译 BPF 规则到字节码运行到内核中的虚拟机当中。最早的论文是这篇，这篇论文我大概翻了一下，主要讲的是原本的基于栈的过滤太重了，而 BPF 是一套能充分利用 CPU 寄存器，动态注册 filter 的虚拟机实现，相对于基于内存的实现更高效，不过那个时候的内存比较小才几十兆。bpf 会从链路层复制 pakcet 并根据 filter 的规则选择抛弃或者复制，字节码是这样的，具体语法就不介绍了，一般也不会去直接写这些字节码，然后通过内核中实现的一个虚拟机翻译这些字节码，注册过滤规则，这样不修改内核的虚拟机也能实现很多功能。
今天分析的内容是从socket函数开始，看看linux网络层的设计。下面我们看一下我们平时写网络编程代码时的用法。
参考文档 1. http://yangrong.blog.51cto.com/6945369/1339593 2. http://blog.csdn.net/yuxi2046/article/details/6996105 3. http://blog.csdn.net/sealyao/article/details/4704876 4. http://baiying.blog.51cto.com/1068039/1112997
一、UDEV是什么？ Udev是一个针对Linux内核2.6的可提供自动创建的设备节点和命名的解决方法的一个文件系统；其实与/etc/目录下的fstab文件类似 二、Udev如何获取内核这些模块的变化信息？ 参考博客：http://blog.chinaunix.net/uid-24943863-id-3223000.html 设备节点的创建，是通过sysfs接口分析dev文件取得设备节点号，这个很显而易见。那么udevd是通过什么机制来得知内核里模块的变化情况，如何得知设备的插入移除情况呢？当然是通过hot
主要应用方向是上位机和嵌软(如stm32单片机)通讯，不在单片机中嵌入web server，即mac层通讯。
/************************************ *自定义发IP包例子(TCP/IP包发送) *给目标主机的端口发送一个 syn请求, *注意目标主机的信息会发给发送IP地址的主机 *这说明TCP/IP协议本身有IP期骗的漏洞 *这种方运可以自己写成特殊的基于IP协议上层的自定义协议 ************************************/ #include <stdio.h> #include <sys/socket.h> #include <netinet/
ICMP后门 前言 在上两篇文章中，详细讲解了ICMP协议，同时实现了一个具备完整功能的ping工具，完整的代码发布在https://github.com/qiyeboy/LuLunZi/blob/
在前面文章《LTE模组可以被VPP直接接管喽！！！》中介绍使用af-packet插件将linux 内核接口映射到vpp中，并通过vpp dhcp client插件实现lte拨号上网的功能，本文主要介绍af packet实现机制，对阅读代码有所帮助。
转自http://www.oschina.net/question/12_76126
之前项目上线前，领导要求让写一个脚本用来判断端口的占用情况。由于现在python3使用也比较多，基于python2修改了一下，做了个python3版本的，现在做一下总结。
static int sock_bind(int fd, struct sockaddr *umyaddr, int addrlen) { struct socket *sock; int i; char address[MAX_SOCK_ADDR]; int err; if (fd < 0 || fd >= NR_OPEN || current->files->fd[fd] == NULL) return(-EBADF); // 通过文件描述符找到对应的socket，见socket函数
笔者一直觉得如果能知道从应用到框架再到操作系统的每一处代码，是一件Exciting的事情。 大部分高性能网络框架采用的是非阻塞模式。笔者这次就从linux源码的角度来阐述socket阻塞(block)和非阻塞(non_block)的区别。 本文源码均来自采用Linux-2.6.24内核版本。
1.sudo modprobe vcan 加载虚拟can模块 2.sudo ip link add dev vcan0 type vcan 添加vcan0网卡 3.ifconfig -a 可以查到当前can网络 can0 can1，包括收发包数量、是否有错误等等 4.ip link set can0 up type can bitrate 800000 //ip link set can0 type can –help 设置can0的波特率为800kbps,CAN网络波特率最大值为1Mbps 5.ip link set can0 up type can bitrate 800000 loopback on 设置回环模式，自发自收，用于测试是硬件是否正常,loopback不一定支持 6. ip link set can0 down 关闭can0 网络 7.cansend can0 0x11 0x22 0x33 0x44 0x55 0x66 0x77 0x88 发送默认ID为0x1的can标准帧，数据为0x11 22 33 44 55 66 77 88 每次最大8个byte 8.cansend can0 -i 0x800 0x11 0x22 0x33 0x44 0x55 0x66 0x77 0x88 -e -e 表示扩展帧，CAN_ID最大29bit，标准帧CAN_ID最大11bit -i表示CAN_ID 9. cansend can0 -i 0x02 0x11 0x12 –loop=20 –loop 表示发送20个包 10.candump can0 接收CAN0数据
Websocket是用于服务端主动向客户端推送消息的技术。传统的HTTP/HTTPS只能由客户端向服务端发起请求，服务端对请求一一响应。在需要获取服务端状态变化的场景下，如：提交的后台任务是否执行成功，只能通过客户端轮询向服务端发起请求，不仅效率低，还浪费资源（HTTP1.0下每次轮询都需要经过TCP三次握手重新建立连接）。而WebSocket的出现较好的解决了这个问题，在TCP首次建立完连接之后，该连接不自动关闭，在有效期内客户端可以继续向服务端发送消息，服务端也能主动给客户端发送消息。
本实验窃取密码的前提是要明文传输，先必须找到一个登录页面是采用http协议（非https）的站点，一般的163邮箱都有相应的防御机制，建议使用自己学校的邮箱或门户，随意输入用户名和密码。
Kali Linux系统预装了Python和Perl解释器，我是一直长期学习Python的，在这里分享一个Python程序.
原始套接字（raw socket）是一种网络套接字，允许直接发送/接收更底层的数据包而不需要任何传输层协议格式。平常我们使用较多的套接字（socket）都是基于传输层，发送/接收的数据包都是不带TCP/UDP等协议头部的。 当使用套接字发送数据时，传输层在数据包前填充上面格式的协议头部数据，然后整个发送到网络层，接收时去掉协议头部，把应用数据抛给上层。如果想自己封装头部或定义协议的话，就需要使用原始套接字，直接向网络层发送数据包。 为了便于后面理解，这里统一称应用数据为 payload，协议头部为 header，套接字为socket。由于平常使用的socket是建立在传输层之上，并且不可以自定义传输层协议头部的socket，约定称之为应用层socket，它不需要关心TCP/UDP协议头部如何封装。这样区分的目的是为了理解raw socket在不同层所能做的事情。
《Python黑帽子：黑客与渗透测试编程之道》的读书笔记，会包括书中源码，并自己将其中一些改写成Python3版本。书是比较老了，anyway，还是本很好的书
按照socket网络编程的顺序，我们这一篇来分析bind函数。我们通过socket函数拿到了一个socket结构体。bind函数的逻辑其实比较简单，他就是给socket结构体绑定一个地址，简单来说，就是给他的某些字段赋值。talk is cheap。show me the code。
由于网络协议非常复杂，内核里面用到了大量的面向对象的技巧，所以我们从创建连接开始，一步一步追述到最后代码的调用点。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
