RAW_SOCKET使用区别

た入场券 2021-09-21 12:54 402阅读 0赞

raw socket，即原始[套接字][Link 1]，可以接收本机网卡上的[数据帧][Link 2]或者数据包，对与监听网络的流量和分析是很有作用的，一共可以有3种方式创建这种socket。

中文名

原始[套接字][Link 1]

外文名

RAW SOCKET

作    用

[网卡][Link 3]对该[数据帧][Link 2]进行硬过滤

1.socket([AF\_INET][AF_INET], [SOCK\_RAW][SOCK_RAW], [IPPROTO\_TCP][IPPROTO_TCP]|IPPROTO\_UDP|IPPROTO\_ICMP)发送接收ip数据包

2.socket(PF\_PACKET, SOCK\_RAW, htons(ETH\_P\_IP|ETH\_P\_ARP|ETH\_P\_ALL))发送接收以太网数据帧

3.socket(AF\_INET, SOCK\_PACKET, htons(ETH\_P\_IP|ETH\_P\_ARP|ETH\_P\_ALL))过时了,不要用啊

理解一下[SOCK\_RAW][SOCK_RAW]的原理, 比如网卡收到了一个 14+20+8+100+4 的[udp][]的以太网[数据帧][Link 2].

首先,网卡对该数据帧进行硬过滤(根据网卡的模式不同会有不同的动作,如果设置了promisc[混杂模式][Link 4]的话,则不做任何过滤直接交给下一层输入例程,否则非本机mac或者广播mac会被直接丢弃).按照上面的例子,如果成功的话,会进入ip输入例程.但是在进入ip输入例程之前,系统会检查系统中是否有通过socket(AF\_PACKET, SOCK\_RAW, ..)创建的[套接字][Link 1].如果有的话并且协议相符,在这个例子中就是需要ETH\_P\_IP或者ETH\_P\_ALL类型.系统就给每个这样的socket接收缓冲区发送一个[数据帧][Link 2]拷贝.然后进入下一步.

其次,进入了ip输入例程(ip层会对该[数据包][Link 5]进行软过滤,就是检查校验或者丢弃非本机ip或者广播ip的数据包等,具体要参考[源代码][Link 6]),例子中就是如果成功的话会进入[udp][]输入例程.但是在交给udp输入例程之前,系统会检查系统中是否有通过socket([AF\_INET][AF_INET],[SOCK\_RAW][SOCK_RAW], ..)创建的[套接字][Link 1].如果有的话并且协议相符,在这个例子中就是需要IPPROTO\_UDP类型.系统就给每个这样的socket接收缓冲区发送一个数据帧拷贝.然后进入下一步.

最后,进入udp输入例程 ...

ps:如果[校验和][Link 7]出错的话,内核会直接丢弃该数据包的.而不会拷贝给[sock\_raw][sock_raw]的套接字,因为校验和都出错了,数据肯定有问题的包括所有信息都没有意义了.

进一步分析他们的能力.

1. socket([AF\_INET][AF_INET], [SOCK\_RAW][SOCK_RAW], IPPROTO\_UDP);

能:该[套接字][Link 1]可以接收协议类型为(tcp udp icmp等)发往本机的ip数据包,从上面看的就是20+8+100.

不能:不能收到非发往本地ip的数据包(ip软过滤会丢弃这些不是发往本机ip的数据包).

不能:不能收到从本机发送出去的数据包.

发送的话需要自己组织tcp udp icmp等头部.可以setsockopt来自己包装ip头部

这种套接字用来写个ping程序比较适合

2. socket(PF\_PACKET, SOCK\_RAW, htons(x));

这个[套接字][Link 1]比较强大,创建这种套接字可以监听网卡上的所有[数据帧][Link 2].从上面看就是20+20+8+100.最后一个以太网crc从来都不算进来的,因为内核已经判断过了,对程序来说没有任何意义了.

能: 接收发往本地mac的数据帧

能: 接收从本机发送出去的数据帧(第3个参数需要设置为ETH\_P\_ALL)

能: 接收非发往本地mac的数据帧(网卡需要设置为promisc[混杂模式][Link 4])

协议类型一共有四个

ETH\_P\_IP 0x800 只接收发往本机mac的ip类型的数据帧

ETH\_P\_ARP 0x806 只接受发往本机mac的arp类型的[数据帧][Link 8]

ETH\_P\_RARP 0x8035 只接受发往本机mac的rarp类型的数据帧

ETH\_P\_ALL 0x3 接收发往本机mac的所有类型ip arp rarp的数据帧, 接收从本机发出的所有类型的数据帧.([混杂模式][Link 4]打开的情况下,会接收到非发往本地mac的数据帧)

3. socket([AF\_INET][AF_INET], SOCK\_PACKET, htons(ETH\_P\_ALL))，这个一般用于[抓包][Link 9]程序。

总结

1.只想收到发往本机某种协议的ip数据包的话用第一种就足够了

2. 更多的详细的内容请使用第二种.包括ETH\_P\_ALL参数和混杂模式都可以使它的能力不断的加强.

[Link 1]: http://baike.baidu.com/view/538713.htm
[Link 2]: http://baike.baidu.com/view/1366167.htm
[Link 3]: http://baike.baidu.com/view/4230.htm
[AF_INET]: http://baike.baidu.com/subview/3634059/3634059.htm
[SOCK_RAW]: http://baike.baidu.com/subview/3642703/3642703.htm
[IPPROTO_TCP]: http://baike.baidu.com/subview/9796742/9926065.htm
[udp]: http://baike.baidu.com/subview/30509/30509.htm
[Link 4]: http://baike.baidu.com/subview/2521757/2521757.htm
[Link 5]: http://baike.baidu.com/view/25880.htm
[Link 6]: http://baike.baidu.com/view/60376.htm
[Link 7]: http://baike.baidu.com/subview/1969592/1969592.htm
[sock_raw]: http://baike.baidu.com/view/3642703.htm
[Link 8]: http://baike.baidu.com/subview/1366167/1366167.htm
[Link 9]: http://baike.baidu.com/view/558624.htm