eBPF BCC 实现UNIX socket抓包「建议收藏」

eBPF BCC 实现UNIX socket抓包「建议收藏」在之前,我写了一个《eBPFbpftrace实现个UNIXsocket抓包试试》,但是很受限啊,不能完整打印包数据信息,今天又写了一个BCC的,感觉没问题了。不多说,直接上代码:#!/usr/bin/python#@lint-avoid-python-3-compatibility-imports##undumpDumpUNIXsocketpackets.#ForLinux,usesBCC,eBPF.Embedded

大家好,又见面了,我是你们的朋友全栈君。如果您正在找激活码,请点击查看最新教程,关注关注公众号 “全栈程序员社区” 获取激活教程,可能之前旧版本教程已经失效.最新Idea2022.1教程亲测有效,一键激活。

Jetbrains全系列IDE使用 1年只要46元 售后保障 童叟无欺

在之前,我写了一个《eBPF bpftrace 实现个UNIX socket抓包试试》,但是很受限啊,不能完整打印包数据信息,今天又写了一个BCC的,感觉没问题了。

不多说,直接上代码:

#!/usr/bin/python
# @lint-avoid-python-3-compatibility-imports
# 
# undump        Dump UNIX socket packets.
#               For Linux, uses BCC, eBPF. Embedded C.
# USAGE: undump [-h] [-t] [-p PID]
#
# This uses dynamic tracing of kernel functions, and will need to be updated
# to match kernel changes.
#
# Copyright (c) 2021 Rong Tao.
# Licensed under the GPL License, Version 2.0
#
# 27-Aug-2021   Rong Tao   Created this.
#
from __future__ import print_function
from bcc import BPF
from bcc.containers import filter_by_containers
from bcc.utils import printb
import argparse
from socket import inet_ntop, ntohs, AF_INET, AF_INET6
from struct import pack
from time import sleep
from datetime import datetime
import sys

# arguments
examples = """examples:
    ./undump           # trace/dump all UNIX packets
    ./undump -t        # include timestamps
    ./undump -p 181    # only trace/dump PID 181
"""
parser = argparse.ArgumentParser(
    description="Dump UNIX socket packets",
    formatter_class=argparse.RawDescriptionHelpFormatter,
    epilog=examples)
    
parser.add_argument("-t", "--timestamp", 
        action="store_true", help="include timestamp on output")
parser.add_argument("-p", "--pid",
        help="trace this PID only")
args = parser.parse_args()

# define BPF program
bpf_text = """
#include <uapi/linux/ptrace.h>
#include <net/sock.h>
#include <bcc/proto.h>
#include <linux/aio.h>
#include <linux/socket.h>
#include <linux/net.h>
#include <linux/fs.h>
#include <linux/mount.h>
#include <linux/module.h>
#include <net/sock.h>
#include <net/af_unix.h>


// separate data structs for ipv4 and ipv6
struct stream_data_t {
    u64 ts_us;
    u32 pid;
    u32 uid;
    u32 sock_state;
    u32 sock_type;  //type of socket[STREAM|DRGMA]
    u64 sock_flags;
    char task[TASK_COMM_LEN];
    char *unix_sock_path;
    int msg_namelen;
};
BPF_PERF_OUTPUT(stream_recvmsg_events);

#define MAX_PKT 512
struct recv_data_t {
    u32 recv_len;
    u8  pkt[MAX_PKT];
};

// single element per-cpu array to hold the current event off the stack
BPF_PERCPU_ARRAY(unix_data, struct recv_data_t,1);

BPF_PERF_OUTPUT(unix_recv_events);


//static int unix_stream_recvmsg(struct socket *sock, struct msghdr *msg,
//			       size_t size, int flags)
int trace_stream_entry(struct pt_regs *ctx)
{
    int ret = PT_REGS_RC(ctx);
    
    u64 pid_tgid = bpf_get_current_pid_tgid();
    u32 pid = pid_tgid >> 32;
    u32 tid = pid_tgid;

    FILTER_PID

    struct stream_data_t data4 = {.pid = pid,};
    data4.uid = bpf_get_current_uid_gid();
    data4.ts_us = bpf_ktime_get_ns() / 1000;

    struct socket *sock = (struct socket *)PT_REGS_PARM1(ctx);   
    struct msghdr *msg = (struct msghdr *)PT_REGS_PARM2(ctx);    

    data4.sock_state = sock->state;
    data4.sock_type = sock->type;
    data4.sock_flags = sock->flags;

    data4.msg_namelen = msg->msg_namelen;
    
    bpf_get_current_comm(&data4.task, sizeof(data4.task));
    
    struct unix_sock *unsock = (struct unix_sock *)sock->sk;
    data4.unix_sock_path = (char *)unsock->path.dentry->d_name.name;
    
    stream_recvmsg_events.perf_submit(ctx, &data4, sizeof(data4));

    
    return 0;
};


int trace_unix_stream_read_actor(struct pt_regs *ctx)
{
    u32 zero = 0;
    int ret = PT_REGS_RC(ctx);
    u64 pid_tgid = bpf_get_current_pid_tgid();
    u32 pid = pid_tgid >> 32;
    u32 tid = pid_tgid;

    FILTER_PID

	struct sk_buff *skb = (struct sk_buff *)PT_REGS_PARM1(ctx);

    struct recv_data_t *data = unix_data.lookup(&zero);
    if (!data) 
        return 0;

    unsigned int data_len = skb->len;
    if(data_len > MAX_PKT)
        return 0;
        
    void *iodata = (void *)skb->data;
    data->recv_len = data_len;
    
    bpf_probe_read(data->pkt, data_len, iodata);
    unix_recv_events.perf_submit(ctx, data, data_len+sizeof(u32));
    
    return 0;
}

"""

if args.pid:
    bpf_text = bpf_text.replace('FILTER_PID',
        'if (pid != %s) { return 0; }' % args.pid)

bpf_text = bpf_text.replace('FILTER_PID', '')
    


# process event
def print_stream_event(cpu, data, size):
    event = b["stream_recvmsg_events"].event(data)
    global start_ts
    if args.timestamp:
        if start_ts == 0:
            start_ts = event.ts_us
        printb(b"%-9.3f" % ((float(event.ts_us) - start_ts) / 1000000), nl="")
    printb(b"%-6s %-12s" % (event.pid, event.task))

# process event
def print_recv_pkg(cpu, data, size):
    event = b["unix_recv_events"].event(data)
    print("----------------", end="")
    for i in range(0, event.recv_len):
        print("%02x " % event.pkt[i], end="")
        sys.stdout.flush()
        if (i+1)%16 == 0:
            print("")
            print("----------------", end="")
    print("\n----------------recv %d bytes" % event.recv_len)
    

# initialize BPF
b = BPF(text=bpf_text)
b.attach_kprobe(event="unix_stream_recvmsg", fn_name="trace_stream_entry")
b.attach_kprobe(event="unix_stream_read_actor", fn_name="trace_unix_stream_read_actor")


print("Tracing UNIX socket packets ... Hit Ctrl-C to end")

# header
if args.timestamp:
    print("%-9s" % ("TIME(s)"), end="")


print("%-6s %-12s" % ("PID", "COMM"), end="")
print()


print()
start_ts = 0

# read events
b["stream_recvmsg_events"].open_perf_buffer(print_stream_event)
b["unix_recv_events"].open_perf_buffer(print_recv_pkg)

while True:
    try:
        b.perf_buffer_poll()
    except KeyboardInterrupt:
        exit()

help信息

[root@localhost study]# ./undump.py -h
usage: undump.py [-h] [-t] [-p PID]

Dump UNIX socket packets

optional arguments:
  -h, --help         show this help message and exit
  -t, --timestamp    include timestamp on output
  -p PID, --pid PID  trace this PID only

examples:
    ./undump           # trace/dump all UNIX packets
    ./undump -t        # include timestamps
    ./undump -p 181    # only trace/dump PID 181

效果:

eBPF BCC 实现UNIX socket抓包「建议收藏」

abcdef前面的字段是我的消息头

 

struct MsgHdr {
    int src;
    int dst;
    int id;
    char data[];
}__attribute__((packed));

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/191175.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • Depix:还原马赛克工具的试用及总结[通俗易懂]

    Depix:还原马赛克工具的试用及总结[通俗易懂]背景一周前发现git上有个叫Depix的项目非常火,可以用来去除马赛克。好奇之下准备下来试用一下这个工具参考:https://github.com/beurtschipper/Depix算法说明:https://www.linkedin.com/pulse/recovering-passwords-from-pixelized-screenshots-sipke-mellemaDeBruijn序列:https://damip.net/article-de-bruijn-sequence说

  • Unity虚拟相机Cinemachine教程[通俗易懂]

    Unity虚拟相机Cinemachine教程[通俗易懂]准备在PackageManager中安装Cinemachine包。1.CinemachineBrain组件相当于虚拟相机的总管理。参数介绍:LiveCamera:当前显示的相机LiveBlend:过度相机时显示进度ShowDebugText:在Game视窗里显示当前使用的相机ShowCameraFrustum:显示视锥IgnoreTimeScale:是否受TimeScale影响WorldUpOverride:自己设置覆盖Y轴防止万向节死锁。UpdateMeth

  • pycharm使用技巧及常用快捷键_2010版excel快捷键大全

    pycharm使用技巧及常用快捷键_2010版excel快捷键大全本文对Pycharm常用快捷键进行了汇总整理,强烈建议你收藏学习,相信这些快捷键一定能提高你Python编程的效率。1.格式化代码【Ctrl+Alt+L】我们写代码的时候会发现…

  • idea中引用子项目文件夹(renren-generator)出现的问题[通俗易懂]

    idea中引用子项目文件夹(renren-generator)出现的问题[通俗易懂]在项目中引入文件(renren-generator)的时候出现的问题。仅供参考。问题一:idea一直build。我遇上的情况是可以这么解决的。重新下载jdk,然后file->projectstructure->project,选择刚下载的jdk,看清楚位置!!看清楚版本号是不是刚下载的!!!!(因为我太菜了,电脑上下载了有很多jdk和jre,位置也乱七八糟的)继续修改下面的SDKs,和上面同步。然后重新打开idea。重新编译运行也许就好了。Goodluck,祝大家好运。问

  • Gitblit服务器搭建

    Gitblit服务器搭建Gitblit服务器搭建

  • 腾讯群关系数据泄漏下载什么软件_云和数据/和华为之间的关系

    腾讯群关系数据泄漏下载什么软件_云和数据/和华为之间的关系腾讯群关系数据泄漏(可根据QQ号获得该人姓名经历等详细信息),外界已经有下载地址了,迅雷上就可以看到很多用户数据泄漏,可能是早期的漏洞被利用抓取的,可以根据QQ查一个人的姓名,年龄,关系网甚至从业经历等等

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号