प्रविष्टि

अधीर, इन गीतात्मक खुदाई को पढ़ा नहीं जा सकता है।

कुछ समय पहले, मुझे इस विचार से दौरा किया गया था: "इसे कैसे बनाया जाए ताकि लिनक्स पर कोई भी एक कार्यक्रम इंटरनेट (या किसी विशेष होस्ट) तक पहुंच न हो?" इस विचार ने मुझे दौरा किया और अपने स्वयं के व्यवसाय पर आगे उड़ान भरी। और आज मुझे askdev.ru पर अपने आरएसएस रीडर में एक प्रश्न मिला। बाह! हाँ, यह वही है जो मैं सोच रहा था! एक व्यक्ति की मदद करना आवश्यक है, एक ही समय में और इस मुद्दे को स्वयं समझने के लिए।

मैं यह देखने के लिए Google में चढ़ गया कि क्या किसी समाधान के संकेत हैं या नहीं। वहाँ से मुझे पता चला कि कुछ समय के लिए अब नियमित रूप से आईपीटबेल करना असंभव हो गया है, और लोग AppAmmor की दिशा में देखने की सलाह देते हैं। " AppArmor सीखने की बहुत इच्छा के साथ जलन , " मैंने आगे की खोज शुरू की और लगभग गलती से ईएनटी विशेषज्ञ के एक संदेश पर ठोकर खाई, जिसने एक दिलचस्प तरीके का वर्णन किया।

विधि

इसमें कनेक्शन फ़ंक्शन को "अपनी जगह" से सम्‍मिलित किया गया था, जो यह तय करता है कि कनेक्शन की अनुमति देनी है या नहीं और असली फ़ंक्शन के लिए अनुरोध "स्किप" करें या नहीं - एक त्रुटि लौटाएं। सम्मानित चौसर के संदेश में, सॉकेट्स के निम्न-स्तरीय ब्लॉकिंग का उपयोग किया गया था, जिससे सर्वर पते और / या पोर्ट के आधार पर निर्णय लेना संभव नहीं था। यह मुझे सूट नहीं करता था, मुझे केवल एक पोर्ट के लिए पहुंच से इनकार करने की आवश्यकता थी - 80 वीं। रनिंग टेलनेट , स्ट्रेस के तहत, मैंने लगभग तुरंत एक उपयुक्त शिकार देखा - कनेक्ट फ़ंक्शन। स्ट्रेस ने इसे इस तरह वर्णित किया:

connect(3, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("87.250.251.3")}, 16) = 0

यह विवरण स्पष्ट रूप से दिखाता है कि मेरे लिए आवश्यक सभी घटक हैं: आईपी पता, पोर्ट और कनेक्शन प्रकार (AF_INET)।

अच्छा, चलिए शुरू करते हैं।

निर्णय

इस पद्धति को कार्यान्वित करने के लिए, हम एक पुस्तकालय लिखेंगे जो अनुप्रयोग शुरू होने पर दूसरों की तुलना में पहले लोड हो जाएगा, और इस प्रकार उन कार्यों को रोक देगा जो इसमें परिभाषित हैं (और जो अन्य पुस्तकालयों के लिए डिज़ाइन किए गए हैं)।

शुरू करने के लिए, मैं सभी कोड निकालूंगा, और फिर हम अलग से सब कुछ का विश्लेषण करेंगे।

#define _GNU_SOURCE
#include <dlfcn.h>
# अलग करें <stdio.h>
# अलग करें <sys / types.h>
#include <sys / socket.h>
#include <netinet / in .h>
# किंकर्तव्यविमूढ़ <arpa / inet.h>
# अलग करें <ढ्डह्म>
स्थिर int (* real_connect) ( int sockfd, const structure sockaddr * addr,
socklen_t addrlen) = 0;
int कनेक्ट ( int sockfd, const संरचना sockaddr * addr,
socklen_t addrlen)
{
प्रिंटफ ( "NF_DEBUG: --------------------------------------------- - [एन " );
int sa_family = addr-> sa_family;
printf ( "NF_DEBUG: पता परिवार:% d (AF_INET =% d) \ n" , sa_family, AF_INET);
अगर (sa_family == AF_INET)
{
संरचना sockaddr_in * addr_in = ( संरचना sockaddr_in *) (addr);
संरचना in_addr sin_addr = addr_in-> sin_addr;
uint16_t sin_port = addr_in-> sin_port;
uint16_t sin_port_h = ntohs (sin_port);
Printf ( "NF_DEBUG: IP:% s \ n" , inet_ntoa (sin_addr));
प्रिंटफ ( "NF_DEBUG: पोर्ट:% d \ n" , sin_port_h);
अगर (sin_port_h == 80)
{
प्रिंटफ ( "NF_DEBUG: अस्वीकृत! \ n" );
प्रिंटफ ( "NF_DEBUG: --------------------------------------------- - [एन " );
ग़लती = एनीकट्रेच;
वापसी -1;
}
}
अगर (real_connect)
real_connect = dlsym (RTLD_NEXT, "कनेक्ट" );
प्रिंटफ ( "NF_DEBUG: स्वीकृत \ n" );
प्रिंटफ ( "NF_DEBUG: --------------------------------------------- - [एन " );
वापसी real_connect (sockfd, addr, addrlen);
}
* इस सोर्स कोड को सोर्स कोड हाइलाइटर के साथ हाइलाइट किया गया था।

कोड पार्सिंग

जो लोग समझते हैं कि उपरोक्त कार्यक्रम कैसे काम करता है वह इस अनुभाग को सुरक्षित रूप से छोड़ सकता है। यह वर्णन करेगा कि कौन सी रेखा क्या करती है। यह शुरुआती के लिए उपयोगी होना चाहिए। C को अच्छी तरह से जानने वालों को इसमें से कुछ ही बिंदुओं पर रुचि हो सकती है।

लाइन्स 1-8 प्रीप्रोसेसर निर्देश हैं; उनमें कुछ भी दिलचस्प नहीं है। जब तक निर्देश #define _GNU_SOURCE , जो dlsym फ़ंक्शन के लिए आवश्यक GNU एक्सटेंशन को जोड़ता है।

10-12 पंक्तियों में, हम "वास्तविक" कनेक्ट फ़ंक्शन के लिए एक पॉइंटर घोषित करते हैं। हमारे साथ इसे real_connect कहा जाएगा । फ़ंक्शन का विवरण मैन कनेक्ट से लिया गया है।

लाइन 13 एक नए कनेक्ट फ़ंक्शन के साथ शुरू होती है जो एप्लिकेशन कॉल करेंगे और जो यह तय करेंगे कि इस एप्लिकेशन को छोड़ना है या नहीं। इसका विवरण मूल कनेक्ट के साथ पूरी तरह से संगत है और एक ही मैनुअल से लिया गया है।

संरचना से 17 वीं पंक्ति में वह सभी डेटा होता है जिसकी हमें आवश्यकता होती है (और इसका वर्णन जो मैंने यहां लिया था ) हमें पता प्रकार मिलता है।

यदि पता प्रकार AF_INET (लाइन 20) है, अर्थात, एप्लिकेशन IPv4 के माध्यम से "बाहर से पूछ रहा है", तो हम फ़िल्टरिंग (लाइनों 22-37) का उपयोग करते हैं, अन्यथा, हम तुरंत इस कनेक्शन को "वास्तविक" कनेक्ट फ़ंक्शन से छोड़ देते हैं।

कनेक्शनों को फ़िल्टर करने के लिए, एड्र संरचना को sockaddr_in प्रकार में बदलना आवश्यक है, जो आवश्यक फ़ील्ड तक पहुँच की अनुमति देता है। यह लाइन 22 पर होता है।

अगला, लाइनों में 24-25 हमें क्रमशः पता और पोर्ट मान मिलता है। लाइन 26 पर, हम पोर्ट संख्या में बाइट्स के क्रम को बदलते हैं, जिससे कनेक्शन के दौरान उपयोग किए जाने वाले प्रारूप से पोर्ट नंबर (80, 110, 25) का सामान्य प्रारूप प्राप्त होता है।

28 पंक्ति में, परिणामी पता एक पाठ रूप में कम हो जाता है और प्रदर्शित होता है, 29 वीं पंक्ति में हम पोर्ट नंबर प्रदर्शित करते हैं।

अगला, 31 पंक्ति में, हम जांचते हैं कि क्या पोर्ट नंबर उस ब्लॉक से मेल खाती है जिसे हम ब्लॉक करना चाहते हैं, यदि हां, तो हम इसे रिपोर्ट करते हैं (33-34 लाइनें), त्रुटि संख्या (लाइन 35) सेट करें, इस मामले में "नेटवर्क अनुपलब्ध है" त्रुटि होगी; और त्रुटि (लाइन 36) वापस करें।

यदि सब कुछ क्रम में है, अर्थात्, अनुमत पोर्ट या स्वीकृत प्रकार के पते का उपयोग करके एक्सेस किया गया है, तो हमें "वास्तविक" कनेक्ट फ़ंक्शन (लाइन 42) का पता (एंट्री पॉइंट) मिलता है, अगर हमें यह पहले नहीं मिला है (लाइन 41; नहीं) हम यह भूल जाते हैं कि real_connect एक वैश्विक चर है), यह लिखें कि सब कुछ ठीक है (लाइनें 44-45), और नियंत्रण को "वास्तविक" कनेक्ट फ़ंक्शन में स्थानांतरित करें।

"वास्तविक" कनेक्ट फ़ंक्शन के पते को प्राप्त करने पर, हम इस पते को अगले भरी हुई लाइब्रेरी से प्राप्त करने के लिए RTLD_NEXT पैरामीटर का उपयोग करते हैं, और पहले (हमारे) से नहीं, अन्यथा हम अनंत पुनरावर्ती प्राप्त करेंगे।

के उपयोग

संकलित पुस्तकालय:

gcc -fPIC -shared -Wl,-soname,nonet.so -o nonet.so nonet.c

और वांछित एप्लिकेशन को निम्नानुसार चलाएं:

LD_PRELOAD=/< >/nonet.so <>

उदाहरण के लिए, यदि लाइब्रेरी / tmp में है , तो निम्न लाइन इंटरनेट तक पहुंच के बिना फ़ायरफ़ॉक्स शुरू कर सकती है (ज़ाहिर है, केवल पोर्ट 80 के माध्यम से):

LD_PRELOAD=/tmp/nonet.so firefox

निष्कर्ष

यह विधि किसी भी तरह से सार्वभौमिकता और सार्वभौमिकता का दावा नहीं करती है, साथ ही नोबेल पुरस्कार के लिए एक लेख भी है। यहां मैंने सिर्फ दो विषयों को कवर किया है जो मेरे लिए दिलचस्प हैं, और मुझे उम्मीद है, किसी और के लिए दिलचस्प होगा: कुछ कार्यक्रमों में नेटवर्क एक्सेस को प्रतिबंधित करना और लिनक्स में फ़ंक्शन कॉल को इंटरसेप्ट करना।

आपका ध्यान के लिए धन्यवाद!

PS इसलिए कि मुझे एक बेईमान व्यक्ति नहीं माना जाएगा, जिसने askdev.ru से डिजिटल से कोड चुराया है, मुझे लगता है कि यह उल्लेख किया जाना चाहिए कि डिजिटल और मैं एक ही व्यक्ति हूं।

UPD habercheloveka peter23 को आमंत्रित करने के लिए आपका बहुत-बहुत धन्यवाद। सभी के लिए लिनक्स पर एक ब्लॉग पोस्ट ले जाया गया।

लिनक्स में फ़ंक्शन कॉल की अवरोधन या सरलतम फ़ायरवॉल इसे स्वयं करते हैं